Acceso a la DMZ desde Internet
-
Saludos, espero puedan ayudar, así como también sé que con toda respuesta estamos contribuyendo con enriquecer los conocimientos de esta comunidad.
Tengo dos PC donde he configurado con VirtualBox dos pfSense en Alta Disponibilidad, uno en cada anfitrión, cada cual con tres interfaces (Adaptador Puente): WAN (DHCP IP Pública), LAN y DMZ, la sincronización del CLUSTER la llevo a cabo mediante la interfaz LAN. En uno de los anfitriones he configurado un servidor Web en la red DMZ, puedo acceder a él sin problemas desde los equipos de la LAN y DMZ, conforme a las reglas del firewall.
El caso que traigo es que no logro tener acceder desde Internet hacia el servidor web, he configurado el NAT Port Forward que permite la traducción de la IP Pública a la IP Local de DMZ del servidor web, pero nada. Otra cosa que observo es que en la sección de Diagnóstico del pfSense (Ping o Traceroute), desde la WAN no le llego ni a la LAN ni a la DMZ.
No sé si es un tema de restricción en las interfaces desde VirtualBox o debo hacer alguna otra configuración en el pfSense.
Cualquier apoyo estaré agradecido, estaré atento a cualquier respuesta.
-
@eticaguayana Saludos. No sé las características de tus equipos, pero en mi caso, utilizo ViirtualBox solo para pruebas y si ya es de poner algo en vivo, prefiero usar Proxmox ya que se administra mejor los recursos y en un solo equipo configuro todos los ambientes virtuales (preferiblemente servidor y como último recurso un PC pero con varios discos para crear arreglos por seguridad).
Siguiendo con tu caso y si logré comprender bien, las WAN que esa interfaz la tenes en modo puente, lo configuraría con una IP fija para que siempre podas identificar los equipos. Esa IP debe estar en el mismo rango del DHCP del router que te da el ISP, pero fuera del que reparte. Si podes entrar a la configuración del router que sería lo ideal, cambiaría el DHCP de la siguiente forma: Si reparte en el rango 192.168.1.x, lo haría así: empezar a repartir desde la 192.168.1.11 a la 192.168.1.X, donde X representaría la cantidad de equipos de tu red LAN real más 10 o 20 IPs adicionales. En caso que tu red LAN real sean 20 equipos serían 192.168.1.11 hasta la 192.168.1.51.
Hecho lo anterior, a cada interfáz WAN virtual que tenes, le pondría a cada pfSense 192.168.1.2 y 192.168.1.3 que son IPs del tipo que reparte el DHCP, pero fuera del rango que reparte para que no tengas problemas de conflictos de choques de IPs y aún te quedarian 8 más para otros servidores de dominio, web, base de datos, etc. Eso depende de lo que vayas a tener como servidores pero con IPs fijas.
Si las otras interfaces que creaste que no sé si sean NAT, red interna que creo sería conveniente para que el pfSense la identifique y pueda repartir IPs o en la DMZ le asignes lo que quieras, pueda ser vista. Esa configuración decis que te funciona, así que no voy a entrar en detalle porque no sé como lo configuraste.
Con todo lo anterior hecho, para que te funcione ver tus equipos desde fuera de tu red, no solo debes crear reglas en tus pfSense, sino también en el router del ISP para que tenga abierto los puertos para cada IP que le asignaste en la WAN a cada pfSense ya que una cosa es configurar las reglas en los pfSense pero de nada van a servir si no abres puertos en el router del ISP.
