Unifi - extern-RDP naar PC in NoT VLAN

[Fietstasss]

Hi Tweakers,

Mijn thuisnetwerk is opgesplitst in meerdere VLANs;
VLAN 2 voor de meeste eind-clients
VLAN 20 voor IoT apparaten
VLAN 30 voor NoT apparaten en PC's welke geen internettoegang toegestaan wordt.

Nu heb ik een port forward opgezet om vanaf de buitenwereld naar een PC (m'n thuisservertje in dit geval) op VLAN 2 te RDP'en.
Dit werkt prima, ik kan via externe pc's (mits vanaf het toegestane externe IP, zoals bijvoorbeeld 't IP van m'n werk) prima naar deze PC RDP'en.

Nu wilde ik deze regel onlangs ombouwen zodat 'k naar een andere PC (Laten we 'm LAB-PC noemen) op VLAN30 kan RDP'en dus heb in de port-forward-rule het IP van m'n servertje gewijzigd naar 't IP van m'n LAB-PC maar krijg 't daar niet bij werkend.
Overigens kan ik intern wel vanaf VLAN2 pc's naar de LAB-PC (op VLAN30) rdp'en.

Om maar wat te proberen heb 'k een firewall regel toegevoegd onder WAN-IN die er als volgt uit ziet:



Uiteraard zou hier later nog een restrictie op 't Source-IP moeten worden gezet i.v.m. veiligheid.

Waarbij de groep 'RDP Ports' nu alleen poort 3389 bevat.

Helaas wil dit niet werken.
Wanneer ik 't IP adres in de port-forward-rule weer terug verander naar die van m'n server werkt die RDP (vanaf extern) wel weer.

Gebruikte appratuur/setup:
USG-3 > US-8-60W > US-8-150W > LAB-PC

Zie ik iets over het hoofd wat dit gedrag kan verklaren?

Alvast zeer bedankt!

[donny007]

Hoe ziet de firewall van VLAN 30 eruit? Als dat netwerk niet naar buiten mag praten wordt het retourverkeer mogelijk tegengehouden.

Check anders even met Wireshark op de "LAB-PC" of je pakketjes binnen ziet komen wanneer je verbinding probeert te maken.

Edit: In het screenshot is action "Drop" geselecteerd, dat gaat je ook niet helpen om verkeer door te laten...
Tevens zie ik een "Port Group" bij source geselecteerd staan, dat gaat zo niet werken: de source port wordt willekeurig gekozen door de client. Een rule op basis van destination port 3389/RDP is logischer.

Nu is mijn kennis van USG wat roestig, maar ik dacht dat hij automatisch regels in de WAN-IN firewall aanmaakt voor port forwarding rules.

[ Voor 51% gewijzigd door donny007 op 07-02-2022 11:48 ]

[laurens0619]

Het gaat denk ik mis omdat vlan30 niet bij internet mag.

Hebben je apparaten in vlan30 wel een gateway ingesteld naar je usg?
Als die er wel is, moet je denk ik iets creatiefs gaan doen in die block rule.

Of de RDP aanbieden via iets als een reverse proxy. Dan weet je computer helemaal niet dat de verbinding vanaf internet komt. Ik dacht dat je dit ook kon bereiken met src nat vs dst nat maar moet eerlijk bekennen dat mijn kennis daar wat beperkt is



Je wilt dus eigenlijk de bovenste situatie voor elkaar krijgen. Dan heb je het minst gedoe met een DROP rule op je internet verkeer

Nog makkelijker (en veiliger ) is je rdp achter een vpn aanbieden

Of je pakt iets van een rdp jump gateway achter constructie
https://github.com/cedrozor/myrtille

[ Voor 19% gewijzigd door laurens0619 op 07-02-2022 13:23 ]