pfSense LAN portforwarding HTTPS naar eigen poort werkt niet

[barniepost]

Hallo experts!

Eerder heb ik de vraag gesteld betreft de clients benaderen op hostname vanaf het LAN:
PFsense en Draytek VPN, Clients niet op hostname te bereiken

Dit werkt nu middels DNS Resolver de "Host Overrides" toe te voegen. Het liefst wil ik natuurlijk dat
dit ook nog een keer automatisch gebeurt, en ik niet handmatig dit moet toevoegen. is daar nog een oplossing voor?

Als ik bijvoorbeeld van https://subdomein.domein.nl naar mijn machine ga werkt het als ik van buiten mijn netwerk dit doe. De https poort wordt omgezet naar een eigen poortnummer, van 443 naar bijv 1234. Intern vanaf het lan werkt dit niet. Als ik naar https://subdomein.domein.nl ga kom ik niet bij het gewenste uit. doe ik vanaf het lan https://subdomein.domein.nl:1234 dan werkt dit wel.


Mijn Pfsense zit direct op de kpn glasvezel ftu. geen expira box ertussen.

Ik heb deze topics ook bekeken:
NAT reflection pfsense
pfsense NAT loopback

en de nat instellingen toegepast die hier worden uitgelegd:
https://docs.netgate.com/...-from-local-networks.html

Wat vergeet ik of wat doe ik fout?

[ Voor 17% gewijzigd door barniepost op 06-03-2019 12:02 ]

[nike]

ga naar:
System/Advanced/Firewall & NAT
en zet hem op nat+proxy

NAT Reflection mode for port forwards

The pure NAT mode uses a set of NAT rules to direct packets to the target of the port forward. It has better scalability, but it must be possible to accurately determine the interface and gateway IP used for communication with the target at the time the rules are loaded. There are no inherent limits to the number of ports other than the limits of the protocols. All protocols available for port forwards are supported.
The NAT + proxy mode uses a helper program to send packets to the target of the port forward. It is useful in setups where the interface and/or gateway IP used for communication with the target cannot be accurately determined at the time the rules are loaded. Reflection rules are not created for ranges larger than 500 ports and will not be used for more than 1000 ports total between all port forwards. Only TCP and UDP protocols are supported.

Individual rules may be configured to override this system setting on a per-rule basis.

[barniepost]

Beste Nike,

Thanks voor je reactie. Ik heb geprobeerd deze op nat+proxy te zetten, maar helaas geen succes. Zoals ik ook begrijp uit de documentatie (hier: https://docs.netgate.com/...-from-local-networks.html) moeten de 2 aangegeven opties ook aangezet worden:



Helaas heeft dat ook geen uitkomst geboden. ben daar ook mee aan het testen geweest.

[MasterL]

Wat is de exacte situatie nu? Hebben wij het hier over verbindingen die over de VPN lopen oven het "normale" internet of binnen jouw eigen lan?

Bijvoorbeeld:
Jij draait een webserver in jouw lan op 192.168.1.1
Jouw WAN IP is 1.1.1.1
Je gebruikt port translation (van 443 naar 1234)

Waarschijnlijk resolved subdomein.domein.nl op het internet naar 1.1.1.1
Nu heb je twee opties om dit vanuit jouw interne netwerk te laten werken:
1: Je gebruikt NAT reflection.
2: Je gebruikt spit-dns, in dit voorbeeld zou subdomein.domein.nl intern resolven naar 192.168.1.1.

Echter bij optie 2 kom je uberhaupt nooit bij je (PFsense) router uit dus deze kan ook niet de
port translation voor je doen (443>1234).

Wat wellicht een optie is om alles te laten resolven naar jou WAN IP en dan in PFsense NAT reflection te gebruiken. Op dit moment zou het intern ook moeten werken.
Betreft je andere vraag (over het VPN deel) dit is ook wel op te lossen met bijvoorbeeld Conditional DNS Forwarding:

https://www.draytek.com/support/knowledge-base/5264

[barniepost]

Dank voor je reactie MasterL.

De VPN is niet van toepassing. Ik probeer vanaf mijn lokale LAN de portforwarding van 433 naar 1234
op subdomein.domein.nl voor elkaar te krijgen. Vanaf buiten mijn LAN werkt het met de huidige
settings perfect.


Ik ben deze dagen aan het stoeien geweest met de settings. Echter krijg ik het nog niet voor elkaar.

Zodra ik de DNS resolver uit zet, kan ik via verschillende webbrowsers geen websites meer openen, bijv:
nu.nl. Een internet signaal houd ik wel, een al geladen muziek (qmusic.nl bijv.) kan ik blijven luisteren na
de muziek, zeker 10min getest.

Ik heb de NAT reflection getest en de DNS resolver uitgezet. Ik heb voor de optie
"NAT Reflection mode for port forwards" beide opties geprobeerd, Pure NAT en NAT+Proxy.
Daarnaast getest met beide opties of 1 optie tegelijkertijd aan met "Enable NAT Reflection for 1:1 NAT" en
"Enable automatic outbound NAT for Reflection"

[MasterL]

Oke maar wat als je een ping doet naar subdomein.domein.nl vanuit jouw eigen netwerk?