Absolut Planlos: Eigene Server extern manchmal ereichbar, manchmal nicht (NGINX, OPNSense, Proxmox, Namecheap)

[RolloMollo]

Hallo.

Ich bin ein wenig planlos und weiß gar nicht wo ich anfangen soll.

Erstmal zum Problem: Manchmal sind meine Server (immich, HA, DAV) extern über eine URL erreicht und manchmal nicht. Wirklich rekapitulieren kann ich das nicht.

Setup: Alles läuft virtualisiert via Proxmox. OPNSense macht die Einwahl mit einem externen Modem, NGINX läuft in einem eigenen LXC Container (weist keine Fehler aus, alle Server/Webseiten sind immer "online"), meine eigene wechselnde IP erhält Namecheap (stellt die URL) via OPNSense.

Erste Kuriosisät:
OPNSense zeigt unter WAN_PPOE im Dashboard eine IP v4 an, die unterschiedlich ist zu wieistmeineip.de

Zweite Kuriosisät:
wieistmeineip.de zeigt (manchmal) eine andere IP an als ip4only.me an.

Jetzt gerade sind meine Webseiten/Server erreichbar. ip4only.me & wieistmeineip zeigen die gleiche IP an. OPNSense zeigt unter WAN_PPOE weiterhin eine mir unbekannte IPv4 an, überträgt aber mit dem Service "Dynamic DNS" die scheinbar richtige IP (ip4only) an Namecheap.

Gestern war z.B. meine Webseite mal wieder down. Wenn ich dann unter Namecheap manuell meine IP von ip4only eintrage, ist die Webseite weiterhin nicht erreichbar. Heute, weiterhin gleiche IP funktioniert es jedoch.

Ich habe o2 DSL bzw. Telekom VDSL mit 250 MBit/s.
Kann es an IPv6 oder IPv4 liegen?

Ich bin wirklich ratlos und stelle gerne weitere Informationen zusammen, ich weiß aber nicht wo ich anfangen soll.

Jemand eine Idee?

 

[CoMo]

Erste Kuriosisät:
OPNSense zeigt unter WAN_PPOE im Dashboard eine IP v4 an, die unterschiedlich ist zu wieistmeineip.de

Zweite Kuriosisät:
wieistmeineip.de zeigt (manchmal) eine andere IP an als ip4only.me an.

Was für IP-Adressen werden denn da angezeigt und welche dieser Adressen werden an deinen DynDNS-Anbieter übermittelt?

Ich habe o2 DSL bzw. Telekom VDSL mit 250 MBit/s.

Du hängst an zwei DSL-Anschlüssen?

 

[AAS]

Du machst ein Doppel NAT?

 

[dj-melo]

bei opnsense unter interfaces/overview da in der Tabelle wird für klarheit gesorgt das auf dem Dashboard ist dein Provider Gateway. Testweiße ipv6 ausklammern später konfen wenn Ip v4 sauber läuft.

Ggf doppel WAN vermeiden zum testen.

 

[honky-tonk]

was hast du denn für einen anbieter für dyn DNS? Habe gehört, dass bspw DuckDNS oft Probleme machen soll.

 

[RolloMollo]

Hallo.

Erstmal vielen Dank für die reichlichen Antworten.
Anbei ein Screenshot von Interfaces - Overview.
Was erkennt man? Ich checks nicht.

• Loopback zeigt die IP von ip4only an --> diese wird auch an Namecheap über den Service Dynamic DNS übertragen
• WAN ist die IP vom Dashboard

Ich habe aktuell ein VDSL Anschluss. o2 DSL verwendet den Anschluss von der Telekom (Miete). Ich wollte es nur erwähnt haben.

Erkennt man Doppel NAT? Ich bin mir da nicht sicher ob es bei mir so vorkommt. Ich hab e ein DrayTek Modem, die Anwahl erfolgt via PPOE von OPNSense.

Meine dynamische IP wird direkt von OPNSense an NameCheap übertragen.

Aktuell gehen die Webseiten übrigens wieder nicht. Auch wenn ich die IP manuell (obwohl automatisiert) von ip4only an Namecheap übergebe.

 

[RolloMollo]

IPv6 hab ich deaktiviert. Leider keine Änderung.

Was ich suspekt finde. Trotz, dass sich die externe IP nicht verändert hat und vor 30min die externen Webseiten nicht funktionieren, funktionieren sie jetzt wieder. Absolut ohne Änderung von irgendwas…

 

[Bob.Dig]

• Loopback zeigt die IP von ip4only an --> diese wird auch an Namecheap über den Service Dynamic DNS übertragen

Und welche ist das deiner Meinung nach?
Kein Wunder, dass nichts geht, wenn Du irgendwelche falschen IP-Adressen ans DNS übermitteln solltest.

 

[RolloMollo]

Das ist ja das kuriose. Die übertragende IP Adresse und diese von Loopback ist korrekt.
Und wie ich kurz schreib: ohne IPv4 Wechsel geht jetzt mal wieder die Webseite.

Ich bin mir nicht sicher, ob wir an der richtigen Stelle suchen.
Sollte nämlich die IP Adresse falsch übermittelt werden, sollte ja beim überschreiben mit der korrekten Adresse instant die Webseite funktionieren. Das tut sie aber nicht.

Und zur Ergänzung. Es betrifft alle von NGINX Proxy Manager verwalteten Adressen/Webseiten.

 

[JumpingCat]

DynDNS:

• Duckdns ist unzuverlässig geworden. Das setze ich nicht mehr ein.
• INWX habe ich parallel als Backup laufen. Die hatten ein paar Probleme, sind aktuell aber wieder zuverlässig.
• afraid freedns ist jetzt der primäre Anbieter für dyndns. Bisher läuft das vernünftig.

@RolloMollo : Prüf mal ob du auch die Probleme wie ich hattest. Teilweise gab die API zurück der DNS Eintrag wäre aktuell aber die Nameserver haben alte Einträge zurückgeliefert. Oder verschiedenen Nameserver haben verschiedene Einträge zurückgeliefert. Das beides ist auch nach einer Wartezeit von über 1h und sogar 24h passiert. Mir ist das dann über https://www.whatsmydns.net/ / https://www.gdnspc.com/ / https://www.nslookup.io/dns-checker/ aufgefallen weil die Einträge in der Liste nicht überall gleich waren.

 

[RolloMollo]

Nun ja oder wir suchen doch an der richtigen Stelle. Jetzt wo die Seiten "gerade" funktionieren, sieht die Interfaces - Overview wie folgt aus:

Meine externe IP finde ich nun in der Übersicht gar nicht mehr. Entscheidend sind wohl die veränderten Routes.
Jemand eine Ahnung?

Ergänzung (7. Oktober 2024)

DynDNS:

• Duckdns ist unzuverlässig geworden. Das setze ich nicht mehr ein.
• INWX habe ich parallel als Backup laufen. Die hatten ein paar Probleme, sind aktuell aber wieder zuverlässig.
• afraid freedns ist jetzt der primäre Anbieter für dyndns. Bisher läuft das vernünftig.

@RolloMollo : Prüf mal ob du auch die Probleme wie ich hattest. Teilweise gab die API zurück der DNS Eintrag wäre aktuell aber die Nameserver haben alte Einträge zurückgeliefert. Oder verschiedenen Nameserver haben verschiedene Einträge zurückgeliefert. Das beides ist auch nach einer Wartezeit von über 1h und sogar 24h passiert. Mir ist das dann über https://www.whatsmydns.net/ / https://www.gdnspc.com/ / https://www.nslookup.io/dns-checker/ aufgefallen weil die Einträge in der Liste nicht überall gleich waren.

Danke. Das ist ein guter Hinweis. Aktuell vermute ich aber dass das Thema Routes vielleicht des Rätsels Lösung ist.

 

[Bob.Dig]

Meine externe IP finde ich nun in der Übersicht gar nicht mehr. .

Meine Frage hast Du noch nicht beantwortet.
Davon ab schwant mir auch, dass so eine Firewall für dich noch nicht das richtige ist. Es fehlt doch offensichtlich an Netzwerk-Grundwissen. Also erst einmal jenes aneignen und später noch mal versuchen.

 

[JumpingCat]

Was ist mit Routing gemeint? Beim Provider?


Was passiert wenn du die in der Hosts oder per curl die IP setzt und die Webseite aufrufst? Das sollte unabhängig von dyndsn funktionieren.

 

[RolloMollo]

Meine Frage hast Du noch nicht beantwortet.
Davon ab schwant mir auch, dass so eine Firewall für dich noch nicht das richtige ist. Es fehlt doch offensichtlich an Netzwerk-Grundwissen. Also erst einmal jenes aneignen und später noch mal versuchen.

Hallo. Vielen Dank. Dann verstehe ich wohl deine Frage nicht bzw. kann sie nicht richtig beantworten. Auch mit deiner Vermutung magst du recht haben. Kannst du mir aber freundlicherweise bei dem Problem weiterhelfen? Denn man wächst ja auch an seinen Herausforderungen und Mentoring hat keinem geschadet.

@JumpingCat Kannst du mir genau sagen wie ich so etwas umsetzen?

Was mir übrigens aufgefallen ist: HA, bw, immich sind über die externe URL erreichbar. Der DAV Server nicht

 

[RolloMollo]

Und ich muss ich direkt korrigieren. Nachdem ich WireGurd entfernt und disabled haben, ist die Interface Overview nun wieder genau so wie vorher. Und weiterhin sind die externen Seiten erreichbar. Daran scheint es also auch nicht zu liegen.
Jemand eine Idee?

• Loopback zeigt die gleiche IP wie ip4only an
• Namecheap erhält genau diese IP
• externe Webseiten sind aktuell erreichbar

 

[dj-melo]

kann nur noch zum Thema dyndns beisteuern evtl. mal ipv64.net versuchen. die Dort angezeigten IP's müssen mit WAN in der Sense übereinstimmen.

Die Proxmox eigene Firewall ist die an oder aus, für den Host und die einzelnen Maschinen?

Setze NGINX mal in eine VM mit interner fester LAN IP. Ich hatte ähnliche Probleme mal mit 3cx in einem LXC seit das ne VM ist, ist Ruhe.

Evtl auch nochmal hier reinschauen https://apfelcast.com/ds-lite-ipv6-portfreigaben-erstellen-inkl-reverseproxy-und-vpn-server/# DS-Lite für dich nicht relevant aber der Rest.

Portforwarding Opnsense

 

[RolloMollo]

kann nur noch zum Thema dyndns beisteuern evtl. mal ipv64.net versuchen. die Dort angezeigten IP's müssen mit WAN in der Sense übereinstimmen.

Past. Nicht mit WAN aber mit Loopback.

Die Proxmox eigene Firewall ist die an oder aus, für den Host und die einzelnen Maschinen?

Korrekt, ist aus.

Setze NGINX mal in eine VM mit interner fester LAN IP. Ich hatte ähnliche Probleme mal mit 3cx in einem LXC seit das ne VM ist, ist Ruhe.

Done. Lets see.

Evtl auch nochmal hier reinschauen https://apfelcast.com/ds-lite-ipv6-portfreigaben-erstellen-inkl-reverseproxy-und-vpn-server/# DS-Lite für dich nicht relevant aber der Rest.

Portforwarding Opnsense

Danke, mach ich.

 

[dj-melo]

Past. Nicht mit WAN aber mit Loopback.

hm bei mir is die bei beiden identisch (Loopback und WAN), so wie bei dir in #15, evtl. liegt da schon das Problem. Läuft die Sense auch virtuell? Diese ggf mal neu aufsetzen. schätz da stimmt etwas nicht. Vielleicht auch eine weniger komplexe Firewall versuchen für den Anfang z.B. Ipfire. oder Step by Step angepasst auf deine Situation nach

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Woher nimmt die Sense denn ihre IP was hängt da davor?

 

[RolloMollo]

hm bei mir is die bei beiden identisch (Loopback und WAN), so wie bei dir in #15, evtl. liegt da schon das Problem. Läuft die Sense auch virtuell?

Ja.

Woher nimmt die Sense denn ihre IP was hängt da davor?

Davor hängt ein Draytek Modem. Konfiguriert nach diesem hier: https://forum.opnsense.org/index.php?topic=36340.0

 

[dj-melo]

ich würde für eine Firewall immer eigne Hardware empfehlen und die dann mal sauber aufsetzen. Bei mir läuft auch ein Vigor davor, aber absolut unkonfiguriert, so wie im verlinkten Video, auch erwähnt ab Minute 14.