Maltea am 28. Februar 2025 um 10:34 Uhr

2025-02-28T10:34:05Z

Lauritzl am 7. Februar 2024 um 07:21 Uhr

2024-02-07T07:21:50Z

← Nächstältere Version		Version vom 7. Februar 2024, 09:21 Uhr
Zeile 50:		Zeile 50:
	\| Create server as network object }}		\| Create server as network object }}
	{{var \| Netzwerkobjekt anlegen--desc		{{var \| Netzwerkobjekt anlegen--desc
	\| Für eine Portweiterleitung muss ~~zuerst der~~ Server ~~als Netzwerkobjekt angelegt werden~~.		\| Für eine Portweiterleitung muss es ein Netzwerkobjekt für den Server geben.
	\| ~~For port forwarding, the server~~ must ~~first~~ be ~~created as~~ a network object. }}		\| There must be a network object for the server for port forwarding. }}
	{{var \| Netzwerkobjekt anlegen--Bild		{{var \| Netzwerkobjekt anlegen--Bild
	\| UTM v12.6 Portumleitung-Intern Netzwerkobjekt hinzufuegen Server.png		\| UTM v12.6 Portumleitung-Intern Netzwerkobjekt hinzufuegen Server.png
Zeile 60:		Zeile 60:
	{{var \| Netzwerkobjekt hinzufügen		{{var \| Netzwerkobjekt hinzufügen
	\| Netzwerkobjekt hinzufügen		\| Netzwerkobjekt hinzufügen
	\| }}		\| Add networkobject }}
	{{var \| Netzwerkobjekte		{{var \| Netzwerkobjekte
	\| Netzwerkobjekte		\| Netzwerkobjekte
	\| }}		\| Network objects }}
	{{var \| Netzwerkobjekt anlegen--step-by-step		{{var \| Netzwerkobjekt anlegen--step-by-step
	\|* Anlegen im Menü {{Menu-UTM\|Netzwerk\|Netzwerkobjekte\|\|Objekt hinzufügen\|+}}		\|* Anlegen im Menü {{Menu-UTM\|Netzwerk\|Netzwerkobjekte\|\|Objekt hinzufügen\|+}}
Zeile 110:		Zeile 110:
	{{var \| Paketfilter		{{var \| Paketfilter
	\| Paketfilter		\| Paketfilter
	\| }}		\| Packetilter }}
	{{var \| Firewall-Regeln für die Weiterleitung anlegen--cap		{{var \| Firewall-Regeln für die Weiterleitung anlegen--cap
	\| Portweiterleitung		\| Portweiterleitung
Zeile 160:		Zeile 160:
	\| Group }}		\| Group }}
	{{var \| Gruppe--desc		{{var \| Gruppe--desc
	\| Zur besseren Übersicht kann ~~die Regel~~ einer Gruppe zugeordnet werden.		\| Zur besseren Übersicht kann das Netzwerkobjekt einer Gruppe zugeordnet werden.
	\| For a better overview, the ~~rule~~ can be assigned to a group. }}		\| For a better overview, the networkobject can be assigned to a group. }}
	{{var \| NAT-Typ--desc		{{var \| NAT-Typ--desc
	\| NAT soll für das Zielnetzwerk durchgeführt werden		\| NAT soll für das Zielnetzwerk durchgeführt werden
Zeile 188:		Zeile 188:
	{{var \| Speichern und schließen--desc		{{var \| Speichern und schließen--desc
	\| Speichert die Einstellungen und schließt den Dialog		\| Speichert die Einstellungen und schließt den Dialog
	\| }}		\| Saves the settings and closes the dialog }}
	{{var \| Regeln aktualisieren		{{var \| Regeln aktualisieren
	\| Regeln aktualisieren		\| Regeln aktualisieren
Zeile 262:		Zeile 262:
	\| Skizze zum [[#Paketfluss \| Paketfluss]]		\| Skizze zum [[#Paketfluss \| Paketfluss]]
	\| Sketch for [[#Paketfluss \| Packet flow]] }}		\| Sketch for [[#Paketfluss \| Packet flow]] }}
	{{var \|		{{var \| Details anzeigen
	\|		\| Anlegen des Netzwerkobjektes zeigen
	\| }}		\| Show creation of the network object }}
	{{var \|		{{var \|
	\|		\|

Lauritzl am 7. Februar 2024 um 06:27 Uhr

2024-02-07T06:27:54Z

Änderungen zeigen

Lauritzl am 10. Januar 2022 um 11:43 Uhr

2022-01-10T11:43:20Z

Änderungen zeigen

Lauritzl am 25. Juni 2021 um 09:11 Uhr

2021-06-25T09:11:30Z

← Nächstältere Version		Version vom 25. Juni 2021, 11:11 Uhr
Zeile 238:		Zeile 238:
	\| Sollte der '''transparente Proxy''' oder ein '''reverse Proxy''' verwendet werden, ist die Konfiguration über '''Portfilter-Regeln nicht möglich'''.<br>In diesem Fall muss, wie oben beschrieben, die UTM als DNS verwendet und eine [[UTM/APP/Nameserver#Forward-Zone \| '''Forward-Zone''']] eingerichtet werden.		\| Sollte der '''transparente Proxy''' oder ein '''reverse Proxy''' verwendet werden, ist die Konfiguration über '''Portfilter-Regeln nicht möglich'''.<br>In diesem Fall muss, wie oben beschrieben, die UTM als DNS verwendet und eine [[UTM/APP/Nameserver#Forward-Zone \| '''Forward-Zone''']] eingerichtet werden.
	\| }}		\| }}
	{{var \|		{{var \| neu--Skizze Paketfluss
	\|		\| Skizze zum [[#Paketfluss \| Paketfluss]]
	\| }}		\| }}
	{{var \|		{{var \|

Lauritzl: Die Seite wurde neu angelegt: „{{Lang}} {{#vardefine:headerIcon|spicon-utm}} {{var | display | Portumleitung Intern (hairpinning) | }} {{var | head | Portweiterleitung aus internem Ne…“

2021-06-24T16:13:46Z

Die Seite wurde neu angelegt: „{{Lang}} {{#vardefine:headerIcon|spicon-utm}} {{var | display | Portumleitung Intern (hairpinning) | }} {{var | head | Portweiterleitung aus internem Ne…“

Neue Seite

{{Lang}}

{{#vardefine:headerIcon|spicon-utm}}

{{var | display
| Portumleitung Intern (hairpinning)
| }}
{{var | head
| Portweiterleitung aus internem Netz über externe IP auf internen Server (''hairpinning'' - auch als ''NAT loopback'' oder ''NAT reflection'' bezeichnet)
| }}
{{var | Layoutanassung
| Layoutanassung
| }}
{{var | Ausgangslage
| Ausgangslage
| }}
{{var | Hinweis-Bridge
| Eine Portweiterleitung aus einem internen Netzwerk über eine externe IP-Adresse ist '''über eine Bridge nicht möglich'''.
| }}
{{var | Hinweis-Bridge--desc
| Abhilfe könnte hierbei die Einrichtung einer Forward-Zone im Nameserver der UTM schaffen, sofern die UTM als Nameserver für die internen Clients eingerichtet ist. In diesem Fall verweist die externe URL, die von Intern aufgerufen wird direkt auf den Internen Ziel-Server. 
Eine Anleitung zum einrichten der Forward-Zone befindet sich unter [[UTM/APP/Nameserver#Forward-Zone | '''Forward-Zone''']] im Nameserver Wiki.
| }}
{{var | Ausgangslage--desc
|* Alle Rechner sind in einem privaten Netzwerk und verstecken sich hinter einer öffentlichen IP des Routers.
* Eine '''Port Weiterleitung''' ist eingerichtet und wird dazu genutzt Anfragen, die auf '''bestimmte Ports der öffentlichen IP''' des Routers gerichtet sind, zum internen Server weiterzuleiten, damit dieser so aus dem Internet erreichbar ist.
| }}
{{var | Ziel dieses Artikels
| Ziel dieses Artikels:
| }}
{{var | Ziel dieses Artikels--desc
| Ein interner Server soll aus dem internen Netz über die öffentliche IP der Firewall (mit entsprechender Portangabe) erreichbar sein. Dieses wird mit Hilfe von ''hairpinning (auch als ''NAT loopback'' oder ''NAT reflection'' bezeichnet) bewerkstelligt. Hierzu wird eine DestNAT- und eine HideNAT-Regel erstellt.
| }}
{{var | Ziel dieses Artikels--Hinweis
| '''TIPP''': Wenn aus dem internen Netz statt der IP ein DNS-Name aufgerufen UND die Firewall als Nameserver verwendet wird, ist das Anlegen eines A-Records der bessere Weg. Hier muss die Firewall lediglich den Namen zu einer internen Adresse auflösen. Die eigentliche Kommunikation geht dann nicht den Umweg über die Firewall sondern findet direkt zwischen Client und Server statt! Ein entsprechendes How-To findet sich im Wikiartikel zum Nameserver im Abschnitt [[UTM/APP/Nameserver#Forward-Zone | '''Forward-Zone''']].

| }}
{{var | Vorbemerkungen
| Vorbemerkungen
| }}
{{var | Netzwerkobjekte anlegen
| Das Anlegen von Netzwerkobjekten und Diensten muss natürlich nur dann erfolgen, wenn diese in der hier beschriebenen Form noch nicht auf der Firewall vorhanden sind!
| }}
{{var | Konfiguration der Appliance
| Konfiguration der Appliance
| }}
{{var | Netzwerkobjekt anlegen
| Server als Netzwerkobjekt anlegen
| }}
{{var | Netzwerkobjekt anlegen--desc
| Für eine Portweiterleitung muss zuerst der Server als Netzwerkobjekt angelegt werden.
| }}
{{var | Netzwerkobjekt anlegen--Bild
| UTM v12.2 Portfilter Netzwerkobjekt anlegen.png
| }}
{{var | Netzwerkobjekt anlegen--cap
| Netzwerkobjekt anlegen
| }}
{{var | Netzwerkobjekt anlegen--step-by-step
|* Anlegen im Menü {{Menu|Netzwerk|Portfilter|Netzwerkobjekte|Objekt hinzufügen|+}}
* Es erscheint die Eingabemaske Netzwerkobjekt hinzufügen. Folgende Angaben sind möglich:
| }}
{{var | Name
| Name:
| }}
{{var | Name--desc
| Eindeutiger Name
| }}
{{var | Typ
| Typ
| }}
{{var | Typ--desc
| Ein einzelner Host soll angesprochen werden
| }}
{{var | Adresse
| Adresse:
| }}
{{var | Adresse--desc
| IP-Adresse aus dem internen Netz, über die der interne Server erreichbar ist
| }}
{{var | Zone
| Zone:
| }}
{{var | Zone--desc
| Zone, in welcher der Server steht (z.B.: ''internal'' oder ''dmz'')
| }}
{{var | Gruppe
| Gruppe:
| }}
{{var | Gruppe--desc
| Optional, kann leer bleiben
| }}
{{var | Firewall-Regeln für die Weiterleitung anlegen
| Firewall-Regeln für die Weiterleitung anlegen
| }}
{{var | Firewall-Regeln für die Weiterleitung anlegen--desc
| Damit der entsprechende Port an den Server weitergeleitet wird, muss eine Portweiterleitung als Regel angelegt werden. Konfiguration im Menü {{Menu|Fireall|Portfilter|Portfilter|Regel hinzufügen|+}}
| }}
{{var | Firewall-Regeln für die Weiterleitung anlegen--Bild
| UTM v12.2 Portfilter Port-Weiterleitung intern.png
| }}
{{var | Firewall-Regeln für die Weiterleitung anlegen--cap
| Portweiterleitung
| }}
{{var | Quelle
| Quelle
| }}
{{var | Quelle--desc
| Quellnetzwerk, für das der Server erreichbar gemacht werden soll.
| }}
{{var | Ziel
| Ziel
| }}
{{var | Ziel--desc
| Netzwerkobjekt des Zielservers (ggf. wie oben beschrieben zuvor angelegt).
| }}
{{var | Dienst
| Dienst
| }}
{{var | Dienst--desc
| Dienst, der den gewünschten Port belegt. Hier Port 443 → https
| }}
{{var | Dienst--individuell
| Wird ein individueller Port benötigt, muss dieser mit der Schaltfläche {{Button|1={{spc|cog2|o|-}} }} / Auswahl {{ic|Objekt hinzufügen}} als Dienst neu angelegt werden. Weitere Hinweise dazu im Artikel zum Portfilter, [[UTM/RULE/Portfilter#Dienst_hinzuf.C3.BCgen_.2F_bearbeiten | Abschnitt Dienste]].
| }}
{{var | Aktiv
| Aktiv
| }}
{{var | Aktiv--desc
| Die Regel muss aktiviert sein.
| }}
{{var | Aktion
| Aktion
| }}
{{var | Aktion--desc
| Die Aktion muss auf ''Accept (annehmen)'' stehen.
| }}
{{var | Logging
| Logging
| }}
{{var | Logging--desc
| Das Logging kann aktiviert werden, um eventuelle Probleme besser nachverfolgen zu können. '
| }}
{{var | Logging--val
| Short - Drei Einträge pro Minute protokollieren
| }}
{{var | Gruppe
| Gruppe
| }}
{{var | Gruppe--desc
| Zur besseren Übersicht kann die Regel einer Gruppe zugeordnet werden.
| }}
{{var | NAT-Typ--desc
| NAT soll für das Zielnetzwerk durchgeführt werden
| }}
{{var | Netzwerkobjekt
| Netzwerkobjekt
| }}
{{var | Netzwerkobjekt--desc
| Als Netzwerkobjekt wird das externe Interface ausgewählt (bzw. das Netzwerkobjekt, welches die externe IP inne hat über die der Port weitergeleitet werden soll).
| }}
{{var | NAT-Dienst--desc
| Dienst, der den gewünschten Zielport belegt.
| }}
{{var | NAT-Dienst--info
| Soll hier ein anderer Port als für den Quelldienst verwendet werden und dieser ist nicht bereits als Dienstobjekt angelegt, muss dieser '''vor''' dem Erstellen der angelegt werden.
| }}
{{var | Beschreibung--desc
| Regelbeschreibung, die in der Übersicht angezeigt werden kann.
| }}
{{var | Schaltfläche
| Schaltfläche
| }}
{{var | Hinzufügen und schließen
| Hinzufügen und schließen
| }}
{{var | Regeln aktualisieren
| Regeln aktualisieren
| }}
{{var | Firewall-Regeln für das Hide-NAT anlegen
| Firewall-Regeln für das Hide-NAT anlegen
| }}
{{var | Firewall-Regeln für das Hide-NAT anlegen--desc
| Damit der Server die Anfrage auf die öffentliche IP auf dem richtigen Weg beantwortet, muss nun eine Hide-NAT-Regel angelegt werden. Mit dieser Regel wird die IP des anfragenden Rechners hinter der IP der Firewall versteckt. Dies ist nötig, da sonst die Anfrage mit der internen IP des Rechners an dem Server ankommen würde und dieser dann versuchen würde, die Antwort intern zuzustellen und nicht über die Firewall.
| }}
{{var | Regel hinzufügen
| Regel hinzufügen
| }}
{{var | Hide-NAT-Regel--Bild
| UTM v12.2 Portfilter HideNAT-Regel.png
| }}
{{var | Hide-NAT-Regel--Bild--cap
|
| }}
{{var | HideNAT-Typ--desc
| Das Quellnetzwerk soll genattet werden.
| }}
{{var | HideNAT--Netzwerkobjekt--desc
| Als Netzwerkobjekt wird das interne Interface ausgewählt (bzw. das Interface, hinter dem sich der Server befindet, der erreicht werden soll).
| }}
{{var | Abschluss
| Nachdem der letzte Einrichtungsschritt absolviert wurde, ist die Portweiterleitung aktiv.
| }}
{{var | Paketfluss
| Paketfluss
| }}
{{var | Paketfluss--desc
|* Ein PC sendet ein ''SYN-Paket'' mit der externen IP des internen Servers (hier www) an die UTM ①
* Die DestNAT-Regel maskiert die ''Empfänger'' IP und sorgt so dafür, daß das Paket an den internen Server weitergeleitet werden kann.②
| }}
{{var | Paketfluss--fail--Bild
| nat_loopback_fail.png
| }}
{{var | Paketfluss--fail--cap
| Abb.1 (nur mit '''DestNAT'''-Regel)
| }}
{{var | Paketfluss--works--Bild
| nat_loopback_tut.png
| }}
{{var | Paketfluss--works--cap
| Abb.2 (mit '''DestNAT''' und mit '''HideNAT'''-Regel)
| }}
{{var | PrePost-Routing--Hinweis
| Beide Regeln werden von der Firewall bearbeitet. Die erste liegt in der Prerouting Chain (DestNAT), die zweite in der Postrouting Chain (HideNAT) und damit in voneinander unabhängigen Prüfabschnitten. Nur innerhalb eines Abschnittes, kann keine zweite Regel greifen.
| }}
{{var | Paketfluss--fail--desc
|* Der Server sendet die Antwort ''SYN-ACK'' an die Absender-IP des Paketes: die IP des PCs aus dem internen Netz ③
* Die Firewall des PCs verwirft das Paket, weil es an die Absenderadresse des ''SYN-ACK-Paketes'' (die IP des Servers aus dem internen Netz) kein ''SYN-Paket'' gesendet hat. oder
* Der PC hat keine Firewall und sendet sein ''ACK-Paket'' die öffentliche IP des Servers und damit an die UTM → Die UTM verwirft das Paket, weil sie kein ''SYN-ACK-Paket'' dazu gesehen hat.
| }}
{{var | Paketfluss--works--desc
|* Die HideNAT-Regel hat auch die Absenderadresse verändert. Der Server sendet das ''SYN-ACK-Paket'' an die UTM zurück ③
* Die UTM NATtet das Paket und sendet es an den ursprünglichen Absender ④
* Der PC kann nun sein ''ACK-Paket'' erfolgreich an die öffentliche IP des Servers senden.
| }}
{{var | Proxy--Warnung
| Sollte der '''transparente Proxy''' oder ein '''reverse Proxy''' verwendet werden, ist die Konfiguration über '''Portfilter-Regeln nicht möglich'''. In diesem Fall muss, wie oben beschrieben, die UTM als DNS verwendet und eine [[UTM/APP/Nameserver#Forward-Zone | '''Forward-Zone''']] eingerichtet werden.
| }}
{{var |
|
| }}
{{var |
|
| }}
{{var |
|
| }}
{{var |
|
| }}
{{var |
|
| }}

----
{{var |
|
| }}
</div>

UTM/RULE/Portumleitung-Intern.lang - Versionsgeschichte

Maltea am 28. Februar 2025 um 10:34 Uhr

Lauritzl am 7. Februar 2024 um 07:21 Uhr

Lauritzl am 7. Februar 2024 um 06:27 Uhr

Lauritzl am 10. Januar 2022 um 11:43 Uhr

Lauritzl am 25. Juni 2021 um 09:11 Uhr

Lauritzl: Die Seite wurde neu angelegt: „{{Lang}} {{#vardefine:headerIcon|spicon-utm}} {{var | display | Portumleitung Intern (hairpinning) | }} {{var | head | Portweiterleitung aus internem Ne…“