Mc7010 und UCG

[Snues]

Hallo zusammen,
ich habe mein Heimnetzwerk vor kurzem auf einen UniFi Cloud Gateway Ultra (UCG Ultra) umgestellt und habe seitdem Probleme mit eingehenden Verbindungen bzw. Portweiterleitungen.
Setup:

• Drei Österreich
• Statische öffentliche IPv4-Adresse
• ZTE MC7010 im Bridge-Modus
• UniFi Cloud Gateway Ultra
• Netzwerk 192.168.0.0/24
• Mehrere Raspberry Pis und andere Geräte im LAN

Was funktioniert:

• Der UCG Ultra erhält direkt die öffentliche IP-Adresse.
• Internetzugang funktioniert auf allen Geräten problemlos.
• Die öffentliche IP im UCG stimmt mit der tatsächlich von außen sichtbaren IP überein.
• Geräte im LAN sind gegenseitig erreichbar.

Problem:
Seit der Umstellung auf den UCG Ultra scheint keine Portweiterleitung mehr von außen erreichbar zu sein.
Wichtig dabei:
Vor der Umstellung, als der MC7010 noch selbst als Router gearbeitet hat, haben die Portweiterleitungen problemlos funktioniert. Das Problem ist erst nach der Umstellung auf den Bridge-Modus des MC7010 und dem Einsatz des UCG Ultra aufgetreten.
Bisherige Beobachtungen:

• Mehrere unterschiedliche Portweiterleitungen getestet.
• Unterschiedliche Zielgeräte im LAN getestet.
• Online-Portchecker melden die getesteten Ports als geschlossen.
• Auf den Zielgeräten kommen bei Verbindungsversuchen von außen keine Pakete an.
• Im UniFi sind keine speziellen Firewall-Regeln konfiguriert.
• Der MC7010 läuft im Bridge-Modus.
• Der UCG Ultra erhält direkt die öffentliche WAN-IP.

Zusätzlich ist mir aufgefallen, dass ich seit der Umstellung auf den Bridge-Modus nicht mehr auf das Webinterface des MC7010 zugreifen kann. Über Bluetooth wird das Gerät jedoch weiterhin erkannt.
Hat jemand ein ähnliches Setup mit MC7010 im Bridge-Modus und UCG Ultra im Einsatz?
Funktionieren bei euch Portweiterleitungen grundsätzlich problemlos oder gibt es bekannte Besonderheiten bei Drei, dem MC7010 im Bridge-Modus oder dem UCG Ultra?
Mfg

 

[CubeID]

Hattest du das UCG auch schon als Router zwischen dem MC7010 (im Router Modus) und deinem Netz in Einsatz, oder erst jetzt neu als Router?

Hast du am UCG etwas für die Portweiterleitung eingerichtet? Ohne würde ich sagen: Works as intended / designed- Zugriffe von extern werden im Default nicht nach intern weitergeleitet. Das UCG weiß ja erstmal nicht ob du da eine Weiterleitung haben willst, oder ob da ein Hacker versucht von außen zuzugreifen.
https://help.ui.com/hc/en-us/articles/235723207-UniFi-Gateway-Port-Forwarding

 

[Snues]

Hallo

Der UCG Ultra ist neu und wurde vor der Inbetriebnahme nur kurz im bestehenden Netzwerk eingerichtet. Danach wurde er sofort als Hauptrouter zwischen dem ZTE und meinem Netzwerk eingesetzt.

Eine Portweiterleitung habe ich bereits im UCG angelegt (siehe Screenshot). Weitere Anpassungen an Firewall oder NAT habe ich bisher nicht vorgenommen.

Daher bin ich mir aktuell nicht sicher, ob noch eine zusätzliche Einstellung im UCG erforderlich ist oder ob das Problem eventuell daran liegt, dass der ZTE noch nicht im Bridge-/IP-Passthrough-Modus läuft. Welche weiteren Einstellungen waren bei euch notwendig?

Mfg

 

[CubeID]

Schau dir mal den Link oben an, da wird beschrieben was du machen musst. Wäre zwar schön wenn bei der WG-Einrichtung die FW-Rule gleich mitkommt, ob es automatisch gemacht wird kann ich dir nicht sicher sagen. Wenn es automatisch passiert sollte es eine entsprechende Regel in der Policy Engine geben.

 

[Snues]

Hallo

Double NAT kann ich eigentlich ausschließen. Der UCG erhält meine öffentliche statische IP direkt auf dem WAN-Interface. Laut UniFi-Dokumentation wäre das ja einer der Hauptgründe für Probleme bei Portweiterleitungen.
Die beiden Portweiterleitungen inklusive der automatisch erstellten Firewall-Regeln sind ebenfalls vorhanden und werden unter den Internet-In-Regeln angezeigt.
Das Einzige, was ich testweise noch versuchen könnte, wäre den ZTE per DMZ komplett auf die WAN-IP des UCG weiterzuleiten. Wobei das bei einer bereits vorhandenen öffentlichen WAN-IP am UCG eigentlich keinen Unterschied machen sollte.
Ehrlich gesagt bin ich momentan etwas ratlos. Ich dachte, dass das Ganze mit dem UCG eher einfacher wird und nicht komplizierter. 😅


Edit: hab noch einen "neuen" Mc889 vlt zickt der nicht so rum wie der mc7010

 

[CubeID]

Ich hab bei mir aktuell noch eine Cable Fritzbox vor dem UCG, die macht auch noch das VPN. Daher kann ich nur mutmaßen. Das ZTE gehört gehört IMO nicht in die DMZ.
Wie schaut die WG Config aus, ist da deine öffentliche IP drin oder ein Name (DynDNS?)?
Siehst du bei Insights > Flow > Direction Incoming was?

 

[Snues]

Die WAN-IP des UCG ist meine öffentliche statische IP-Adresse, die mir vom Provider zugewiesen wurde. Es handelt sich dabei weder um eine private Netzwerkadresse noch um CGNAT. Auch DynDNS, No-IP oder ähnliche Dienste verwende ich nicht, da sich die IP nicht ändert.
Im insight bleibt die Seite leer....?

Mfg

 

[dideldei]

Bei Wireguard UDP ist der Online Check wirkungslos. Keine Antwort heisst nicht gleich geschlossen. Er kann auch offen sein, ohne eine Antwort zubekommen. Bei TCP gibt es immerhin ein Verbindungsaufbau und da ist es klar erkennbar, ob der Port close ist.

Du musst innerhalb den Datenfluss prüfen, ob UDP frei ist. Also Pakete von aussen senden und innen messen.

Mit

sudo tcpdump -ni any udp port 54394

mitschneiden und das WG Profil starten.

Dann kannst du sehen, ob die Pakete das Ziel erreichen. Dann hast du die Diagnose, ob Portweiterleitung funktioniert oder ob die Pakete gar nicht das Ziel erreichen.

In deinem Screen ist der relevante Port geschwärzt. Dieser muss im Endpunkt (wg-Profil) stehen und das Ausrufezeichen ist leider nicht beschrieben. Die Client Konfiguration fehlt ebenfalls.

Ein bisschen Rätselraten ist es schon. Denn das Ausrufezeichen in der WAN-IP Meldung kann auch deuten, dass das Problem vor dem UCG ist oder auch die Regeln nicht stimmen.

 

[Snues]

Danke für den Hinweis. Laut dem Mitschnitt kommen am Ziel keine Pakete an, daher scheint das Problem aktuell eher vor dem eigentlichen Dienst zu liegen.
Das Rufzeichen bei der WAN-IP hatte mich anfangs auch irritiert. Allerdings handelt es sich bei der WAN-IP des UCG um meine vom Provider zugewiesene öffentliche statische IP-Adresse. Ich verwende weder DynDNS noch No-IP oder ähnliche Dienste. Die Adresse ändert sich nicht und wird direkt vom Provider bereitgestellt.
Deshalb bin ich momentan etwas unsicher, warum der UCG hier überhaupt eine Warnung anzeigt. Möglich wäre natürlich, dass das Problem noch vor dem UCG liegt oder die Weiterleitung irgendwo nicht greift.
Und ja, du hast recht – ich habe auf dem Screenshot leider den falschen Port geschwärzt. 😅

 

[dideldei]

Für Leser ist das nicht nachvollziehbar, wenn du alte Bilder in alten Post's durch neue ersetzt, und weil computerbase keine Bearbeitung bei Bildänderung anzeigt. Das zerpflückt besonders mein Hinweis, weil die Ports geändert worden sind. Etwas unschön aber sicher keine Absicht.

Jetzt musst du den Mitschnitt anpassen auf 54392, statt 54394.

Die WAN Meldung ist nicht tragisch.

Das Client Profil von WG fehlt weiterhin. Im Endpunkt des Clients muss deine öffentliche ip:54392 stehen.

 

[Snues]

Hab das Bild wegen der Ip adresse rausgenommen. Ändere ich dann wieder.

Ach sorry hab das übersehen mit der 54392. Jetzt ist das korrekt abgefragt worden. Kommt leider nichts an. Und ja steht auch im Client richtig drin

 

[Snues]

Kurzes Feedback:

Ich habe den MC7010 gegen einen neuen MC889 getauscht, zunächst alle verfügbaren Firmware-Updates eingespielt und anschließend den Bridge-Modus aktiviert.

Danach habe ich den UCG Ultra auf Werkseinstellungen zurückgesetzt und komplett neu eingerichtet. Die Einrichtung inklusive Übernahme der bestehenden Netzwerkstruktur war nach etwa 30 Minuten erledigt.

Seitdem funktioniert alles wie gewünscht. Der UCG erhält die öffentliche IP korrekt, das Netzwerk läuft stabil und auch die Portweiterleitungen funktionieren jetzt problemlos.

Ob die Ursache letztendlich am MC7010 selbst, an dessen Konfiguration oder an einer Altlast in der bisherigen Konfiguration lag, kann ich nicht mit Sicherheit sagen. Fakt ist aber, dass nach dem Wechsel auf den MC889 und der Neueinrichtung des UCG sämtliche Probleme verschwunden sind.