Lancom Routing Frage

[jhilgers]

Hi Zusammen,

ich habe ein kleines Problem, wo ich derzeit keine Lösung finde. Vielleicht kann mir ja jemand helfen.

Es wird ein eine Unifi Dream Machine Pro als Hauptrouter / Gateway (10.0.1.1) genutzt. Ein Lancom 1783VAW (10.0.1.250, Firmware 10.42.0277Rel) ist als Client im Netz integriert.

Der Lancom soll für die VPN Einwahlzugänge,VOIP und Telekom-Backupleitung genutzt werden.
Desweiteren gibt es noch einen PPTP-Tunnel mit fester IP zum Anbieter Portunity.

Die Standard-Route zeigt zum Hauptrouter 10.0.1.1. DHCP ist natürlich auf dem Lancom ausgeschaltet.
Eine zweite Route mit dem Routing Tag 100 zeigt zur Telekom.
Ein dritte Router mit dem Routing Tag 1 zeigt zu Portunity.

Einkommende Paket von Portunity habe mit mit dem Routing Tag 1 getagged.

Ich würde jetzt gerne über meine feste IP bei Portunity eine Portweiterleitung auf einen internen Webserver machen. Leider funktioniert das nicht.
Port 80 ist auf die interne IP Adresse 10.0.1.55 weitergeleitet.
Bei der Firewall ist noch alles alles offen.

Die Pakete scheinen auch beim Webserver anzukommen:

[IP-Router] 2021/02/06 15:35:10,933
IP-Router Rx (PORTUNITY, RtgTag: 1):
DstIP: 10.0.1.55, SrcIP: 80.187.120.53, Len: 64, DSCP: CS0/BE (0x00), ECT: 0, CE: 0
Prot.: TCP (6), DstPort: 80, SrcPort: 8143, Flags: S
Seq: 4137412963, Ack: 0, Win: 65535, Len: 0
Option: Maximum segment size = 1360
Option: NOP
Option: Window scale = 6 (multiply by 64)
Option: NOP
Option: NOP
Option: 08 = 58 a0 c0 cb 00 00 00 00
Option: SACK permitted
Option: END
Route: WAN Tx (PORTUNITY)

Jedoch kommt keine Rückantwort....

Hätte jemand einen Tip, wie ich das hinbekommen kann? Kann ich im Lancom das einstellen.

Ich habe ja das Gefühl, dass ggfs ein Routing in der UDM Pro eingestellt werden muss, aber ich vermute, dass das dann nicht geht.

Viele Grüße
Jochen

[backslash]

Hi jhilgers,

Ursache des Problems ist, daß du einkommende Sessions mit dem Routing-Tag 1 versiehts... Dein Intranet (10.0.1.x) hat aber vermutlich das Tag 0. Daher sehen die einkommenden Sessions das Netz nicht und die einzige Route zur 10.0.1.55 ist die mit 1 getaggte Defaultroute nach PORTUNITY...

Du hast prinzipiell zwei Möglichkeiten:

1. den Eintrag PORTUNITY wieder aus der WAN-Tag-Tabelle entfernen (es sei denn, du brauchst ihn wirklich)
2. Sessions an den Webserver per FIrewallregel umtaggen - da dein Intranet vermutlich das Tag 0 hat, mußt du in der Firewallregel das Tag 65535 zuweisen:

   Code: Alles auswählen

   Name:        ALLOW_WEBSERVER
   Routing-Tag: 65535
   Aktion:      übertragen
   Quelle:      Gegenstelle PORTUNITY
   Ziel:        10.0.1.55
   Dienste:     Zieldienst HTTP/HTTPS

Gruß
Backslash

[jhilgers]

Hallo Backslash,

vielen Dank für die Hilfe.

Nein, leider hat das nicht geholfen.

Die WAN Tag Tabelle ist jetzt leer.

Der Eintrag bei PPTP ist

Code: Alles auswählen

Peer              IP-Address                                                       Rtg-tag  Port          SH-Time       Encryption         IPv6            
==================-----------------------------------------------------------------------------------------------------------------------------------------
PORTUNITY         pptp2-tp2.ffm.portunity.de                                       0        1723          9999          Off                DEFAULT         

Die Netzwerkliste:

Code: Alles auswählen

Network-name      IP-Address       IP-Netmask       VLAN-ID  Interface           Src-check      Type      Rtg-tag  Comment                                                         
==================-----------------------------------------------------------------------------------------------------------------------------------------------------------------
INTRANET          10.0.1.250       255.255.255.0    0        BRG-1               loose          Intranet  0        local intranet 

In der Routing Tabelle sind folgende Einträge (Telekom wird nur für VOIP genutzt)

Code: Alles auswählen

255.255.255.255  0.0.0.0          100      0               INTERNET               0         on          Yes      Route zu Telekom                                                
255.255.255.255  0.0.0.0          1        0               PORTUNITY              0         on          Yes      Route fuer Portunity                                            
255.255.255.255  0.0.0.0          0        0               10.0.1.1               0         on          Yes      Diese Route wurde durch den Internet-Assistenten erzeugt

Den Firewalleintrag habe ich jetzt so gemacht, wie Du mir gesagt has, aber leider ohne Erfolg.

Code: Alles auswählen

[IP-Router] 2021/02/09 11:55:31,863
IP-Router Rx (PORTUNITY, RtgTag: 0): 
DstIP: 10.0.1.55, SrcIP: 80.187.121.113, Len: 64, DSCP: CS0/BE (0x00), ECT: 0, CE: 0
Prot.: TCP (6), DstPort: 80, SrcPort: 20807, Flags: S
Seq: 2690437474, Ack: 0, Win: 65535, Len: 0
Option: Maximum segment size = 1360
Option: NOP
Option: Window scale = 6 (multiply  by 64)
Option: NOP
Option: NOP
Option: 08 = 30 d8 f3 ea 00 00 00 00
Option: SACK permitted
Option: END
Route: BRG-1 Tx (INTRANET): 

Gruss
Jochen

[backslash]

Hi jhilgers

wieso kein Erfolg? Das Paket wird doch korrekt geroutet:

Code: Alles auswählen

Route: BRG-1 Tx (INTRANET): 

es kommt aber offenbar keine Antwort... kann es sein, daß das LANCOM für den WEB-Server nicht das Default-Gateway ist?
Das Problem liegt jetzt dedenfalls nicht mehr beim LANCOM...

Gruß
Backslash

[jhilgers]

Hi Backslash,

ja, das ist das Problem.

Der Webserver hat natürlich das Default-Gateway 10.0.1.1 vom DHCP Server erhalten.

Also würde das bedeuten, dass es wahrscheinlich nur diese Möglichkeiten gibt:
- Im DHCP setzte ich das Gateway auf das Lancom 10.0.1.250, dann würde der ganze Traffic über das Lancom geroutet und dann wieder an die 10.0.1.1
- Wenn das im DHCP Server vom der UDM PRO nicht gehen sollte, nutze ich einfach den DHCP vom Lancom.
- Oder ich gebe dem Webserver einfach eine feste IP...

Oder sehe ich das falsch oder gibt es noch andere Möglichkeiten?

Aber auf jeden Fall vielen Dank.

Gruss
Jochen

[backslash]

Hi jhilgers,

alöso ich würde an deiner Stelle das machen:

- Oder ich gebe dem Webserver einfach eine feste IP...

(damit meist du doch das Gateway -oder?)
Das hätte den Vorteil, daß du dir keine andern Problem einhandelst... (z.B. mit Rechnern, die nicht auf ICMP-Redirects reagieren - was den Traffic in deinem Netz im schnlimmten Fall verdreifachen würde)
Auf den WEB-Server darf dann aber nicht von andren Netzen aus zugeriffen werden. Oder du mußt dafür passende Routen aufnehmen - entweder im WEB-Server oder im LANCOM.

Gruß
Backslash