Zugriff auf Webinterface vom Router aus dem LAN hinter doppelten NAT

Hallo,

ich habe hier einen Zyxel 5501 mit DSL
LAN IP: 10.2.3.1

Dann kommt eine PFSense
WAN IP 10.2.3.2
LAN IP: 192.168.0.201

Also doppeltes NAT
Das funktioniert auch soweit prima.

Aber ich komme nicht auf das Webinterface vom Zyxel.
Muss ich da noch was in der pfsense einstellen oder ist das eine Einstellung vom Zyxel?

Stefan

Please also mark the comments that contributed to the solution of the article

Content-Key: 329060

Url: https://administrator.de/contentid/329060

Printed on: April 23, 2024 at 10:04 o'clock

6 Comments

Latest comment

"Block private Networks" am WAN-Interface deaktivieren.
http://www.nwlab.net/tutorials/pfSense/pfSense-WAN-Interface.png

Gruß

Hallo,

hatte ich schon ausgeschaltet.
Bringt nix.

Kein Ping. Kein Web.

Stefan

Zitat von @StefanKittel:
Kein Ping. Kein Web.

Dann hast du keine Firewallregel die es die erlaubt. Leg mal eine AnytoAny-Regel an.

Was heißt kein Web? Überhaupt kein Internet an der PfSense?

Und am Zyxel auch die Firewall Settings für den Zugriff aufs webif prüfen (Subnets etc.)

p.s. wieso doppeltes NAT? Statische Route auf dem Zyxel hätte genügt und du brauchst kein NAT an der pfsense.

Muss ich da noch was in der pfsense einstellen oder ist das eine Einstellung vom Zyxel?

Eigentlich nein ! Das funktioniert schon im Default Setup so.
Knackpunkt ist das oben schon erwähnte "Block private Networks" am WAN-Interface. Der Haken muss da natürlich raus.
Ich habe das eben an einem identischen Setup hier im Labor getestet nur statt Zyxel einen Cisco 880 und das klappt fehlerlos.
In dem Netz ist auch testweise noch ein RasPi mit Apachen und auch darauf klappt der Zugriff.
Das muss auch so sein, denn die pfSense setzt ja alles was hinter ihr ist auf die IP Adresse 10.2.3.2 per NAT um.
Der Zyxel (und alles im lokalen LAN dort) rafft also gar nicht das da was anderes kommt sondern denkt der Zugriff kommt aus seinem lokalen LAN mit dieser Absender IP.
Ein paar Dinge solltest du noch checken:

In pfSense Menü unter Diagnotics -> Ping mal einen Ping direkt von der pfSense auf den Zyxel absetzen und auf die Absender IP achten. Ping einmal mit WAN Port Absender und LAN Port Absender ausführen. Kommt das beides an ?
Ziehe mal den Zyxel testweise ab und ersetze ihn mit einem Rechner wo ein kleiner Webserver rennt wie z.B. der HFS Server: http://www.rejetto.com/hfs/ Den kannst du direkt von einem Stick oder Verzeichnis ohne Installation starten. Kann der erreicht werden von Clients hinter der pfSense ? Auch hier mal zusätzlich den Ping wie oben direkt von der pfSense testen. Was ergibt dieser Test ?
Natürlich kannst du den HTTP Server auch zusätzlich zum Zyxel ins 10.2.3er Netz stecken.

Zur Frage von oben: Internet Zugriff klappt aber fehlerlos in dem Setup, oder ?

Hallo,

nachdem ich die Optional nochmal aktiviert, 2 Minuten gewartet haben und dann wieder aktiviert habe funktioniert es nun wie gewünscht.
Danke.

Stefan