Не работает port forwarding, когда на внешнем интерфейсе белый ip предоставляется NATом провайдера, почему?

Question

[civdef]

Здравствуйте, имеется pfsense с двумя интерфейсами, назовём их внутренний и внешний. Провайдер даёт с помощью Nat белый адрес на внешний интерфейс. На сервере выполнен port forwarding с внешнего интерфейса на сервис который находится за внутренним интерфейсом. При обращению на внешний интерфейс port forwarding работает. При обращении на белый ip (который предоставляется с помощью nat) не работает. Почему не отрабатывает такая конфигурация и как сделать чтоб работало?

Comments

[Karpion]

Вы пишете "На сервере" - и тут уже непонятно, на каком именно сервере. Наверно, это pfsense - но я не уверен.

Вы пишете "При обращению на внешний интерфейс port forwarding работает.". Судя по написанному выше - речь про pfsense. Но непонятно, что значит "обращение на внешний интерфейс", если обращения адресуются на IP-адрес.

Надо внимательно изучить конфиг pfsense. В первом приближении мне кажется, что там форвардится что-то не то - включая вариант опечатки.

"При обращении на белый ip (который предоставляется с помощью nat) не работает." - неясно, откуда обращаются. Тут проблема - в том, что NAT, скорее всего, перехватывает обращения снаружи и не перехватывает обращения изнутри.

Answer 1

[Drno]

А какой ip показывается ЗА NAT, например на 2ip ?
Может у вас на интерфейсе внутренний IP ?

Comments

[civdef]

Сам pfsense показывает белый ip действующей сети предприятия. Сервер планируется только для проброса портов.
Так получается что оба интерфейса в моих сетях. Подобная схема, описанная в вопросе, работает уже на kerio. На pfsense НЕТ.

[АртемЪ]

civdef,

Сам pfsense показывает белый ip действующей сети предприятия

Где показывает? Это адрес полученный от DHCP провайдера?

[Drno]

Соглашусь с пред оратором, но допишу. Какой IP получает pfSence на свой внешний интерфейс??
Он совпадает с Вашим белым IP ?
pfSence же открывает тот адрес, который указан у него на WAN интерфейсе... Пропишите его - должно заработать

[civdef]

АртемЪ, это это когда я по 2ip проверяю по какому адресу pfsense может выходить в интернет.
Drno, на pfsense оба интерфейса статические из моих 2х сетей, ip внешнего интерфейса не совпадает с белым адресом и к сожалению не может быть прописан там, его возможно только с помощью nat передать.
Почему то pfsense не отрабатывает таким образом.

[Drno]

civdef, потому что pfSence реагирует на адрес, который у него указан на интерфейсе. А не на внешний адрес!
Коммент - для pfSence внешним является адрес, который Вы указали ему на интерфейс. Его не волнует какой там адрес выше

[civdef]

Drno, А как это обойти? Что бы он NAT на внешний интерфейс воспринимал и работал с ним своим полным функционалом.
На kerio данная схема работает.

[Drno]

Вот там ниже обхяснили почему так. Если я не ошибаюсь, надо настроить "обратный" NAT

[civdef]

Всем спасибо. Вопрос можно считать закрытым.
Проблема была в том что у меня pfsense для себя не является шлюзом по умолчанию и поэтому необходимо было настроить исходящий нат для правила port forwarding.
Кому интересно правило делаем для lan интерфейса и в Destination указываем адрес на который пробрасываем с требуемым портом.
P.S. А на самом деле в том, что не достаточно разобрался в данном вопросе.

[Drno]

civdef, предполагалось что pfsence является роутером)
хорошо что решилось

Answer 2

[Diman89]

Может, вам hairpin nat нужен?

Comments

[civdef]

Спасибо за совет, сейчас попробую.
udp. hairpin nat у меня уже работает, что интересно, а из внешнего мира доступа нет.

Answer 3

[Александр]

понятия NAT и Белый IP - взаимоисключающие. Если у вас NAT - значит у вас не может быть белого IP, а если у вас белый IP и все работает - то это точно не NAT.

Раз не работает - то скорее всего у вас NAT и белым IP даже не пахнет.

Comments

[civdef]

Я понимаю что схема описная мной несколько кривая.
А так, получается что мне нужно занатить белый ip на внешний интерфейс, при этом pfsense осуществляет port forwarding на адрес в среде внутреннего интерфейса. И это на pfsense не работает. А на kerio работает.

[Karpion]

Вообще говоря, NAT'ить можно любые адреса. Т.е. - не взаимоисключающие.
Однако, если провайдер NAT'ит клиента -то функциональность, которую называют словом "Белый IP", действительно теряется - так же, как если бы IP был серый.

[АртемЪ]

Александр

понятия NAT и Белый IP - взаимоисключающие

Это почему?
Я например без проблем делаю трансляцию с одного белого IP на другой белый IP.
В общем NAT прекрасно работает перебрасывая данные между двумя белыми адресами.

[АртемЪ]

civdef,

А так, получается что мне нужно занатить белый ip на внешний интерфейс

Это как? Что значит занатить на внешний интерфейс?

[civdef]

АртемЪ, внешний и внутренний - это условное обозначение интерфейсов. Я могу передать только с помощью nat на "внешний интерфейс" один из белых адресов, что бы уже pfsense разрулил трафик через правило во внутреннюю сеть.
При разрешении всего трафика на WAN порт по белому ip адресу становится доступна админка, в связи с чем я делаю вывод что nat на fpsense отрабатывает, а дальше не работает.

Answer 4

[iddqda]

При обращению на внешний интерфейс port forwarding работает.

ОК

При обращении на белый ip не работает

обращении откуда?
если изнутри, то правильно не работает

смотри
S - внешний адрес сервера
s - внутренний адрес сервера
c - внутренний адрес клиента
(src->dst) - IP пакет с адресами источника и назначения

1. вы посылаете пакет от клиента на внешний адрес сервера (с -> S)
2. пакет проходит файрвол, который делает порт-форвардинг т.е. натит внешний адрес в внутренний
пакет пр(c -> s)
3. сервер получает этот пакет и отвечает пакетом (s->c) т.е. в качестве исходящего адреса используется внутренний адрес сервера.
4. клиент получает пакет от сервера, но он ждет пакет от адреса S а получает от адреса s
поэтому он его отбрасывает и ждет дальше

чтоб побороть такое поведение используют два подхода:
1. hairpinning - это когда используют левую сеть для трансляциии пакетов от внутренних клиентов к внутренним сервисам
2. dnz view когда для внутренних клиентов DNS держит отдельную зону с внутренними адресами.

Comments

[civdef]

На самом деле при обращении изнутри на белый ip адрес port forwarding (который мы получили натом) - РАБОТАЕТ. А при обращении с другой территории нет.
Поэтому и мысль что не хватает какого либо правила, на разрешения трафика pfsense или галка не стоит где надо (разрешить всё всем на wan интерфейс ставил, только админка по белому адресу). Хотя уже тонны документации перечитал и всё что угодно перепробовал.