[Solved] Probleme mit NAT? :(

Razorblade

Hallo alle miteinander,

ich habe die Aufgabe bekommen mit pfSense eine Firewall zu realisieren, bei der es möglich ist, aus dem internen LAN ins WAN zu kommen (leicht) sowie drei Rechner aus dem LAN im WAN verfügbar zu machen.

Das ganze spielt sich im moment noch virtualisiert auf meinem Rechner in VMware ab.

Folgende Ausgangslage:

Ich habe zwei Netze:
172.16.156.0/24 als WAN
192.168.2.0/24 als LAN

Auf 192.168.2.21 läuft ein Apache Webserver (also auf Port 80).
Auf 172.16.156.130 läuft ein Client, der den Webserver erreichen soll.
Die Firewall horcht auf 192.168.2.22 und 172.16.156.131.

Die Firewall kann beide Rechner anpingen, die beiden Rechner jeweils die Firewall.

Nun habe ich zunächst eine VIP (Proxy ARP) für den Webserver eingerichtet (WAN-Interface, 172.16.156.132).
Anschließend einen 1:1 NAT-Eintrag gemacht (WAN, EXT 172.16.156.132, INT 192.168.2.21).
Danach eine simple Regel fürs WAN erstellt, die jeglichen Traffic mit allen Protokollen von und nach überall hin zulässt. Eine Regel fürs LAN existiert ja bereits, die jeglichen Datenverkehr aus dem LAN nach aussen zulässt.

Ergebnis:
Wenn ich vom Client 172.16.156.132 anpinge, erhält er eine Antwort.

Problem 1:
Als IP wird bei der Antwort die interne IP angezeigt, was ungut ist.


PING 172.16.156.132 (172.16.156.132): 56 data bytes
64 bytes from 192.168.2.21: ...

Problem 2:
Wenn ich versuche per telnet auf Port 80 des Webservers zuzugreifen erhalte ich keine Antwort, was noch unguter ist.


Trying 172.16.156.132

Mehr passiert nicht bis ich Strg+C drücke

Im Log tauchen aber diese beiden Einträge auf:


	Nov 28 22:55:51 	WAN 	172.16.156.130 	192.168.2.21 	ICMP
	Nov 28 22:58:22 	WAN 	172.16.156.130:32769 	192.168.2.21:80 	TCP

Beide sind als "Pass" gekennzeichnet.

Wie kriege ich es nun hin, dass zum einen beim Ping als IP nicht mehr die interne angezeigt wird und wie kriege ich es hin, dass ich z.B. zu bestimmten Ports connecten kann? Ich sitze da nun schon zwei Tage dran (auch mit Hilfe des Forum) und komme ums Verrecken nicht mehr weiter.

Vielen lieben Dank im voraus,
Daniel

Razorblade

Hat sich erledigt. Ich hatte vergessen auf dem internen Rechner das Routing einzutragen -.-

Wer will darf mich jetzt hauen ;D