Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 5 replies
  • Subscribers 2 subscribers
  • Views 2439 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Port forwarding issues

egsadmin
Hello, I am testing UTM9 (home edition for now) to replace our Zywall USG 50 but can't get port forwarding to work. As an example, forwarding HTTP to a server on the lan is set in NAT as:

Traffic Source: Any 
Traffic Service: HTTP
Traffic Destination: External (address)
NAT Mode: DNAT (destination)
Destination: Webserver (defined in Network Definitions)
Destination Service: left blank
Automatic Firewall rule

I cannot get any of the servers to respond. They are all working fine, when I put the ZyWall back in all works perfectly.

It does not seems to be a firewall issue, adding a top rule like any->any->any to allow all traffic did not help.

I also disabled all other services such as IPS, Web Protection, etc. but no luck.

Does anyone have a guess of what could be wrong?


This thread was automatically locked due to age.
Parents
  • 0
    If the FQDN points to the UTM's external/public IP address, you'll need to create a full nat for internal traffic.

    What happens with a DNAT in this scenario is that the UTM rewrites the destination IP (but not the source) before forwarding the traffic. When the server gets the traffic, it sees the client is on it's network so instead of forwarding the reply back to the UTM, it sends it direct. This confuses the client which drops the traffic.

    The full NAT rewrites both the source and destination IP's so that the server sees the UTM as the client, not your internal PC. Traffic then gets routed properly. The only downside is that the server's logs will always show the UTM as the source for any internal traffic. So if you need correct logging by IP for inetrnal clients, this will not work.
  • 0 in reply to TheDrew
    Thank you both very much for the feed-back. Full NAT solved the issue, we can live with the loss of logging info so we'll keep it this way.
    Best,
Reply Children
No Data