Geen extern IP adres na portforwarding

[nilsheyvaert]

Beste netweters,

Ik heb enkele toestellen staan die ik extern bereikbaar zou willen maken, ik heb hiervoor een portfoward ingesteld naar 192.168.0.153:443 op externe poort 8443.

Intern werkt alles perfect maar via het externe ip kan ik er maar niet aan.

Ik heb de router al is even herstart maar Telenet zelf kan niet nakijken of de portfowarding effectief actief is. Kunnen jullie mij helpen dit na te kijken?

Titel gewijzigd door FilipD (mod) | Vorige titel: portforwarding

[nilsheyvaert]

De portforwarding lijkt mij inderdaad correct te zijn ingesteld en staat voor zowel udp als tcp actief.

Ik heb ook al geprobeerd met andere ip adressen en andere poorten maar geen enkele lijkt te werken. Met een portscan zie ik nochthans wel dat de poort openstaat maar het verkeer raakt niet op het eindpunt.

[Arnie]

Heeft de server wel internet toegang / kun je vanaf de server zelf het internet bereiken? Mocht er bijvoorbeeld geen (default) route ingesteld zijn, dan kan de server enkel met het lokale IP subnet communiceren.

[nilsheyvaert]

Ja hoor, het gaat om een firewall, ik kan perfect er mee op internet. Maar ik merk nu dat wanneer ik op mijn telenet wifi connecteer ipv mijn eigen router ik niet aan de firewall aankan terwijl die ip 192.168.0.10 heeft in de telenet wifi range. Via mijn andere wifi kan ik perfect eraan in de 192.168.1.0/24 range waar de firewall ook een interface in heeft.

Kan dit duiden op een probleem met de router?

[Steven-E]

---

@nilsheyvaert  schreef:

Ja hoor, het gaat om een firewall, ik kan perfect er mee op internet. Maar ik merk nu dat wanneer ik op mijn telenet wifi connecteer ipv mijn eigen router ik niet aan de firewall aankan terwijl die ip 192.168.0.10 heeft in de telenet wifi range. Via mijn andere wifi kan ik perfect eraan in de 192.168.1.0/24 range waar de firewall ook een interface in heeft.

Kan dit duiden op een probleem met de router?

---

Dan lijkt het me of de netwerkinterface van je firewall (die met IP 192.168.0.10) fysiek niet in het juiste netwerk zit (of indien je VLANs geconfigureerd hebt, niet in de juiste VLAN zit).

Een beetje meer info over de layer2 setup van je netwerk zou kunnen helpen: hoe is alles fysiek aangesloten, heb je switches, vlans of niet etc ...

Zie je het MAC adres van je firewall in de arp cache van je PC (als die in het 192.168.0.0/24 zit).

Dat zou moeten.  Op windows: "arp -a" in een dos-venster, of op Mac in een terminal window. 

Zelfs met een verkeerd geconfigureerde default gateway zou je je firewall moeten kunnen pingen vanuit een host in hetzelfde subnet (er van uitgaand dat er op de firewall geen regels staan die dit tegenhouden natuurlijk).

De firewall policy kan natuurlijk ook de reden zijn. Dikwijls staan policies voor inkomend verkeer op DENY en moet je alles specifiek toelaten.

Ik gok op de firewall policy als boosdoener, aangezien je met je firewall perfect het internet op kan.

[flip1953]

---

@nilsheyvaert  schreef:

Maar ik merk nu dat wanneer ik op mijn telenet wifi connecteer ipv mijn eigen router ik niet aan de firewall aankan terwijl die ip 192.168.0.10 heeft in de telenet wifi range. Via mijn andere wifi kan ik perfect eraan in de 192.168.1.0/24 range waar de firewall ook een interface in heeft.

---

Dat is perfect normaal he:

Als je connecteert op de Telenet WiFi, dan zit je "aan de buitenkant" van de firewall.

Als je dan naar 192.168.0.10 gaat, kom je op de WAN interface van de firewall, en deze houdt dan de trafiek tegen (tenzij de web interface "van buitenaf" bereikbaar: dat is net de taak van de firewall, er is dus niets mis met je router 😊...

PS

Bij herlezen van het topic, schijn ik hier toch iets te missen:

• je hebt dus een eigen router ("de firewall") die achter de Telenet HGW staat.
• je wil van buitenaf apparaten bereiken die achter je eigen router staan?
• je hebt dus "dubbele NAT" (en je moet dus de juiste poorten openen op zowel de Telenet modem, als op je eigen router) ...

Begrijp ik het goed?

Of wil je gewoon de webinterface van je eigen router bereiken van buitenaf?

Misschien kan een woordje meer uitleg ons toch verder helpen ...

[igvfer]

@nilsheyvaert  Het moet zo:

IPadres: 192.168.0.153

Externe beginpoort: 8443

externe eindpoort: 8443

interne beginpoort: 443

interne eindpoort: wordt automatisch ingevuld

Protocol: TCP of beiden

Dit noemen ze portswitching, en dit kan nog maar een 2 tal jaar bij Telenet.

Het is zeker aan te raden om extern niet te laten benaderen via 443 als je het privaat wil houden. Wel de poort doorgeven aan je correspondenten want die moeten benaderen via: uwpubliek adres: 8443. Zo maak je het hackers wat moeilijker.  Voor een website of zo gebruik je beter het volgende:

Is je interne poort 8443 dan kan je het juist omgekeerd doen.

Actief

en niet vergeten weg te schrijven.

Je kan dit ook doen voor andere apparaten die interne poort 443 gebruiken maar dan moet je wel telkens een ander externe poort gebruiken.

Als je uw eigen router gebruikt en die heeft langs de WAN zijde een IPadres 192.168.0.X

dan moet je uw Telenetrouter in DMZ zetten naar dat adres. De rest van de forwarding gebeurt dan op je eigen router.

Heeft je eigen router een publiek IP adres dan moet je daar uw portforwarding doen.

[nilsheyvaert]

Heb hem nu is in DMZ gestoken, maar zelfs dan werkt het gek genoeg nog niet.

[Steven-E]

---

@nilsheyvaert  schreef:

Heb hem nu is in DMZ gestoken, maar zelfs dan werkt het gek genoeg nog niet.

---

Kan je eens antwoorden op de vraag van @flip1953 ?

Wat wil je benaderen? Een webinterface van je firewall zelf, of een afzonderlijke webserver achter je firewall?

In het laatste geval moet je dus ook een nat regel configureren op je eigen firewall (zonder port translation deze keer).

De DMZ optie gebruik je beter niet, want zo forward je alle poorten naar je firewall, ook deze die je niet nodig hebt. Met alle beveiligheidsrisico’s van dien.

[Arnie]

Kun je nog eens je setup toelichten? Je hebt een Telenet HGW, met op de LAN het 192.168.0.0 / 24 subnet?

Welk type HGW van Telenet heb je?

Daarachter heb je nog een eigen router?
Waar bevind zich de bewuste server? Bevind deze zich gewoon in het LAN van de Telenet HGW (welk jij dan DMZ noemt) ?

Indien je via port 443 de interface (WAN) van je firewall wilt benaderen, dan kijk je best ook even de settings van die firewall na. Vaak laten die enkel lokale connecties toe (dus afkomstig vanaf een IP adres binnen hetzelfde subnet als de interface).