Port forwarding issue met V12, werkt wel buiten DMZ

Ik durf het niet meteen te zeggen ​@aadmun je krijgt dus in zijn geheel contact buiten de DMZ met je NAS? Heb je een vast IP-adres aan de NAS toegewezen? Je zou dat nog even kunnen testen. 

Kan je die onzin van Copilot weghalen? Er staan allerlei onwaarheden in.

Het gaat hier om poort 1194. OpenVPN. UDP verkeer. Een UDP poort forwarding kan je niet testen met een online poortscanner. Die zal dan altijd dicht zijn.

En DMZ krijg geen prioriteit boven poortforwardings. Eerst worden de poortforwardings afgehandeld. Het overige verkeer gaat naar DMZ als dat ingesteld staat.

Heb ik pas nog getest en schermafdrukken van hier op het forum gezet.

De KPN Box 12 kan ook niet in bridge modus. Ook niet via de klantenservice. Het kan gewoon helemaal niet.

Laat je Internet IP adres leeg bij de poortforwarding?

@Marlon92

Het klopt dat het hier gaat om UDP-poort 1194. Via de UDP Port Scan op de website van IPVoid kun je controleren of deze poort openstaat. We hebben dit getest op twee KPN-locaties:

• Locatie 1: Fritz!Box 5590 – hier werkte de configuratie direct correct.
• Locatie 2: KPN Box 12 – ondanks een correcte portforwarding van poort 1194 blijft de poort gesloten.

De enige werkende workaround bleek het loskoppelen van de gekoppelde NAS (waar de VPN-verbinding op eindigt) van de firewall/portforwarder, en deze buiten de DMZ te plaatsen. Daarmee krijgt dat voorrang!
Het nadeel hiervan is echter dat de NAS nu, door indringers, direct bereikbaar is via een poortscan en poging tot inloggen, waardoor we genoodzaakt waren een extra firewall op de NAS zelf te activeren om de beveiliging te waarborgen.

Wat ik niet begrijp, is waarom dit bekende portforwardingprobleem met de Box 12 nog steeds niet is opgelost. Van een partij als KPN mag je verwachten dat zij dit soort structurele problemen adequaat aanpakken, in plaats van eindgebruikers op te zadelen met onveilige workarounds.

@Remco van KPN

Een NAS dient altijd te beschikken over een vast IP-adres om de bereikbaarheid binnen het netwerk te waarborgen. Deze bevinding is inmiddels door meerdere gebruikers gerapporteerd en kan door KPN eenvoudig worden gevalideerd.

Indien ook bij jullie blijkt dat UDP-portforwarding alleen functioneert wanneer het betreffende apparaat buiten de DMZ wordt geplaatst, dan is het raadzaam om dit probleem officieel te laten corrigeren door de leverancier van de Box 12. Een firmware-update zou in dat geval een passende en welkome oplossing zijn.

Er is helemaal geen probleem. Poort forwarding werkt gewoon correct. Jij hebt iets verkeerds ingesteld.

​@Marlon92

Dan krijgen we graag de gouden tip (en geen workaroud).

Nu conform het BOX12 menu: externe WAN-IP4 poort UDP-1194 geforward naar interne NAS met vast IP4 naar poort UDP-1194. Meer is er niet in te stellen.

Ben benieuwd.

Kun je een schermafdruk laten zien van de poortforwarding? Is Internet IP adres leeg?

Heb je een ip reservering gemaakt voor de NAS?

Het ip adres heb je niet ingesteld op de NAS? De NAS haalt het ip adres op via DHCP?

​@Marlon92 !--startfragment>

Een schermafdruk van de portforwarding-instelling is momenteel niet beschikbaar, aangezien de configuratie van de Box 12 zich op een andere locatie bevindt.

Het externe IP-adres is actief, komt overeen met het WAN-adres en begint met 82.x.x.x. De NAS beschikt over een statisch IP-adres buiten de DHCP-range (..20–..200) en is in de Box 12 vast toegewezen aan intern adres x.x.x.250.

De volledige OpenVPN-verbinding van client naar server functioneert correct zodra de NAS buiten de DMZ van de Box 12 wordt geplaatst. Dit bevestigt dat het niet aan de interne IP-adressering ligt. Een UDP-scan toont in dat geval ook een open poort op 1194.

De conclusie is dat de ingestelde portforwarding voor UDP-poort 1194 geen dataverkeer doorlaat zolang de NAS zich binnen de DMZ bevindt.

Aanvullende tips zijn welkom.

!--endfragment>

Is "Internet IP adres" leeg?

Staat de regel actief? Schuifje groen?

​@Marlon92 

Ik kan niet zien of “Internet IP adres” leeg is omdat ik niet op de locatie ben van de Box12.

Het schuifje staat op groen dat weet ik zeker.

Aanstaande woensdag ben ik er weer en dan kijk er naar.

Bedankt zover, wordt vervolgd.

!--startfragment>

​@Marlon92 
Het veld “Internet IP-adres” was bij ons ingevuld met het publieke IP-adres van de BOX12-router (82.x.x.x), wat op het eerste gezicht logisch leek.

Zodra we dit veld leegmaakten, werkte IP-forwarding direct en kon de NAS weer probleemloos in de DMZ worden geplaatst. Kortom: een gouden tip — dank daarvoor!

Als ik het informatiescherm bij het veld “Internet IP-adres” lees, lijkt de onderste regel te suggereren dat het ook zou moeten werken wanneer je daar het IP-adres invult waarmee de Box12 aan internet is gekoppeld. In de praktijk blijkt dat echter niet zo te zijn.

We hebben hierover ook contact gehad met de KPN-servicedesk, maar daar kwam deze oplossing niet naar voren. Hun alternatief was om de NAS buiten de DMZ te plaatsen.

​@Remco van KPN Ons advies aan KPN: overweeg om het label “Internet IP-adres” te wijzigen in bijvoorbeeld “Internet IP-adres (restricties)”. Dat zou gebruikers stimuleren om het bijbehorende informatieveld te openen en beter te begrijpen wat ermee bedoeld wordt.

Wat precies de betekenis is van de onderste regel — “IP internet bron beperkt tot de ingevoerde host” — blijft vooralsnog onduidelijk. Als iemand daar meer duidelijkheid over heeft, dan horen we het graag.

!--endfragment>

Ik weet niet precies wat je bedoelt met binnen en buiten DMZ. Maar je moet DMZ gewoon helemaal niet gebruiken. DMZ gebruikt je alleen voor een 2de router die je achter de Experiabox/KPN Box koppelt. Nergens anders voor.

Bij Internet IP adres vul je niet je eigen WAN adres in. Maar het WAN adres van ... de "andere kant".

Maar als de "andere kant" jou mobiele telefoon op 4G is, dan zal het WAN adres van jouw mobiele telefoon telkens anders zijn. Dus dan is het geen optie om daar iets in te vullen. Je weet het WAN ip niet van jouw mobiele telefoon en het zal steeds anders zijn. Onmogelijk om iets in te vullen dus.

Bij mijn weten heb je DMZ nergens voor nodig, ook niet voor het plaatsen van een extra router achter de KPN modem. Ik heb met zo’n opstelling nog nooit DMZ nodig gehad, levensgevaarlijk.

In principe heb je DMZ inderdaad ook bij een 2de router niet nodig. Zonder DMZ heb je ook gewoon internet achter de 2de router. Maar als je poorten open wilt zetten, dan moet je dat dus 2 keer doen. Opzich ook nog niets mis mee. Dat werkt gewoon. Maar het is wat extra werk dan DMZ gebruiken 😉