Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 24 replies
  • Subscribers 2 subscribers
  • Views 16831 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

DNAT Madness

ggbrown
We have an ASG120 between our Cable internet connection and our internal network (Masquaraded).

Going OUT from the internal network works no problem. I've checked a few features (blocking certain sites etc) and they work fine, but I want to enable ssh access to a server from outside our network, and eventually HTTP to a webserver.

Despite following the knowledgebase article 239708 to the letter, I am never forwarded to the server on our internal network. I continually time out.

My DNAT rule is as follows:
Name: SSH to Server
Traffic Source: Any
Traffic Service: SSH
Traffic Destination: External(Address)
NAT Mode: DNAT (Destination)
Destination: Main Server (established in Definitions)
Destination Service: SSH
Auto Packet Filter: unchecked

In Packet Filter I have a rule:
Position: Bottom
Source: External(Address)
Service: SSH
Destination: Main Server
Action: Allow

Both DNAT and Packet Filter rule are enabled, however, it still times out.

However, if i disable the DNAT rule, I can ssh into the Astaro box itself.

Am I missing the obvious here?

Many thanks,
Grant


This thread was automatically locked due to age.
  • 0
    Hello,

    You have to set "Source:" to "Any" or the specific host/network from where you want to access the SSH service.
    Alternativley, set  "Auto Packet Filter" to "yes".

    regards,
      martin
  • 0 in reply to Sidi
    Thanks for the reply Martin, but can you clarify?

    "You have to set "Source:" to "Any" or the specific host/network from where you want to access the SSH service."

    Are you referring to the Source on my Packet Filter Rule, or on the DNAT rule?


    Thanks,
    Grant
  • 0 in reply to ggbrown
    disable ssh access on astaro, and your dnat/pf rules should work
  • 0 in reply to gkemter
    Or use a different port for either your SSH DNAT, or Astaro's SSH.

    I use 2222 for my DNAT.

    Barry
  • 0 in reply to ggbrown
    Hello,

    Thanks for the reply Martin, but can you clarify?

    "You have to set "Source:" to "Any" or the specific host/network from where you want to access the SSH service."

    Are you referring to the Source on my Packet Filter Rule, or on the DNAT rule?


    Thanks,
    Grant


    I mean the Source in the Packet Filter rule.
    And yes, if you want to access both SSH daemons on the firewall and your server you have to change
    the port of one of them to a different port (2222 for example).

    regards,
      martin
  • 0 in reply to BarryG
    Or use a different port for either your SSH DNAT, or Astaro's SSH.


    Barry,

    I changed to port 2222 for my ASG ssh access, and I can ssh into that, but still no luck being forwarded to my server.

    This is also not just an ssh thing. I set up a similar DNAT rule to access my webserver, but I have the same problem. At least in the HTTP case when it times out I get an Astaro page with the error message "Connection to server timed out"

    Is there a recommended simple test I can do just to confirm the DNAT forwarding IS working?

    Thanks. This is my last setup task (ssh & http DNAT) before I can put this into production. 

    Grant
  • 0 in reply to ggbrown
    As others have mentioned, the source in your packet filter rule needs to be "any", not the external network.
    Also, make sure you have not bound the internal server's definition to an interface, leave the i/f set to any.
  • 0 in reply to Jack Daniel
    As others have mentioned, the source in your packet filter rule needs to be "any", not the external network.
    Also, make sure you have not bound the internal server's definition to an interface, leave the i/f set to any.


    I have made the suggested adjustments, but still no luck. My current configuration is as follows:

    Definition

    Name: Main Server
    Type: Host
    Address: 192.168.219.10
    Interface: >

    DNAT Rule

    Traffic Source: any
    Traffic Service: SSH
    Traffic Destination: External(Address)
    NAT Mode: DNAT (Destination)
    Destination: Main Server

    Packet Filter Rule

    Source: Any
    Service: SSH
    Destination: Main Server
    Action: Allow
  • 0 in reply to ggbrown
    Are there and DNAT rules higher in the list which might be intercepting traffic before this rule?
    It is also possible that a bad NAT rule is causing problems for all of the NATs on the system, this would be obvious by looking at iptables from the shell.
  • 0 in reply to Jack Daniel
    Are there and DNAT rules higher in the list which might be intercepting traffic before this rule?


    No higher DNAT rules.

    One NAT Masquarading rule defined:

    Network: Internal(Network)
    Interface: External

    I do appreciate your suggestions.