DNAT zugriff auf Server hinter Fritz box und Sophos

Vielen Dank für die Nachricht,

über die WAN IP komme ich rein, das klappt der Port 443 ist durch die DNAT Regel auch offen.

Leider bekomme ich über die restlichen Ports keine Rückmeldung,

diese sind zwar im Dienst mit angelegt werden jedoch nicht geroutet.

Kann es sein, dass der SSL VPN Dienst der Sophos an dieser Stelle blockt?

Muss ich die Ports umlegen und andere nutzen?

Vielen Dank.

Hi FaM,

Can you update Quellport to * instead of 443  and keep Zielport as it is  check?

Thanks and Regards

This update was allready done. 

Thanks and Regards.

This update was allready done. 

Thanks and Regards.

Hallo,

nur zum gegenchecken, hast du beim Quellport 1:65535 eingetragen?

Kannst du nochmal einen Screenshot von den Services machen?

Hallo Thomas,

ich sehe, dass Sie ähnliches für den Quellport vorschlagen wie das, was mein Problem löste. Warum sollte / müsste das aber so sein?

Danke für eine Antwort.

Hallo Fabian,

das Paket kommt (anhand deines Postings unten, vermutlich) an der Sophos mit einem zufälligen Port (NAT) an - solltest du auf der Sophos auch genau so sehen - der zufällige Port wird im Service beim Quellport dadurch definiert und der Zielport gibt dann den tatsächlichen Port an, welcher am Ziel erlaubt wird.

Bei deinem Log-Auszug nehme ich jetzt mal Port 443 (HTTPS) als Beispiel:

Fritzbox (1.2.3.4) schickt die Anfrage mit einem zufälligen Port (54321) an die Sophos (5.6.7.8) weiter -> Sophos bekommt das Paket mit 1.2.3.4:54321 - löst es auf und weiß es muss an den Server 10.11.12.13 als 443 (HTTPS) weitergereicht werden.

Die Service-Definition bei HTTPS ist somit Quellport 1:65535 (zufälliger Port 54321) / Zielport 443

Würde deine Service-Definition Quellport 443 / Zielport 443 sein, nimmt die Sophos das Paket nicht an, weil der Port 54321 nicht im Quellport enthalten ist und wird somit korrekterweise geblockt, weil nur ausschließlich Port 443 als Quellport zugelassen wird.

Wenn du 1:65535 / 1:65535 machen würdest, würde die Sophos JEDEN Port an den Server weiterreichen. mit 1:65535 / 443 eben nur HTTPS.

Hallo Thomas,

besten Dank für die Antwort, genau so ist es. Aber: Warum? Ich habe kein Setting gefunden, dass ich hierzu eingestellt habe oder derart korrigieren könnte. Quelle Any -> Destination bestimmter Port ist so umgesetzt und funktioniert, der Grund ist mir aber unklar.

Schau bei der Fritzbox den Port des Requests an, der beim WAN reinkommt. Ich nehme an, die Fritzbox reicht diesen Port 1:1 weiter an die Sophos.

Davon gehe ich auch aus. Für mich stellt sich nur die Frage, woher die Port-Maskierung kommt... Die "Random Ports" (Üblicherweise > 50.000 nachdem was ich sehe) gibt es sowohl bei externen anfragen als auch bei internen... Maskiert die Fritz da was?

Ich kenne dein Setup und deine Konfiguration nicht, deshalb kann ich dir hier keine konkrete Antwort geben.

Aber wenn die Fritzbox den Request nur weiterreicht (original IP, original Service), ist das Verhalten korrekt und die Sophos löst den Request dann erst auf.

Danke für die Antwort. Ich denke ich werde dann einen Support aufsuchen, der sich in meiner Umgebung kurz umschauen kann, sodass ich die Probleme auch korrekt identifizieren kann. Zwischenfrage vorab noch kurz: Kann es ein dazwischenhängender Switch sein, der die Ports verändert?