vom internen LAN auf externe public IP (WAN IF) zuggreifen

Du brauchst eine NAT Regel, die auch MASQ für die interne IP macht.

Das bedeutet, die NAT Regel muss SNAT --> MASQ machen und zusätzlich musst du eine Firewall Regel haben, die LAN to LAN erlaubt. 

LuCar,
kannst du das bitte an einem Beispiel fest machen.

Public IP z.B. (WAN IF)
11.11.11.10 Port 2:6 Service https

Private IP (LAN)
10.10.10.10

Danke für die Hilfe
Stefan

Lucar, die gibt es schon lange da einige SV in der DMZ stehen.
Was mich wundert ist das ich nichts im life log sehe.

Ich greife aktuell auf diesen SV mit dessen DMZ IP zu 172.16.66.170, es greift also die richtige DMZ Rege.

Wie sieht die LAN to DMZ Firewall Regel aus? 

so,

Ja diese Regel wird nicht greifen.

NAT wird im Post-NAT erst die Zone ändern, dann wird die Firewall Regel betrachtet, und dann wird die IP geändert.

Das bedeutet, die Firewall Regel greift nicht, weil DMZ zwar stimmt, aber Destination Network ist nicht die WAN IP.

Wenn du unter Destination Network noch die WAN IP (Also #Port) hinzufügt, wird es funktionieren. 

Wo Luca, FW Regel oder NAT ?

Hab verstanden in der FW DMZ Regel, hilft aber auch nicht, einmal auf Port2:6 (WAN) getestet und danach Dest Zone Any, auch kein Erfolg (:

Die NAT Regel muss über der anderen NAT Regel sein, damit diese den Traffic nicht abgreift. 

Die Firewall Regel muss Source LAN, Destination DMZ und Destination Network WAN IP sein. 

Dann solltest du vom LAN aus dein WAN Interface ansprechen können und im Packet Capture solltest du die richtige Firewall Regel und NAT Regel sehen. 

keine Chance.
Wenn ich in der FW DMZ Regel auf WAN IP stelle und die NAT an erster Stelle, selber Effekt.
Per DMZ IP komme ich ran, jedoch per WAN IP nicht.

Können wir von beiden Interfaces noch die Interface Einstellung sehen? 

Wenn keine Firewall Regel greift, wird der Traffic mit der Default drop verworfen - Default drop wird nicht protokolliert im Logviewer.

Funktioniert denn LAN - ANY - DMZ - WAN IP? 

Können wir von beiden Interfaces noch die Interface Einstellung sehen? 

Wenn keine Firewall Regel greift, wird der Traffic mit der Default drop verworfen - Default drop wird nicht protokolliert im Logviewer.

Funktioniert denn LAN - ANY - DMZ - WAN IP? 

Nein Funktioniert auch nicht:

DMZ

VLAN

LAN

Wieso kommt von Port1 eine IP Adresse mit einem anderen Subnetz? 

Also eine LAN to DMZ Rule mit ANY objects greift auch nicht?

Die Core Switches dahinter machen L3 mit der 172.16 Range
>>Also eine LAN to DMZ Rule mit ANY objects greift auch nicht?
leider nein

Kannst du beide Pakete nochmal schicken? Also eingehend und das verworfene aus dem Paket Capture? Der Packet Capture oben zeigt nur das verworfene. Da drunter müsste noch ein Paket sein. 

hab mal neu gestartet, so wirklich viel sieht man nicht.

werde mal so langsam Feierabend machen
Sollte man hier ev. ein Ticket auf machen wollen ?

Was ist deine WAN IP? Was rufst du im Client auf? Weil die DMZ IP scheint nicht deine WAN IP zu sein. 

doch direkt WAN IP 185.7.209.201 direkt im Browser.
Bis morgen Luca ...

Hab es gefunden wegen deiner Frage, unter besagten DMZ Rule gab es noch ein durch die diese Traffic durchging.

Was ich noch nicht verstehe: Du solltest diesen Traffic sehen: 172.16.33.104 to 185.7.209.201

Daraus sollte mit der NAT Regel gemacht werden: 172.16.66.1 to 172.16.66.170. Darauf sollte die .170 dann antworten. 

Warum du direkt einen Zugriff auf 172.16.66.170 siehst, spricht darüber, das etwas anderes ein NAT vor der Firewall macht. 

gerade aktuell, dierekt auf die WAN IP, NAT 3 ist die besagte NAT ganz am Anfang