[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

*Inhalt gelöscht*

 

[0 8 15 User]

Heya, was würdet ihr denn als Basis für eine 19-Zoll-Hardware nehmen?

Qotom Mini PC mit Rackgehäuse.

 

[Shihatsu]

Ich kann den Dell R210II empfehlen.

Scheint mir (bis auf den Stromverbrauch) meine Lösung zu sein - kriegt man da ne normale Netzwerkkarte noch rein? Brauche ja 3 Anschlüsse...

 

[i-B4se]

Das kann ich dir leider nicht beantworten. Aktuell reichen mir zwei.
Von Dell gibt es Karten, aber ob man eine x-beliebige Netzwerkkarte nehmen kann, weiß ich leider nicht.

 

[Green7]

Klar geht das , habe ne 4 Port intel Nic im PCI-E Slot

 

[P0stbote]

x-beliebige sollte passen. Hab Mellanox Connect-X2 jahrelang in einem Dell R610 und R520 betrieben.
Empfehle hier auch eine I350-T4 von Intel. Gibts gebrandet (HP, Lenovo, Fujitsu etc.) auch meist günstiger in der Bucht, würde nur von Angeboten aus China abraten, da sind viele Fakes im Umlauf.

 

[Shihatsu]

Ich brauch ja kein SR-IOV, sondern eigentlich ja genau noch einen (guten) port - da sollte es dann doch auch eine I-210AT mit einem port tun, die sind ja günstig zu haben.
Fullsize? Ist da ein Riser eingebaut?

 

[Green7]

von Opensense gibts auch ein Update vom 27.5.2021
Version 21.1.6

 

[asche77]

1. Andere Blocklisten lassen sich auch mit dem normalen Alias-Feature realisieren, wie sieht es da mit den Update-Zyklen aus?
   Einmal am Tag würde mich vollkommen ausreichen.
2. Aber wie sieht es mit ASN (autonomous system number) aus?
3. Und wird auch Rsync unterstützt?

1 - ja, geht, über eine alias table. Update wählbar 1 std, 12 std, länger.

2 - nicht sicher, vermutlich geht das nicht

3 - als Update Protokoll? Nicht dass ich wüsste. Aber wozu, so lang sollten die blocklisten nicht sein?

 

[Green7]

Also , Geo.Block ist fester Bestandteil seit > 3 Jahren , Blocklisten (z.b firehole kannst du über nen alias laden und die Aktualisierung geht auch < 1 Tag

Zum rest kann ich dir aktuell nichts sagen

 

[What9000]

Seit kurzem bemerke ich in meinem OPNSense Firewall-Log folgendes:

LAN IP a Port b in -> Internet IP c Port d wird von default deny trotz expliziter Erlaubnisregel von IP a nach c an Port d geblockt.
WAN IP e Port f out -> Internet IP c Port d wird ein paar Sekunden später akzeptiert.

Habe ich einen Denkfehler oder ist das normal?

 

[fard dwalling]

• Dass Portweiterleitungen nach wie vor nur auf dem Default-Gateway funktionieren, ist wohl mit der beta immer noch nicht behoben, soll es dann aber mit der final sein.

Ist das auch schon bei der 2.4er ein Problem gewesen??

 

[Shihatsu]

Ich such gerade wie doof ein R210 II - gibts da ein Geheimtip wo man gebrauchte Server kriegt, was nicht gerade Ebay ist? Oder geht sowas nur in der Bucht?
Und: Ist die CPU egal? Und ist da immer ein Riser dabei für die NEtzwerkkarte die ich noch einbauen werde?

 

[Shihatsu]

Ich habe mitlerweile eine R210 gekauft und würde jetzt gerne meine bisher virtualisierte OPNSense mit der neuen verheiraten. Normalerweise gibt es ja diesen Guide:

OPNsense HA Cluster einrichten – Thomas-Krenn-Wiki

Die kostenlose Open Source Firewall OPNsense kann als redundante Firewall mit automatischem Fail-over konfiguriert werden. Dieser Artikel zeigt, wie ein derartiger Firewall HA-Cluster mit zwei Firewall-Rechnern (in diesem Fall zwei Edge 4L) eingerichtet wird. Diese Anleitung wurde bereits vor...

www.thomas-krenn.com

Jetzt ist der aber unter der Prämisse gemacht das man mit 2 Feuerwänden bei Null anfängt - das ist natürlich kokolores. Großartig Konfiguration in Sachen Regeln habe ich nicht auf meiner OPNSense, aber eben VLANs und DHCP. Wie würdet ihr da vorgehen, wie habt ihr HA realisiert?

 

[i-B4se]

Moinsen Leute,

gibt es bei pfsense eine Möglichkeit, den verbunden Geräten einen festen Namen zu vergeben?
Evtl. mit einen Package?
Dieses würde ich mir dann auch gerne im Dashboard anzeigen lassen.
Bei ARP-Table sehe ich zwar alle Geräte, aber nur die IP/MAC und bei manchen die Hostname.

 

[i-B4se]

Das mit dem Dashboard ist kein muss, sondern ein "nice to have"

Mir geht es eher darum den Geräte zu benennen. Dient der reinen Übersicht ohne immer direkt auf die IP zu gucken. Ich vergleich das mal kurz mit der Fritzbox. Da kann man auf "Netzwerk" gehen und den Geräten festen Namen geben: xxx.xxx.xxx.xxx = Alexa1, xxx.xxx.xxx.xxy = Ipad 1 etc. etc.
Diese bleiben bis man die IP ändert.

Nicht alle Geräte haben ein Hostname und können dadurch direkt identifiziert werden.
Wie gesagt, dient nur der Übersicht.

 

[i-B4se]

Diese vergibst Du im DHCP-Server bei den "DHCP Static Mappings", also feste IP und den Namen.

Okay, aktuell nutze ich DHCP nicht. Ich weise den Geräten immer feste zu und lass das nicht vom Router/Firewall machen.
Aber ist ja kein Thema. Dann ändere ich das ab und werden dann über DHCP die IPs vergeben bzw. mappen.

Ich dachte man könnte das auch machen wenn man eine feste IP vergeben hat wie z.B. bei der Fritzbox.

wie ich schon sagte, mir geht es dabei nur um die Übersicht. Ich möchte einfach eine klare Übersicht der Geräte haben und nicht "nur" die IP/MAC.

 

[Shihatsu]

Huhu, ich nochmal - hab OPNSense jetzt im Failover-cluster laufen via CARP, das funktioniert auch super. Einzige offene Frage: Wie setzt man in diesem Szenario VLANs um? Ich finde dazu nur vage Hinweise, keine Guides oder Beispiele...
Edit sagt: Habs hinbekommen - danke trotzdem für jeden der es gelesen hat

 

[konfetti]

Huhu, ich nochmal - hab OPNSense jetzt im Failover-cluster laufen via CARP, das funktioniert auch super. Einzige offene Frage: Wie setzt man in diesem Szenario VLANs um? Ich finde dazu nur vage Hinweise, keine Guides oder Beispiele...
Edit sagt: Habs hinbekommen - danke trotzdem für jeden der es gelesen hat

Magst Du vlt. kurz erklären wie Du das gelöst hast, bzw. einen Link zu ner Beschreibung posten?

Ich bin zwar noch unsicher, ob ich weiter auf pfSense oder dann auf OPNSense setze, aber da demnächst eh ein Hardwarewechsel ansteht, hab ich da noch "Spielraum"

meine Aktuelle pfSense meldet leider immernoch den alten (behobenen Fehler) mit dem Crashlog - tut aber soweit eben.

 

[Shihatsu]

Tjaja, prinzipiell ists ganz einfach:

• VLAN hinzufügen *2
• Interface assignen *2
• Interface aktivieren *2
• VIP aktivieren *1 (nur auf dem Master)

An der Stelle funktioniert noch nichts, man brauch noch

• Firewall Regeln hinzufügen (Kopie von Default LAN)

Soweit, so gut. Jetzt habe ich dabei aber selber ein Problem, und zwar krieg ich in diesem Setup DHCP nicht aktiviert - warum auch immer. Sehr schade, denn ohne bringt mir das nichts...

 

[danielmayer]

Hallöchen.
Kann mir jemand sagen, wie ich eine i210AS SFP/1G NIC treiberseitig bei OPNSense eingebunden bekomme? Bei so einem integrierten FreeBSD kenne ich mich nicht aus...
Danke und Grüße

edit: 20.7.8, VM in Proxmox, Karte per PT, unter Proxmox wird sie ordentlich erkannt.
edit2: Unter VM WIn10 wird sie auch per PT erkannt. Bei pciconf -lv unter opnsense aber schon nicht... liegt wohl etwas tiefer das Problem. Ich prüfe das später weiter...

 

[oNyX`]

Als Bridge keine Option? https://docs.netgate.com/pfsense/en/latest/recipes/virtualize-proxmox-ve.html

Laesst sich 1:1 auf OPNsense uebertragen, geht auch mit Sensei und Co.

 

[danielmayer]

Also liegt es doch an opnsense:
Win10-VM: wird erkannt, läuft, Intel-Managementsoftware wird problemlos installiert.
ipfire erkennt die Karte sofort.
opnsense mit 20.1 probiert und auch keine Besserung nach 20.7.8 gesehen - NIC nix da...
Bei pfsense nun die dev-2.6, da wird die Karte angezeigt...
Ich schaue mir also mal gemütlich pfsense-2.6 an.

 

[Shihatsu]

Tjaja, prinzipiell ists ganz einfach:

• VLAN hinzufügen *2
• Interface assignen *2
• Interface aktivieren *2
• VIP aktivieren *1 (nur auf dem Master)

An der Stelle funktioniert noch nichts, man brauch noch

• Firewall Regeln hinzufügen (Kopie von Default LAN)

Soweit, so gut. Jetzt habe ich dabei aber selber ein Problem, und zwar krieg ich in diesem Setup DHCP nicht aktiviert - warum auch immer. Sehr schade, denn ohne bringt mir das nichts...

Ich bin da mitlerweile weiter: Es liegt an den VIPs. Bei manchen VLANs sind die VIPs falsch gesetzt. Also sie sind richtig konfiguriert, aber beie VIPs laufen als MAster. Komisch komisch.

 

[Weltherrscher]

opnsense mit 20.1 probiert und auch keine Besserung nach 20.7.8 gesehen - NIC nix da...

Warum so ne alte Version?
opnsense ist doch derweil bei 21.1.8?

 

[danielmayer]

Ah. Sorry, ja, es war 21.x.x gemeint. Diese fürchterlichen Versionssprünge heutzutage... früher hätte das V0.2.1.8-8pre-beta1-final geheißen
Es war ein Image von März und auch nach Update auf aktuellste Version wurde die Karte nicht erkannt. Wie geschrieben: Bei pfsense-2.6dev alles problemlos..

 

[asche77]

Opnsense 21.7 ist da: https://opnsense.org/opnsense-21-7-released/

(Vermutlich sollte man abwarten bis das erste maintenance Release kommt und dann erst wechseln von der 21.1 ...)

 

[Weltherrscher]

Ups, hab gewechselt und keine Probleme festgestellt. =)

 

[asche77]

Dann Glückwunsch
Ich warte noch etwas, weil ich dann gleich auf ZFS Neuinstallation gehe (ggfs auch wieder virtualisiert; noch unsicher).

 

[fard dwalling]

Bei mir hat das Update auf einer ZOTAC Zbox auch ohne Probleme geklappt.

 

[Weltherrscher]

Ja, läuft felsstabil hier auf nem ollen i3-2100T.
Auch die Vorgängerversion war äußerst stabil, Neustarts nur bei Kernel-Updates oder Stromausfall.