Frage an die Profis doppeltes NAT und FRITZ!Box

Ja, bis auf wenige ausnahmen (manche online games,…) funktioniert das ganze problemlos

Zitat von reiter

Also könnte ich die 2 unterschiedlichen Netze unabhängig von ein anderes nutzen und trotzdem mit einer statischen Route von dem einen auf das andere zugreifen und umgekehrt? Die statische Route müsste ich aber dann auf der udmpro einrichten ?

JA dies ist richtig.
Die UDM muss ja wissen, dass ein privates Netz, was sie selber nicht verwaltet, wo zu finden ist. Umgekehrt natürlich auch.

Hi...

hab ich bei mir auch so konfiguriert das Fritzbox >> USG-Pro-4 als Exposed Hosts/Port 3 zur Fritzbox / Port 1 ins LAN an US-24-250W. Damit war keine doppeltes NAT erforderlich

Wenn ich das richtig lese was der TE schreibt, ist der Plan die opnsense parallel zum UDM Netzwerk an die Fritzbox anzuschliessen. Also schonmal nicht das, was freaque als Vergleich ranzieht (da sind ja nichtmal 3 Router).

Eine Kleinigkeit ist da noch zu bedenken.

War es nicht mit der UDM Problematisch vom WAN ins LAN zu kommen wegen dem nicht abschaltbaren NAT? Dann würde das Konstrukt nur in eine Richtung funktionieren, vom UDM LAN zum Netz hinter den opnsense. Ein Zugriff vom opnSense Netz auf ein Gerät hinter der UDM funktioniert dann nicht, egal wie die Routen gesetzt werden. Also drüber nachdenken ob das in beide Richtungen funktionieren muss.

Falls es in beide Richtungen arbeiten muss, dann könnte man aber eine NIC der opnSense in das UDM Netz hängen und dann darüber routen.

Zitat von reiter

Andere frage : eine opnsense hinter der FRITZ!Box hat kein doppeltes NAT mit den Switches hinter der opnsense richtig?

NAT ob einfach oder mehrfach hat nie was mit Switchen zu tun. NAT entsteht durch einen Router der NAT macht. Du hast also mit der Fritzbox immer das erste mal NAT (außer die ist im Bridge Mode, dann gehen dahinter aber ohnehin keine 2 Router). Die UDM macht auch zwangsweise NAT (daher doppeltes NAT). Die opnSense kann vermutlich mit und ohne NAT auf deren WAN Port betrieben werden.

Worum geht es denn eigentlich bei dem "gut und unkompliziert nach außen kommen"? Weil Portforwarding und nginx klingt ja eher nach einem Problem mit von außen ankommend.

Eigentlich sollte die Port Weiterleitung funktionieren, fb 443 -> udm 443 und eine zweite auf der udm 443 -> auf dem pm lxc. Der muss dann nochmal auf den docker mappen. (Solange die Ports immer frei sind) es kann helfen das schritt für Schritt zu testen. Ggf. auch wenn der pm funktioniert ihn mal an die fb hängen. Das doppelte nat macht es nur aufwändiger da ggf 2 forwards benötigt werden aber zu mindestens bei http sollte das kein Problem sein.

Open sense und udm-p hinter einer FRITZ!Box geht auch. Hab ich auch so. Das doppelte nat stört mich nicht. Ok der Lobby Modus im Grand Tourismo auf der Playstation wird nicht unterstützt. Heul Ich nutze für den Transfer zwischen den udm und os ein transfernetz intern ! (traffic rules) jeweils /20 Netze hinter den Routern und eine Regel die dann das andere /20 als next Hop auf das Interface ans Transfer Netzwerk schickt. Die OS braucht einige firewall rules da bei default alles zu ist. Doppeltes nat nach außen aber kein nat zwischen der udm und der OS

P.S.

Wenn man die Verbindung von proxmox zur os auch über einen unifi sticht gehen lässt erscheinen die Container auch auf der udm Übersicht

P.P.S

Ich hab einen aggregation Switch hinter der udm und einen Port mirrow zur OS. Darüber sammle ich auch die Traffic Informationen der udm auf der OS ein.

Noch ein Nachtrag. Falls Du in der OS - UDM Kombination auf die Idee kommst auch Container in einen vlan der UDM auf den PM einzurichten, ja das geht auch, kann es Dir passieren das der Antwort Traffic auf eine ip der OS dann direkt über das lan zurück geht und die OS die Verbindung nach dem timeout abbricht. Ich versuche es mal zu verdeutlichen. OS 192.168.16.1/20 DMP 192.168.32.1/20 ein proxmox mit einer IP 192.168.20.2 und 192.168.32.100. Ein Rechner mit der ip 192.168.32.40 greift über die OS auf 192.168.20.2 zu. Der Container nutzt aber wegen 192.168.32.40 source ip dann das 192.168.32 Netzwerk über die nic ‘mit der ip 191.168.32.100. Die ist sieht diese Pakete nicht und verwirft die Verbindung nach ein paar minuten. Naja ist eventuell ein Edge case viel mir nur noch gerade ein.

Zitat von reiter

Also mein Problem ist das ich keine portweiterleitung von der,udm pro auf ein 443 machen kann weil keine öffentliche ip auf der udm pro und komm von der FRITZ!Box nicht auf die udm pro ...

Die öffentliche IP ist auf dem WAN der Fritzbox. Diese musst Du natürlich für den Zugriff auf deinen Webserver benutzen. Dazu die beiden Portweiterleitungen (und das Containerzeug)wie von swag ausgeführt und dann geht das.

Ich habe mal eine grundsätzliche Frage an reiter

Solltest du nicht einmal dein Netzwerk komplett überdenken?

Also drei Router einzusetzen in einem Heimnetzwerk erscheint mir nicht sehr zielführend.

Ein DSL-Modem im Bridge-Modus und dahinter die UDM und dahinter der Switch. Da hättest du klare Wege und kannst per VLANS auch unterteilen. Dies wäre ein sauberes Netz. Falls die FB als Telefonzentrale benötigt wird, kommt sie hinter die UDM.

Wenn du eine Vigor 165 als DSL-Modem nutzt, kann dir dieser auch 2 Ports zur Verfügung stellen. Eine an die UDM und eine an OpenSense (die aber per Hardware).

Für ein Heimnetzwerk Switche oder Router zu virtualisieren ist nicht sehr zielführend, wenn sie nicht auf die dafür geeignete Hardware laufen.

Das geht aber auch mit der UDM, ist nur etwas von hinten durch die Nase ins Auge geschossen.

Hier für IPTV, aber gilt sicher auch für Telefonie.

Double VLAN on WAN (IPTV support)

Aber zugegebener Maßen sollte es endlich auch ganz einfach eingebaut werden. In einer der letzten Releases wurde es auch von UI-Glenn für PPPoE in Aussicht gestellt.

reiter sage mal wie fängt denn deine öffentliche IP eigentlich an?

nginx ProxyManager Dashboard läuft über Port 81

Habe mir da eine Umleitung gebaut, damit ich nicht immer den Port angeben muss:

Für die Zertifikate von letsencrypt: die laufen über den http/https request, also würde ich noch 443 freischalten dafür.