Moin zusammen,
Ich bin neu hier. Beruflich habe ich schon länger mit Unifi-Produkten zu tun. In meinem privaten Umfeld bin vor kurzem aus der AVM-Fritzbox-Welt zu Unifi-Produkten umgestiegen, und auch sehr zufrieden mit dem Wechsel und den Produkten. Bis auf ein Problem:
Also ich habe einen NGINX Proxy Manager (im späteren Verlauf dieses Posts als NPM bezeichnet) laufen, der auf bestimmte DynDNS-Domains lauscht, um sie dann von außen zum passenden Webservice weiterzuleiten. Das ist notwendig, weil mindestens einer der Webservices zwingend per HTTPS und mit gültigen Zertifikat angesprochen werden muss. Der NPM, der Client und auch der Webservice liegen im selben Netzwerk (VLAN). Eine Portweiterleitung, sowie die dazugehörigen Firewall-Rules sind ebenfalls angelegt. Der Zugriff funktioniert auch, wenn ich mich von extern mittels Mobilfunk oder dem externen Internet oder über einen VPN-Tunnel zum Wireguard-Server auf der UCG-Fiber per Aufruf der DynDNS-Domain verbinde. Dann kann ich ohne Proleme auf den Service zugreifen.
Befinde ich mich aber in meinen lokalen LAN (alle Teilnehmer: Client, NPM und Webservice sind im selben VLAN), kann ich, wenn ich die DynDNS-Domain aufrufe, den Webservice nicht erreichen. Wenn ich intern die DynDNS-Domain aurufe, dann bekomme ich einen Timeout. Ping auf die Domain, löst die externe IPv4-Adresse von meinem ISP auf (sollte ja auch so sein, also DNS scheint zu funktionieren). Nslookup meldet unter Windows einen Fehler mit "unknown server" und einer IPv6 Adresse. Unter Linux, mit der Einstellung das IPv6 deaktiviert ist, löst der nslookup per IPv4 die externe IP vom Provider auf. Als DNS-Server habe ich mittlerweile Pi-hole als auch den DNS-Server vom Unifi-Controller selbst, ausprobiert. Kein Unterschied. Im Logfile vom NPM sehe ich nur die Zugriffe die von Extern erfolgt sind. Es wirkt als würde der Zugriff vom LAN über die DynDNS-Domain auf den NPM geblockt. Ich habe aber keine Firewall-Rule entdeckt die das verursachen könnte. Alle Allow-Rules stehen über den Block-Rules und alle Teilnehmer sind im selben Netz. Es sollten also eigentlich gar keine Firewall-Rules angewendet werden. Der Befehl "tracert" auf die Dyn-DNS-Domain liefert die IP und den Hostname meines Providers zurück und auch nur einen Hop. Schaut meiner Meinung nach auch korrekt aus. Wenn ich aber ein "curl"-Befehl absetze um wie Webseite hinter der Domain anzurufen, gibts wieder nur einen Timeout.
Mein Internetzugang läuft über einen Kabelanschluss mit einem von Vodafone gestellten Kabel-Modem im Bidge-Modus. D.h mein UCG-Fiber sieht direkt die externe IPv4-Adresse von Vodafone. IPv6 wird von Vodafone nicht ausgegeben. Ach ja, der LXC Container in dem der NPM läuft ist eigentlich bis auf die Änderung der IP-Adresse und dem Zuweisen des VLANs eigentlich unverändert. Wie gesagt, von außerhalb funktioniert der Zugriff ja auch weiterhin. Nur aus dem Heimnetz selbst nicht.
Ich würde mich freuen, wenn ihr vielleicht ein paar Ideen oder Vorschläge für mich habt, in welche Richtung ich noch mal schauen kann.
Vielen Dank.
