T‑54 modem blokkeert inkomende poorten (zelfs in DMZ)

Yikes. VPN proberen met NAT achter NAT 🙄

Het is OF port-forward naar GL OF DMZ. Nooit beide.

Met DMZ zet je al het verkeer (dubbel) naar de DMZ computer open. Instellen van port-forward zit dan alleen maar in de weg.

Yep. DMZ wil niet zeggen dat je geen NAT hebt. NAT moet altijd aanwezig zijn om b.v. het verkeer van een externe IP adres door te sturen naar een intern IP adres. Dat gaat dus nooit zonder NAT.

Ik denk niet dat GL.iNet DSL routers of modems heeft. Dus je blijft altijd met een modem of router zitten die DSL moet doen. Je zou een Frtizbox kunnen overwegen waarop je dan direct VPN doet. Anders moet je zoeken naar een DSL modem (die het verkeer dus 1:1 doorgeeft zonder NAT).

Voor nu zou je dus nog kunnen proberen de GL.iNet in DMZ te zetten en port-forwards weg te halen. Je geeft dan aan dat de poorten dicht staan. Hoe heb je dat getest? Om wat voor soort VPN gaat het en welke poorten heb je getest?

Hallo ​@iris232526 

Nee, is is geen vervangende modem.

Het zou overigens gewoon niet werken en wordt niet geblokkeerd.

Naast DMZ zijn Port forwarding regels niet nodig. Kan je ook eens kijken of het IP dat jouw router gelijk is aan het Zo adres dat bij DMZ is ingevuld?

Dank voor jullie reacties en het meedenken.

Ik heb eerst port‑forwarding naar 192.168.1.5) geprobeerd op de T‑54, maar dat werkte niet. Daarna heb ik DMZ ingesteld naar het IP‑adres van mijn GL.iNet GL‑BE6500. Omdat de GL‑BE6500 eerst in hetzelfde subnet zat als de T‑54 (192.168.1.5) en dat conflicten gaf, heb ik hem verplaatst naar een ander subnet (192.168.2.5/255.255.255.0). Ook met deze aanpassing bleef DMZ echter geen inkomend verkeer doorlaten.

Ps. Ik kwam er later achter dat ik vergeten was om de port‑forwardingregels uit te schakelen toen ik DMZ activeerde, maar zelfs nadat ik die heb verwijderd blijft het probleem bestaan: de poorten blijven extern gesloten en de GL‑BE6500 ontvangt geen inkomend verkeer. Ik test via Open Port Check Tool -- Verify Port Forwarding on Your Router

Naar mijn idee draait de VPN‑server en luistert correct, de firewall op de GL‑BE6500 staat default ingesteld, en ik heb zowel TCP als UDP getest. Toch blijft de T‑54 verkeer blokkeren via canyouseeme.org, zelfs in DMZ‑modus als port forwarding is uitgezet.

Overigens de firewall van de T‑54 staat op “medium”, maar ook op andere niveaus verandert er niets.

Ik begin daarom te vermoeden dat de T‑54 op DSL geen echte DMZ of bridge‑functionaliteit biedt en dat NAT/firewall altijd actief blijft, waardoor inkomende verbindingen simpelweg niet doorkomen.

Ik ben nu geïnteresseerd in twee mogelijke oplossingen:

1. Een Fritz!Box DSL‑modem dat wél volledige controle geeft (bridge‑mode of volledige NAT‑instellingen), zodat ik mijn GL‑BE6500 als primaire router kan blijven gebruiken.

2. Overstappen op glasvezel, zodat ik de T‑54 helemaal kan overslaan en mijn GL‑BE6500 direct achter de ONT kan gebruiken.

3. Zijn er nog andere opties?

Alle ervaringen of aanbevelingen zijn welkom.

DMZ werkt prima en het verkeer wordt wel doorgegeven. Maar VPN is vaak alleen UDP, en dat kun jij niet testen met de normale port-checkers op internet (omdat die meestal alleen TCP testen).

Wil je b.v. UDP testen dan zou je dit kunnen gebruiken: https://www.ipvoid.com/udp-port-scan/

MAAR… VPN testen via een Open port UDP tester werkt in 95% van de gevallen niet omdat VPN hier beveiligingen op heeft. Die reageren alleen op UDP als het ontvangen UDP bericht ook echt goede authenticatie heeft. En UDP werkt anders dan TCP. Bij TCP kun je direct zien dat er een verbinding is (en dat is volgdoende voor een portscanner) en daarna wordt pas authenticatie gedaan. Bij UDP wordt geen verbinding gemaakt maar alleen losse berichten heen en weer gezonden. En op die manier kan een VPN server zeggen “ik reageer hier niet op omdat het een onjuist bericht is”. De verzender krijgt dan dus ook geen bericht terug (en zijn portscanners hier dus nutteloos voor).

Nee. En dat zal ook nooit gebeuren met een router (wat de Fritzbox is). Mijn suggestie was e.v. de VPN van een Fritzbox gebruiken. Wat jij wilt is een echte pure DSL modem. Zover ik weet heeft Fritzbox die niet.

Mar je hebt nog steeds niet aangegeven welke soort VPN je gebruikt en welke poorten je daarvan wilt gebruiken. Er zijn vele verschillende soorten VPN met allemaal eigen poort definities (TCP/UDP).

​@Waqqas zojuist op de router DHCP aangepast naar 192.168.0.1
@rvk01 met OpenVPN - Is er een specifiek Fritzbox model dat je kan aanbevelen dat VPN heeft?

Ah, DMZ werkt momenteel op T-54
Port 1194 is open zie ik op de OpenVoid.com
Heb vermoeden dat OpenVPN config niet lekker loopt

Ah, ja OpenVPN heeft vaak geen stealth op de 1194 UDP poort.

Dus als je ziet dat die wel open is (en niet filtered) dan zou hij wel moeten werken. Dan moet je inderdaad naar de config kijken.

​@iris232526 In plaats van te klooien met DMZ, adviseer ik altijd deze setup: gebruik een Zyxel VMG4005-B50A of DrayTek Vigor 167 als bridge-modem voor je GL-iNet. Zo zet je het DSL-signaal direct en probleemloos om naar ethernet. Dan hoef je de DX5401 ook niet meer te gebruiken. 

Kijk even op Marktplaats, daar vind je ze volop.

​@svenvg93 heb ik met zulke modems technische hulp nodig met configureren of kan ik de DSL instellingen dan overnemen uit de DX5401 (of waar vindt ik die)?

Nee niet echt, deze modems dienen als een bridge, ze komen standaard in bridge mode. Je hoeft ze alleen aan te sluiten en dan op je GL-iNet VLAN 300 op de WAN te zetten. 

​@svenvg93 bedankt voor die tip!

Overigens:
Mocht iemand anders met GL.iNet‑routers tegen hetzelfde probleem aanlopen: ik merk dat WireGuard op deze routers veel soepeler werkt dan OpenVPN. Het was bij mij in tegenstelling tot OpenVPN direct stabiel en sneller opgezet!

Ik werk altijd liever met wireguard. Met Openvpn kon ik nooit de snelheid van mijn internet halen. Met wireguard wel.

Het is nu dus gelukt via DMZ. Fijn 😁

Nee.. had DMZ weer uitgezet en toch opnieuw port forwarding aangezet naar 192.168.1.78 (GL.inet router) dat heeft een gateway adres 192.168.0.1

Ah. Ja, dat kan ook. Wireguard is een veel makkelijker protocol om te forwarden.