Port-Weiterleitung

Dieser Artikel beschreibt die „Port-Weiterleitung“ des Panels – eine klassische Port-Weiterleitung (iptables/nftables DNAT) auf Servern mit eigener öffentlicher IP.

In einem Satz verstanden

Du hast einen Server mit öffentlicher IP und möchtest, dass der Datenverkehr, der an einem „bestimmten öffentlichen Port“ ankommt, automatisch an „eine andere Maschine (oder einen anderen Port derselben Maschine)“ weitergeleitet wird. Genau das macht die Port-Weiterleitung.

Funktionsbeschreibung

Bei Servern mit eigener öffentlicher IP lässt sich über die System-Firewall (iptables/nftables) der eingehende Datenverkehr eines „bestimmten öffentlichen Ports“ an das „Ziel-IP:Port“ weiterleiten. Das ist die klassische Port-Weiterleitung auf Systemebene.

Unterschied zum Port-Tunneling (zuerst klären, was genutzt wird)

Anwendungsfälle

• Einen Port der öffentlichen IP eines Servers auf den Dienst eines anderen Servers weiterleiten
• Einen Nicht-Standard-Port (etwa 8888) auf den Standarddienst-Port abbilden
• Dienste einer Maschine im internen Netz über eine Maschine mit öffentlicher IP bereitstellen

Beispiel

Du hast einen öffentlichen Server 1.2.3.4 und eine Maschine im internen Netz 192.168.1.100, auf der ein Webdienst (Port 80) läuft. Du möchtest, dass ein Zugriff von außen auf 1.2.3.4:8888 dem Zugriff auf Port 80 im internen Netz entspricht:

• Protokoll: TCP
• Lauschender Port: 8888
• Ziel-IP: 192.168.1.100
• Ziel-Port: 80

Verwendung

Beim Zielserver mit öffentlicher IP in „Systemverwaltungs-Panel → Firewall → Port-Weiterleitung“ wechseln und „Port-Weiterleitungsverwaltung“ öffnen:

1. Auf „Weiterleitung hinzufügen“ klicken und ausfüllen:

• Protokoll: TCP / UDP
• Lauschender Port: eingehender öffentlicher Port
• Ziel-IP: die tatsächliche Adresse des Weiterleitungsziels (öffentliche IP oder routbare interne IP)
• Ziel-Port: Port des Zieldienstes

2. Nach dem Anlegen wird der Datenverkehr sofort weitergeleitet

3. Angelegte Weiterleitungen erscheinen als Liste und lassen sich bearbeiten oder löschen

Technische Erläuterung (Weiterleitungsregeln)

Das Panel konfiguriert automatisch drei Regeln auf dem Server (Beispiel: TCP, Lauschen auf 8888, Ziel 192.168.1.100:80):

1. DNAT: Datenverkehr an :8888 wird auf 192.168.1.100:80 umgeschrieben

2. FORWARD-Freigabe: gibt den Hin- und Rückweg-Datenverkehr der Weiterleitung frei

3. MASQUERADE: Quell-Adressübersetzung, damit die Antwortpakete korrekt zurücklaufen

> Einfach gesagt: DNAT ist „das Ziel ändern“, MASQUERADE ist „die Rückweg-Adresse ändern“ – erst alle drei Regeln zusammen lassen die Weiterleitung vollständig greifen.

Zu beachten

1. Eigene öffentliche IP erforderlich: Die Port-Weiterleitung findet auf dem Zielserver selbst statt und setzt voraus, dass dieser Server eine eigene öffentliche IP hat (der Datenverkehr trifft tatsächlich bei ihm ein).

2. Firewall-Freigabe: Wird auf einen anderen Server weitergeleitet, muss der Zielserver bzw. die Firewall dazwischen den Ziel-Port freigeben.

3. Bearbeiten = alte Regel löschen + neu anlegen: Regeln der System-Firewall lassen sich nicht an Ort und Stelle ändern; beim Bearbeiten wird die alte Regel zuerst gelöscht und dann eine neue hinzugefügt.

4. Das Panel passt sich automatisch an die drei Backends iptables-legacy / iptables / nftables an – keine manuelle Auswahl nötig.