Webserver in VLAN nach außen freigeben

Wirklich als reines Modem oder wieder laienhaft Modem und Router verwechselt und in Wahrheit ist es eine Router Kaskade mit doppeltem NAT ?
IPsec IKEv2 VPN für mobile Benutzer auf der pfSense oder OPNsense Firewall einrichten

Wie Kollege LKS schon richtig sagt ist es sinnfrei NAT auf dem Mikrotik zu aktivieren, das sollte man niemals machen.
Besser ist dort ohne NAT zu arbeiten und transparent zu routen !
Siehe dazu auch:
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
und
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router

Leider vermutlich gar nicht
Der Grund sind die limitierten Features der FritzBox als billiges Consumer Gerät. Du darfst da nicht das Featureset des Mikrotik voraussetzen !
Normal wäre das ja kein Problem. Du richtest ein Port Forwarding von TCP 80 und TCP 443 auf die lokale IP Adresse des NextCloud Servers ein und gut iss. Mit einem normalen Router alles kein Problem.
Bei der FritzBox kannst du aber keine Port Forwardings auf IP Adressen einrichten die NICHT im lokalen LAN liegen.
Auch dann nicht wenn diese IP Adressen über statische Routen erreichbar sind.
Deshalb wirst du das so mit der FB Hardware nicht umsetzen können. (geändert, siehe Feedback von LKS unten !)
Wie gesagt nur wenn die vor dem MT liegende FritzBox als NAT Router arbeitet in einer Router Kaskade.

Ist es wirklich so das die FB als reines Modem arbeitet, du also das Internet direkt auf dem MT terminierst, dann sieht die Welt natürlich ganz anders aus. Dann ist das über eine einfache Port Forwarding Regel im MT umzusetzen. Quasi wie es vorher war bei dir mit der FB.
Da aber AVM den reinen Modem Betrieb mit den FBs nicht mehr supportet gehen wir mal davon aus das du dein Design hier technisch falsch beschrieben hast und es vermutlich doch ein Kaskaden Design ist...?!
Fazit:
Du wirst dann nicht umhin kommen deinen NextCloud Server wieder direkt ins Koppelnetz zw. FB und MT zu legen (LAN Port der FB) und dann mit einfachem Port Forwarding auf der FB zu arbeiten.
Ist vermutlich auch nicht das Schlechteste, denn so musst du nicht das Loch das du mit dem Port Forwarding in deine FB gebohrt hast auch noch direkt auf die Netze hinter dem MT ausweiten.
Gerade bei den Allerwelt Ports TCP 80 und 443 ist das ein erhebliches Risiko.
Letztlich das das also der bessere Weg es dann so zu machen.

Ich meine das geht. Muß ich aber nichmal nachschauen.

lks

Wie zu erwarten. Das wird hier leider sehr oft falsch beschrieben.
Ja, richtig.
Option 2 macht so oder so Sinn, denn keiner würde ungeschützten Traffic gerne in seinem Heimnetz haben.
Die DMZ ist für Port Forwarding Traffic der richtige Ort.

Gerade mit einer 7590 ausprobiert. Portweiterleitung auf ein Gerät hinter einem DD-WRT-Router funktioniert ohne Probleme.


lks

Und das ohne NAT auf dem DD-WRT ???

Jupp.

lks

Cool !
OK, dann nehm ich alles von oben zurück und behaupte das Gegenteil. Ich habe hier noch eine olle FB rumliegen. Werde ich auch mal checken obs da mit der aktuellen Firmware auch funktioniert !
Danke auf alle Fälle für das informative Feedback !!

Dann kann der TO das ja doch so umsetzen.
Allerdings sollte er dennoch besser den NC Server in der DMZ belassen. Es ist sicher wenig sinnvoll, wie oben schon mehrfach gesagt, ungeschützten Internet Traffic direkt in sein Heimnetz zu lassen.
Noch wichtiger ist dann auch das er dass sinnfreie NAT auf dem Mikrotik deaktiviert.
Infos dazu siehe auch hier:
Mikrotik VLAN Konfiguration ab RouterOS Version 6.41

Man muß die IP-Adresse manuell eingeben. Man darf sich nicht davon irritieren lasen, daß er einem eine Liste der lokalen Geräte an den Kopf wirft. Irgendwo steht da noch "manuelle Eingabe".

lks