vom internen LAN auf externe public IP (WAN IF) zuggreifen

Du brauchst eine NAT Regel, die auch MASQ für die interne IP macht.

Das bedeutet, die NAT Regel muss SNAT --> MASQ machen und zusätzlich musst du eine Firewall Regel haben, die LAN to LAN erlaubt. 

LuCar,
kannst du das bitte an einem Beispiel fest machen.

Public IP z.B. (WAN IF)
11.11.11.10 Port 2:6 Service https

Private IP (LAN)
10.10.10.10

Danke für die Hilfe
Stefan

Das tut es auch nicht. Im "Usage" Counter der NAT Regel wird aber was mit gezählt,
jedoch sehe ich das bei "Connection List" nicht.
Ja die 2:6 stimmt hier

Wie sieht die Firewall Regel dazu aus? Und wie ist die Reihenfolge der beiden NAT Regeln? 

LuCar Toni Luc,
die neue NAT ist vorletzte aber vor der Standard SNAT.
Hier die FW Regel

 LuCar Toni lucar,
hab mal die Pakete auf der FW mit geschnitten.
Da werden die wohl geblockt weil er durch du DMZ will. Interessanterweise sehe ich das nicht im life log.
Port 1= LAN / Port3.400 DMZ VLan

Du musst LAN to DMZ als Regel anlegen. 

Lucar, die gibt es schon lange da einige SV in der DMZ stehen.
Was mich wundert ist das ich nichts im life log sehe.

Ich greife aktuell auf diesen SV mit dessen DMZ IP zu 172.16.66.170, es greift also die richtige DMZ Rege.

Wie sieht die LAN to DMZ Firewall Regel aus? 

so,

Ja diese Regel wird nicht greifen.

NAT wird im Post-NAT erst die Zone ändern, dann wird die Firewall Regel betrachtet, und dann wird die IP geändert.

Das bedeutet, die Firewall Regel greift nicht, weil DMZ zwar stimmt, aber Destination Network ist nicht die WAN IP.

Wenn du unter Destination Network noch die WAN IP (Also #Port) hinzufügt, wird es funktionieren. 

Ja diese Regel wird nicht greifen.

NAT wird im Post-NAT erst die Zone ändern, dann wird die Firewall Regel betrachtet, und dann wird die IP geändert.

Das bedeutet, die Firewall Regel greift nicht, weil DMZ zwar stimmt, aber Destination Network ist nicht die WAN IP.

Wenn du unter Destination Network noch die WAN IP (Also #Port) hinzufügt, wird es funktionieren. 

Wo Luca, FW Regel oder NAT ?

Hab verstanden in der FW DMZ Regel, hilft aber auch nicht, einmal auf Port2:6 (WAN) getestet und danach Dest Zone Any, auch kein Erfolg (:

Die NAT Regel muss über der anderen NAT Regel sein, damit diese den Traffic nicht abgreift. 

Die Firewall Regel muss Source LAN, Destination DMZ und Destination Network WAN IP sein. 

Dann solltest du vom LAN aus dein WAN Interface ansprechen können und im Packet Capture solltest du die richtige Firewall Regel und NAT Regel sehen. 

keine Chance.
Wenn ich in der FW DMZ Regel auf WAN IP stelle und die NAT an erster Stelle, selber Effekt.
Per DMZ IP komme ich ran, jedoch per WAN IP nicht.

Können wir von beiden Interfaces noch die Interface Einstellung sehen? 

Wenn keine Firewall Regel greift, wird der Traffic mit der Default drop verworfen - Default drop wird nicht protokolliert im Logviewer.

Funktioniert denn LAN - ANY - DMZ - WAN IP? 

Nein Funktioniert auch nicht:

DMZ

VLAN

LAN

Wieso kommt von Port1 eine IP Adresse mit einem anderen Subnetz? 

Also eine LAN to DMZ Rule mit ANY objects greift auch nicht?

Die Core Switches dahinter machen L3 mit der 172.16 Range
>>Also eine LAN to DMZ Rule mit ANY objects greift auch nicht?
leider nein

Kannst du beide Pakete nochmal schicken? Also eingehend und das verworfene aus dem Paket Capture? Der Packet Capture oben zeigt nur das verworfene. Da drunter müsste noch ein Paket sein. 

hab mal neu gestartet, so wirklich viel sieht man nicht.