OPNsense NAT

Animation: OPNsense NAT richtig verstehen (einfach), mit Outbound NAT, Port Forward, NAT Reflection, 1:1 NAT und Fehlerbildern

Grundprinzip

Automatisch ab Werk: jeder ausgehende Verkehr wird auf die WAN-Adresse übersetzt
Der Rückweg läuft über den Zustand (State): Port ↔ interner Client
Firewall → NAT → Outbound, Betriebsarten:
- Automatic – Voreinstellung, Regeln für alle internen Netze automatisch
- Hybrid – automatische Regeln bleiben, eigene kommen zusätzlich dazu
- Manual – alles selbst anlegen (Vorsicht: vergessene Netze haben kein Internet mehr)
- Disable – keine Übersetzung (wenn ein vorgeschaltetes Gerät schon NAT macht)

Leitet Anfragen von außen auf WAN-IP:Port an einen internen Server weiter
Firewall → NAT → Port Forward
Erzeugt normalerweise automatisch eine passende Firewall-Regel (Filter rule association)
Ohne diese Regel: Übersetzung greift, das Paket wird danach trotzdem verworfen

Problem: ein LAN-Client ruft die öffentliche Adresse/den Hostnamen des eigenen Servers auf
Ohne Reflection kommt die Anfrage nicht zurück (Hairpin-Problem)
Lösung 1: NAT Reflection aktivieren (Firewall → Settings → Advanced oder je Port Forward)
Lösung 2 (sauberer): Split DNS – interner Name zeigt für LAN-Clients direkt auf die interne Adresse

Bildet eine ganze öffentliche Adresse dauerhaft auf einen internen Host ab, in beide Richtungen
Braucht trotzdem eine eigene Firewall-Regel – 1:1 NAT übersetzt nur, erlaubt nichts

Eingehend (Port Forward, 1:1): erst NAT, dann Filter → die Firewall-Regel muss die übersetzte (interne) Zieladresse treffen, nicht die öffentliche
Ausgehend (Outbound NAT): erst Filter, dann NAT → die Firewall-Regel sieht noch die originale (private) Quelladresse

Port Forward von außen erreichbar, von innen nicht → NAT Reflection fehlt → Reflection aktivieren oder Split DNS
Port Forward kommt gar nicht an → „Filter rule association: None“ gewählt → Firewall-Regel selbst anlegen
Nach Wechsel auf Manual: ein Netz hat kein Internet mehr → automatische Outbound-Regel fehlt → ergänzen
Doppeltes NAT hinter einem ISP-Router/Modem → dort zusätzlich weiterleiten oder Bridge-Modus
1:1 NAT übersetzt, Verkehr wird trotzdem geblockt → eigene Firewall-Regel fehlt