[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

*Inhalt gelöscht*

 

[BobbyD]

Wobei, ich betreibe meine virtualisierte Sense hinter einer Fritzbox, d.h. einige Kisten sind eh direkt damit verbunden und bei potentiellen Problemen bin auch mit dem Rest ganz schnell wieder online. Gerade bei DSL-Problemen ist es ganz nützlich, wenn man auf die Fritte verweisen kann und nicht groß irgendwas mit einer Firewall erklären muss. Hindert gewisse Hotliner aber trotzdem nicht daran, Blech zu reden...

Und Doppel-NAT ist performance-technisch auch kein Problem. Hatte es auch mal deaktiviert, das erfordert dann aber schon wieder etwas mehr Know-How, wenn man es denn ganz richtig machen will (also NAT nur an der Fritte und dabei jeglichen asymmetrischen Traffic verhindern).

 

[hs_warez]

@hs_warez Ich denke, dass dein DNS (Warscheinlich unbound) nicht auf dein VPN Netz hoert bzw. jenes bedient.
Dort wuerde ich deinen Fehler vermuten.
Eventuell auch falsche default search domain am VPN Server hinterlegt.

Hm, ok - danke für deinen Input - muss ich mir am WE mal ansehen.

LG

 

[p4n0]

Hm, ok - danke für deinen Input - muss ich mir am WE mal ansehen.

LG

Falls das nicht hilft oder dir zuviel wird. Nen STATIC DNS Override auf dein gewuenschtes Zielsystem sollte auch sauber an alle Netze propagiert werden.
Wichtig ist halt dass deine OPNSenseBox auch als DNS fuer deine VPN Geraete agiert.

Viel Erfolg, wirst du gut fixen koennen!

 

[Luckysh0t]

Fummelt ihr echt soviel an euren Virtualisieren herum?

Ich würde mir eher sorgen machen wegen zu viel Gefummel an der fw machen. Ich habe meinen pve und opnsense deswegen auch getrennt. Ich bin so neu bei den Sensen ich würde es fertig bringen mich auszusperren ^^.

 

[Azrael_ct]

So ein Kopfschmerz würd ich mir nicht antun wollen: Hypervisor down -> Internet weg würde daheim im ersten Haushaltskrieg enden. Dafür sind Geräte wie Zb der Flint2 mittlerweile einfach zu billig geworden.

Dafür liegt direkt daneben ein alter Mikrotik HAP AC, komplett vorkonfiguriert. Mit Aufkleber, welches Kabel wo rein muss. Strom rein, zwei Kabel rein, läuft. Also wenn es den Proxmox zerlegt, und ich nicht da bin, ist trotzdem in zwei Minuten alles wieder da

 

[Doktor]

Ich antworte mir mal selber: Ich habe mir ein Mini PC von Hunsn bestellt (klick). Unter den China-Geräten soll die Marke ganz gut sein (in Punkto Qualität).
CPU ist ein N100. Sollte für Zuhause reichen, inkl. Zenarmor.

 

[KurantRubys]

Ich würde mir eher sorgen machen wegen zu viel Gefummel an der fw machen.

Du meinst gefummel an der Proxmox FW? Hab ich nie was gemacht WAN Port hat n eigenes Interface was direkt durchgereicht (wurde), das war’s.

 

[hs_warez]

Falls das nicht hilft oder dir zuviel wird. Nen STATIC DNS Override auf dein gewuenschtes Zielsystem sollte auch sauber an alle Netze propagiert werden.
Wichtig ist halt dass deine OPNSenseBox auch als DNS fuer deine VPN Geraete agiert.

Viel Erfolg, wirst du gut fixen koennen!

Ja, mal sehen.
Ev. liegt der Fehler nur darin, dass ich bei der Wireguard-Konfig der Endgeräte als DNS-Server die IP vom WG-Server eingetragen habe und nicht die von OPNSense = Unbound = DNS!?

 

[BobbyD]

Ev. liegt der Fehler nur darin, dass ich bei der Wireguard-Konfig der Endgeräte als DNS-Server die IP vom WG-Server eingetragen habe und nicht die von OPNSense = Unbound = DNS!?

Als Fehler würde ich das nicht bezeichnen.
Was ist dein DNS-Server unter Windows, wenn Du mit dem Gerät zuhause verbunden bist.
Was ist dein DSN-Suffix, wenn Du mit dem Gerät zuhause verbunden bist.
Beides kannst Du mit ipconfig -all ermitteln und letzteres ist der unterste Eintrag beim Adapter.

 

[Weltherrscher]

Also, ich spiel schon viel an PX rum, und bei jedem Kernel-Update ja auch neu starten...
Selbst abends kommt dann noch ein unzufriedenes murren ausm Schlafzimmer, dass "das Internet MAL WIEDER NICHT GEHT!"...
(Ist zwar "nur" das NAS und die Mediaserver-VM, aber das hat die Holde noch nie interessiert...)
Diese WE kommt meine Tesla M60 (hoffentlich) dann ist da wohl auch ne längere Downtime des Servers zu erwarten und wenn nicht alles gleich geht auch mal stundenlang...

Wenn DA das Internet nicht fluppt hab selbst ich Stress (Anleitungen gucken usw...).

Vor allem aber wegen Punkt eins ist ein AIO keine Option für mich. =)

 

[MPHxxxLegend]

Vielleicht hat hier jemand noch einen Input.
Ich versuche folgendes umzusetzen bin aber auf ein Problem gestoßen, was ich mir selbst nicht genau erklären kann. Will einen WatchyourLan Container installieren der auf all meinen VLAN/LANs lauscht, jedoch nur von spezifischen Geräten Zugiff darauf gewähren. Also ufw installieren und routing vom docker selbst übernehmen, somit iptables für docker ausschalten. Dies hat soweit funktioniert, bis ich das Interface hinzufüge, von welchem Subnet aus ich die VM manage per SSH.

Somit VM zurückgesetzt und nur die Interfaces mal hinzugefügt und siehe da Problem gefunden, die OPNSense blockiert nach einer gewissen Zeit den SSH Traffic.
Anhang anzeigen 1032213
Überblick.:
VM - 10.20.20.16/24 - VLAN ID 20 Homelab
Anhang anzeigen 1032209
PC - 10.20.10.2/24 - VLAN ID 10 User

VM als auch OPNSense läuft auf Proxmox als VM
Sobald ich mit dem PC im gleichen Subnetz befinde kein Problem, klar wird auch nicht geroutet
Erstellen einer Firewallregel die den Traffic erlaubt, wird die Verbindung nach 30 sec geblockt von OPNSense
MAC Adressen gecheckt ob irgendwo ident, nein nur die des VLANs mit dem parent Interface

Anhang anzeigen 1032212
Des Weiteren sind im ARP Table unter OPNSense die für die VM hinterlgeten fixen IPs jener VLAN/LANs nicht ersichtlich bzw. kurz und verschwinden wieder.

Proxmox Hardware
Anhang anzeigen 1032214
Warum ich bis jetzt noch nicht auf das Problem gestoßen bin, weil ich keine VM habe welche ein gleiches Interface hat in welchem sich mein Management-PC befindet.

Ich antworte mir mal selbst, mit der/den Lösung/Lösungen.

Eine Möglichkeit wäre, das Gerät nur auf demselben Subnetz anzusprechen.

Ansonsten mit all den IPs in jedem Subnetz, ist die saubere Möglichkeit, asymmetrisches Routing zu vermeiden, eine Outbound NAT Regel dafür anzulegen und die Quell-IP durch die Interface IP der Firewall zu ersetzen. Die Filterung kannst du ja dann auf der OPNsense machen.

Die unschöne Lösung ist, auf allen betroffenen Interfaces eine "Sloppy State" Regel zu erstellen (Floating od. Interface Gruppe), die die Antwortpakete durchlässt, ohne deren Zustand zu prüfen.
Das findest du in der Firewall Regel in den Advanced features > State Type > sloppy state.

Ich hab jetzt letzteres am Laufen, da ich die geringere Sicherheit zwischen den beiden Geräten in Kauf nehme.

 

[toscdesign]

Mir geht das Peering der Telekom aktuell total auf den Sack! Gestern waren wieder einige Seiten die ich nutze, extrem langsam.

Bei etwas Recherche habe ich das hier gefunden, anscheinend kann man bei pfsense mit pfblockerng ganze ASN umleiten, z.B. über einen VPN oder VPS:

Telekom vs. RG = Drosselung?

Ist das eine aktuelle Antwort, oder woher genau kommt diese Aussage? Wenn das wirklich so direkt bestätigt wird, wäre das schon ein riesen Affront. Das ist halt aus dem österreichischen Forum. Gut, keine Ahnung, ob es bei denen auch ein Netzneutralitätsgesetz gibt. Sollte aber in der EU so sein.

www.computerbase.de

Gibt's so ne Möglichkeit auch in opnsense?
ggf. mit einem andern Tool?

 

[p4n0]

Gibt's so ne Möglichkeit auch in opnsense?
ggf. mit einem andern Tool?

Klar kannst du dir nen Site2Site bauen und das Routing an deiner Box anpassen.
Aber du addest dauerhaft nen Hop dazu und halt die Verschluesselung. Weiß nicht ob das so zielfuehrend sein wird.

Zudem brauchst du irgendwo im WWW ne Buechse, die potent genug ist und nicht hoffnungslos over-provisioned ist. Ich wuerde eher schauen von der Telekom wegzukommen
bevor ich mir dauerhaft solche 'Krueckenloeseungen' antue.

 

[toscdesign]

wuerde eher schauen von der Telekom wegzukommen
bevor ich mir dauerhaft solche 'Krueckenloeseungen' antue.

Leider erst in 1,5Jahren möglich 😕

Beitrag automatisch zusammengeführt: 24.10.2024

Aber du addest dauerhaft nen Hop dazu und halt die Verschluesselung. Weiß nicht ob das so zielfuehrend sein wird.

Was immer noch besser ist, als wenn eine Webseite sich zu Tode lädt 😅

Meine Frage bezog sich eher darauf ob ich bei Opnsense auch nur bestimmte ASN umleiten kann, habe im Netz nicht genaues Datum gefunden

 

[p4n0]

Meine Frage bezog sich eher darauf ob ich bei Opnsense auch nur bestimmte ASN umleiten kann, habe im Netz nicht genaues Datum gefunden

Bestimmt, ist immerhin ein vollwertiger Router, welcher alle gaengigen Protokolle spricht.
Bin da jedoch zu weit weg von, vllt kann @sch4kal was dazu sagen. Der steckt da beruflich drinne

 

[sch4kal]

Würde ich hier ma anfangen: https://docs.opnsense.org/manual/aliases.html

Hab aktuell nur ne pfSense unter Verwaltung, daher kann ich mit OPNSense nicht dienlich sein.

 

[BobbyD]

Kann man einfach beim Alias auswählen...

 

[AliManali]

Hi

Werde hoffentlich irgendwann dann doch mal den Provider wechseln. Wobei das kann sich noch hin ziehen. Da soll eine Fiber direkt auf meine 10 Gbit opnsense. Denke werde da das /29er Subnet für CHF 60.- pro Monat dazu buchen. Weil eine einzelne IP kostet schon 20.-.

Die opnsense hat 6x 10 Gbit Kupfer, und kommt dann noch 2x SFTP+ für WAN dazu.

Wenn ich jetzt an einem 10 Gbit Kupfer einen Server für jemanden house, entweder mit dedizierter IPv4, oder halt eine durch mehrere Benutzer geteilte: kann ich in der opnsense verschiedene Benutzer anlegen, dass die für ihre Hardware selber auf der Firewall rum wuseln können per VPN? Auch so, dass die meine Konfig gar nicht einsehen können? Geht das/ist das kompliziert einzurichten?

Gruss und danke