Problema con redirección de puertos

[omarsg1977]

Buenas tardes, me he apuntado hoy al foro, espero poder encontrar y resolver dudas que me puedan surgir.

Hace unos meses instalé en mi oficina un Forti FG-40F y todo correcto, hace un par de semanas hice una redirección de puertos y me encuentro con que no me va bien.

Os pongo en situación, tengo 2 máquinas virtuales en mi red local para dar servicios de telefonía con las ip's 192.168.92.252 y 192.168.92.251 comunicadas entre ellas por sus reglas internas, dichas máquinas necesitan validarse contra la Cloud del fabricante, hasta ahí todo ok cree las reglas de salida y todo bien. El problema lo tengo al intentar conectarme desde el exterior con el softphone del fabricante a dichas maquinas que tengo dentro de mi red. En la máquina acaba en 252 hay un reverse proxie para el que tengo redireccionados los puertos http y https 80 y 443 del exterior al puerto 90 y 453 de dicho reverse proxie, según configuración que tengo hecha en él mismo. Pues intento conectarme desde el exterior con el softphone y no funciona, he revisado sin parar las reglas y están aparentemente ok.

El router de masmovil Comtrend lo tengo configurado con DMZ activa, ip lan del router 192.168.25.1 y DMZ 192.168.25.254 y en el forti el puerto WAN es esta última ip 192.168.25.254. Para ver si el fallo estaba en el forti lo he quitado, he quitado la DMZ y puesto de ip lan del router la 192.168.92.1 que es la que tengo en el forti también como ip lan interna y he redireccionado los mismos puertos en el Comtrend hacia la misma ip y funciona correctamente.

Alguna ayuda que me podáis dar?

Salu2

[AndresW]

¿Para qué utilizas un proxy reverso cuando con un par de VIP es suficiente? Revisa este documento donde se explica paso a paso.

[Debes identificarte para poder ver enlaces.]

[omarsg1977]

Gracias por tu respuesta @AndresW,

Uso el proxie reverso porque así lo exige el fabricante del sistema de telefonía que tengo instalado, al final es una centralita telefónica dentro de mi red a la que doy acceso con softphone's desde el exterior a clientes.

He leído el documento y es como yo lo tengo configurado.

Tengo un grupo hecho con los VP, y en la IP externa tengo puesto 0.0.0.0 aunque también he puesto, con en el documento, la IP que me llega por el puerto WAN de forti que es la DMZ del router 192.168.25.254.

El tema es que yo no veo en los log que se esté bloqueando nada, por eso me da que pensar que la dmz del router Comtrend tenga algo que ver, aunque el IT que me lo instaló me dice que no, que todo el tráfico lo gestiona el FG.

[AndresW]

Antes que nada, una VIP no es un proxy reverso sino que básicamente se trata de un DNAT (Destination NAT). Si estamos en un foro técnico vale la pena comenzar con aclarar conceptos para que la gente aprenda y no diga cualquier cosa pensando que sabe lo que está hablando.

Algunos puntos en consideración:

1.- La política de firewall NO necesita llevar NAT habilitado.

2.- Al configurar cualquiera de la VIP, en la opción External IP address/range debes declarar la IP de la interfaz WAN que recibirá el tráfico desde Internet y no 0.0.0.0.

3.- Si no estás viendo llegar el tráfico es por que sencillamente el equipo que tienes por delante no está enrutándolo (ya sea mediante NATs o enrutamiento estático) hacia el FortiGate, por lo que el IT que te lo instaló pareciera que al igual que tú, tiene un manejo bastante limitado en lo que a networking se refiere.

[omarsg1977]

Buenas días.

Para aclarar, en ningún momento he dicho que sepa ni sea especialista en firewall, yo me dedico a las centralitas telefónicas, eso si soy especialista, por lo tanto creo que ese comentario sobra ya que entiendo que los foros están para ayudar y no para decir quien es mejor o peor.

Segundo, yo no digo que el proxy reverso sea el VIP, el proxie reverso lo hace mi centralita telefónica y es así porque así lo exige mi sistema.

Sobre el punto 1 y 2, gracias por la aclaración, lo tendré en cuenta.

[AndresW]

Este es un foro público y cada quien opina lo que le venga en gana, y si no te parece una respuesta o el tenor de la misma entonces aprende bien de firewalling y evitas fumarte algo que no te parece.

[omarsg1977]

Precisamente como es un foro público se sobre entiende que es para hablar sin faltas de respeto ni dándoselas de sabiendo como es tu caso.

[AndresW]

No te he faltado el respeto, sólo te dejé en evidencia y eso no te gustó. Y créeme que si sé de lo que hablo, puesto que solamente con leer lo que posteaste inicialmente queda claro que te llevo años de ventaja y podría darte clases de networking y de soluciones Fortinet.

[omarsg1977]

Precisamente por eso entro en un foro como este porque no se, y lo que se me busque la vida, si lo supiera no preguntaría. Y si faltaste al respeto. Enhorabuena por saber tanto.