port forwarding problemen ubuqitue edge router lite kpn

[jelmew]

Hoi Mensen,

Onderstaand probleem is al een poosje in beraadslaging en het maakt me werkelijk gek. Waarschijnlijk gaat er echt maar een klein dingetje mis, maar wat is mij tot nu toe niet echt duidelijk geworden.

Ik zit bij kpn en heb de experiabox v9 vervangen door een ubuqitue edgerouter3 lite. Deze heb ik geconfigureerd tot er een thuisnetwerk en internet was. Ik kan nu intern bij mijn server, maar port forwards lijken op werkelijk geen enkele manier te lukken. Bijgevoegd is een config file, waarin twee pogingen zichtbaar zijn de forward op te zetten. Is er een held die ziet wat hier mis gaat? Ik kom er echt niet uit, en ik zit er ondertussen al een poosje op.

Met vriendelijke groet,
Jelmew

edit: opgelost

wan-interface eth0.6
moest zijn
wan-interface pppoe0

    firewall {
    all-ping enable
    broadcast-ping disable
    ipv6-receive-redirects disable
    ipv6-src-route disable
    ip-src-route disable
    log-martians enable
    name WAN_IN {
        default-action drop
        description "WAN to internal"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
        rule 30 {
            action accept
            description "Allow SSH in"
            destination {
                group {
                    address-group ADDRv4_eth0.6
                }
                port 22
            }
            protocol tcp
            source {
                address 0.0.0.0/0
            }
        }
        rule 40 {
            action accept
            description "Allow SSH in"
            destination {
                address 192.168.1.41
                port 22
            }
            protocol tcp
            source {
                address 0.0.0.0/0
            }
        }
    }
    name WAN_LOCAL {
        default-action drop
        description "WAN to router"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action drop
            description "Drop invalid state"
            state {
                invalid enable
            }
        }
    }
    options {
        mss-clamp {
            mss 1412
        }
    }
    receive-redirects disable
    send-redirects enable
    source-validation disable
    syn-cookies enable
    }
    interfaces {
    bridge br0 {
        address 192.168.1.1/24
        aging 300
        bridged-conntrack disable
        description "Local Bridge"
        hello-time 2
        max-age 20
        priority 32768
        promiscuous enable
        stp false
    }
    ethernet eth0 {
        address dhcp
        description "Internet (PPPoE)"
        duplex auto
        ip {
            enable-proxy-arp
        }
        speed auto
        vif 6 {
            address dhcp
            description KPN
            mtu 1500
            pppoe 0 {
                default-route auto
                mtu 1480
                name-server auto
                password KPN
                user-id
            }
        }
    }
    ethernet eth1 {
        bridge-group {
            bridge br0
        }
        description "Local Bridge"
        duplex auto
        ip {
            enable-proxy-arp
        }
        speed auto
    }
    ethernet eth2 {
        bridge-group {
            bridge br0
        }
        description "Local Bridge"
        duplex auto
        ip {
            enable-proxy-arp
        }
        speed auto
    }
    loopback lo {
    }
    }
    port-forward {
    auto-firewall enable
    hairpin-nat disable
    rule 1 {
        description SSH
        forward-to {
            address 192.168.1.41
            port 22
        }
        original-port 22
        protocol tcp
    }
    rule 2 {
        description deluge_website
        forward-to {
            address 192.168.1.41
            port 8113
        }
        original-port 8113
        protocol tcp_udp
    }
    wan-interface eth0.6
    }
    service {
    dhcp-server {
        disabled false
        hostfile-update disable
        shared-network-name LAN_BR {
            authoritative disable
            subnet 192.168.1.0/24 {
                default-router 192.168.1.1
                dns-server 192.168.1.1
                lease 86400
                start 192.168.1.38 {
                    stop 192.168.1.243
                }
                static-mapping jelmer-server {
                    ip-address 192.168.1.41
                    mac-address e0:cb:4e:c4:bf:29
                }
            }
        }
    }
    dns {
        forwarding {
            cache-size 150
            listen-on br0
        }
    }
    gui {
        https-port 443
        listen-address 192.168.1.1
    }
    nat {
        rule 5010 {
            description "masquerade for WAN"
            outbound-interface pppoe0
            type masquerade
        }
    }
    ssh {
        listen-address 192.168.1.1
        port 22
        protocol-version v2
    }
    upnp2 {
        listen-on eth2
        listen-on eth1
        nat-pmp disable
        secure-mode disable
        wan eth0.6
    }
    }
    system {
    host-name ubnt
    login {
        user ubnt {
            authentication {
                encrypted-password $1$zKNoUbAo$gomzUbYvgyUMcD436Wo66.
            }
            level admin
        }
    }
    ntp {
        server 0.ubnt.pool.ntp.org {
        }
        server 1.ubnt.pool.ntp.org {
        }
        server 2.ubnt.pool.ntp.org {
        }
        server 3.ubnt.pool.ntp.org {
        }
    }
    syslog {
        global {
            facility all {
                level notice
            }
            facility protocols {
                level debug
            }
        }
    }
    time-zone UTC
    }


    /* Warning: Do not remove the following line. */
    /* === vyatta-config-version: "config-management@1:conntrack@1:cron@1:dhcp-relay@1:dhcp-server@4:firewall@5:ipsec@4:nat@3:qos@1:quagga@2:system@4:ubnt-pptp@1:ubnt-util@1:vrrp@1:webgui@1:webproxy@1:zone-policy@1" === */
    /* Release version: v1.7.0.4783374.150622.1534 */

[ShadowAS1]

Ik ken de config van ubi niet zo goed, ik zit zelf aan de mikrotik kant.
Maar als jouw config de logica heeft zoals ik gewend ben, dan zeg jij het volgende:
Alles wat binnen komt op mijn router, met als destination 192.168.1.2 accept ik.

Dat werkt sowieso niet, want dan zou er op je WAN interface door de zender dat IP vermeld moeten worden, en gezien die subnets niet routerbaar zijn vervalt dat al.


Deze rule:

rule 1 {
description SSH
forward-to {
address 192.168.1.41
port 22
}
original-port 22
protocol tcp
}

Ziet er prima uit

Een paar dingen om op te letten:

• Check even na dat je geen dubbele regels hebt die conflicteren omdat je al een tijdje hebt zitten porren
• Check of je een incoming interface kunt instellen, d.w.z.: Op de Mikrotiks heb ik mijn WAN op eth0 zitten, maar ik heb natuurlijk 3 vlans, dus als ik een poort wil forwarden, dan moet ik als interface '0.6' (de naam van mijn VLAN interface op eth0) vermelden, anders snapt de router het niet.

[Jeroen_ae92]

Je hebt middels de GUI de port-forwards ingesteld maar hier geen LAN interface bij opgegeven.
Hierdoor werkt het niet.

Goed, je hebt ook via de firwall rules het verkeer toegestaan maar dat is omslachtig en niet correct ingeregeld.

Voer de volgende commando's via CLI uit en je bent klaar

code:

configure
delete firewall name WAN_IN rule 30
delete firewall name WAN_IN rule 40
set port-forward hairpin-nat enable
set port-forward lan-interface br0
commit
save

Let trouwens even op... Bridged interfaces zijn een software feature en dit heeft een performance impact in de negatieve zin.

EDIT:
Upnp2 doe je niet op de fysieke interfaces maar op de bridge. Dus:

code:

delete service upnp2 listen-on eth1
delete service upnp2 listen-on eth2
set service upnp2 listen-on br0

[ Voor 13% gewijzigd door Jeroen_ae92 op 23-08-2015 13:32 . Reden: Typo ]