[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

*Inhalt gelöscht*

 

[hs_warez]

Hätte da mal wieder eine Frage!

Meine OPNSense lief jetzt 78 Tage mit 24.1.5._3 durch.
Habe jetzt das Update auf 24.1.9_4 durchgeführt und habe festgestellt, dass meine SSD fast voll ist!

386 von 429GB belegt!

Habe mal "du -hd 1 /" eingegeben - lt. Auflistung hat mein "usr" Ordner 371 GB.

Wie finde ich denn raus, warum das so ist, bzw. was ich ev. löschen kann!?


Danke!


LG

 

[spyfly]

Wie finde ich denn raus, warum das so ist, bzw. was ich ev. löschen kann!?

Du musst Log Rotation aktivieren

Ansonsten wäre es hilfreich wenn du uns einen Überblick über deine installierten Plugins gibst.

 

[hs_warez]

Du musst Log Rotation aktivieren

Ansonsten wäre es hilfreich wenn du uns einen Überblick über deine installierten Plugins gibst.

Wie/wo aktiviert man das?

Hab in versch. Menüs auch schon die Logs gelöscht - wird trotzdem kein Speicherplatz frei!?

Viele Plugins habe ich eigentlich nicht laufen.


LG

 

[andrer250282]

System - Settings - Logs

Da findest du eigentlich alles was du suchst

 

[hs_warez]

System - Settings - Logs

Da findest du eigentlich alles was du suchst

Na ja, viel finde ich dort nicht.

"preserved files" habe ich auf 30.

Wie gesagt, habe auch schon überall "reset irgendwelcher Statistiken" durchgeführt - Speicher wird trotzdem keiner frei!?

 

[andrer250282]

Und hast du eine max sitze eingestellt?
Was passiert wenn du die Protokolldateien zurücksetzt dort? Wird der Speicher dann leer?

 

[hs_warez]

Und hast du eine max sitze eingestellt?
Was passiert wenn du die Protokolldateien zurücksetzt dort? Wird der Speicher dann leer?

Siehe oben - habe überall (wo ich es gefunden habe) schon irgendwelche Logs/Statistiken gelöscht - ein paar GB hats gebracht - viel nicht!

"max size" habe ich bisher noch nicht versucht.

 

[asche77]

ntopng hatte mir mal die Platte vollgemacht. Hast Du evtl ntopng, ZenArmor o.ä. laufen? Auch dort können ja große Datenmengen anfallen.

 

[Sannyboy111985]

Einfach auf der Console mit "du -ms /*" Anfagen zu gucken wo das meißte an Daten liegt und dann weiter runter hangeln.
Bei mir lag viel unter /usr/local/... und /var/...

 

[Weltherrscher]

sollte es auch, /usr (unix system resources) ist sowas wie das "system32"-Verzeichnis von Windoofs.
/var dann sowas ähnliches wie "programdata".
Ich wäre da vorsichtig in den Verzeichnissen außer in /var/log sinnlos rumzulöschen.

 

[Sannyboy111985]

Grundsätzlich gebe ich die recht @Weltherrscher. Wahllos löschen ist sicher nicht das Mittel der Wahl.
Aber auf der OPNSense liegen da z.B. folgende Dinge, die man vielleicht nicht braucht: /usr/local/datastore/mongodb oder /var/netflow
Es gilt, man muss wissen welche Services man einsetzt um zu entscheiden ob man Daten löschen will oder kann.

 

[p4n0]

Es ist halt keine 'Enterprise-Blackbox'. Hier gilt einfach: With great power comes the great crash
Das teil bleibt stehen wenn man's verkonfiguriert.. Andererseits bekommt man massig features fuer Umme.

Bin jedenfalls Hellauf begeistert von der OPNSense. Haette viel frueher die PFSense ad acta legen sollen.

 

[AliManali]

Hi

Bin gerade maximal verwirrt. Habe an einer pfsense WAN, meinen Rechner im Moment nicht getagt und meinen Server angehängt. Nun möchte ich auf meinen Server direkt getagged mit VLAN 28, 29, 30 und 33 fahren.

Bei den Interface Zuordnungen habe ich überall IPv4 auf none. Das wäre ja der Zugriff aufs Panel?

Nun möchte ich für die genannten VLANs am Server je einen DHCP Server einrichten. Nur wie mache ich das? Wenn ich auf DHCP Server gehe, kann ich dort nur das Interface LAN bearbeiten.

Wo ich auch nicht ganz durchsehe: wenn ich am Interface ix1 ein vLAN habe, und an ix3 das selbe VLAN nutze (mein LAN, VLAN29), sind die dann voneinander unabhängig? Komme von einer Zywall, das ist dort alles komplett anders gelöst. Da habe ich physische Interfaces und VLANs, und kann die nach belieben dann physischen Ports zuweisen.

Ich hätte also gerne auf verschiedenen physischen Ports die selben vLAN. Da hängen entweder Clients dran, oder eben Server getagged mit mehreren VLANs.

Switch gibt es nicht. Da ist alles direkt verkabelt.

 

[p4n0]

Kannst du ein Bildchen davon malen?

Ich glaube du laeufst in ein aehnliches Problem wie ich mit meinem ESX.

Soll dein Server direkt an die Firewall ran?
Und an der Firewall haengt noch ein Switch mit der restlichen Infrastruktur?

Dann wird das nicht funktionieren.
Du baust dir (hast du schon) einen VLAN Trunk und schiebst damit alle VLANs auf deinen zentralen Switch, an dem die PFSense haengt.
Daran kannst du jetzt deinen Server anschließen.

Einen weiteren physikalischen Port mit exakt dem gleichen Trunk kannst du auf der PFSense nicht bauen.

 

[AliManali]

Wie gesagt, es gibt keinen Switch. Also schon, aber der tut nichts zur Sache und hängt auch nicht an der pfsense.

Im Moment denkbar einfach gestrickt:

Wie kriege ich jetzt an jedes VLAN einen DHCP Server? Wenn ich da auf DHCP Server gehe, kann ich nur den für DESKTOP1 konfigurieren.

 

[p4n0]

Das geht eben nicht (ohne switch). An deinen VLAN Trunk muss ein Switch sofern du mehrere Geraete an die unterschiedlichen VLANs packen willst.
Fuer mehrere Phys. Ports muss es dann ein LACP Trunk oder sowas sein aber das hilft dir in deinem Fall nicht da du ja unterschiedliche Geraete versorgen willst.


Aber wieso verwendest du den Switch nicht dafuer? Ist doch super wenn du schon so n Ding hast.
Alle VLANs auf dem Moped konfigurieren, fuer deinen PC nen Accessport auf deinem gewuenschtem VLAN konfigurieren und fertig.

 

[KurantRubys]

Ich hab das jetzt so mit ner Sense noch nicht getestest, aber eine Bridge mit beiden Ports auf der die VLANs getaggt laufen geht auch nicht?

 

[AliManali]

Ja, an den VLAN Trunk kommt ja ein Switch. Ein vSwitch, wo ich dann Portgruppen mit den VLAN IDs mache. Da komme ich dann schon klar mit. Die Frage war, wie ich an die VLANs je einen DHCP Server anhänge.

 

[p4n0]

nein, du kannst deine vlan interfaces nicht einer bridge zuweisen. lediglich einem lacp team.

Beitrag automatisch zusammengeführt: 04.07.2024

Ja, an den VLAN Trunk kommt ja ein Switch. Ein vSwitch

Der hilft dir nicht. Du brauchst nen Switch zum anfassen damit das klappt was du vorhast

 

[AliManali]

Der hilft dir nicht. Du brauchst nen Switch zum anfassen

Du nein. Sicher kann ich getagged auf einen vSwitch fahren. Beim ESXi gibt man bei der Portgruppe die VLAN ID an, wo soll das ein Problem sein? Ist genauso, als würde ich getagged auf einen pSwitch fahren, und dann mit einzelnen Strippen auf einzelne vSwitches.

Und wie gesagt, das war nicht die Frage. Sondern:

Die Frage war, wie ich an die VLANs je einen DHCP Server anhänge.

Ich will das nur mal für den einen Port ix3 konfigurieren. Frage jetzt nochmals, zum dritten mal: ich will da an den VLANs je einen DHCP Server haben, mehr nicht für den Moment. Und falls es Euch unter den Nägeln brennt, stellt Euch einfach vor, verdammt, ich fahre auf einen pSwitch und mit 4 Strippen auf den ESXi. Himmelherrgott. Das tut absolut nichts zur Sache hier. Meine Frage solltet Ihr ja mittlerweile kennen.

 

[TheTAZ]

Bei den Interface Zuordnungen habe ich überall IPv4 auf none. Das wäre ja der Zugriff aufs Panel?

Ich denke es liegt an der fehlenden IP Zuweisung auf den VLAN Interfaces. Soweit ich weiß erlaubt pfSense nur einen DHCP Server wenn auf dem jeweiligen Interface eine statische IP konfiguriert wurde.

Was meinst du mit dem Zugriff "aufs Panel"? Die Oberfläche der pfSense? Diesen Zugriff müsstest du dann via Firewallregeln verbieten.

 

[p4n0]

Ich kann dir nur das hier berichten was ich nach ca. 4h gebastel, dokumentation + netgate forum herausfinden konnte.
Ein VLAN Interface hat immer eine 1:1 beziehung zu einem Physikalischem Interface.

Wenn ich dich korrekt verstanden habe dann versuchst du folgendes zu bauen, laesst jedoch (in meinem Fall den Zyxel switch weg).

Ohne den zentralen Switch, an dem ESX + restlicher Kram haengt funktioniert das was du vorhast eben nicht.

Du kannst jedes VLAN Interface eben nur einem physikalischem Interface zuweisen. In meinem Fall haengen alle VLANS auf dem lagg0 device. Dahinter stecken physikalisch die Ports ix0/ix1.

Sobald du jetzt auf einem anderen Port das 'gleiche' VLan moechtest muesstest du es nochmals anlegen (dann hast du 2 unterschiedliche VLANs, trotz gleicher ID!). Dieses koenntest du dann deinem Rechner zuweisen und auch DHCP spielen. Aber genau das willst du eben nicht.

Du moechtest doch VLAN29 an deinen Virtualisierer bringen (TRUNK) und gleichzeitig an deinen Client, korrekt?
Dann brauchst du einen physikalischen Switch.

 

[AliManali]

Ich denke es liegt an der fehlenden IP Zuweisung auf den VLAN Interfaces. Soweit ich weiß erlaubt pfSense nur einen DHCP Server wenn auf dem jeweiligen Interface eine statische IP konfiguriert wurde.

Danke. Genau das war es, ja. Hätte ich auch darauf kommen können, aber habe mir einen Wolf gesucht. Habe da aber wohl was falsch eingegeben, oder so. Auf jeden Fall ist die pfsense gar nicht mehr erreichbar jetzt

Zum Glück bin ich nur im Laborbetrieb, gehe wohl am besten mal auf Factory Reset.

 

[p4n0]

Danke. Genau das war es, ja

Ich denke nicht dass es das war. Selbst wenn du ein weiteres VLAN29 auf das Interface legst an dem dein PC klemmt wirst du nicht auf VLAN29 reccourcen von deinem ESX zugreifen koennen weil es sich hierbei schlicht um 2 unterschiedliche Netze handelt.

 

[AliManali]

Die Frage kannst Du ja oben nochmal nachlesen. Hatte sie ja 3x gestellt, und eine Antwort von @TheTAZ dazu bekommen. Und ja, die Antwort war richtig, weil wenn man dort eine statische IP eingibt, dann kann man nacher den DHCP Server für das Interface konfigurieren. Wenn da bei den Interfaces keine statische IPv4 drin steht, dann taucht das VLAN gar nicht erst auf bei den DHCP Servern.

Dass Du da immer noch an dem VLAN an zwei Adaptern dran hängst ist ja nett. Das kommt dann irgendwann mal. Das interessiert jetzt halt nicht.

 

[p4n0]

Dass Du da immer noch an dem VLAN an zwei Adaptern dran hängst ist ja nett. Das kommt dann irgendwann mal. Das interessiert jetzt halt nicht.

Dann haeng den PC wenigstens an ein anderes Netz. Das was du da machst ist maximalst verwirrend.

 

[AliManali]

Hat geklappt, super. Sry, wenn ich grantig wurde, war halt grad frustriert. Wenn das nicht klappt mit dem selben VLAN, dann wird halt geroutet, was ja so oder so der Fall sein wird. Das spielt mir keinen Rugel, ob mein PC jetzt in dem VLAN 29 hängt, oder sonst wo. Das kann ich dann ja beregeln.

Für den Moment reicht es mir mal, wenn ich getagged auf den Server fahren kann. Das geht ja auch jetzt:

So weit bin ich also glücklich, mein ESXi hängt jetzt schon mal getagged an der neuen Firewall. Wobei, produktiv läuft noch über die Zywall. Das sieht im Moment noch so aus, da fahre ich ungetagged über den Switch. Nur so zur Info:

Die neue getaggte Verbindung von der sense zum ESXi fehlt da noch. Aber das ist mein Versuchsaufbau atm.

 

[p4n0]

Alles gut, ich hab genauso ‚draufgehalten‘ weil mich dein zukuenftiges Problem nen halben Tag gekostet hat ^^

 

[AliManali]

Hmm, ok. Mein Client auf dem betreffenden VLAN bekommt zwar brav seine Adresse zugewiesen, aber der will irgendwie nicht raus telefonieren. Weder raus, noch sonst irgendwo hin. Ich kann da weder 8.8.8.8 noch 192.168.30.1 anpingen. Habe auch die bösen allow all Regeln getestet. An was könnte das liegen? Muss ich da im Routing noch was konfigurieren?

 

[p4n0]

Sieht so aus als haette deine linuxkiste kein default-gw.
Kannst mal deinen DHCP Server von dem Netz zeigen?