[Gelöst] fhem hinter pfSense

[MarcIdel]

Hallo Leute,

ich habe FHEM hinter pfSense am laufen. Leider bekomme ich keinen Zugriff von extern drauf.
Eine Portweiterleitung auf HTTPS auf einen anderen Host funktioniert. Nur die HTTP Weiterleitung auf Fhem nicht.

Mein Modem ist im BridgeMode. pfSense hat also eine öffentliche IP.

Meine NAT Regel:
Schnittstelle    Protokoll    Quelladresse    Quellports    Zieladresse    Zielports    NAT IP            NAT-Ports
WAN            TCP                       *                  *            WAN address    8088    10.0.1.11    8088


In den States des Firewall steht TIME_WAIT:TIME_WAIT.

Einer ne Idee?

[CoolTux]

Schau in die Logdatei von FHEM.
Wurde ein allowed Device für die aufgerufene FHEMWEB Instanz angelegt?

[tealc]

Ich würde dir empfehlen die Pfsense für FHEM als Reverse Proxy und nicht nur zum NATten zu nutzen.

Dies geht mit dem PFsense Package HAProxy. Dieses kann dann auch Zertifikatshandling, SSL-Termination und Authentifizierung  übernehmen.

[Hollo]

...
Schnittstelle    Protokoll    Quelladresse    Quellports    Zieladresse    Zielports    NAT IP            NAT-Ports
WAN            TCP                       *                  *            WAN address    8088    10.0.1.11    8088

Hinter der pfsense ist für mich aber die LAN Seite und nicht WAN!
Dein FHEM müsste dann eigentlich in die DMZ und ich würde dann auch nur einen definierten Port durchrouten.

[MarcIdel]

Schau in die Logdatei von FHEM.
Wurde ein allowed Device für die aufgerufene FHEMWEB Instanz angelegt?

Danke ^^

Ich würde dir empfehlen die Pfsense für FHEM als Reverse Proxy und nicht nur zum NATten zu nutzen.

Dies geht mit dem PFsense Package HAProxy. Dieses kann dann auch Zertifikatshandling, SSL-Termination und Authentifizierung  übernehmen.

Was für einen Vorteil ziehe ich daraus?

Hinter der pfsense ist für mich aber die LAN Seite und nicht WAN!
Dein FHEM müsste dann eigentlich in die DMZ und ich würde dann auch nur einen definierten Port durchrouten.

Tue ich doch auch. Nur Port 8088.

[CoolTux]

Sehr schön, da das Problem anscheinend gelöst ist bitte ein gelöst im Betreff setzen.

[tealc]

Was für einen Vorteil ziehe ich daraus?

Du hast eine zusätzliche Sicherheitsschicht zwischen FHEM und dem bösen Internet.

Die ganze Geschichte sauber per HTTPS auszuliefern steigert natürlich auch die Sicherheit. Gerade wenn man mehrere Webdienste nach außen published ist es einfacher, sich nur an einer Stelle um die Verschlüsselung und die Zertifikate kümmern zu müssen. PFsense kann dir z.B. automatisiert regelmäßig Zertifikate von Let's Encryt beantragen.

Weiterhin kann der Reverse Proxy auch Content Switching. Also mehrere Webdienste alle über Port 443 ausliefern, sodass man sogar über sehr restriktive Hotspots auf seine Systeme zugreifen kann.

[MarcIdel]

Jetzt ist es gelöst. Danke, das werde ich so machen

Ich habe noch ein anderes Problem, das gehört aber in eine andere Rubrik.

[CoolTux]

Man könnte eventuell noch für andere schreiben wie genau Deine Lösung aus sieht. Dann muss ein anderer mit gleichem Problem kein Thread auf machen und noch mal fragen.

[MarcIdel]

Ich habe öffentliche IP´s in einer allowed Instanz freigegeben. Den teil habe ich erst mal gelöscht da ich an einem anderen Problem hänge. Wenn ich dies gelöst bekommen habe, poste ich hier einen ausführlichen Lösungsweg.