Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 18 replies
  • Subscribers 2 subscribers
  • Views 19779 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Can't open port 80

watnemoe1@comcast.net
I have a problem. I have the correct NAT rule in place, DNAT, source: any, service HTTP, destination: WAN, destination translation:web server.

I can see the inbound traffic passing the DNAT rule, but it never hits the firewall rule. The logs don't even show a failure to port 80. Any help would be great

My firewall rule is source:any service: http Destination:web server


This thread was automatically locked due to age.
Parents
  • 0
    I can only think of a few things that would cause the problem you describe:
    • Whenever something strange happens, always check the Intrusion Prevention log for Anti-DoS Flooding activity or an IPS rule being triggered
    • Check that the Host definition for the web server is not bound to an interface, but has 'Interface: >'
    • As Barry said, check that you're using the "(Address)" object (created by WebAdmin when the interface was defined) in the traffic selector Destination, and not a Host/Network Definition that you created.
    • Before the Firewall Allow rule, there's another one that silently drops this traffic


    If you have the three right, try selecting the auto firewall rule in the DNAT - if that works, then your problem must be the last possibility.

    Cheers - Bob
  • 0 in reply to BAlfson
    I can only think of a few things that would cause the problem you describe:
    • Whenever something strange happens, always check the Intrusion Prevention log for Anti-DoS Flooding activity or an IPS rule being triggered
    • Check that the Host definition for the web server is not bound to an interface, but has 'Interface: >'
    • As Barry said, check that you're using the "(Address)" object (created by WebAdmin when the interface was defined) in the traffic selector Destination, and not a Host/Network Definition that you created.
    • Before the Firewall Allow rule, there's another one that silently drops this traffic


    If you have the three right, try selecting the auto firewall rule in the DNAT - if that works, then your problem must be the last possibility.

    Cheers - Bob



    Thank you for the reply. as for IPS, I did see a bunch in there coming from the source IP, so I disabled while I was doing the testing. No difference

    As for the source network, yep I used the any which was created by astaro.
    The inbound rule looks like this any http destination host.

    Whats weird is it replys on port 443 if I change the NAT and inbound rule to HTTPS.
  • 0 in reply to watnemoe1@comcast.net
    Thank you for the reply. as for IPS, I did see a bunch in there coming from the source IP, so I disabled while I was doing the testing. No difference

    As for the source network, yep I used the any which was created by astaro.
    The inbound rule looks like this any http destination host.

    Whats weird is it replys on port 443 if I change the NAT and inbound rule to HTTPS.


    Just a short note to say thank you to the both of you. It did turn out to be an IPS rule that was keeping it blocked. Once I created an exception for that host it was open. Thank you again
  • 0 in reply to watnemoe1@comcast.net
    Just a short note to say thank you to the both of you. It did turn out to be an IPS rule that was keeping it blocked. Once I created an exception for that host it was open. Thank you again


    Ok, I stand corrected. Even through the port shows open, the firewall is dropping the outbound packet. Below is the line that shows is:

    2012:09:02-16:23:02 nyx ulogd[4261]: id="2001" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" fwrule="60002" initf="eth0" outitf="eth2" srcmac="0:c:29:c4:34:70" dstmac="0:60:97[:D]3:84:18" srcip="192.168.1.3" dstip="4.79.142.206" proto="6" length="44" tos="0x00" prec="0x00" ttl="63" srcport="80" dstport="42736" tcpflags="ACK SYN"

    That was all the communication that took place. I did create a outboind rule that looks like this:

    host http any just to male sure that was the cause
Reply
  • 0 in reply to watnemoe1@comcast.net
    Just a short note to say thank you to the both of you. It did turn out to be an IPS rule that was keeping it blocked. Once I created an exception for that host it was open. Thank you again


    Ok, I stand corrected. Even through the port shows open, the firewall is dropping the outbound packet. Below is the line that shows is:

    2012:09:02-16:23:02 nyx ulogd[4261]: id="2001" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" fwrule="60002" initf="eth0" outitf="eth2" srcmac="0:c:29:c4:34:70" dstmac="0:60:97[:D]3:84:18" srcip="192.168.1.3" dstip="4.79.142.206" proto="6" length="44" tos="0x00" prec="0x00" ttl="63" srcport="80" dstport="42736" tcpflags="ACK SYN"

    That was all the communication that took place. I did create a outboind rule that looks like this:

    host http any just to male sure that was the cause
Children
No Data