[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

*Inhalt gelöscht*

 

[Tundor]

Ich hab übers Wochenende so einiges zu VLANs gelesen und angeschaut und ich denke die Grundprinzipien habe ich so halbwegs verstanden. Auch wenn ich immer noch nen Knoten im Kopf habe mit diesem tagged / untagged.

Kann mir jemand drüberschauen ob diese theoretische Konfiguration so passt?

Mein Setup hab ich ja zwei Posts weiter oben aufgemalt.


Nehmen wir an ich habe 3 VLANs

1 - Default
10 - Produktiv
20 - IoT
30 - Guest (also nur fürs WiFi relevant)

Konfiguration am Zyxel XMG 2,5G / 10G switch (Cloud Managed über Nebula)

Beispiele:

Trunk Port zur PFSense, der soll ja einfach alles durchlassen, selbe Konfiguration für den Port zum WiFi AP

Port wo z.B. nur der Drucker ran soll, für VLAN 20 IoT

Port für meinen Desktop, VLAN 10 Produktiv

Mein Zyxel 1Gbit Switch im Wohnzimmer ist nicht Cloud Managed, dort sieht die Konfiguration im Interface anders aus.
Nehmen wir mal an, ich hänge an diesen Switch nur IoT Geräte, also z.B. TV, PS5 etc. Port 1 wäre der Uplink zum Zyxel AP (Wifi Bridge) und and Port 2,3,4 hängen jeweils die Geräte dran die ins VLAN 20 sollen.

Würde ich dann bei Port 2-3-4 jeweils PVID 20 eintragen (damit jeder traffic der von den Geräten ausgeht automatisch das Tag 20 bekommt)?

Was muss ich unten eintragen, überall Untagged Egress member für VID 20 und den rest löschen?


10 und 30 muss hier ja nicht stehen, wenn wenn ich z.B: von meinem PC oder Smartphone aus VLAN 10 auf ein Gerät hinter diesem Switch Port zugreifen möchte, würde die PFsense das ja auf VLAN 20 routen und daher nicht mit VLAN Tag 10 ankommen?

Mein Verständnis ist, dass die PVID das VLAN der physisch angeschlossenen Geräte bestimmt. Warum aber kann ich unten in der Tabelle jetzt nochmal untagged member hinzufügen? Ich dachte untagged kann es nur ein VLAN geben am Port und die anderen müssen tagged sein? Die Konfiguration erlaubt das hier. Wo ist mein Denkfehler, bzw. was habe ich hier nicht verstanden?

 

[BobbyD]

@Tundor Zum Zyxel unten, den hab ich auch.
Wenn alle Geräte daran ins IoT-VLAN sollen mit der ID 20, dann machst Du an allen Ports außer dem Trunk die PVID 20. Du machst außerdem bei der VLAN ID 20 überall grün, also Untag Egress, denn die Geräte selbst können ja kein VLAN sprechen, sollen den VLAN20-Traffic aber abbekommen.
Bei allen anderen VLAN IDs machst Du Non-Member.

Beim Trunk-Port machst Du dagegen alle orange, also Tag-Egress. Welche PVID Du dem Trunk-Port geben willst, ist Dir überlassen. Viele nutzen das Parent Interface auf der Sense gar nicht, damit ist es quasi egal, was da steht. Ich würde den Trunk vermutlich mit PVID1 betreiben und bei VLAN ID 1 mit grün, also quasi ohne VLAN, weil 1 wird erst gegeben und beim Austreten sogleich wieder genommen, was praktisch keinem VLAN (außerhalb des Switches) entspricht.

 

[millenniumpilot]

ich weis schon, warum ich für VLAN-Sachen lieber meine Cisco-CLI nehme. Da sehe/LESE ich genau was ich mache und was dabei herauskommt.

 

[Tundor]

@BobbyD Danke dir, werde ich dann so versuchen. Warum ich das so machen muss (und vorallem, warum muss ich nochmal 20 Untag Egress machen, wenn die PVID schon auf 20 ist) verstehe ich trotzdem nicht so richtig 🙈

@millenniumpilot Ich hatte halt die neuen Zyxel APs (NWA130BE) und dachte ich nehme dann einfach alles von Zyxel, weil bezahlbar und qualität scheinbar nicht die schlechteste. Wird für mein kleines Netzwerk schon passen 😅

 

[BobbyD]

@Tundor Die PVID ist für eingehenden, ungetaggten Traffic, der dann zum VLAN 20 wird. Bei der VID 20 entscheidest Du dagegen, wo dieser Traffic herausgehen darf und ob er seinen Tag behält oder den Tag verliert.

 

[millenniumpilot]

@Tundor war ja kein Vorwurf. Alles gut. Ich wollte damit nur sagen, bei VLANs muss man sich darauf verlassen können, das der Switch genau das macht, was mit mit dem Anklicken erreichen will. Und da gibt es schon Unterschiede, was die einzelnen Hersteller da so anstellen. Deswegen bin ich mit diesen GUIs nie warm geworden. Vorallem, wenn das (interne) WAN auch noch per VLAN im Switch weiterreicht wird.

Bei Cisco und bei HP sieht es dann in etwa so aus:
interface GigabitEthernet0/3
description pve
switchport trunk allowed vlan 20,30,40,50
switchport trunk native vlan 20
switchport mode trunk

Erklärung: Proxmox hat bei mir nur eine NIC. Das vlan 20 ist bei mir das interne-LAN und kommt am Proxmox ungetaggt an, alle anderen vlans für die VMs getaggt.

oder bei einem Accessport dann:
interface GigabitEthernet0/7
description IOT-Netz
switchport access vlan 40
switchport mode access

da weis man dann genau, was Sache ist, ohne das der GUI-Programmierer die dollsten Sachen anstellt.
Oder nennt mich einfach altmodisch. ;-)

 

[BobbyD]

Das GUI von Zyxel ist mit am Besten geeignet für Einsteiger, besser als bei den anderen Einsteigergeräten, weil alle Einstellungen auf einer Seite zu finden sind. Und verständlicher ist es obendrein. So ein Beispiel von @millenniumpilot dürfte eher keinem Laien was sagen.

 

[Tundor]

@Tundor war ja kein Vorwurf.

Keine Sorge, so habe ich das nicht interpretiert Aber offensichtlich bist du in dem Thema ja schon etwas erfahrener und sicherlich macht ne CLI dann auch Sinn, da ist man ja dann auch flott unterwegs. Als Anfänger ist das tendenziell eher ne Vollkatastrophe und ein vernünftiges UX hilft

Der Toptopn N100 Chinaböller kam heute an, macht eigentlich echt keinen schlechten Eindruck, alles sehr wertig verarbeitet, hat sogar nen Lüfter (der selbst im Betrieb unhörbar ist).

Einziges Manko, mit pFSense im Idle hing der bei fast 18W, ich hab dann ein paar Blogs / reddit zu dem Thema durchsucht und ein paar BIOS anpassungen gemacht, jetzt läuft er auf 15W. Aber irgendwie immer noch viel, angeblich sollte die Kiste eigentlich unter 10W idlen Zum messen nutze ich ein Shelly Plug S, ich weiß die sind nicht super akkurat aber so eine hohe Abweichung dürften die eigentlich auch nicht haben?

 

[BobbyD]

N100 bist Du "schon" mit 10 Watt idle. Dann noch ggf. völlig veraltete NICs und das passt schon. Würde mir also keine große Hoffnung machen, dass da noch was geht. Aber ich muss zugeben, dass mich die Hardwareseite eher wenig interessiert.

 

[Tundor]

Das kann schon passen, aber ich hab einige Reviews gesehen wo behauptet wurde, dass das ding im pfsense Idle auf 10W sitzt, war genau dieses Gerät (das wird ja von mehreren Marken vertrieben, aber kommt sicherlich alles vom gleichen Auftragsfertiger). Naja, für 200€ will ich mich mal nicht beschweren, teilweise ging es jetzt auch mal auf 12W runter.

 

[Zeitmangel]

@Tundor
12W idle für eine N100 10Gbit sense ist GUT.

 

[Tundor]

12W

Leider sind es keine 12Watt, im Idle sind es jetzt eher 16, mit minimal Auslastung 18 und mit Vollgas um die 24w. Das ist deutlich mehr als ich mir erwartet habe, aber dafür hat die Kiste halt auch nur 200€ gekostet. Werde sie jetzt erstmal behalten, sollte sich mal besseres auftun, kann ich ja immer noch wechseln. Hatte mich auch das MS01 angeschaut (würde mich schon reizen), mit der I5 Version soll die Kiste wohl 13-14W idlen, aber das rechtfertig natürlich rechnerisch nicht den Mehrpreis für mich von über 250€, mehr Leistung brauche ich aktuell eigentlich nicht. Der N100 scheint meine Leitung gut auslasten zu können. Bei Full Speed ist die CPU irgendwo bei 25% (also WAN Fullspeed, 10G hab ich nicht getestet). Aber mal schauen wie schnell ich meine Meinung hier wieder ändere 🙈

Hat jemand Erfahrung wie viel Verbrauch so ein Standalone Modem hat? Für Kabel gibt es in Deutschland ja genau eine Option (wenn man nen 2,5Gbit Port brauch):

Kabelmodem ARRIS CM3500 B CE, 2,5 Gbps LAN-Port

Kabel-Modem, Docsis 3.1, 2,5 Gb Netzwerkport

shop.wernerelectronic.de

Ich überlege, ob ich mir das kaufe um die Fritzbox loszuwerden. Auf der anderen Seite, ist eine Fritzbox zu haben vlt. auch von Vorteil, falls mal irgendwas an der pfSense krachen geht und man kurzfristig nen Ersatzrouter braucht 😅

Danke an alle die mir geholfen haben. Ich hab auch schon viel gelernt heute, da so einiges erstmal nicht funktioniert hat Jetzt bin ich aber soweit, dass alle VLANs funktionieren, allerdings erstmal noch ohne größere Firewall Logik, da taste ich mich die Tage dann ran.

 

[Zeitmangel]

@Tundor
Inwiefern stört die Fritte da nun?

 

[Tundor]

Eigentlich nur Doppeltes NAT (nicht so wild) und ich vermute höheren Stromverbrauch, da bin ich mir aber nicht sicher. Preislich würde ich sie für den Preis vom Modem loswerden, der Tausch wäre also ohne Mehrkosten. Hab zum Stromverbrauch von dem Modem leider nichts gefunden, das ist halt ein Nischenprodukt. Aber ich hoffe, dass in den nächsten 1-2 Jahren hier eh Fiber bis in meine Wohnung kommt, dann hat sich das eh erledigt.

 

[BobbyD]

OPNsense 25.1 released

OPNsense 25.1 released

forum.opnsense.org

25.1, nicknamed "Ultimate Unicorn", features numerous MVC/API conversions,
improved security zones support and documentation, ZFS snapshot support,
a new UI look with a light and dark theme, PHP 8.3, FreeBSD 14.2 plus much
more.

Migration notes, known issues and limitations:

• The access management was rewritten in MVC and contains behavioural changes including not rendering UNIX accounts for non-shell users. The integrated authentication via PAM has been the default for a long time so the option to disable it has been removed. The manual LDAP importer is no longer available since LDAP/RADIUS authenticators support on-demand creation and default group setup option. The "page-system-groupmanager-addprivs" privilege was removed since the page does not exist anymore. A multi-purpose privilege editor has been added under the existing "page-system-usermanager-addprivs" instead.
• PPP devices can no longer be configured on the interface settings page. To edit the device settings use the native PPP device edit page instead.
• FreeBSD 14.2 comes with the stock pf(4) behaviour regarding ICMPv6 neighbour discovery state tracking which was avoided so far in 24.7.x.
• Let's Encrypt ends support for the OCSP Must Staple extension on 30.01.2025. Issuance requests will fail if this option is still enabled past this date.

 

[Tundor]

Ich habe gestern Autobackup der Config von pFSense aktiviert und bekomme ständig diese Fehlermeldung:

• An error occurred while uploading the encrypted pfSense configuration to https://acb.netgate.com/save (Operation timed out after 30044 milliseconds with 0 bytes received) @ 2025-01-29 14:48:30

Liegt das an mir, oder gibt's dieses Feature Serverseitig einfach nicht mehr?

*edit*
Und wenn letzteres, gibt es irgendwie nen unkomplizierten Weg die Configs regelmäßig extern zu sichern (z.B. auf meinem NAS)? Oder muss ich da selber mit Cronjob/rsync ran?

 

[sch4kal]

Hast du denn eine aktive Subscription bei Netgate ?

 

[Tundor]

Natürlich nicht

 

[Zeitmangel]

Eigentlich nur Doppeltes NAT (nicht so wild)

Das ist die Stelle wo dem Thread plötzlich die Kompetenz fehlt. Ich fragte auch schon danach, was passiert, wenn man der Fritte diese feste Route zu der sense gibt und auf der sense, NAT-Regeln auf selbst erstellen schalten. Und KEINE erstellen.

Dann wars das oder? Die Fritte macht NAT und routete nur die eine Strecke, die sense macht das komplette Routing samt allem sonstigen PiPaPo und macht kein NAT. Hmm...? Wusste aber keiner. Ich hab wohl zu kompliziert gedacht. Oder zu kompliziert gefragt.

Mit Ubikitty funktioniert das jedenfalls seit eingier Zeit. Feste Route in der Fritte, Auf UB lässt sich NAT nun einfach ausknipsen, Ende des nervigen Themas Doppel-NAT.

 

[Tundor]

Oder zu kompliziert gefragt.

Meinst du eingehendes NAT, also wenn man Portfreigaben von außen machen möchte?

Für eingehendes NAT kann man die Regeln ja gar nicht selber erstellen lassen, die pFSense kann ja gar nicht wissen wo das hin soll wenn die FB einfach nur mit nem Port ankommt?
Nach meinem Verständnis muss man für sowas halt 2x NAT eintragen, zuerst auf der FB zum WAN interface von der pFsense (die ja dann im Subnetz vom lokalen FB Netz ist) und von dort nochmal entsprechend zum Client. Finde ich aber nicht so wild, würde mir hier höchstens mal ne Wireguard Verbindung einrichten, dann ist das einmaliger Aufwand. Ich meine man kann in der FB auch die pFSense als exposed Host eintragen, dann ist die Scheune offen.

Was, wenn man das denn braucht, aber nicht funktionieren dürfte ist die Prefix Delegation vom ipv6 an der FB WAN Seite zu den Interfaces an der pFsense. Die PFsense bekommt ja von der FB einfach nur die lokale FB Adresse an ihr WAN Interface übermittelt.

Bridge Mode supporten die FBs ja leider alle nicht mehr

*edit*

Sehe gerade, dass du da ein Video verlinkt hattest im früheren Beitrag, ziehe ich mir mal rein.

*edit2*
Ok da geht's ja um doppeltes NAT für den ausgehenden Traffic. Ist natürlich schöner das abzuschalten, dürfte aber in der Praxis wohl kaum ne Relevanz haben.

 

[AliManali]

Kann da @Tundor eher folgen, als @Zeitmangel . Hier auch doppelt NAT, bzw. DMZ oder exposed Host. Wär sicher schöner bridged, gerade auch für etwas speziellere Anwendungen. Aber für die Anforderungen vom Fragesteller sollte es ja auch doppelt NAT tun.

 

[Zeitmangel]

Ja ok. Wenns eh nicht stört... Ich sehe zu der Übung immer nur Geheule wegen Doppel-NAT. Dachte also das wäre allen superwichtig das ggf. nicht zu haben
(Ich hab in den Beiträgen keine eigene Meinung bekündet, Es waren halt nur Infos.)

 

[millenniumpilot]

solange man kein exposed Host hat, muss man halt alle NAT-Regeln 2xpflegen, 1x in der Fritzbox etc und 1x in der pfsense/opnsense.
Weitere Umstände hat mir das nicht bereitet. Wie das dann bei IP-Telefonie, SIP usw. aussieht weis ich aber nicht. Das macht bei mir weiterhin die Fritzbox.
Ich sehe das eher als Vorteil gegen spontane Dummheit. Man muss 2x nachdenken ob es richtig ist, was man da gerade anstellt.

 

[Tundor]

solange man kein exposed Host hat,

Ich hab exposed Host noch nie ausprobiert. Bei dieser Einstellung geht jeder Traffic für den die FB keine explizite Zuordnung hat an den exposed host? D.h. man kann dann auch nur einen als exposed host definieren?
Bei der pfSense gibt es auch Outbound NAT Regeln, hat das mal jemand versucht zu deaktivieren und das Routing dann in der FB fix zu hinterlegen?

 

[me777]

Hallo,
Ich habe einen "normalen PC" mit OPNsense durch einen mini ersetzt, genau gesagt durch diesen hier: https://www.amazon.de/dp/B0CP1VW6DJ

Vorher alles fein, ich hab die knapp über 1G von meiner Leitung auf alles PCs die schnellere Netzwerkkarten haben bekommen, 1G Netzwerkkarten waren voll ausgenutzt.

Jetzt mit der mini-box habe ich das Problem das Windows 11 PCs teilweise starke Einbrüche haben und nur manchmal die 1G, meisten weniger wie 500MB - das seltsame ist von linux bekomme ich die volle Geschwindigkeit. Ich habe sowohl PFsense als auch OPNsense getestet. Auch Factory Reset bei PF und neues usb-live von OPN haben das gleiche Ergebnis. Ports wechseln und andere Gbics hat nicht geholfen.
Mein Netzwerk sollte nicht schuld sein, ich bekomme die volle Geschwindigkeit zwischen den Windows Kisten und einem Linux der am selben 10G switch wie der Router hängt. Ich habe sogar alle Switche neu gestartet.

Besonders Krass ist iperf:
von Windows (.111) und Debian (.14) zu PFsense (.1)

[2.7.2-RELEASE][root@pfSense.home.lan]/root: iperf3 -s
-----------------------------------------------------------
Server listening on 5201 (test #1)
-----------------------------------------------------------
Accepted connection from 192.168.1.14, port 35896
[  5] local 192.168.1.1 port 5201 connected to 192.168.1.14 port 35900
[ ID] Interval           Transfer     Bitrate
[  5]   0.00-1.00   sec   279 MBytes  2.34 Gbits/sec
[  5]   1.00-2.00   sec   281 MBytes  2.35 Gbits/sec
[  5]   2.00-3.00   sec   281 MBytes  2.35 Gbits/sec
[  5]   3.00-4.00   sec   280 MBytes  2.35 Gbits/sec
[  5]   4.00-5.00   sec   281 MBytes  2.35 Gbits/sec
[  5]   5.00-6.00   sec   280 MBytes  2.35 Gbits/sec
[  5]   6.00-7.00   sec   281 MBytes  2.36 Gbits/sec
[  5]   7.00-8.00   sec   281 MBytes  2.35 Gbits/sec
[  5]   8.00-9.00   sec   279 MBytes  2.34 Gbits/sec
[  5]   9.00-10.00  sec   280 MBytes  2.35 Gbits/sec
- - - - - - - - - - - - - - - - - - - - - - - - -
[ ID] Interval           Transfer     Bitrate
[  5]   0.00-10.00  sec  2.74 GBytes  2.35 Gbits/sec                  receiver
-----------------------------------------------------------
Server listening on 5201 (test #2)
-----------------------------------------------------------
Accepted connection from 192.168.1.111, port 63564
[  5] local 192.168.1.1 port 5201 connected to 192.168.1.111 port 63565
[ ID] Interval           Transfer     Bitrate
[  5]   0.00-1.01   sec  46.5 MBytes   385 Mbits/sec
[  5]   1.01-2.02   sec  41.2 MBytes   343 Mbits/sec
[  5]   2.02-3.00   sec  38.4 MBytes   328 Mbits/sec
[  5]   3.00-4.01   sec  43.1 MBytes   357 Mbits/sec
[  5]   4.01-5.02   sec  33.2 MBytes   276 Mbits/sec
[  5]   5.02-6.03   sec  50.1 MBytes   420 Mbits/sec
[  5]   6.03-7.00   sec  29.5 MBytes   253 Mbits/sec
[  5]   7.00-8.01   sec  44.4 MBytes   369 Mbits/sec
[  5]   8.01-9.01   sec  43.6 MBytes   367 Mbits/sec
[  5]   9.01-10.00  sec  45.9 MBytes   388 Mbits/sec
[  5]  10.00-10.01  sec  1.38 MBytes  2.07 Gbits/sec
- - - - - - - - - - - - - - - - - - - - - - - - -
[ ID] Interval           Transfer     Bitrate
[  5]   0.00-10.01  sec   417 MBytes   350 Mbits/sec                  receiver
-----------------------------------------------------------
Server listening on 5201 (test #3)
-----------------------------------------------------------

und hier von Windows (.111) zu Debian (.14)

-----------------------------------------------------------
Server listening on 5201 (test #1)
-----------------------------------------------------------
Accepted connection from 192.168.1.111, port 63585
[  5] local 192.168.1.14 port 5201 connected to 192.168.1.111 port 63586
[ ID] Interval           Transfer     Bitrate
[  5]   0.00-1.00   sec   560 MBytes  4.70 Gbits/sec
[  5]   1.00-2.00   sec   565 MBytes  4.74 Gbits/sec
[  5]   2.00-3.00   sec   565 MBytes  4.74 Gbits/sec
[  5]   3.00-4.00   sec   564 MBytes  4.73 Gbits/sec
[  5]   4.00-5.00   sec   565 MBytes  4.74 Gbits/sec
[  5]   5.00-6.00   sec   566 MBytes  4.75 Gbits/sec
[  5]   6.00-7.00   sec   566 MBytes  4.74 Gbits/sec
[  5]   7.00-8.00   sec   564 MBytes  4.73 Gbits/sec
[  5]   8.00-9.00   sec   566 MBytes  4.75 Gbits/sec
[  5]   9.00-10.00  sec   566 MBytes  4.75 Gbits/sec
[  5]  10.00-10.02  sec  8.55 MBytes  4.71 Gbits/sec
- - - - - - - - - - - - - - - - - - - - - - - - -
[ ID] Interval           Transfer     Bitrate
[  5]   0.00-10.02  sec  5.52 GBytes  4.74 Gbits/sec                  receiver
-----------------------------------------------------------
Server listening on 5201 (test #2)
-----------------------------------------------------------

Das einzige was ich mir vorstellen kann ist das der Treiber für die 2.5er Karten irgendwas komisches macht das Windows nicht mag?

 

[Tundor]

2.5er Karten irgendwas komisches macht das Windows nicht mag?

Hast du nen Switch den du mal dazwischen hängen könntest? Damit könntest du diese Annahme ja eigentlich ausschließen wenn es dann schneller wird.

 

[me777]

Holy Sh...
Tundor, danke für den Denkanstoß

und sorry für die ungenaue Beschreibung, es sind 2 Switche dazwischen und irgendwo da muss auch das Problem liegen.

Ich hab nämlich grade das Gegenteil gemacht: Ich hab n Kabel direkt vom Router zum PC gezogen - über 1G, iperf 2.4G...
das heist eigentlich das es irgendwas mit den Switchen zu tun hat, trotzdem komisch das es nur vom Router aus langsam ist und von nem Server am gleichen Switch nicht (ich dachte dadurch hätte ich die Switche ausgeschlossen)

Bin ich jetzt hier off-topic? oder ist es noch on-topic weil der Grund doch irgendwo in der Kombination mit der PFsense Kiste liegen muss?

Update: funktioniert aber keine Ahnung warum oder wo der Fehler lag.
Da PFsense auch Probleme hatte wollte ich nochmal OPNsense drauf machen, auch weil ich die Regeln für die Firewall importieren wollte. Nach dem 2 neustart gings dann plötzlich wieder mit voller Geschwindigkeit.
Es muss was mit dem SFP+ auf Kupfer Modul zu tun haben, weil ich hatte alles auf einem anderen Switch umgesteckt und auch den Rechner direkt an den selben Switch und hatte trotzdem Probleme.