[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

*Inhalt gelöscht*

 

[andrer250282]

In der VErgangenheit habe ich es so gemacht das ich eine VM hatte die ich explizit in diesem VLAN betrieben habe

Genau so hätte ich es gemacht, hihi

Alternativ Leg dir einen host alias an (MGMT_Workstation oder so), der vor der letzten deny any rule den Zugriff auf deine netze erlaubt. So sperrst du alles weg aber deine Workstation darf weitermachen

 

[BobbyD]

HA läuft sauber. Bevor ich mich an Multi-WAN wage

MultiWAN ist doch Kindergarten gegen einen HA-Setup. Keine Ahnung, warum Du dir das immer noch antust. Davon ab, den DNS-Redirect hättest Du in einer Regel je Ziel-DNS-Server abhandeln können. Und für Outbound-NAT würde ich immer den Hybriden Modus bevorzugen.

Zum Management-VLAN, da gibt es denke ich keine allgemeingültige Lösung. Je sicherer, desto komplizierter. Ich würde einfach dafür sorgen, dass da keine Server oder IoT drin sind, dann ist es mir sicher genug. Bzw. ich nutze einen eigenen Router dafür, einfach weil der Mist bei Problemem laufen muss, damit ich Backups wiederherstellen kann usw. D.h. ich habe mein LAN in der Sense, was schon überall hin kann. Und dann noch einen zusätzlichen Router für die Bleche. Mein PC ist dank mehrerer NICs in beiden Netzen drin. Aber nochmal, das ist sehr individuell zu sehen.

 

[Shihatsu]

Warum ich mir was genau immer noch antue? Erklär mir was du meinst, ich erklär dir warum ich es tue und dann schauen wir obs ne bessere Lösung gibt!
Und ja, ich hatte das sowohl mit Gruppen als auch mit floating rules umgesetzt, aber habs dann tatsächlich genau wie du gesehen: So ists (für mich!) übersichtlicher.
Was ist der Vorteil vom hybriden Modus? Ich bin da erstmal streng den Regeln der opnsense Macher gefolgt, daher die (vielleicht dumme) Frage...

Huom, zweites NEtz nur für MGMT find ich ja erhlich gesagt n bisserl drüber. Huom.

 

[sch4kal]

Huom, zweites NEtz nur für MGMT find ich ja erhlich gesagt n bisserl drüber. Huom.

Mh deine Hauptworkstation, die immer da ist einfach 2 VLANs zuführen, 1x LAN und 1x MGMT. MGMT kannst ja dann in eine „Management“ VM bridgen/durchreichen.

 

[andrer250282]

Persönliche Meinung: davon halte ich nichts. Wenn ich Netze trennen will bringt es mir ja nichts wenn ich die Trennung vom Inter-VLAN Router umgehe, damit ist der Sicherheitsgewinn punktuell verloren.

Aber ich verstehe die individuelle Abwägung zwischen Bequemlichkeit und Sicherheit.

Edit: vielleicht ein Wort zur Relativierung. Ich betreibe Opnsense sowohl als mehrfach Edge als auch als Inter-VLAN Router. Diese dann jeweils als IDS/IPS Instanzen. ich WILL also das alle Pakete da durch gehen und von daher würde ein Rechner mit Fuß in beiden VLANs keinen Sinn bei mir machen

 

[Sannyboy111985]

Ich muss nochmal auf mein Problem zu sprechen kommen, dass ich versuche ein neuen Interface auf meiner OPNSense einzurichten.
Meine Sense läuft unter Proxmox.
Sowohl ein Hardware Client als auch eine VM auf dem gleichen Proxmox host schaffen es nicht einen ICMP reply von der Sense zu bekommen.
Die beiden Clients VM/HW haben IPs im Netz 10.33.5.0/24 und die Sense die 10.33.5.1.
DHCP funktioniert und die Clients bekommen eine IP zugewiesen.
Firewall Rules erlauben ebenfalls ICMP und der Request taucht auch im Log auf. Nur die Antwort bleibt aus.

Jemand eine Idee, wie sich das Problem einkreisen lässt?

 

[AliManali]

Betreibe auch schon länger einen Filer, der an mehreren vNICs hängt um Interzone Verkehr zu vermeiden. Sehe jetzt da kein Problem. Dient einfach als mehrbesserer USB Stick.

Auf das Problem mit dem Management Netz laufe ich auch gerade zu. Bei mir wird es ein kleiner Switch für IPMIs und sowas. Der hängt dann auch separat an meiner WS und wird bei Bedarf zugeschaltet. Habe auch noch ein zweites Management Netz/vLAN für NFS. Weil da kann man ohne PW drauf zugreifen. Das darf einfach gar nirgends hin telefonieren.

Wüsste nicht, wie ich das eleganter lösen könnte, so ganz ohne ernsthaften Switch. Bin aber auch noch in der Findungsphase.

 

[Weltherrscher]

Persönliche Meinung: davon halte ich nichts. Wenn ich Netze trennen will bringt es mir ja nichts wenn ich die Trennung vom Inter-VLAN Router umgehe, damit ist der Sicherheitsgewinn punktuell verloren.

Aber ich verstehe die individuelle Abwägung zwischen Bequemlichkeit und Sicherheit.
---snip---

Warum?
Wie wird es im Rechenzentrum gemacht?
Kann mir gerade nicht vorstellen, dass da extra HW verbaut wird.
Der ganze Kram geht auf ein VLAN, in das nur bestimmte Ports Zugang haben.
Rock, fertig, aus.
Die Workstation sollte idealerweise mehrere Netzwerkkarten haben, da kann eine an nen MGMT-Port angeklemmt werden, die dann eben nur dafür aktiviert wird.
Zusätzlich kann man ja Port-Security aktivieren, so dass nur bestimmte MACs o.ä. an dem Port auch aktiviert werden.

Ist im Endeffekt dasselbe, wie das MGMT-VLAN auf die Hauptnetzwerkkarte zu trunken.
VLANs gehen halt in Windoofs 11 nur mehr umständlich zu erstellen.

 

[Shihatsu]

So, CARP läuft, MultiWAN nicht - egal ob mit oder ohne CARP.
Ich glaube das Problem liegt an meinen DNS-Settings - jeder Guide möchte das man hier etwas einträgt:

Und zwar soll man dort jedem der Gateways der Gatewaygroup einen DNS server (guides nehmen immer 8.8.8.8 - looool) eintragen. Aber ich will ja keinen externen DNS-server nutzen, ich will Unbound lokal nutzen - habe extra NAT rules dafür das auch alles dahin umgeleitet wird:

Wie erreiche ich denn nu MultiWAN Failover, aber ohne externe DNS server - erst Recht ohne Google....? Klar könnt ich nen vernünftigen DNS server nehmen, aber ich will das doch selber machen...

 

[andrer250282]

Ich kann morgen gern mal in meine Einstellungen gucken aber ich nutze allein einen internen DNS (nicht auf der Sense) ohne den DNS auf ein Gateway und habe keine Probleme mit multi WAN Failover? Das regelt die Gatewaygruppe doch? Oder reden wir aneinander vorbei?

Oder meinst du ein MultiWAN mit externer CARP über unterschiedliche Anschlüsse? Sowas hab ich leider nicht

 

[Shihatsu]

Nein, normalerweise sollte es das tun. Die Sense selber erkennt auch das das Haupt-GW weg ist, aber ich hab dann null DNS

 

[andrer250282]

Kann es sein das dein Opnsense DNS im Failover Fall seinen Upstream DNS nicht erreicht? Siehst du anfragen im Live View auf den Upstream DNS auf Port 53? Über welchen Gateway gehen die?

 

[Shihatsu]

Es ist kein Upstream DNS konfiguriert. Konfiguriert sind auf beiden Senses jeweuls beide Senses. Ich will ja das Unbound mit . redet.