Portweiterleitung ipfire

Hallo,

habe hier eine Telekom Digibox und eine IPfire.
Hier wurde eine Portweiterleitung für den Port 443 eingerichtet, welche die ganze Zeit funktioniert hatte.
Jetzt geht es aber nicht mehr und ich verstehe gerade nicht warum.

In der Digibox sieht das so aus:

In der IPfire so:

Im Log ist dann das zu sehen:

Für mich sieht das erst einmal alles richtig aus und verstehe gerade nicht, warum der Port 443 geblockt wird und es nicht mehr geht.
Vor ein paar Tagen ging es noch und dann ist wohl ein Zertifikat für den VPN Tunnel abgelaufen und da war ein anderer IT'ler dran und hat das CA erneuert. Seit dem geht es nicht mehr. Und wie es so sein soll, ist derjenige nun in Urlaub und nicht erreichbar

Jemand hier der ggf. eine Idee dazu hat?

Gruß, herry

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 385519

Url: https://administrator.de/forum/portweiterleitung-ipfire-385519.html

Ausgedruckt am: 11.04.2025 um 08:04 Uhr

9 Kommentare

Neuester Kommentar

Kann ja nicht gehen.

Quellport 443? Das Feld "Quelle" im Abschnitt Protokoll muss leer sein denn Anfragen von Clients kommen ja nicht von Port 443 sondern von irgendeinem random ephemeral Port!!

https://wiki.ipfire.org/configuration/firewall/rules/port-forwarding

Step 4: Protocol

You will want to pick one or more services that you will forward to the server you just choose, but never select “All” here.

Use a preset if you cannot remember the port number or select a protocol from the dropdown menu and enter the destination port you need. If you want to use a different port externally, you may enter it in “External port (NAT)” or leave it empty.

Choose the following to forward a WAN / RED port to a single internal server.

    Choose a protocol, TCP, UDP are the most common.
    Source port: = Blank, This is the port the client was using to talk to you.
    Destination port: = The port the server is listening to.
    External port (NAT): The port number the rest of the world will talk to, normally “Blank” for the same port as Destination port.

Man sieht ja am Log das das Forwarding im Telekom-Router korrekt durchgegangen ist, und es an der IPFire und deiner Regel liegt, die eben durch die falsche Angabe des Quellports nicht matcht und dadurch die Pakete geblockt werden.

Hallo,

Zitat von @Akcent:
war ein anderer IT'ler dran und hat das CA erneuert. Seit dem geht es nicht mehr.

Kann mann denn sehen was der andere geändert hat (auch evtl. versehentliche änderungen)? IPs wurden nirgends geändert? Maschinen schon mal neu gestartet?

Gruß,
Peter

Zitat von @137084:

Kann ja nicht gehen.

Quellport 443? Das Feld "Quelle" im Abschnitt Protokoll muss leer sein denn Anfragen von Clients kommen ja nicht von Port 443 sondern von irgendeinem random ephemeral Port!!

https://wiki.ipfire.org/configuration/firewall/rules/port-forwarding

> Step 4: Protocol
> 
> You will want to pick one or more services that you will forward to the server you just choose, but never select “All” here.
> 
> Use a preset if you cannot remember the port number or select a protocol from the dropdown menu and enter the destination port you need. If you want to use a different port externally, you may enter it in “External port (NAT)” or leave it empty.
> 
> Choose the following to forward a WAN / RED port to a single internal server.
> 
>     Choose a protocol, TCP, UDP are the most common.
>     Source port: = Blank, This is the port the client was using to talk to you.
>     Destination port: = The port the server is listening to.
>     External port (NAT): The port number the rest of the world will talk to, normally “Blank” for the same port as Destination port.
> 

hmmm .... der Client der den Service nutzt, ruft aber den Port 443 explizit auf (Exchange Active Syn)

Hab das mal geändert, geht aber immer noch nicht.

war ein anderer IT'ler dran und hat das CA erneuert. Seit dem geht es nicht mehr.

Kann mann denn sehen was der andere geändert hat (auch evtl. versehentliche änderungen)? IPs wurden nirgends geändert? Maschinen schon mal neu gestartet?

Kann leider nichts erkennen.

Ja die Firewall wurde auch schon 1x neu gestartet

Moin,

auf der Telecom Box ist es korrekt.
Auf der IPfire muss das Portforwarding aber (wie der Kollege @137084 schon sagte) geändert werden. Im Prinzip sollte es dort so aussehen wie bei der Telecom Box.

Gruß
Spirit

hmmm .... der Client der den Service nutzt, ruft aber den Port 443 explizit auf (Exchange Active Syn)

Du verstehst falsch! Das was der Client aufruft ist der Zielport, den Quellport den das Paket bekommt wählt der Client bzw. dessen NAT Router random aus den ephemeral Ports und genau das ist hier mit Quellport gemeint!

Zeig uns doch mal bitte dein ganzes Firewall-Regelwerk, evt. steht die Regel an der falschen Position und wirkt damit nicht..

hmmm .... der Client der den Service nutzt, ruft aber den Port 443 explizit auf (Exchange Active Syn)

ok und Danke für die Info

Zeig uns doch mal bitte dein ganzes Firewall-Regelwerk, evt. steht die Regel an der falschen Position und wirkt damit nicht..

Es gibt nur eine Regel

Jetzt geht es.
Auf dem Server mußte ich noch einen Dienst neu starten.

Danke für die tolle Unterstützung hier.
Lösung war wohl den Quellport leer zu lassen.