[vupibi2]

Hallo zusammen,

Ich komme in letzter Zeit immer öfter in die Situation, dass ich Ports von Rechnern innerhalb eines Netzwerkes ins Internet Routen muss.

Der eigentliche Internet Router (meistens FritzBox) ist dabei immer als Exposed Host zur Firewall (ein XenServer, Firewall ist OPNsense) konfiguriert und die Firewall routet dann zwischen den verschiedene Netzwerken wie DMZ, WLAN, VOIP, ein paar WAN Anschlüsse und so weiter.

Nun kommt es oft vor, dass eine Weiterleitung irgendwie nicht auf Anhieb klappt, z.B. beim VPN auf der Firewall. Da wird es dann immer lustig den Fehler zu suchen. Kann ja an den Firewall Rules liegen, am VPN Server, an der FritzBox und so weiter.

Das erste Problem ist mal zu testen ob der Port von außen überhaupt erreichbar und offen ist.

Normalerweise würde ich das so machen:
- TCP Ports über Telnet testen, einfach da der Port ja eine Antwort liefert.
- UDP Ports über Nmap testen. Wobei ich mich hier Frage, UDP gibt ja keine Antwort zurück, woher weiß Nmap denn überhaupt, dass der Port offen ist?

Nmap gibt aber immer irgendwie Käse aus, egal welcher Port (auch einer der Definitiv zu ist) gibt immer aus: "open|filtered"

z.B. Port 5000 ist definitiv zu:
sudo nmap -sU -p 5000 meinedomain.xxx

Nmap scan report for meinedomain.xxx (123.456.789.10)
Host is up (0.025s latency).
rDNS record for 123.456.789.10: d181-183.dialin.pimmel-net.de
PORT        STATE            SERVICE
5000/udp  open|filtered   upnp

Nmap done: 1 IP address (1 host up) scanned in 0.52 seconds

Oder der VPN Port 1194 der offen sein sollte (sollte!):
sudo nmap -sU -p 1194 meinedomain.xxx

Nmap scan report for meinedomain.xxx (123.456.789.10)
Host is up (0.025s latency).
rDNS record for 123.456.789.10: d181-183.dialin.pimmel-net.de
PORT     STATE         SERVICE
1194/udp open|filtered openvpn

Nmap done: 1 IP address (1 host up) scanned in 0.72 seconds

Hab gelesen, dass Nmap keine UDP Ports kann die TSL-Auth haben, ist das richtig? Was dann?
Denke am einfachsten wäre temporär einfach auf einen TCP Port zu wechseln und dann zu schauen ob er offen ist, oder?

Gibt es ein Tool, dass einem so eine Analyse irgendwie einfacher macht?
Was benutzen denn die Hackersens um Ports zu finden, die offen sind? Wireshark?
Was machen die bei UDP Ports?
Hab mich an Wireshark noch nicht so rangetraut, wär's dafür vielleicht mal an der Zeit?

Danke schonmal!