Port forwarding mit Watchguard

[nimo 11]

Hallo,

 

Würde gerne mal vom Internet aus zum Test auf meinen Exchange via Webinterface zugreifen.

Nur leider weiß ich nicht wie und ob man überhaupt einen Port bei der Watchgurad Firebox Soho 6 forworden kann.

Verstehe das Regelsystem nicht.

 

 

habe folgendes Szenario:

 

 

AVM Fritz Box:

 

Einwahl ins Internet via DSl.

 

Extern: dyndns

Intern: 192.168.3.32

 

Port 80 auf IP 192.168.3.22 geforwordet.

 

Watchgurad Firebox Soho 6:

 

Reine Firewall Funktion.

 

Extern: 192.168.3.22

Intern: 192.168.2.100

 

Webserver:

 

Win 2003 Server

 

IP: 192.168.2.2

[IThome 10]

Du stellst von "No Rule" im Incoming-Bereich auf "Allow" und gibst die interne Adresse Deines Servers an. Allow steht für explizites Erlauben, Deny für explizites Verweigern, bei No Rule wird diese Regel nicht gelesen und es ist von anderen Regeln abhängig, ob der spezifische Verkehr durchgelassen wird oder nicht (Stellst Du alles auf No Rule und Outgoing auf Allow, ist alles erlaubt, weil keine spezifische Regel erlaubt oder verbietet und die zuletzt angewendete Outgoing-Regel auf Erlauben steht).

Watchguard arbeitet mit einer Precedence (Vorrang). Die Reihenfolge der Regeln wird dadurch bestimmt, wie spezifisch eine Regel ist (wenn es pro Port mehrere Regeln gibt). Existiert keine Regel, die einen spezifischen Port behandelt, wird die Outgoing-Regel befragt. Existieren mehrere Regeln für einen Port, gelten folgende Regeln von der niedrigsten bis zur höchsten Priorität:

Any - Any

List - Any

Any - List

List - List

IP - Any

Any - IP

IP - List

List - IP

IP - IP

Es werden also erst alle Regeln gelesen (ausser Outgoing), passt eine Regel, wird je nach Konfiguration erlaubt oder verweigert. Steht die Regel auf No Rule, wird sie ignoriert. Existieren mehrere Regeln für den gegebenen Port, wird anhand der Precedence-Regeln ermittelt, in welcher Reihenfolge abgearbeitet wird. Passt keine Regel oder sind die passenden Regeln auf No Rule gestellt, wird Outgoing angewendet.

Warum hast Du eigentlich 2 SPI-Router nacheinander laufen ? Die Fritzbox kann man doch auch als Modem benutzen oder ?

[nimo 11]

Du meintest doch allow bei der http Regel, oder ?

 

Wenn ja kommt diese Meldung im Log:

 

allowed from 84.170.130.** port 64293 to 192.168.3.22 port 80 TCP SYN (HTTP)

 

Nur leider funktioniert es nicht, wieso ?

Wie merke ich ob die Anfrage beim IIS ankommt ?

Muss man das webinterface erst fürs Internet freigeben, denn im ie kommt Sie haben nicht die erforderlichen Rechte.

 

Ich weiß auch nicht. Ich mag die FritzBox. Natürlich sind zwei Paketfilter hinter einander doof, nur denke mir immer wenn ein Systemfehler bei der FritzBox ausgenutzt wird habe ich noch die Watchguard dahinter.

[IThome 10]

Hast Du auch HTTPS umgeleitet ?

Incoming - Allow - 192.168.3.22

[nimo 11]

wenn https 443 ist dann ja. Das wird aber auch laut log nicht angesprochen.

[IThome 10]

Die Watchguard hat auch eine Loggingfunktion, Du kannst z.B. von Kiwi einen Syslog Daemon herunterladen ...

edit: die Umleitung oben ist falsch, natürlich die Weiterleitung der Watchguard auf die 192.168.2.2

[nimo 11]

Gebe einfach die aktuelle IP ind den ie ein.

 

habe auch schon ip:443 probiert.

[IThome 10]

Wenn Du SSL probierst, musst Du http://HTTPS://... eingeben ... Was hast Du jetzt als Umleitungsziel auf der Watchguard eingegeben und für welche Protokolle ?

[nimo 11]

Wieso denn SSL ?

Als ziel ist der Webserver (192.168.2.2) an gegeben.

Wie gesagt, habe das Gefühl das die anfrage auch bei Ihm ankommt, da ja die meldung Sie haben nicht die Berechtigungen dazu .... Wie kann ich das überprüfen ?

[IThome 10]

Sie haben nicht die Berechtigung ... bedeutet doch, dass Du zum Server kommst, aber abgewiesen wirst, also scheint die Umleitung zu funktionieren ... Funktioniert der Zugriff intern ? Was für ein Server und welche Exchange Version ist das ?

[nimo 11]

ja, intern keine Probleme.

es ist ein SBS 2003 und wie gesagt ich versuche auf das Exchange Wi zu zugreifen, bzw das ist mein ziel ;)

[IThome 10]

Hast Du auf dem SBS schon mal den Internetkonfigurations-Assistenten (oder wie der heisst) durchgeführt ?

[nimo 11]

Ja,kleiner Aufwand großes Ergebniss. Hatt geklappt.

 

Danke für deine Schnellen Antworten