Port Forwarding ohne Ergebnisse

Kolungate · December 27, 2024 at 1:25 PM

Hallo zusammen

ich muss mich gerade wieder mit dem Thema "Port-Forwardign" beschäftigen, da ich gerade nicht zuhause bin, aber auf meinen Server (Synology) muss - und na klar: es kommt immer irgendwas im Urlaub dazwischen, sodass ich mich vorher großartig mit dem Thema beschäftigt habe, aber nun drauf muss

External Content beta.ubiquiti-networks-forum.de

Content embedded from external sources will not be displayed without your consent.

Ich betreibe neuerdings eine UDM Pro SE. Unt auf die Fritzbox via https://WAN-IP:443 komme ich auf die Fritzbox. Damit müsste ich eigentlich auch rechnen dürfen, d.h. meine Port-Forwarding-Versuche waren positiv. ABER auf meine Synology komme ich einfach nicht drauf.

Ich habe wie folgt die Regel angelegt:

Aber wenn ich die WAN-IP angebe; https://WAN-IP:5001, komme ich NICHt auf die Synology bzw. deren Web-Frontend (bei "WAN-IP" steht natürlich die IP)

Mehr habe ich bei dem Port Forwarding der Fritzbox auch nicht gemacht und doch funktioniert der Aufruf.

Sowie ich weiß braucht man nur den 5000 und den 5001er für den Aufruf.

Ich habe nun seitenweise hier und auf englischen Seiten geprüft, was die Ursache sein könnte. Selbst das Aktivieren von UPnP bringt keine Besserung...

Ich habe dann versucht per VPN auf den Server zu kommen.

Aber das ist auch gescheitert - also nicht am VPN, sondern an der PortWeiterleitung, um vom VPN-Netwerk auf meinen Server zu kommen. Das VPN-Netztwerk ist die 192.168.2.1/24 und mein Server liegt unter der 192.168.152.1/24. WIe ich das umbiege habe ich auf die Schnell leide rnicht herausgefunden.

Kann hier in beiden Belangen weiterhelfen?

Die Firewall-Regel habe ich größtenteils so belassen, wie der Standard ist. und das 192.168.152.1/24 ist kein isoliertes Netzwerk

Danke iM Voraus

Peterfido · December 27, 2024 at 4:35 PM

Wer baut wie die Internetverbindung auf? Zuerst die Fritzbox und dahinter die UDM?

Aus dem Internet ins Heimnetz würde ich immer per VPN gehen.

DoPe · December 27, 2024 at 7:00 PM

und bei VPN auf der UDM kommt dann keine Portweiterleitung ins Spiel. Was Du da umbiehen willst ... keine Ahnung.

Ohne konkreten Netzwerkaufbau ist das hier nur stochern im Nebel.

Auf der Synology ist Du aber nicht die Firewall aktiviert und falsch konfiguriert? Dann funktioniert Zugriff mit und ohne VPN ggf. Desshalb nicht.

Kolungate · December 28, 2024 at 8:02 PM

Hallo zusammen

Nein ein "Stochern im Nebel" ist es nicht, denn der Netzwerkaufbau ist eigentlich eindeutig - ansonsten wäre die Frage unsinnig @Tellerrand. Wenn ich schreibe, dass ich die FB per PortForwarding erreichen kann, impliziert dies eindeutig (ohne dass es hier eine andere Möglichkeit gebe), dass die FB nicht VOR, sondern hinter der UDM-Pro sein muss.

Draytec --> UDM-Pro-SE --> Netzwerk 192.168.152.1/24 --> 192.168.152.253 FB (als IP-Client)

bzw.

Draytec --> UDM-Pro-SE --> Netzwerk 192.168.152.1/24 --> 192.168.152.2 Synology

Es geht um das Port-Forwarding an sich, weswegen ch auch einen Screenshot hochgeladen habe. Wollte ich das mit VPN machen, hätte ich NUR nach VPN gefragt. Aber es kann ja nicht sein, dass ich in einem Forum nach A frage (und wie mir erging es auch anderen, wenn ich die Suchfunktion mal bediene), die fortwährend "VPN" als Allheilmittel vorgesetzt bekommen, ohne dass man auf die Frage nach dem Port-Forwarding eingehen würde. Denn letzteres scheint bei der "Firewall" der UDM-Pro alles andere als eindeutig zu sein. Allem Anschein nach muss man noch etwas machen, dass es funktioniert - denn den Port 5001 habe ich nach einem Video zum Thema edititiert, dass ich in den Weiten des WWW gefunden habe, und das genügen sollte die Syynology zu erreichen. Pustekuchen.

**sebcodes** · _{Stand: 27.08.2024}

Wenn die FB funktioniert und du es genauso für die Syno gemacht hast, denke ich dass es ist genauso wie DoPe geschrieben hat. Und VPN hat er nicht als Heilmittel genannt, Peterfido ebenfalls nur als Hinweis, weiß nicht wie du hier auf "vorgesetzt" kommst.

Quote from DoPe

Auf der Synology ist Du aber nicht die Firewall aktiviert und falsch konfiguriert? Dann funktioniert Zugriff mit und ohne VPN ggf. Desshalb nicht.

Wie DoPe schon sagte, die Syno lässt standardmäßig mit ihrer Firewall nur Anfragen aus den eigenen Netz zu, wenn du jetzt über die Public IP gehst wird vermutlich die Syno Firewall was dagegen haben.

DoPe · December 28, 2024 at 9:54 PM

nee per default ist der Syno alles egal, da ist die Firewall aus. Aber ist ja möglich, dass die eingeschaltet und irgendwie geartet konfiguriert ist.

Denkbar ist auch, dass die DSM Ports verändert und nicht Standard sind. Also nicht 5000 für http und 5001 für https. Das wäre das mindeste was ich tun würde ... einen viel höheren Port und eigentlich auch nur den für https forwarden.

Bei der Synology ist der Standardgateway korrekt gesetzt (192.168.152.1)und die Synology hat Internet? Nicht das da noch eine alte IP als Gateway schlummert.

Die Weiterleitung sieht ansonsten korrekt aus. In der Firewall des Unifi wird automatisch eine Regel eingetragen. Da sollte man aufpassen, die nicht durch eigene Regeln auszuhebeln.

Prinzipiell total einfach. Aber man kann natürlich durch andere Dinge z.B. IPv6 und ddns auch Problem bekommen.

Kolungate · December 29, 2024 at 10:27 PM

hallo zusammen

also ich bin vor 7h von Hamburg nach Karlsruhe gefahren und sitze gerade zuhause und lad mir die Daten lokal runter, ehe ich wieder 7h von KA nach HH zur Frau fahre....
ich glaube die Syn hat ein Problem. In der Übersicht vom SiteManager sehe ich auch, dass die Syn in den letzten 24h nur eine Usage von 215kb hatte. Meine 2 QNAPs haben jeweile 120-140MB Usage.

Ansonsten danke ich für die Bestätigung, am Port-Forwarding nichts falsch gemacht zu haben.

Danke

External Content beta.ubiquiti-networks-forum.de

Content embedded from external sources will not be displayed without your consent.

Kolungate · December 29, 2024 at 10:32 PM

Quote from DoPe

und bei VPN auf der UDM kommt dann keine Portweiterleitung ins Spiel. Was Du da umbiehen willst ... keine Ahnung.
Ohne konkreten Netzwerkaufbau ist das hier nur stochern im Nebel.
Auf der Synology ist Du aber nicht die Firewall aktiviert und falsch konfiguriert? Dann funktioniert Zugriff mit und ohne VPN ggf. Desshalb nicht.

Hallo DoPe

Also ich bekomme vom VPn die IP-Range 192.168.2.1/24 zugewiesen - der Server ist aber in der 1492.168.152.1/24. WIe komme ich nun vim 2er Netz in das 152er Netz? Da müsste ich doch ein Forwarding machen oder? mmh kann es mir auch nicht erklären - denn eine Port forwarde ich ja so nicht. Wenn ich beim VPN-Server aber statt 192.168.2.1 die 192.168.152.1 eingebe, sagt mitr UI folgerichtig, dass diese Änderung mit einem bestehenden Netz kollidiert.

Bei der QNAP kenne ich das auch . En VPN dort macht die 10.8.0.1/24 auf, und man bekommt irgendeine IP aus diesem Netz zugewiesen. Das machts nichts, da der Server selbst ja die 10.8.0.1 ist, und ich somit auf ihn zugreifen kann (da das VPN von der QNAP erstellt wird) Bei UI ist aber die 192.168.152.1 eben die UI und nicht die Syn.

Wie greife ich also auf die Syn zu - via VPN?

DoPe · December 29, 2024 at 11:18 PM

Du greifst einfach mit der IP der Synology auf die Synology zu. Das wird von der UDM geroutet, genau wie das vor Ort wäre, wenn Du aus einem anderen VLAN auf die Synology zugreifst.

Wichtig ist dabei, das die UDM Firewall den Zugriff vom VPN Netz zur Synology und die Antwortpakete von Synology zu den VPN Clients zulässt. Default ist das so, wird aber gerne mal durch das isolieren von VLANs untereinander mittels aller RFC1918 IPs als Source und Destination geblockt.

Weiterhin muss natürlich der VPN Client eine Route für das Synology Netz oder wenigstens der IP der Synology besitzen, die auf den Tunnel zeigt. Bei Wireguard auf Unifi geht per Default erstmal alles in den Tunnel.

Und der Wireguard Client muss auch wirklich verbunden sein. Also gesendete und empfangene Daten anzeigen, sowie im Unifi bei den Clients auftauchen.

Kolungate · January 11, 2025 at 2:30 AM

Hallo DoPe

vielen Dank für deinen Eintrag

External Content beta.ubiquiti-networks-forum.de

Content embedded from external sources will not be displayed without your consent.

Ja VPN geht nun ... allerdings mit ein paar Problemen. Irgendwie kommt das wohl auf die Netze, in denen ich jeweils bin, wenn ich per VPN zugreifen will.

Wenn ich im Unternehmen bin, dann kann ich nicht ausdrucken, wenn ich via VPN zuhause zugreife. Das passiert immer nur bei einem Standort. Da alle gleich aufgebaut sind, liegt es nicht an unseren Firewalls o.ä. Es scheint etwas mit der VPN zu tun zu haben. zuhause habe ich für meine IP-Telefone ein extra Netz deklariert: 192.168.10.1/24 Bei der Arbeit greife ich von einem 192.16810.1/24-Netz via VPN auf den Server zu. Ich habe zwar dejklariert, dass das 10er Netz zuhause ein isoliertes sein soll - aber irgendwie scheint es, dass die Netze kollidieren - denn ich kann nicht auf einem Drucker bei der Arbeit - z.B. 192.168.10.129 zugreifen, wenn ich mit VPN verbunden bin - ohne VPN schon. Ich denke, dass ich dringend eine Abgrenzung bräuchte, sodass die Netze sich nicht überlagern (das 10er Netz zuhause und bei der Arbeit).

Muss man da noch andere Vorkehrungen treffen, als jene das 10er Netz zuhause als "isoliert" zu deffinieren?

Vielen Dank im Voraus

DoPe · January 12, 2025 at 3:41 PM

Wahrscheinlich hast Du bei allowed-Ips alles drin also 0.0.0.0/0

Ändere das in der Client konfig so, dass nur die IP Netze dort stehen, auf die Du zugreifen willst. Zusätzlich natürlich auch die VPN Tunnelnetz IPs.

Kolungate · January 13, 2025 at 9:23 PM

Hallo DoPe

Das klingt gut. In Wireguard kann ich das tatsächlich machen - aber auch in OpenVPN? ich weiß gerade nicht, woe ich wegen der Allowed-IPs rein schauen soll - wohl in die Firewall-Regeln? Und wie müsste das von statten gehen?

Ich habe das hier gefunden:

https://openvpn.net/community-reso…ccess-policies/

In meinem Fall müsste ich dann so etwa sind en client schreiben:

192.168.2.0 192.168.152.2 nur eben als Route oder so verpackt? mmh das müsste man doch auch als Route in den Security-Einstellungen der UDM SE einstellen können?

jkasten · January 14, 2025 at 7:58 AM

Die Regeln werden automatisch gesetzt, die Allowed IPs musst du in der Wireguard Config setzen.

DoPe · January 14, 2025 at 12:12 PM

Quote from Kolungate

192.168.2.0 192.168.152.2 nur eben als Route oder so verpackt? mmh das müsste man doch auch als Route in den Security-Einstellungen der UDM SE einstellen können?

Bitte nicht alles durcheinander werfen. Die Routen in der UDM sollten passen, da Du sonst schon im Netzwerk Probleme hättest. Die UDM kennt ja alle beteiligten Netze. Worum es hier geht ist quasi die Steuerung des Verhaltens des VPN Clients, also welches Netzwerk ist über VPN erreichbar und was ist lokal bzw. über den lokalen Internetzugang erreichbar. Also geht es im Prinzip um die Routen auf dem Client.

Was benutzt Du denn nun OpenVPN oder Wireguard? Die Anleitung da aus deinem Link wird Dir für OpenVPN nicht viel bringen - die bezieht sich auf einen OpenVPN Server den man frei per CLI konfigurieren kann, wäre also bei Unifi an der GUI vorbei und würde, wenn überhaupt, nicht lange funktionieren. Und dort geht es um Zugriffsberechtigungen auf bestimmte Netze.

OpenVPN hab ich schon lange nicht mehr benutzt. Da weiß ich gar nicht mehr genau wie das war mit den Routen auf den Clients. Bei Site2Site wurden die Routen halt im Router hinterlegt, da der Client ja keine eigene VPN aufbaut und am Router getrennt wird, welcher Traffic wo hin.

Bei Wireguard gibt es die Konfigurationsdatei für den Client. Genau dort findet man die allowed-ips, die Regeln praktisch welche Daten in den Tunnel sollen und welche nicht. Das legt quasi fest welche Routen auf dem Client beim Verbindungsaufbau erzeugt und genutzt werden. Wenn da 0.0.0.0/0 drin steht, dann wird alles in den Tunnel geblasen. Beim Windows Client gibts da auch unten diesen Not-Aus Haken ... wenn der drin ist, kann man bei aktivierter Verbindung nicht mehr mit dem eigenen lokalen Netz kommunizieren. Nimmt man ihn raus wird aus 0.0.0.0/0 die 0.0.0.0/1 und 128.0.0.0/1 , was eigentlich auch allen IPs entspricht. So geht aber das lokale Netz noch und alles andere geht in den Tunnel.

Hier im Beispiel ist das VPN Netzwerk in der UDM also das 192.168.4.0/24 er Netz. Die UDM hat die .1 am Ende, der Client die .2

Man kann in seinem eigenen LAN (im eigenen IP Netz) arbeiten, alles andere geht in den Tunnel.

Entfernt man jetzt 0.0.0.0/0 oder die 0.0.0.0/1 und 128.0.0.0/1 und würde z.B. 192.168.55.0/24 dort einfügen, dann geht nur der Traffic für 192.168.55.1 bis 254 plus der für die beiden Tunnelendpunkte in den Tunnel. Alles andere schickt der Client an sein Standardgateway, also den lokalen Router.

Participate now!