[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

*Inhalt gelöscht*

 

[i-B4se]

Wie kommt's, dass ich die unteren zwei Bilder kaum sehen kann?

Was meinst du mit kaum sehen kann?
ich glaube das Snipping-Tool hat die in etwas schlechter Quali rausgezogen.
Oder meinst du wegen dem Format?

 

[asche77]

Genau genommen sieht man nicht Mal, ob die Regeln aktiv sind oder nicht (enabled/disabled) ...

Du müsstest auch checken, an welcher Stelle die WAN Regel steht - wenn vorher eine "quick" drop/block Regel stünde, käme man ja gar nicht zur Weiterleitung.

 

[i-B4se]

Ich reiche mal die ganzen Bilder nach, sobald ich zu Hause bin.
War gestern etwas verzweifelt und hab einfach die Regeln ausgeschnitten

 

[Speeddeamon]

du könntest auch direkt im forwarding den pass schalter nehmen, dann brauchst du dafür keine extra Rule.
Hält die sache initial kompakt

 

[asche77]

Die "extra rule" legt Opnsense doch automatisch an, wenn man den prot forward unter NAT einrichtet. Glaube nicht dass i-B4se da eine eigene gebastelt hat?

 

[toscdesign]

Mahlzeit Leute,

ich hab gerade ein Problem mit meiner Opnsense und ich bekomme es nicht zum laufen
Kurz zur Erklärung:
Mein Router ist abgeraucht und ich habe mir kurzfristig einen Ersatz (Speedport Smart 4) geholt. Ich hatte gerade sowieso etwas drang zu basteln, also habe ich auf einer Testhardware Opnsense installiert.
Soweit funktioniert auch das Internet etc., aber ich bekomme zum verrecken die Firewall-Rules nicht ans laufen.
Aufbau:
Speedport läuft im Modemmodus. Die Opnsense ist per PPPoE mit dem Internet verbunden. Auf meinem Unraid-Server läuft Nginx Proxy Manager und darüber verbinde ich mit den einzelnen Docker/VM etc.

Bei meiner pfsense habe ich "einfach" bei NAT einen Port forward gemach, dazu wurde die passende Regel bei WAN erstellt und ich konnte die einzelnen Sachen hinterm NPM erreichen.
Port Forward:
Anhang anzeigen 872415
Rules (WAN):
Anhang anzeigen 872416

Jetzt habe ich quasi das gleiche bei Opnsense gemacht, aber ich komme nicht durch.
Port Forward:
Anhang anzeigen 872420
Rules (WAN):
Anhang anzeigen 872421

Was mache ich falsch bzw. was habe ich vergessen?
Danke euch!

Ähm ich glaube hier liegt dein Fehler, schau mal du hast bei (Rules WAN) Destination den Nginx Alias eingetragen, da gehört aber "WAN address" rein.
Im Grunde bedeutet das, das du erlaubst das das Internet den Port auf deinem WAN Port erreichen darf. Das ist sozusagen die erste Stufe die passiert werden muss.

Danach kommt erst die zweite Regel mit dem Port Forward auf einen anderen Port.

Siehe bei mir:

Beitrag automatisch zusammengeführt: 03.04.2023

Wenn du die Protokolierung eingeschaltet hast (Das i bei der Regel ist blau und nicht grau)(siehe mein screenshot vorher)
Dann kannst du dir im Live View anschauen, was die Firewall macht, also ob die blockiert oder durchlässt und sogar woher nach wohin:

 

[i-B4se]

So, nun etwas bessere Bilder und geht gehe auf eure Lösungsansätze ein.
Danke schon mal für eure Unterstützung.

check nochmal ob das alias wirklich richtig gesetzt ist.

Jap, diese sind korrekt. Sowohl die IP wie auch die Ports.

Genau genommen sieht man nicht Mal, ob die Regeln aktiv sind oder nicht (enabled/disabled) ...

Die Regel ist aktiv - siehe neue Bilder.

Du müsstest auch checken, an welcher Stelle die WAN Regel steht - wenn vorher eine "quick" drop/block Regel stünde, käme man ja gar nicht zur Weiterleitung.

Ich hab tatsächlich noch nichts weiter angelegt. Weil ich die ganze Zeit versuche das hinzubekommen

du könntest auch direkt im forwarding den pass schalter nehmen, dann brauchst du dafür keine extra Rule.
Hält die sache initial kompakt

Habe ich tatsächlich auch schon ausprobiert, aber ohne Erfolg.
Bin dann wieder zurück zu "Add associated filter rule". Ging ja vorher bei der pfsense auch.

Ähm ich glaube hier liegt dein Fehler, schau mal du hast bei (Rules WAN) Destination den Nginx Alias eingetragen, da gehört aber "WAN address" rein.
Im Grunde bedeutet das, das du erlaubst das das Internet den Port auf deinem WAN Port erreichen darf. Das ist sozusagen die erste Stufe die passiert werden muss.

Das habe ich jetzt noch nicht so ganz verstanden.
Das hatte ich ja vorher bei der pfsense auch nicht.

Mal etwas besser Bilder:
NAT

WAN Rules:

So sieht es auf der pfsense aus:
NAT:

WAN Rules:

Der NPM wird auch mit seiner IP unter ARP gelistet.

Es gibt eine Sache, das habe ich gestern vergessen, die zur pfsense anders ist.
Ich hab mich vorher nicht per PPPoE mit der sense eingewählt, sondern per StaticIP. Aber die Firewall war bei meinem alten Router deaktiviert. Sprich der hat alles durchgelassen.
Sollte ja eigentlich keinen unterschied machen, da es trotzdem das WAN-Interface war.

 

[toscdesign]

Das habe ich jetzt noch nicht so ganz verstanden.
Das hatte ich ja vorher bei der pfsense auch nicht.

Du musst ja erstmal den Zugriff aus dem Internet auf die WAN Schnittstelle deines opnsense Systems erlauben.
Das Port Forwarding passiert dann intern.

Keine Ahnung wie das bei pfsense ist, aber bei opnsense funktioniert das normalerweise so.
Bzw. wenn du das Port Forwarding einrichtest, wird die Firewall Regel automatisch erstellt.

Lösche am besten deine Regeln und manche das nach dieser Anleitung:

How to Port Forward in OPNsense in 2024 - WunderTech

This tutorial looks at how to port forward in OPNsense. Full setup instructions that will help you create the NAT and firewall rules!

www.wundertech.net

 

[i-B4se]

Danke für die Antwort.
Ich habe es eben hinbekommen. Ich poste morgen mal ein paar Bilder. Da fehlten tatsächlich noch Regeln, wobei ich diese nicht bei der pfsense hatte.

 

[hs_warez]

Blind guess: irgendein Problem bei der Umstellung des wireguard Plugins von Go auf Kernel?

Danke für den Hinweis.
War jetzt ein paar Tage nicht zu Hause - werde ich mir ev. heute noch ansehen.

Es wurde ja mit dem letzten großen Update von "normal" auf "go" umgestellt - und jetzt wieder?

LG

 

[hs_warez]

Danke für den Hinweis.
War jetzt ein paar Tage nicht zu Hause - werde ich mir ev. heute noch ansehen.

Es wurde ja mit dem letzten großen Update von "normal" auf "go" umgestellt - und jetzt wieder?

LG

Hm, hab das andere Plugin installiert und etwas herumgespielt - funktioniert nicht.
WG-Interface wird jetzt auch "rot" angezeigt.

Ich denke, ich deaktiviere/lösche alles, was mit WG zu tun hat und fange noch einmal von vorne an!?

LG

 

[BF2-Gamer]

Hallo Leute.

Ich wollte mal pfSense ausprobieren.

Meine Leitung:
FritzBox 6591 Cable
1000 MBit Download
50 MBit Upload

Ich wollte auf meiner FritzBox den Bridge-Mode einschalten und folgendes Gerät als Router verwenden.

https://www.amazon.de/HSIPC-Upgraded-Firewall-Appliance-Compatible/dp/B09P3RVDJ3/?_encoding=UTF8&pd_rd_w=ZqWY9&content-id=amzn1.sym.0b0b934e-1f89-4d8b-9a61-672a3b20f8d0&pf_rd_p=0b0b934e-1f89-4d8b-9a61-672a3b20f8d0&pf_rd_r=2CC2AHC4TMCTFYP63C3A&pd_rd_wg=Ft0MV&pd_rd_r=cdcf32f4-6244-46da-8f10-2102b1f533ad&ref_=pd_gw_ci_mcx_mr_hp_atf_m&th=1

GIbt es eine gute Anleitung für Neueinsteiger?

 

[BF2-Gamer]

Ich habe das Teil mal eingerichtet und der Bufferbloat ist nun höher als vorher.

 

[asche77]

Und was genau hast Du eingereichtet? Shaper mit Fq_codel verwendet?

 

[BF2-Gamer]

Ja genau.

Habe es so gemacht wie hier im Video.

Datenschutzhinweis für Youtube

An dieser Stelle möchten wir Ihnen ein Youtube-Video zeigen. Ihre Daten zu schützen, liegt uns aber am Herzen: Youtube setzt durch das Einbinden und Abspielen Cookies auf ihrem Rechner, mit welchen sie eventuell getracked werden können. Wenn Sie dies zulassen möchten, klicken Sie einfach auf den Play-Button. Das Video wird anschließend geladen und danach abgespielt.

Youtube Videos ab jetzt direkt anzeigen

Video anzeigen

 

[BF2-Gamer]

Vielleicht ist mein Router (Mini-PC) total der Schrott oder meine Settings passen nicht, aber mit der FritzBox 6591 fühlen sich Online-Shooter besser an.

 

[spyfly]

Vielleicht ist mein Router (Mini-PC) total der Schrott oder meine Settings passen nicht, aber mit der FritzBox 6591 fühlen sich Online-Shooter besser an.

Wenn du uns nicht sagst was genau und wie du es eingerichtet hast, dann tappen wir noch mehr im Dunkeln als du selbst.

Wenn du ne Single LAN/WAN Konfiguration hast würde ich dir den in pfSense integrierten Assistent nahelegen, der bringt entsprechende Möglichkeiten zur Prioritätensetzung mit, dann kannst du z. B. Gaming Traffic priorisieren.

 

[BF2-Gamer]

Ich versuche es mal.

Netzwerk:
Ich habe LAN 4 meiner FritzBox 6591 Cable in den Bridge-Mode versetzt. Sämtliche Geräte laufen weiterhin über die Fritzbox. Den Mini-PC habe ich an LAN 4 meiner Fritzbox angeschlossen. Der Mini-PC ist direkt mit meinem Gaming-PC verbunden. Mehr soll da auch nicht ran.

Mini-PC (Router)
- Ich habe pfSense 2.6.0 installiert
- Ich habe die LAN-Schlüsse usw. ausgewählt
- Dann habe ich noch ein paar Ports freigeschaltet (nach einer Anleitung)
- Dann habe ich noch Limiters unter Traffic-Shaper eingestellt (CoDe und FQ_Codell)

Zum testen habe ich mit der Bandbreite (alles mögliche zwischen 100 und 1000 MBit) und der Queue Length (500 bis 10000) rumgespielt.

Mehr habe ich eigentlich nicht getan.

Zum testen habe ich eine Runde Battlefield 2042 gespielt, was sich aber nicht so gut angefühlt hat.

 

[spyfly]

Zum testen habe ich eine Runde Battlefield 2042 gespielt, was sich aber nicht so gut angefühlt hat.

Nimm Mal die Limiter raus, damit du isolieren kannst ob das schlechte Gefühl an den Limitern liegt oder an einer Einstellung in der Default-Konfiguration.

 

[BF2-Gamer]

Ich kann den Limiter nicht rausnehmen (At least one bw specification is necessary).

 

[BF2-Gamer]

Ich fang hier mal neu an.

Da ich mit meinem Internet in Sachen "Gaming" unzufrieden bin, dachte ich mir, dass ich es mal mit einem "richtigen Router" (was überall empfohlen wird) ausprobieren sollte.

Mein Internet:

• Vodafone Kabel
• 1000 MBIt Download
• 50 MBit Upload
• FritzBox 6591 Cable

Als Router (pfSense) habe ich mir folgendes Teil gekauft: Klick

Mein Kabel geht von der Dose zur Fritzbox, dann zu meinem pfSense-Router und von dort aus zu meinem Gaming-PC. An meiner Fritzbox ist via LAN also nur der pfSense-Router und ein Apache-Server angeschlossen. Die restlichen Geräte (echt viele) sind via W-LAN verbunden. Für den pfSense-Router habe ich meinen LAN Port 4 (Fritzbox) in den Bridge-Mode versetzt.

Mögliche Einschränkungen: Es sind viele Geräte mit der FritzBox verbunden (Smart-TVs, Smartphones, W-LAN-Repeater, Konsolen, Computer, TV-Sticks, Smart-Geräte, Drucker usw.) und auch ständig Online.

Ausgangslage

#1 https://www.waveform.com/tools/bufferbloat?test-id=d5dc9b74-ec80-43fb-9e9f-28954f309b42 (ohne Priorisierung in der FritzBox)
#2 https://www.waveform.com/tools/bufferbloat?test-id=066f619d-6544-422c-a1d6-dc41db60fce0 (mit Priorisierung in der FritzBox)
#3 https://www.waveform.com/tools/bufferbloat?test-id=eaebfa88-f8d4-422a-9154-8d82c097b4bf (mit Priorisierung in der FritzBox)

Spielgefühl:

Datenschutzhinweis für Youtube

An dieser Stelle möchten wir Ihnen ein Youtube-Video zeigen. Ihre Daten zu schützen, liegt uns aber am Herzen: Youtube setzt durch das Einbinden und Abspielen Cookies auf ihrem Rechner, mit welchen sie eventuell getracked werden können. Wenn Sie dies zulassen möchten, klicken Sie einfach auf den Play-Button. Das Video wird anschließend geladen und danach abgespielt.

Youtube Videos ab jetzt direkt anzeigen

Video anzeigen

1.) Bufferbloat und Gaming Test

• Factory-Reset durchgeführt
• IPV6 deaktiviert

#1 https://www.waveform.com/tools/bufferbloat?test-id=e5baa836-089d-4841-bd75-f8e5f5d6ff0d
#2 https://www.waveform.com/tools/bufferbloat?test-id=de3f34c9-7a53-4469-8429-d066e283bd39

Spielgefühl: Spürbar schlechter als mit der FritzBox als Router

2.) Bufferbloat und Gaming Test

• Factory-Reset durchgeführt
• IPV6 deaktiviert
• traffic_shaper_wizard_multi_all.xml durchgeführt (siehe Screenshots)

#1 https://www.waveform.com/tools/bufferbloat?test-id=96e6b4a4-77a0-40a4-9462-c0578767bcc7
#2 https://www.waveform.com/tools/bufferbloat?test-id=12ba726b-1cf6-4545-9c2c-10885a9a7cd9

Spielgefühl: Ich dachte erst, es wäre besser (Hitreg usw.) als beim 1. Test, aber es ist leider noch schlimmer (und ich hatte immer wieder starke Lags***)

*** als würden die UDP-Pakete ungleichmäßig ankommen (das merkt man in BF2042 sofort)

Anmerkung: Was meine ich mit schlechter? Es fühlt sich an (Test 1 und 2), als würde man mit 100ms spielen. Schüsse gehen nicht rein und man kratzt unglaublich schnell ab.

3.) Bufferbloat und Gaming Test

• Factory-Reset durchgeführt
• IPV6 deaktiviert
• traffic_shaper_wizard_multi_all.xml durchgeführt (siehe Screenshots)
• traffic_shaper_wizard_multi_all.xml rückgängig gemacht (gelöscht)
• Limiter eingestellt und Floating hinzugefügt (siehe Screenshots)

#1 https://www.waveform.com/tools/bufferbloat?test-id=36c0cd67-d55d-43d2-b7d2-56cd7ae6f388
#2 https://www.waveform.com/tools/bufferbloat?test-id=ede4e86b-52d8-4bf0-87d4-46201a3761c9

Spielgefühl: Deutlich besser als bei den anderen Tests, aber leider nicht besser als mit der FritzBox.

4.) Bufferbloat Test

• Factory-Reset durchgeführt
• IPV6 deaktiviert
• traffic_shaper_wizard_multi_all.xml durchgeführt (siehe Screenshots)
• traffic_shaper_wizard_multi_all.xml rückgängig gemacht (gelöscht)
• Limiter eingestellt und Floating hinzugefügt (siehe Screenshots)
• Queue length (Download und Upload) unter Limiters gelöscht (Empty)
• Download auf 500 MBit (~50%) und Upload auf 25 MBit (~50%) gedrosselt

#1 https://www.waveform.com/tools/bufferbloat?test-id=e924205a-5ded-44dd-a3f1-023f93340d38

5.) Bufferbloat Test

• Factory-Reset durchgeführt
• IPV6 deaktiviert
• traffic_shaper_wizard_multi_all.xml durchgeführt (siehe Screenshots)
• traffic_shaper_wizard_multi_all.xml rückgängig gemacht (gelöscht)
• Limiter eingestellt und Floating hinzugefügt (siehe Screenshots)
• Queue length (Download und Upload) unter Limiters gelöscht (Empty)
• Download auf 500 MBit und Upload auf 25 MBit gedrosselt
• Download auf 100 MBit und Upload auf 20 MBit gedrosselt

#1 https://www.waveform.com/tools/bufferbloat?test-id=3244b8b5-0e80-4785-bba3-9e1578ba934d

Ich bin enttäuscht. Der Mini-PC hat mich knapp 300,00 Euro gekostet und ich sehe keinerlei Mehrwert.

• Ist der Mini-PC einfach nur Schrott?
• Taugt die FritzBox als Modem nichts?
• Habe ich etwas falsch eingestellt oder vergessen?
• Die FritzBox 6591 ist einfach ein guter Router?
  
• Man kann einfach nichts mehr aus der Leitung rausholen?
• Die FritzBox ist mit 1126,4 Mbit/s und 52,5 Mbit/s verbunden, hat aber nur 1GBit LAN. Kann das ein Problem sein?

 

[sch4kal]

Dein Problem heißt Kabel Internet, da hilft kein Router der Welt den miesen Jitter bei DOCSIS auszugleichen.

 

[BF2-Gamer]

Meine Optionen
- Auf Docsis 4.0 hoffen/warten (ungewisse Zeit)
- VDSL (max. 250MBit) von der Telekom besorgen (wenige Tage)
- Auf Glasfaser über DSL warten (1-2 Jahre laut Telekom)

Wenn ich die Paketbeschleunigung in meiner FritzBox deaktiviere, dann wird mein Internet zwar deutlich langsamer, aber das Spielgefühl steigt. Ich hatte erwartet (als Laie), dass pfSense das selbst beschleunigt.

 

[BobbyD]

- VDSL (max. 250MBit) von der Telekom besorgen (wenige Tage)

VDSL lieber von jemand anderes. Telekom hat ein gutes VDSL-Netz aber ist einer der schlechtesten ISPs, Stichwort Peering (und andere Gemeinheiten).

 

[BF2-Gamer]

Was wäre denn zu empfehlen?

Verfügbar wären laut Check24

• Vodafone
• 1&1
• O2
• Maingau
• easybell
• fonial

 

[spyfly]

1&1

Vom Netz her solide, aber die haben ne 24h Zwangstrennung, das gibt's bei der Telekom nicht.

Bei der Telekom sind halt die Peerings grottenschlecht, da kann es schon mal passieren, dass Websiten in ISDN Geschwindigkeit aufgebaut werden.

 

[BobbyD]

Vom Netz her solide

Netz ist ja i.d.R. das der Telekom.

Ich bin bei 1u1 und sehr zufrieden. Ich würde mir nur vorab vom Support in Textform bestätigen lassen, dass Du vollen Dual Stack bekommst und nicht DS-Lite, da Du ja auch einen Webserver hast und Leute in Foren teilweise behaupten, Gaming sei schlechter mit DS-Lite, was ich aber nicht beurteilen kann.

 

[spyfly]

Netz ist ja i.d.R. das der Telekom.

Nur die TAL ist von der Telekom und Teile des Access Netzes, ansonsten betreibt 1und1 ihre eigene Netzinfrastruktur.

Diese ist auch signifikant besser als die der Telekom, weil die Telekom bekanntlich keine Open Peering Policy hat und Geld von den Netzbetreibern verlangt die eine Verbindung zu ihnen aufbauen wollen. Deshalb sind die meisten dieser Verbindungen chronisch überlastet.

 

[sch4kal]

Was wäre denn zu empfehlen?

Verfügbar wären laut Check24

• Vodafone
• 1&1
• O2
• Maingau
• easybell
• fonial

Hab o2 via L3BSA von der Telekom, hast halt aufjedenfall Dualstack weil Telefonica bzw das AS6805 mehr v4 Space übrig hat als 1&1. Peerings sind vergleichbar, jedenfalls hat man mit o2 noch den Vorteil, das dahinter mit Telxius (gehört wie o2 zur Telefonica Gruppe) einen Tier1 Provider in der Hinterhand hat. Mit Vodafone hat man den Vorteil theoretisch auch, aber ich glaube deren DSL Kopplungen zur DTAG sind häufiger mal chronisch überlastet, jedenfalls wollen die dir lieber DOCSIS und LTE andrehen als DSL.

Hab mit o2 stabile Pings und ein gutes Gamingfeeling in CSGO und Valorant, bei BF2042 ka, dürfte aber auch gut sein.

Easybell soll aber auch gut sein.

Fonial und Maingau hab ich keine Ahnung.

 

[IronAge]

Was wäre denn zu empfehlen?

Mit Kabel & VDSL von O2 habe ich bisher die wenigsten Scherereien, wird gerne auch wegen der Flex Tarife genommen.