Eigene Webserver über VPN nicht erreichbar bei Einsatz von Filtern

Hallo,

das vorliegende Unifi-Netz ist in verschiedene Subnetze unterteilt.

Standardmäßig ist die Kommunikation zwischen den Subnetzen möglich. Mit Firewall-Regeln wurde die Kommunikation zwischen den Subnetzen bis auf wenige Ausnahmen unterbunden.

Wenn ein Client via WireGuard VPN angemeldet ist, kann dieser nicht über die öffentliche DNS Adresse des Webservers auf diesen zugreifen. Der Domain name kann nicht aufgelöst werden. Ein Zugriff ist nur möglich, wenn sich der Client entweder im gleichen Subnetz befindet, wie der Webserver selbt läuft, oder in einem der Subnetzen, die in den Ausnahmen definiert sind.

Nun stellt sich die Frage, warum kann kein Zugriff auf eigene Webservices durchgeführt werden, wenn der Client via WireGuard im UnifiNetz angemeldet ist?

Zur Info: Das Subnetz von WireGuard ist nur im WireGuard Server bekannt. Ausserhalb von WireGuard gibt es das WireGuard-Subnetz nicht. Im Unifi Controller werden auch keine Clients gelistet, die via WireGuard angemeldet sind.

Zitat von iTweek

Du musst den vpn server sagen an welche interne ip die ports übermitteln soll

Der Webserver hat eine dynamische IP Adresse, die beim Ändern immer über einen dyndns-Service automatisch angepasst wird.

Wenn der Webserver über ein VPN Client aufgerufen wird, kann die Domain nicht aufgelöst werden. Daher hatte ich angenommen, dass es an einer zu restriktiv gesetzten Filter Regel in der "USG3" liegen könnte.

In den Portfreigaben existieren u.a. zwei Freigaben für die Ports 80 und 443. Beide Ports verweisen auf einen Proxy, der anhand des übergebenen Domainnamens entscheidet, zu welchem Webserver der Aufruf weitergeleitet werden soll. Das Verfahren funktioniert soweit fehlerfrei, wenn der Aufruf nicht über VPN erfolgt.

Wenn man für dieses Ziel eine andere Hardware Firewall benötigt, wie z.B. "USG4", hat sich das Thema erledigt.

Zitat von iTweek

Ja das ist logisch. Aber woher weiß der von server der z.b Rechenzentrum steht was er mit port 80,443 anfangen soll. Er verwirft die. Mann muss dem server sagen was er damit anstellen soll

Wie und wo kann das umgesetzt werden?

Ja, der VPN Server ist von mir. Ich habe SSH zugriff auf diesen.

Der VPN Server ist im gleichen Subnetz, wie die Webserver.

Die USG ist ebenfalls im gleichen Subnetz wie die Webserver auch.

Der VPN-Client greift über den VPN Server zu. Nun muss der VPN Server die Domain mit der Internen IP-Adresse des Webservers abgleichen können.

Reicht es hier schon aus, wenn in der Hosts Datei vom VPN Server der Domainname mit der internen IP-Adresse eingetragen wird?

Zitat von iTweek

Wieso braucht man dann ein von server?

Das lokale Netz ist in mehrere Subnetze unterteilt, die voneinander isoliert sind. Zum Teil handelt es sich um Testumgebungen oder Smarte Geräte, die ständig irgendwelche Informationen "nach Hause telefonieren".

Auf der anderen Seite sind die Webservices, die von mir selbst bereitgestellt werden.

Über Filtern wurden Regeln aufgestellt, die ein Zugriff auf die IP Adresse des Proxys von allen Subnetzen erlaubt ist. Soweit so gut.

Probleme begannen erst, nachdem auch IP Telefone eingesetzt werden sollten.

Als Telefonanlage kommt eine FritzBox zum Einsatz, die sich im lokalen LAN befindet.

Die FritzBox erwartet, dass der Client (virtuelles Telefongerät via FritzFon-App) im gleichen Subnetz, wie die FritzBox selbst befindet. Wenn eine Anmeldung aus einem anderen Subnetz ankommt, wird es nicht angenommen. Erst mit WireGuard konnte das Problem umgangen werden, da die Telefonanlage nur die IP-Adresse vom WireGuard Server erkennen kann. Und schon können sich alle virtuelle Telefonie Teilnehmer an der Telefonanlage anmelden.

Nun kommen wir zum "neuen" Fehler, dass von den Geräten mit aktivierter VPN-Verbindung keine eigenen Webservices mehr aufgerufen werden können, da der Domainname nicht mehr aufgelöst werden kann.

Wenn auf einen eingenen Webservice zugegriffen werden soll, muss erst die VPN Verbindung getrennt werden. Erst danach klappt die Domainauflösung fehlerfrei.

Es werden mehr als ein Webserver zur Verfügung gestellt. Daher der Begriff "Webservices".

Zitat von iTweek

Also hat dein server ein dns problem?

Ja, das ist das Problem.