edgerouter-x gaatje in FW maken + port forward

[Cuball]

Hallo,

Ik wil graag m'n installatie van HA benaderen van buitenaf (tijdelijk). Hiervoor wil ik een gaatje in m'n firewall maken en port fowarding activeren voor poort 8123.

Ik heb volgende in m'n config, maar het lukt me niet om erdoor te geraken.

op eth0 krijg ik een publiek IP van m'n ISP (mac passthrough op de ISP gateway/router)

Ontbreek ik nog iets ?

code:

name WAN_IN {
        default-action drop
        description "WAN to internal"
        rule 10 {
            action accept
            description "Allow established/related"
            state {
                established enable
                related enable
            }
        }
        rule 20 {
            action accept
            description "allow ha"
            destination {
                port 8123
            }
            log disable
            protocol tcp_udp
        }
        rule 30 {
            action drop
            description "Drop invalid state"
            log disable
            state {
                invalid enable
            }
        }
    }


port-forward {
    auto-firewall disable
    hairpin-nat disable
    lan-interface switch0.7
    rule 1 {
        description "ha "
        forward-to {
            address 192.168.7.6
            port 8123
        }
        original-port 8123
        protocol tcp_udp
    }
    wan-interface eth0
}

[Piggelmee]

Je moet een Destination NAT-rule aanmaken, zie hieronder. De port-forward rule die je hebt aangemaakt kan weg. Bedenk dat Edgerouters anders werken dan de meeste andere routers: eerst komt de NAT, daarna de firewall. Dat betekent dat je je firewall-rule ook moet aanpassen: bij "destination" moet je het translated adres toevoegen, in jouw geval dus 192.168.7.6.

In de Destination NAT-rule moet je nog even je WAN-IP-adres invullen.

[Cuball]

Heb ik gedaan, nog steeds niets

[Piebas]

Welke provider is dit?
Weet je zeker dat er in het modem van de provider geen firewall zit/aanstaat?

[Cuball]

M'n openvpn tunnel werkt wel.. Dus normaal zou alles open moeten zijn vanaf m'n isp.. Is orange en modem in mac passthrough

[Limbeckx]

waarom niet cloudflare zero trust? Hoe heb je HA nu geinstalleerd? Docker of HAOS?

Je hebt wel een domainname nodig...

[ Voor 19% gewijzigd door Limbeckx op 15-03-2023 12:55 ]

[Saeverix]

@Cuball gebruik deze site om te testen of je poort open staat. Als de poort wel open staat dan weet je dat je probleem meer intern zit, of zelf in de configuratie van HA.

https://www.grc.com/shieldsup

[ Voor 45% gewijzigd door Saeverix op 15-03-2023 12:59 ]

[Cuball]

Limbeckx schreef op woensdag 15 maart 2023 @ 12:54:
waarom niet cloudflare zero trust? Hoe heb je HA nu geinstalleerd? Docker of HAOS?

Je hebt wel een domainname nodig...

HAOS in een Hyper-V

[Limbeckx]

Cuball schreef op woensdag 15 maart 2023 @ 12:58:
[...]


HAOS in een Hyper-V

Zou zoiets niet voor je werken. Ik heb de mijne in TrueNAS scale (Docker) en gebruik CloudFlare en Traefik om het naar buiten open te zetten...

[Cuball]

Saeverix schreef op woensdag 15 maart 2023 @ 12:57:
@Cuball gebruik deze site om te testen of je poort open staat. Als de poort wel open staat dan weet je dat je probleem meer intern zit, of zelf in de configuratie van HA.

https://www.grc.com/shieldsup

[Afbeelding]

8123: Open

[Piggelmee]

Als je de Destination-NAT en Firewall rules correct hebt aangemaakt, zou het moeten werken.

Verkeer komt binnen op <wan-ip>:8123. De NAT-rule vertaalt dit naar 192.168.7.6:8123. Vervolgens komt de firewall en open je poort 8123 voor adres 192.168.7.6. Heb je dit laatste adres wel toegevoegd aan de firewall rule?

Als het dan nog niet werkt dan ligt het niet aan de Edgerouter.

[Cuball]

Limbeckx schreef op woensdag 15 maart 2023 @ 13:00:
[...]


Zou zoiets niet voor je werken. Ik heb de mijne in TrueNAS scale (Docker) en gebruik CloudFlare en Traefik om het naar buiten open te zetten...

Ik heb een domein naam, en normaal vernieuw ik m'n certificaat met LetsEncrypt, maar sinds ik naar de Edgerouter ben overgestapt (en netwerk opnieuw heb ingedeeld) krijg ik het niet meer aan de praat

[Cuball]

Piggelmee schreef op woensdag 15 maart 2023 @ 13:03:
Als je de Destination-NAT en Firewall rules correct hebt aangemaakt, zou het moeten werken.

Verkeer komt binnen op <wan-ip>:8123. De NAT-rule vertaalt dit naar 192.168.7.6:8123. Vervolgens komt de firewall en open je poort 8123 voor adres 192.168.7.6. Heb je dit laatste adres wel toegevoegd aan de firewall rule?

Als het dan nog niet werkt dan ligt het niet aan de Edgerouter.

De HA installatie is wel in een afzonderlijk VLAN (IOT), weet niet of dit er mee te maken heeft.
Hoe debug ik zoiets best ?

[Piggelmee]

Cuball schreef op woensdag 15 maart 2023 @ 13:05:
[...]


De HA installatie is wel in een afzonderlijk VLAN (IOT), weet niet of dit er mee te maken heeft.
Hoe debug ik zoiets best ?

Ah, dan gaat het inderdaad op de manier zoals ik beschreef niet werken. Dan moet je eerst een VLAN configureren aan de LAN-kant en zorgen dat 192.168.7.6 in dat VLAN draait.

Een goede uitleg van VLAN's in de Edgerouter vind je hier:
https://help.ui.com/hc/en...eRouter-VLAN-Aware-Switch

[Saeverix]

Cuball schreef op woensdag 15 maart 2023 @ 13:05:
[...]


De HA installatie is wel in een afzonderlijk VLAN (IOT), weet niet of dit er mee te maken heeft.
Hoe debug ik zoiets best ?

Probeer in de EdgeRouter CLI eens te pingen naar 192.168.7.6. Op die manier weer je of EdgeRouter er uberhaubt bij kan.

[Cuball]

Piggelmee schreef op woensdag 15 maart 2023 @ 13:10:
[...]


Ah, dan gaat het inderdaad op de manier zoals ik beschreef niet werken. Dan moet je eerst een VLAN configureren aan de LAN-kant en zorgen dat 192.168.7.6 in dat VLAN draait.

Een goede uitleg van VLAN's in de Edgerouter vind je hier:
https://help.ui.com/hc/en...eRouter-VLAN-Aware-Switch

Dat is allemaal gebeurd, ook m'n Hyper-V heeft een correct VLAN aan de interface gekoppeld.
Al m'n IOT toestellen op IOT Wifi kunnen ook effectief aan m'n HA installatie (iot wired).

Ook vanaf m'n lokaal netwerk (home) kan ik aan IOT vlan netwerk.

Is enkel van buiten af dat ik er niet in slaag..

[Cuball]

Saeverix schreef op woensdag 15 maart 2023 @ 13:10:
[...]

Probeer in de EdgeRouter CLI eens te pingen naar 192.168.7.6. Op die manier weer je of EdgeRouter er uberhaubt bij kan.

Hmmm dit werkt niet...

vanuit m'n home (vlan) kan ik wel naar iot (vlan), maar vanuit de edgerouter zelf dus niet..

[Saeverix]

Cuball schreef op woensdag 15 maart 2023 @ 13:20:
[...]


Hmmm dit werkt niet...

vanuit m'n home (vlan) kan ik wel naar iot (vlan), maar vanuit de edgerouter zelf dus niet..

Dan moet je het denk ik in je VLAN firewall rules zoeken (als je die hebt).

Daarnaast vraag ik me ook af waarom je aparte VLANs hebt. Je IOT devices kunnen zoals ik begrijp gewoon bij je Home VLAN en Internet, dus daar win je geen veiligheid. Het enige wat je nu krijgt is onnodige complexiteit.
Een apart IOT VLAN heeft pas zin als je de communicatie met je gewone VLAN en/of Internet blokkeert.

[Cuball]

[quote]Saeverix schreef op woensdag 15 maart 2023 @ 13:26:
[...]

Dan moet je het denk ik in je VLAN firewall rules zoeken (als je die hebt).

Daarnaast vraag ik me ook af waarom je aparte VLANs hebt. Je IOT devices kunnen zoals ik begrijp gewoon bij je Home VLAN en Internet, dus daar win je geen veiligheid.

Nee, enkel de omgekeerde weg (om te beheren). Home -> IOT.
Communicatie van IOT naar Home kan enkel bij Established/Related communicatie, dus gestart vanuit Home (zo afgedwongen in m'n FW)

[Saeverix]

Cuball schreef op woensdag 15 maart 2023 @ 13:28:
[...]
Nee, enkel de omgekeerde weg (om te beheren). Home -> IOT.
Cmmunicatie van IOT naar Home kan enkel bij Established/Related communicatie, dus gestart vanuit Home (zo afgedwongen in m'n FW)

Zet die firewall rules tijdelijk eens uit, puur om te kijken of je verbinding dan wel werkt.

Daarnaast: Hoe test je of de verbinding wel/niet werkt? Als je vanuit je browser je externe IP adres aanroept, dan heb je waarschijnlijk Hairpin NAT nodig om dat werkend te krijgen (https://help.ui.com/hc/en...34-EdgeRouter-Hairpin-NAT). Probeer het eens vanaf je telefoon (met WiFi uitgeschakeld), kom je er dan wel bij?

[Cuball]

Saeverix schreef op woensdag 15 maart 2023 @ 13:35:
[...]

Zet die firewall rules tijdelijk eens uit, puur om te kijken of je verbinding dan wel werkt.

Net even terug gekeken (was het vergeten), ik heb een Firewall rule dat geen local traffic toe laat naar m'n ER vanaf IOT Vlan, dus dat was normaal dat ik die niet kon pingen (ping kwam niet terug binnen).

Daarnaast: Hoe test je of de verbinding wel/niet werkt? Als je vanuit je browser je externe IP adres aanroept, dan heb je waarschijnlijk Hairpin NAT nodig om dat werkend te krijgen (https://help.ui.com/hc/en...34-EdgeRouter-Hairpin-NAT). Probeer het eens vanaf je telefoon (met WiFi uitgeschakeld), kom je er dan wel bij?

Ik bekijk die Hairpin even.. Waarom heb ik Hairpin nodig via browser en niet via m'n telefoon ?

[Saeverix]

Cuball schreef op woensdag 15 maart 2023 @ 13:50:
[...]


Net even terug gekeken (was het vergeten), ik heb een Firewall rule dat geen local traffic toe laat naar m'n ER vanaf IOT Vlan, dus dat was normaal dat ik die niet kon pingen (ping kwam niet terug binnen).

Zit daar je probleem niet? Zoals ik zei, zet de rules een tijdelijk uit en probeer het nog eens (vanaf je telefoon op 4G).

Cuball schreef op woensdag 15 maart 2023 @ 13:50:
[...]


Ik bekijk die Hairpin even.. Waarom heb ik Hairpin nodig via browser en niet via m'n telefoon ?

Omdat je normaal gesproken met NAT niet vanuit je lokale IP Range met je externe IP kan verbinden. Als je op je telefoon je WiFi uitzet dan ben je daarwerkelijk een externe bezoeker, en geen interne gebruiker.

Ik denk dat hier wel aardig uitgelegd wordt wat het is, en waarom je het nodig hebt. https://www.quora.com/Wha...it-on-his-network?share=1

Hairpinning or NAT Reflection is used wherever the systems behind a firewall (or a NAT device) want to access another system in the same subnet using it’s public IP address instead of directly accessing through its private IP address belonging to the same subnet.

[ Voor 4% gewijzigd door Saeverix op 15-03-2023 13:57 ]

[Cuball]

Saeverix schreef op woensdag 15 maart 2023 @ 13:56:
[...]

Zit daar je probleem niet? Zoals ik zei, zet de rules een tijdelijk uit en probeer het nog eens (vanaf je telefoon op 4G).

Via 4G werkt het inderdaad wel..

[...]
Ik denk dat hier wel aardig uitgelegd wordt wat het is, en waarom je het nodig hebt. https://www.quora.com/Wha...it-on-his-network?share=1

[...]

Ok, ik lees het

[Frogmen]

Zoek ook even goed op de HA instellingen misschien moet je daar nog iets instellen. Ik weet reverse proxy werkt ook niet zomaar met HA (staat nog op een to do lijstje).

[Cuball]

Ik begrijp die Hairpin / DNAT en SNAT instellingen niet zo goed.. Lijkt niet te werken vanaf m'n thuis netwerk.

Dit heb ik nu: (94.x.x.x = WAN-IP)

code:

   nat {
        rule 1 {
            description ha
            destination {
                address 94.x.x.x
                port 443
            }
            inbound-interface eth0
            inside-address {
                address 192.168.7.6
                port 8123
            }
            log disable
            protocol tcp_udp
            type destination
        }
        rule 2 {
            description hairpinha
            destination {
                address 94.x.x.x
                port 443
            }
            inbound-interface switch0.7
            inside-address {
                address 192.168.7.6
                port 8123
            }
            log disable
            protocol tcp_udp
            type destination
        }
        rule 5010 {
            description "masquerade for WAN"
            outbound-interface eth0
            type masquerade
        }
        rule 5011 {
            description hairpin
            destination {
                address 192.168.7.6
                port 8123
            }
            log disable
            outbound-interface switch0.7
            protocol tcp_udp
            source {
                address 192.168.7.0/24
            }
            type masquerade
        }
    }

[Saeverix]

Kun je intern niet gewoon HA op het lokale IP blijven bezoeken? Vanaf een andere lokatie werkt het namelijk (zoals je met je mobiel hebt getest) op dit moment prima.

Ik zie ook dat je poort 443 open zet, maar ik heb nergens gelezen dat je een Reverse Proxy met Lets Encrypt gebruikt.

Kijk eens naar https://nginxproxymanager.com/
Daarmee kun je meerdere services (naast alleen HA) openzetten naar de buitenwereld. Als je dan een eigen domein koopt (bijvoorbeeld cuball.nl) dan kun je alle services aan een subdomein hangen. Voor HA krijg je dan bijvoorbeeld https://ha.cuball.nl. Alle externe requests komen dan binnen op Nginx Proxy Manager, en die zet het verkeer op basis van de subdomein door naar de juiste service.

Op die manier kun je onbeperkt veel services extern open zetten op poort 443.

[Cuball]

Saeverix schreef op woensdag 15 maart 2023 @ 18:20:
Kun je intern niet gewoon HA op het lokale IP blijven bezoeken? Vanaf een andere lokatie werkt het namelijk (zoals je met je mobiel hebt getest) op dit moment prima.

Ik weet niet meer juist hoe, maar om één of andere instelling antwoord m'n HA installatie enkel op port 8123 via https. Gebruik ik http werkt het niet meer.
Maar intern via het IP kan ik de companion app niet gebruiken omdat hij dan moeilijk doet over een ongeldig certificaat. Enkel via m'n correcte domein naam is het certificaat geldig (eg. home.cuball.nl)

Ik zie ook dat je poort 443 open zet, maar ik heb nergens gelezen dat je een Reverse Proxy met Lets Encrypt gebruikt.

Kijk eens naar https://nginxproxymanager.com/
Daarmee kun je meerdere services (naast alleen HA) openzetten naar de buitenwereld. Als je dan een eigen domein koopt (bijvoorbeeld cuball.nl) dan kun je alle services aan een subdomein hangen. Voor HA krijg je dan bijvoorbeeld https://ha.cuball.nl. Alle externe requests komen dan binnen op Nginx Proxy Manager, en die zet het verkeer op basis van de subdomein door naar de juiste service.

Op die manier kun je onbeperkt veel services extern open zetten op poort 443.

Een reverse proxy is misschien niet zo'n slecht idee, en nginxproxymanager kon ik nog niet, lijkt net iets gemakkelijker dan nginx / httpd zelf te configureren...

Ik installeer het eens als docker container.

Als ik dan deze nginx laat instaan voor LetEncrypt certificaten etc, dan kan ik deze plugin uit m'n HA installatie halen.

[Saeverix]

Cuball schreef op woensdag 15 maart 2023 @ 18:57:
[...]

Ik weet niet meer juist hoe, maar om één of andere instelling antwoord m'n HA installatie enkel op port 8123 via https. Gebruik ik http werkt het niet meer.
Maar intern via het IP kan ik de companion app niet gebruiken omdat hij dan moeilijk doet over een ongeldig certificaat. Enkel via m'n correcte domein naam is het certificaat geldig (eg. home.cuball.nl)

[...]


Een reverse proxy is misschien niet zo'n slecht idee, en nginxproxymanager kon ik nog niet, lijkt net iets gemakkelijker dan nginx / httpd zelf te configureren...

Traefik en Nginx Proxy Manager zijn de twee bekendste Reverse Proxies. Alleen is Traefik iets complexer qua setup, vandaar mijn advies voor Nginx Proxy Manager.

Cuball schreef op woensdag 15 maart 2023 @ 18:57:
Ik installeer het eens als docker container.

Als ik dan deze nginx laat instaan voor LetEncrypt certificaten etc, dan kan ik deze plugin uit m'n HA installatie halen.

Dat klopt, je moet echter nog wel even kijken of je Hairpin NAT (ook wel bekend als NAT Loopback) op je Edgerouter werkend krijgt. Anders zul je alsnog vanuit huis niet bij je services kunnen. Dus ik zou daar eens even om gaan zoeken, er is vast iemand die het op dezelfde router voor elkaar heeft gekregen.