eigen externe ip in netwerk zien

[hjvg]

goede dag,

ik heb dit probleem nu onderhand al enkele weken en heb al veel geprobeerd en op andere forums gevraagd maar nergens kom ik er uit.

een tijdje terug heb ik besloten op een firewall en proxy in me netwerk te hangen zodat ik mijn netwerk meer kan monitoren. echter heb ik ook een roseserver in mijn netwerk hangen en deze zorgt nu voor de problemen.

ik heb onderhand zentyal,ipfire, en een mikrotik routerboard (RB2011VAS-2HnD-IN) geprobeerd en met alles liep ik tegen het zelfde probleem aan ook op hun forums gevraagd maar kwam ik uit eindelijk niet veder mee/niet veel reacties.
hier onder een afbeelding wat de bedoeling is.




de rode lijn geeft aan wat ik wil en wat er gebeurt als ik gewoon mijn kpn modem gebruik en geen firewall.
de blauwe lijn is wat er met elke van de hier boven genoemde firewalls gebeurt.

nu zul je denken het resultaat is toch het zelfde de connecties komen altijd bij de pc dat is zo maar het probleem is dat rose server verbonden moeten zijn via het internet om clients later te kunnen inloggen. als gebeurt wat de blauwe lijn weer geeft is de login en de worldserver verbonden met ip 10.0.0.1 als dan een client van buitenaf inlog kan hij niet worden door gestuurd vanuit de login server na de worldserver.
Op het moment dat ik mijn kpn modem gebruik is de login met de world server verbonden met ip 84.85.166.xxx

nu heb ik al van alles geprobeerd in zentyal en ipfire maar zonder resultaat. een vriend van mij zei toen probeer mijn mikrotek router eens deze moet het vast kunnen echter tot nu toe met het zelfde resultaat helaas (echter zitten hier zo veel functies in die ik lang niet allemaal snap dat het misschien best mogelijk is om het voor elkaar te krijgen).

ik hoop dat iemand hier op tweakers misschien een idee heeft hoe ik dit voor elkaar kan krijgen met een firewall er tussen.

[johnkeates]

Lijkt me een typisch gevalletje NAT misconfiguratie? Ik weet niet hoe het met de distro's zit die jij gebruikt, maar in m0n0wall en pfSense kan je gewoon NAT reflection instellen op je NAT forwards.

[GH45T]

Erg warrig verhaal, maar het komt er op neer dat je internet ip adres intern naar je pc moet verwijzen, correct?

Sommige routers kunnen dit en sturen het verkeer door naar het apparaat waar de poortforwarding ook voor is ingeschakeld.

Andere oplossing welke naar mijn idee veel beter is, DNS naam registreren (eventueel op dyndns.org) en dat dns adres intern naar je pc verwijzen en extern naar je internet ip.

[Lumics]

Ik begrijp niets van je verhaal. Wellicht is je formulering van het probleem de reden van de matige response.

Ook klopt je plaatje per definitie niet. Je rode lijn begint/eindigt bij je modem..

[hjvg]

pfsence heb ik er ook even opgehad jah en nat reflection zorgt er voor dat je ip externe ip naar je interne ip word om gezet dus dat 84.85.160.xxx:29000 naar 10.0.0.16:29000 word verzonden echter wijzigt hij dan weer het source ip naar 10.0.0.1 (wat het ip van de firewall is)

@gh45t niet helemaal het gaat er eigelijk om dat de login server ziet dat de verbinding word gemaakt van af mijn externe ip en dus niet vanaf mijn interne ip.

ik heb ook een no-ip.info andres aangemaakt maar op een ofandere manier word deze ook telkens omgezet door de firweall naar 10.0.0.1

@mcsluis

ok dit is de meest simple uitleg: 10.0.0.16 naar 84.85.166.xxx dan 84.85.166.xx geforward narr 10.0.0.16 en dan moet 10.0.0.16 zien dat het vanaf 84.85.166.xxx komt.

maar met een firewall of mikrotik router zegt hij dat het van 10.0.0.1 komt

[ Voor 17% gewijzigd door hjvg op 26-11-2013 14:58 ]

[Verwijderd]

Bij de Mikrotik kan je ook dstnat (destination NAT) aan zetten.

[PerfectPC]

wat jij wil doen gaat enkel met een transparante (L2) firewall, dit zal nooit mogelijk zijn met een routing (L3) firewall. (hierbij doe je dus geen geen nat en ligt je externe ip adres op je pc)
Dit is oa mogelijk met iptables, geen idee of dit mogelijk is met monowall/pfsense/...

[ Voor 14% gewijzigd door PerfectPC op 26-11-2013 15:51 ]

[ItsValium]

pfsene bak met NAT 1:1 degelijk ingesteld is wat je wil.

[hjvg]

ik heb dit gedaan http://www.mtin.net/blog/11-nat-setup-with-mikrotik/

dit is een nat 1:1 voor de mikrotik maar de login server zegt nog steeds dat de verbinding van 10.0.0.1 komt.
nu net alles er weer even tussen uit gehaald gewoon op mijn modem aangesloten en de login server zegt dat de verbinding van 84.85.166.xxx komt

[Verwijderd]

Ho. Stop.

Leg even uit welke devices er zijn (ik zie nergens in je tekening een worldserver of roseserver), welke IP adressen, subnet masks en gateways er geconfigureerd zijn op elk van de devices.
Je hebt nu IP adressen bij lijntjes staan, maar IP adressen leven op een interface, niet op een touwtje. Het is voor mij compleet onduidelijk waar 84.85.nogwat leeft.

[richardboer]

Op zich vrij simpele situatie:
84.85 = wan, op de mikrotik eth1 = het externe netwerk
Modem draait in bridge modus dus het WAN ip komt rechtstreeks op de Mikrotik binnen
10.0.0.1 = router/firewall IP (de mikrotik) dus je default gateway in het interne netwerk
10.0.0.16 = server waar de software op draait: login server, world server, etc draaien op die machine met een aantal poorten. Die servers verbinden onderling via het externe IP

10.0.0.22 is bijv een client PC. Het interne subnet is volledig /24 (255.255.255.0)
extern = gewoon KPN consumenten lijntje

Na diverse firewalls te hebben geprobeerd blijft het probleem aanwezig:
Met een niet kant-en-klare router werkt de loopback niet goed.

Zelfs de 1:1 nat werkt niet, blijft 10.0.0.1 weergeven welke het LAN ip van de firewall is.

Vreemd genoeg: Gebruik je bijv. de standaard KPN router -> werkt het in 1x goed. Voorheen een Speedtouch 546 Annex B werkte ook gewoon goed.

Wat tevens ook wel werkt: stel je opent poort 80 naar een webserver dan kan je vanaf intern wel ermee verbinding maken en krijg je gewoon een apache bericht. (Dus openen van 84.85.xx.xx)


Ben trouwens zelf ook al een flinke tijd samen met HJVG bezig geweest om het proberen op te lossen vandaar

[itons]

stel je rose server is in op je externe ip

[hjvg]

itons schreef op dinsdag 26 november 2013 @ 19:55:
stel je rose server is in op je externe ip

dit is natuurlijk gedaan en opmoment dat er geen andere aparatuur dan kpn modem in me netwerk hangt werkt hij ook volledig

[ItsValium]

Als je nat 1:1 degelijk wil instellen moet je natuurlijk ook de outbound nat-regels instellen. Hoe je dit in MikroTik doet kan ik je niet zeggen, is te lang geleden dat ik nog met mikrotik bezig ben geweest maar in pfSense staat dit onder een tabje in je NAT menu.

[WhizzCat]

Of je hangt een derde interface op je firewall waar je een DMZ inricht en daar je rose server in plaatst. Allicht is dat nog een optie, maar dan zit je denk ik nog steeds met je NAT rules omdat je dan een private DMZ hebt. Normaal kan je daar public IP's aan hangen, maar ik gok dat het een KPN consumer lijntje is, dus zal je maar 1 IP hebben.

[hjvg]

ItsValium schreef op woensdag 27 november 2013 @ 21:12:
Als je nat 1:1 degelijk wil instellen moet je natuurlijk ook de outbound nat-regels instellen. Hoe je dit in MikroTik doet kan ik je niet zeggen, is te lang geleden dat ik nog met mikrotik bezig ben geweest maar in pfSense staat dit onder een tabje in je NAT menu.

zal vandaag of morgen pfsence even weer instaleren . en eens kijken als ik hem dan aan de gang krijg.

@wihzzcat yep maar 1 ip kpn kan geen zakelijk abbonement hier leveren

[ Voor 6% gewijzigd door hjvg op 28-11-2013 09:15 ]

[hjvg]

nou ben met pfsense bezig maar lijkt nog weinig vooruit gang in te zitten.

heb port forwarding aangezet en poorten zijn open als ik NAT reflection enable verbinden alle servers met elkaar als ik hem disable dan verbinden ze niet.
maar als ze verbinden word nog steeds het firewall ip weer gegeven in plaats van externe ip.

ook bezig geweest met 1:1 nat echter merk geen verschil dit zijn de instellingen op moment
Interface External IP Internal IP Destination IP
WAN 84.85.166.xxx 10.0.0.16 *

enig idee waar ik een fout maak?

trouwens sommige tutorials geven ook aan dat ik voor nat 1:1 eerst een virtueel ip moet aan maken echter dit kan niet mijn externe ip zijn dus kan ik dit niet doen

[hjvg]

onderhand besloten om 2 manged switches te kopen om het probleem op te kunnen lossen

[ItsValium]

hoe heb je outbound nat ingesteld op de pfsense bak?

en hoe denk je met 2 managed switchen dit te kunnen oplossen?

[hjvg]

yep heb alle nat instellingen in pfsense gehad helaas zonder resultaat.

ik ga nu 2 vlans maken 1 die naar de rose server gaat zonder door de pfsence server te gaan en de rest van het verkeer allemaal wel door de pfsence firewall laten gaan