Firewall blockiert Erreichbarkeit in Subnetz

[Trito]

Hallo zusammen,

nachdem ich jetzt mehrere Tage verzweifelt gebastelt habe, wende ich mich an euch. Folgende Problematik:

LANCOM 1793VAW verwaltet mein Heimnetz. Der Router soll zwei interne Netze verwalten und auf zwei IP-Adressen lauschen.
IP-Netzwerke:
192.168.33.253/24 + 192.168.50.253/24

DHCP für beide Netze ist eingerichtet.

Im Netzwerk befindet sich ein Unraid-Server mit zwei Netzwerkschnittstellen (die später für die Docker separiert werden sollen). eth0:192.168.33.230, eth1:192.168.50.230. Alle Ethernet-Ports des Lancom sind mit LAN-1 verbunden und in der BRG-1.

Von meinem PC aus kann ich den Unraid-Server mit seinen beiden IPs problemlos anpingen. Das Webinterface auf 192.168.50.230 ist aber nur erreichbar wenn ich das Firewall-Häkchen rausnehme. Ich habe versuchsweise alle Firewallregeln deaktiviert und auch schon explizite Regeln versucht, beide Netze .33 und .50 zu verbinden. Ich verstehe nicht, wo die Firewall da etwas blockt. Internet funktioniert einwandfrei.

Danke für eure Hilfe,
michael

[Dr.Einstein]

Kann es sein, dass die Rückantworten über das falsche VLAN bzw über die falsche Quell IP vom Server kommen? Sollte mittels Firewall/Routing-Trace erkennbar sein.

[Trito]

VLAN ist aus. Wenn eine falsche Quell IP vom Server kommen würde, dürfte doch auch mit deaktivierter Firewall keine Antwort zurück kommen, oder?

[Dr.Einstein]

Wenn eine falsche Quell IP vom Server kommen würde, dürfte doch auch mit deaktivierter Firewall keine Antwort zurück kommen, oder?

Deaktivierte Firewall deaktiviert die IDS. Und genau die kontrolliert, ob die richtige IP Adresse zum Interface passt. Wenn du gar keine VLANs benutzt, also zwei Adressen auf der selben Broadcast-Domain betreibst, kann das genau die Probleme verursachen. Wie gesagt, aktiv die Firewall und schalt den Firewall-Trace an. Dort solltest du die Ursache erkennen können.

[Trito]

Ok, ich sehe jetzt schonmal, dass etwas schief läuft:

Code: Alles auswählen

[Firewall] 2024/08/29 15:47:07,283  Devicetime: 2024/08/29 15:47:08,354
Packet matched rule DEFAULT (ACCEPT-ALL)
DstIP: 192.168.50.230, SrcIP: 192.168.33.100, Len: 40, DSCP: CS0/BE (0x00), ECT: 0, CE: 0
Prot.: TCP (6), DstPort: 80, SrcPort: 35587, Flags: A
Seq: 477259104, Ack: 2633293060, Win: 1026, Len: 0

bad TCP state (SYN/ACK missing)
packet rejected

Das spricht dann vermutlich für deine These...