Kein Zugriff auf virtuelle Clients im Internet

Es gibt 64 Antworten in diesem Thema, welches 10.433 mal aufgerufen wurde. Der letzte Beitrag () ist von Uwe.

    Hallo,


    ich hab das Problem, dass ich aus meinem Heimnetzwerk die virtuellen Clients (Citrix Server) meiner Firma nicht erreichen kann. Wenn ich z. B. über Mobilfunk gehe, und damit die UDM umgehe, klappt der Zugriff einwandfrei. Fehlermeldung ist nur ein nichtssagenden „nicht erreichbar“

    Threat Management hatte ich zum Test mal komplett aus. Firewall Regeln hab ich nichts manuell angelegt. Fehler- oder Protokoll-Meldungen auf der UDM gibt es nichts.


    Logs direkt auf Linux Ebene hab ich noch nichts geprüft. Da könnte ich etwas Hilfe gebrauchen, wie man ran kommt und was man am besten prüfen sollte.


    Und natürlich ist jede Hilfe willkommen, die das eigentliche Problem löst.


    Danke

    Vermutlich wirst du noch gewisse Ports in der Firewall freigeben müssen damit die Verbindung aufgebaut werden kann.


    Tech Paper: Communication Ports Used by Citrix Technologies


    Welche jetzt genau für dich zutreffend sind kann ich schwer beurteilen in Ermangelung dessen dass wir kein Citrix einsetzen.

    Komischerweise hat das aber sogar schon mal funktioniert.


    Mit den Ports hast du sicher Recht, was ich vermisse ist ein Protokoll auf UDM Seite, wo ich geblockte Verbindungen sehen kann.

    Das muss es doch geben?


    PS: danke fürs Verschieben, war mir nicht sicher, wo es passt.

    Interessanter Punkt. IPv6 hab ich bei mir vor einiger Zeit tatsächlich mal abgedreht, da es deutlich mehr Probleme verursacht, als Nutzen gebracht hat. (Ja, klar, nur eine Frage der richtigen Konfiguration, aber die hab ich in vertretbarer Zeit nicht hinbekommen.)


    Ich bin mir zwar sicher, dass die Citrix Server auch IPv4 sprechen, aber ich prüfe das.

    In der neuen UI kannst du im Bereich "Threat Managment" auf den Reiter Traffic Log wechseln. Ich kenne nur die Übersicht nicht weil die UDM-Pro bei uns nur als Controller läuft.


    Alternativ würde ich mit Wireshark den Traffic sniffen dann solltest du sehen was da passiert und wo.

    Du musst natürlich das logging der Firewall aktiv haben, dann kannst du mit SSH auf die UDM zugreifen und dir die logs abholen


    tail -F /var/log/messages

    Gruß

    defcon

    Danke 1
    Zitat von Uwe

    ich hab das Problem, dass ich aus meinem Heimnetzwerk die virtuellen Clients (Citrix Server) meiner Firma nicht erreichen kann. Wenn ich z. B. über Mobilfunk gehe, und damit die UDM umgehe, klappt der Zugriff einwandfrei.

    ich gehe einmal davon aus, dass Du Deine VM-Clients per Client-VPN versuchst aus dem heimischen Netzwerk zu erreichen. Wie oben schon angedeutet, mögen jedoch halbwegs ordentliche Firewall-Router einen Tunnelaufbau aus dem lokalen Netzwerk nicht, wenn dieser nicht von diesen selbst initiert wird. Du müsstest jetz nun wissen, welche Ports Dein VPN verwendet und diese in der Firewall für ausgehenden Traffic öffnen. Ob dies bei der UDM überhaupt geht , weiß ich nicht, denn oftmals werden diese Dinge nicht über Firwallregeln, sondern z.B. über Applikationsfilter realisiert (hat die UDM so etwas?). Da wirst du sicher mal etwas ins Datail einsteigen müssen oder Du lässt gleich Deine UDM ein site2site VPN zu deiner Firma aufbauen - dann soltte es gehen.

    Zitat von bic

    ich gehe einmal davon aus, dass Du Deine VM-Clients per Client-VPN versuchst aus dem heimischen Netzwerk zu erreichen. Wie oben schon angedeutet, mögen jedoch halbwegs ordentliche Firewall-Router einen Tunnelaufbau aus dem lokalen Netzwerk nicht, wenn dieser nicht von diesen selbst initiert wird. Du müsstest jetz nun wissen, welche Ports Dein VPN verwendet und diese in der Firewall für ausgehenden Traffic öffnen. Ob dies bei der UDM überhaupt geht , weiß ich nicht, denn oftmals werden diese Dinge nicht über Firwallregeln, sondern z.B. über Applikationsfilter realisiert (hat die UDM so etwas?). Da wirst du sicher mal etwas ins Datail einsteigen müssen oder Du lässt gleich Deine UDM ein site2site VPN zu deiner Firma aufbauen - dann soltte es gehen.

    Die Unifi Firewalls haben keinen Applikationsfilter. Ist nur nen etwas besserer Portfilter den die verwenden.

    Zitat von bic

    ich gehe einmal davon aus,

    nicht ganz. Die VMs sind ohne VPN im InTERnet erreichbar. Der Zugang zum Firmennetz läuft natürlich über (eine Art) VPN, aber die VMs haben den Sinn auch von "fremden" PC zugreifbar zu sein, daher ohne VPN.

    Zitat von Uwe

    über (eine Art) VPN

    Eine Art von VPN? Was meinste denn damit, ein VPN bleibt ein VPN, egal nach welchem Verfahren und mit welchem Protokollen es aufgebaut wird.

    Zitat von Uwe

    Die VMs sind ohne VPN im InTERnet erreichbar

    Gut, dass man das auch einmal erfährt :smiling_face: Wenn Deine "VM"s jedoch öffentlich im Internet stehen, Du diese über den Umweg Mobilfunk erreichst und Du mittels Deiner Heimnetz-UDM an sonst ins Internet kommst (wovon ich einmal ausgehe, sonst würdest Du hier ja nicht schreiben), dann hast Du wahrscheinlich ein Problem mit der Namensauflösung - suche mal in dieser Richtung.

    Zitat von bic

    Eine Art von VPN?

    ZScaler

    Zitat von bic

    Gut, dass man das auch einmal erfährt

    sorry, ich hab in dem Zusammenhang nie von VPN gesprochen. Hab aber auch nicht ausdrücklich erwähnt, wo die VMs stehen, da hast du schon Recht. Was aus eigener Sicht selbstverständlich ist, vergisst man halt schnell zu erwähnen.

    Zitat von bic

    ein Problem mit der Namensauflösung

    Ach nee, nicht schon wieder DNS. Mein „Lieblingsthema“.

    Ich befürchte du liegst richtig, mein DNS zeigt leider immer wieder mal mir noch immer unerklärliches Verhalten („eigentlich“ funktioniert alles, aber ne einzelne Adresse ist dann mal einfach nicht auflösbar)

    Gibts hier Spezialisten für DNS unter Windows Server (2016)?


    Trotzdem noch mal ne grundsätzliche Frage zur UDM Firewall: würde ich im Systemlog über die Weboberfläche blockierten Traffic als Meldung sehen?

    Oder nur in den Logfiles über SSH?

    Oder gar nicht?

    Zitat von Uwe

    Trotzdem noch mal ne grundsätzliche Frage zur UDM Firewall: würde ich im Systemlog über die Weboberfläche blockierten Traffic als Meldung sehen?

    Oder nur in den Logfiles über SSH?

    Oder gar nicht?

    Dazu musst du die Logging Funktion aktivieren dann kannst du das im Controller sehen oder alternativ über SSH.


    Zitat von Uwe

    Gibts hier Spezialisten für DNS unter Windows Server (2016)?

    Das kommt drauf an was dein Problem bei dem Server ist. Meistens entstehen die DNS Fehler wenn der DNS entweder nicht sauber konfiguriert ist oder aber noch irgendwelche alten Einträge mit sich rumschleppt.

    Zitat von KJL

    Dazu musst du die Logging Funktion aktivieren dann kannst du das im Controller sehen

    Ok, aktiviert ist da eigentlich alles. Mal eine Blockierung provozieren und prüfen, ob ne Meldung kommt.

    Zitat von KJL

    kommt drauf an was dein Problem bei dem Server is

    Das wüsste ich auch gern. :grinning_face_with_smiling_eyes:

    Eigentlich ist DNS ja nicht so kompliziert, aber wie gesagt, da hakt es immer mal wieder. Vermutlich würde mir eine Anleitung zur Fehlersuche am meisten helfen. Oder ein Musterbeispiel für ne gute Konfiguration.

    Zitat von Uwe

    Eigentlich ist DNS ja nicht so kompliziert, aber wie gesagt, da hakt es immer mal wieder. Vermutlich würde mir eine Anleitung zur Fehlersuche am meisten helfen. Oder ein Musterbeispiel für ne gute Konfiguration.

    Ohne genau zu wissen was konfiguriert wurde und wie ist da eine Beurteilung immer schwer und ne Fehlersuche noch schwerer :grinning_squinting_face:


    Was ich als Hilfe meist zuerst nehme sind die Microsoft Docs: https://docs.microsoft.com/de-…er/networking/dns/dns-top


    Ist zwar ein älterer Beitrag aber so viel ändert sich an solch Grundlegenden Sachen wie DNS bei Microsoft nicht:


    DNS Server einrichten
    Durch Fehler im DNS Server werden ein Großteil aller Netzwerkprobleme verursacht. Umso wichtiger ist die korrekte Installation und Konfiguration dieser Serverr
    www.tech-faq.net


    Es gibt halt auch viele mögliche Ursachen für DNS Fehler.


    Z.b. er wurde migriert von 20xx auf 2016 da können schon etliche veraltete Einträge mit übernommen worden sein.

    Alternativ mal Eventlogs checken ob da was steht.


    In den Microsoft Docs findest du aber auch zahlreiche Hinweise zur Fehlersuche/behebung.

    Zitat von KJL

    In den Microsoft Docs findest du aber auch zahlreiche Hinweise zur Fehlersuche/behebun

    Da wirst du aber ganz leicht wuschig im Kopf!


    An sonst ist es aber gerade Windows Server recht einfach, DNS ordentlich aufzusetzen, wenn man das Teil als Domain-Server nutzt und diesem die Rollen DHCP und DNS mit überträgt (übrigens mindesten seit Server 2012 bis 2022 nahezu unverändert).


    Wenn man dann in den DHCP-Bereichsoptionen den Domain- auch als DNS-Server einträgt:



    dann erhalten alle Cleints im LAN diesen Server als abzufragenden DNS-Server vorgegeben (falls sie nicht statisch anders konfiguriert sind) und der Namensauflösung ins Internet steht erst einmal nichts im Wege, soweit auch der DNS-Dienst vom Server passend konfiguriert ist.


    Mit der lokalen Namensauflösung sieht es jedoch dann etwas anders aus. Zu diesem Zweck legt Windows bei der Installation automatisch eine DNS-Zone an, in welcher schon erst einmal alle Domain-Mitglieder landen, Clients, welche nicht Domain-Mitglieder sind, aber deren Namen aufgelöst werden soll, lassen sich statsich hinzufügen. Hier einmal eine Vorwärtssuche:



    und hier die Rückwärtsuche:



    So funktioniert dann die Namensauflösung im LAN.


    Anfragen aus dem LAN, welcher der Server dann lokal nicht auflösen kann (und welche er auch nicht aus früheren Anfragen im Cache hat) sendet er dann an über das Standardgateway an DNS-Server im Internet weiter. Die Adressen dieser Server sind erst einmal als sogenannte "Stammhinweise" von Windoes vorgegeben:



    allerdings beliebig konfigurierbar.


    Das war es dann auch schon, was man bei einem kleinen Netz erledigen muss, damit DNS im LAN ordentlich funktioniert - das AD eines Windows Servers hat eben auch seine Vorteile :smiling_face: Tunlichst vermeiden sollte man jedoch, das z.B. der eigene Router in der Namensauflösung rumpfuscht, es sei denn, man kann diesem als DNS-Proxy/Cache konfigurieren. Nach oben sind natürlich kaum Grenzen gesetzt (der DNS-Dienst/Server kann z.B. auch Zonen andere Netze verwalten) aber für ein einfaches Home-LAN ist es so vollkommen ausreichend.


    Die gezeigten Beispiel stammen übrignes aus meinem eigenen Home-LAN (Server 2019), wobei ich dann doch noch ein Stück weitergeganen bin.und den Server von der Namensauflösung im Internet entbunden habe. Dies übernimmt ein Pi Hole, bei welchen der Server per sogenannter Weiterleitung anfragt:



    (warum dieser dessen Namen nicht auflöst - darum muss ich mich noch einmal kümmern). Der Pi Hole bekommt dann auch nur den Windows-Server und sich selbst zu sehen:



    und dessen Antworten gestalten sich dann so:



    Wie man sieht verwendet er auch zwei lokale Server zum auflösen, einmal den des Home-Netzes und den eines entfernten, per site2site VPN verbundenen Netzes. Damit dies aber funktioniert, musste ich den Firewall-VPN-Router (Sophos XG) mit einbinden, dieser arbeitet quasi als Proxy und deshalb taucht er auch unter den Weiterletungseinträgen.im Windows DNS Server auf :smiling_face:


    Aber soweit muss man es gar nicht treiben, Für ein einfache LAN reicht tatsächlich die (halb)automatsiche Einrichtung eines ADs nebst DHCP- und DNS Dienst aus. Hängt man -wie gezeigt- dann noch einen Pi Hole davor, hat man ein gue funktionierdes DNS im eigenen Netz, welches dann auch noch schön filtert.

    Zitat von KJL

    ist da eine Beurteilung immer schwer und ne Fehlersuche noch schwerer :grinning_squinting_face:

    Jo, darum extra Dank für Deine Mühe. Den einen Link kenne ich, den anderen glaube auch, aber muss ich mir noch mal genau anschauen. Gefühlt hab ich dazu schon alles gelesen, was es so gibt....


    Und nein, nicht migriert, frisch aufgesetzt. Ein DC, DHCP und DNS in einem.


    Schönes Beispiel: ich kann z. B. "archive.org" nicht auflösen.

    Zitat von Uwe

    Und nein, nicht migriert, frisch aufgesetzt. Ein DC, DHCP und DNS in einem.

    Ufff dann bete zu Gott dass du niemals einen Support Case bei Microsoft aufmachen musst.


    So bald die hören dass du auf nem DC noch andere Rollen aktiviert hast beenden die das Gespräch mit der Aussage : " Deaktivieren Sie die anderen Rollen und schauen ob dann immer noch Probleme bestehen"


    Ich weiß gerade kleine Firmen neigen dazu aus Kostengründen alles auf eine VM zu knallen aber das rächt sich in der Regel irgendwann.