Hallo,
ich habe mir ein barebone zugelegt, auf dem ich opnsense installiert habe.
Für WAN auf opnsense habe ich eine IP 192.168.1.254 mit Gateway 192.168.1.1 (Fritzbox) aus dem IP-Bereich der Fritzbox genommen.
Für LAN 10.1.1.254.
(http://0011010000110010.de/netz.jpg)
Ich vermute an dem Konstrukt ist schon etwas falsch, da ich mit dem Rechner an dem Interface LAN ausser der opnsense noch nicht erreichen kann. Von der opnsense kann ich google anpingen.
Mein Ziel ist es die Fritzbox als Firewall zu ersetzen, so dass der gesamte WAN-Verkehr zur opnsense kommt.
Ich habe bei der Suche nach einer Anleitung für die Grundkonfiguration leider nichts gefunden.
Welche Schritte muss ich durchführen?
Benötigt ihr noch weitere Infos?
Bin Netzwerk- und Firewall-Newbie...habt Gnade ;)
Gruß
X_Burner
Moin,
da gehört noch einiges dazu, alles entsprechend einzurichten...
Du willst die Fritte also nur noch als Modem verwenden oder soll die komplett raus?
Verwendest Du Telefonie und willst sie weiter verwenden? Kann/ soll das über die opnsense laufen?
Was hast Du sonst noch vor mit der opnsense, bzw. was versprichst Du Dir davon?
QuoteBin Netzwerk- und Firewall-Newbie...
Das ist natürlich relativ... wenn Du Dich wirklich noch so gar nicht mit Netzwerken auseinander gesetzt hast solltest Du Dir wenigstens ein bisschen Grundwissen aneignen. Man muss sicherlich kein Experte sein, ich bin es auch nicht, aber eine opnsense erfordert schon etwas mehr Wissen, ohne baut man sich unter Umständen mehr Sicherheitsrisiken ein als man denkt!
Auf den ersten Blick fallen mir die Gateways LAN und LAN2 auf. Gibt es eine explizite Verwendung dafür bzw. wozu sollen die sein? Ich würde sagen: raus damit!
Für das verbleibende WAN_GW setzt Du dann den Haken bei Upstream Gateway, sofern das dann nicht automatisch passiert.
Wie sind Deine Geräte/ Clients konfiguriert? Mit fester Angabe von IP, DNS, Gateway oder per DHCP?
Sollten sie per DHCP konfiguriert werden, so muss auch ein DHCP Server laufen, den aktivierst Du unter Services/DHCPv4/LAN1. IPv6 vernachlässigen wir hier erstmal.
Damit sollte die opnsense den Traffic vom LAN schonmal in Richtung Fritzbox routen und Deine DHCP Clients sollten eine funktionierende LAN-Konfiguration erhalten.
Was hast Du sonst noch an Einstellungen der opnsense getätigt? Hast Du schon was bei den Firewallregeln gemacht? Wie sehen diese momentan aus?
An der Fritte muss bis hierhin soweit ich mich erinnere noch nichts eingestellt werden, noch ist die Firewall darauf aktiv, sofern Du dort noch nichts geändert hast.
Zuviele Gateways für meinen Geschmack für den Anfang...
Ein WAN_GW sollte reichen. D.h. +1 zu dem was @tiermutter meint.
Ob die Fritzbox es so toll findet, wenn lauter 10.1.1.0/24-Adressen über ihr LAN ins Internet wollen, ist eine andere Sache (=die der Fritzbox).
Ein sinnvoller Einsatz für die Fritzbox ist eher hinter der Sense... dort hat man dann die ganzen schicken Dienste im LAN. Für opnsense lieber ein modem über das sie sich einwählt.
Meine 2ct, Grüße,
Bernd
Hi,
die Fritzbox soll nur als Modem fungieren und die Telefonie soll auf der Fritzbox bleiben.
Ich habe einen Kabelanschluß bei Unitymedia (jetzt Vodafone) und möchte nicht auf ein extra Modem umstellen.
Ich verspreche mir davon mehr Transparenz (im Vergleich zur Fritzbox) höhre Sicherheit und mehr Möglichkeiten.
Ich sehe es auch als Möglichkeit mein Wissen im Bereich Netzwerk zu verbessern und mit der Konfig von opnsense zu wachsen.
Mittelfristig würde ich gerne auf VLANs umstellen und die auf meine Access Points mappen, so dass die Clients in ein VLAN kommen und Smart Home Geräte in ein anderes.
Sowas finde ich auch sehr reizvoll:
https://homenetworkguy.com/how-to/configure-dns-over-https-dnscrypt-proxy-opnsense/
Das mit den Gateways muss bei der Installation passiert sein. Habe ich gelöscht und so konfiguriert, wie Du es geschrieben hast.
Leider komme ich immer noch nicht mit dem Client ins Internet oder zur Fritzbox.
Konfig der WAN Schnittstelle:
(http://0011010000110010.de/screen1.jpg)
DHCP IP des Clients:
(http://0011010000110010.de/screen2.jpg)
Die Clients bekommen ihre IPs über DHCP. Nur meine NAS hat eine feste IP.
Bei der WAN-Schnittstelle habe ich die Checkbox "Blockiere private Netze" deaktiviert und "Blockiere Bogon-Netze" aktiviert.
Anbei die automatisch generierten Regel (Fließend, LAN und WAN)
Fließend:
(http://0011010000110010.de/screen3.jpg)
LAN:
(http://0011010000110010.de/screen4.jpg)
WAN:
(http://0011010000110010.de/screen5.jpg)
Auf der Fritzbox hatte ich die 192.168.1.254 als Exposed Host konfiguriert, aber jetzt wieder deaktiviert.
Danke für eure Geduld und Feedback.
X_Burner
Hast du unter System/Routes eine default Route zur IP deiner Fritte?
Was sagt ein traceroute zu z. B. 8.8.8.8 vom client?
Kannst du vom client grundsätzlich IPs im Internet anpingen oder geht nur die Namenauflösung (zb google.de) nicht?
Was sagt das livelog der Firewall wenn du aufs Internet zugreifen willst? (ggf. muss das logging für manche Ereignisse erst aktiviert werden, irgendwo unter Systemeinstellungen)
Mein Senf:
- Wie sieht es mit NAT so aus?
Der Tipp mit dem extra Modem kommt letztlich daher: Du hast mit der Fbox, wenn mich nicht alles täuscht, immer doppeltes NAT. Einmal sense, einmal fbox - und das macht die Sache eben immer recht kompliziert. Denn häufig liegt es dann am Rückweg, dass "man nicht ins Internet kommt".
Nein, ich habe keine Route angelegt, aber folgendes steht bei den Routen:
(http://0011010000110010.de/screen6.jpg)
Beim traceroute kommen nur Sterne:
1 opnsense.localdomain (10.1.1.254) 0.424 ms 0.201 ms 0.188 ms
2 * * *
3 * * *
4 * * *
5 * * *
6 * * *
...
Ich kann vom Client weder 8.8.8.8 anpingen noch www.google.de.
Hier das aktuelle livelog:
(http://0011010000110010.de/screen7.jpg)
Suche noch die Einstellungen für das live logging...
Bzgl. Modem ist halt Action mit Vodafone das Ding dort reggen zu lassen und ab das ist dann ein Point of no return.
Mit Fritzbox bin ich weiterhin online und kann parallel an der opnsense schrauben.
QuoteBzgl. Modem ist halt Action mit Vodafone das Ding dort reggen zu lassen und ab das ist dann ein Point of no return. Mit Fritzbox bin ich weiterhin online und kann parallel an der opnsense schrauben.
Ist verständlich - dennoch bleiben die Probleme mit dem doppelten NAT. Wie sieht es auf der sense denn damit aus?
NAT-Regeln hab ich noch keine.
An der Stelle bin ich aus der Ferne am Ende...
Gib deiner sense aber mal eine andere IP als die .254
Die Fritte soll bei der. 254 wohl speziell sein, wobei ich mir dann nicht erklären kann weshalb die sense self Internetzugriff hat.
Default Route sieht gut aus, FW Regeln ist mir nix aufgefallen und deine clients kommen bis zur sense mit ihren Anfragen
.. Und da geht es dann nicht weiter...
Man kann natürlich vor und hinter der Sense jeweils ein unterschiedliches /24 verwenden, NAT auf der OPNsense deaktivieren, und auf der Fritzbox eine statische Route eintragen ...
Habe die IP auf der Fritzbox auf 192.168.1.250 geändert...hat nichts geändert.
Was mir nicht klar ist, wie kommt denn der Client aus dem 10er Netz an das Gateway im 192er Netz?
Da muss man doch bestimmt noch was konfigurieren.
@pmhausen
Welche Route müsste ich dann auf der Fritzbox anlegen?
10.1.1.0/24 mit Gateway OPNsense. Und dann auf der das NAT ausmachen, das macht die Fritte dann ganz prima.
Hier die Konfig von LAN-Schnittstelle und Gateway auf opnsense:
(http://0011010000110010.de/screen8.png)
(http://0011010000110010.de/screen9.png)
Die statische Route auf der Fritzbox:
(http://0011010000110010.de/screen10.jpg)
Wie deaktiviere ich denn NAT?
Habe jetzt die IP (192.168.1.254) von der opnsense als exposed host konfiguriert.
Die beide o.g. Einstellungen an der Fritzbox hatten keinen Effekt :/
Ändere mal gar nicht so viel, nur:
! Gateway für das 10er-Netz ist die sense-WAN-IP: also 192.168.1.254
(bei System - Einstellungen - Allgemein trägst Du 192.168.1.1 als DNS-Server ein)
In der Route auf der FB hast Du das auch so geändert, auch dort Gateway: 192.168.1.254
("Exposed Host" auf der FB solltest Du nicht brauchen Ddas ist auch NAT - auf der Fritzbox. Jedoch das, was auf der sense: "Portweiterleitung" heißt. Es ist gut, wenn Du möchtest, dass alle möglichen Leute sich die WAN-Schnittstelle von deiner sense angucken... (also 192.168.1.254) Bzw. Du dort einen Server laufen hast. Im Normalfall heißt das, ist das nicht gut. Andere NAT-Sachen findest du auf der sense unter Firewall - NAT und dort v.a. "Ausgehend")
Ich würde über das Ping-Tool der Sense (Schnittstellen - Diagnose - Ping) die einzelnen Strecken von deinem LAN Interface aus testen... z.B.:
1) nach 192.168.1.1
2) 8.8.8.8
3) google.com
Quote from: lebernd on August 22, 2020, 12:10:49 PM
Ändere mal gar nicht so viel, nur:
! Gateway für das 10er-Netz ist die sense-WAN-IP: also 192.168.1.254
Yeah!
Das wars :D
Vielen Dank lebernd!!!
Stehe in deiner Schuld!
Hast Du noch Tipps oder Ratschläge wie ich jetzt weiter vorgehen sollte?
Bedeutet das mit doppelten NAT, dass ich jede Einstellung die ich in der opnsense für ausgend mache, auch auf der Fritzbox konfigurieren muss?
QuoteBedeutet das mit doppelten NAT...
Du musst mal probieren, ob das die Clients an der Sense oder Fritze überhaupt stört. Vielleicht, v.a. wenn es nicht zu viele Verbindungen gibt, ist es auch egal.
Das weitere Vorgehen hängt natürlich sehr vom Ziel ab... aber das sind vlt. andere Threads...
Du kannst auf der Fritzbox deine Opnsense als "Exposed host" vereinbaren. Du musst dann nichts mehr irgendwie doppelt einstellen. Du hättest danach die Telefonie noch auf der Fritzbox, der ganze Rest wird einfach auf die sense durchgereicht. Die ist dann deine (einzige) Firewall.
Ich hab das so (wahrscheinlich geht es auch anders auf der Fritte). Ich sehe bei mir keinen Nachteil im Doppel-NAT (ich merke es nicht). Da ich keine statische IP habe, war das für mich einfachste Lösung. Das funktioniert auch, wenn du eigene Serverdienste bereit stellen willst (siehe HAProxy)... da musst du dich aber reinlesen.
Moin,
jetzt bin ich bei der Konfiguration weiterer Schnittstellen.
WAN und LAN1 funktionieren soweit, dachte ich.
Was total merkwürdig ist, ist das meine Playstation keine IP an LAN1 bekommt, wenn ich sie von der Fritzbox auf die opnsense umstecke. Mein Notebook bekommt sofort eine ^^
Ich habe versucht LAN2 so zu konfigurieren, so das dort DHCP läuft und IP aus dem gleichen Bereich wie auf LAN1 bekommt.
LAN2 hat eine feste IP im gleichen IP Bereich ausserhalb des DHCP Bereichs.
Das muss wohl anders konfiguriert werden, weil so geht es bei mir nicht.
Wie konfiguriert man 2 Schnittstellen auf einen DHCP?
Auf LAN3 sollen mehrere VLANs drauf mit eignen Netzen, aber eins nach dem anderen ;)
Mahlzeit,
1) Wie ist denn DHCP jetzt auf "LAN1" konfiguriert?
2) Wie sieht es überhaupt mit den Ports aus? Gibt es einen Switch oder werden die Geräte direkt an opnsense geteckt?
3) LAN1 und LAN2 sind auf der opnse zunächst nicht mit LAN1 und LAN2 an der ritzbox zu vergleichen, auch wenn sie am Gerät ähnlich aussehn. LAN1...LANX sind auf der fribox bereits Schnittstellen im Bridge-Betrieb. D.h. eigentlich gibt es ein LAN. Bei Opnsense wird pro Schnittstelle ein LAN, also ein internes Netzwerk, angelegt. D.h. geht es auch nicht gut, wenn man versucht ein internes Netzwerk auf zwei Schnittstellen anzulegen.
Also das ist bisher Murks. Ein zweites LAN sollte ein zweites Netzwerk bekommen. (So wie die VLAN nachher auch)
4) Um so ein Verhalten wie an der Fbox hinzubekommen - also zwei Ethernet-Ports für 1 LAN - musst du vorher bei den Schnittstellen gucken, wie man Schnittstelle - andere Typen - Brücke, eine Brücke aus LAN1 und LAN2 baut. Da auch in Doku nachlesen! So läuft dann auf 2 Schnittstellen - eigentlich weiter 1 Schnittstelle (Brücke) mit zwei Ports - ein DHCP...
5) Was sagt der Log, wenn Du die Playstation anstöpselst?
Schönen Lantag, Bernd
Das mit der Bridge hatte ich gelesen, aber stand, dass man das nur wenn unbedingt nötig machen soll.
Hab jetzt ein wenig hin- und hergestöpselt, so dass der Switch frei wurde und siehe da, jetzt bekommt auch die PS4 ne IP ;)
Jetzt habe ich für die Schnittstelle LAN3 einen neuen IP-Bereich mit DHCP angelegt und auf der Schnittstelle 2 VLAN Tags gesetzt.
Jetzt stehe ich aber etwas auf dem Schlauch, wie ich weiter vorgehen muss, damit in dem DHCP Bereich der Schnittstelle die ungetaggten landen und die beiden getaggten wieder in anderen IP Bereich.
Ich habe auf der der Schnittstelle ein Netz /16 angelegt mit 3 IP Bereichen
10.30.1.0 für untagged
10.30.100.0 und 10.30.200.0 für tagged
Macht das Sinn?
Wie kommen die VLANs in die IP Bereiche?
Wie kann ich überprüfen, ob die VLANs am Gerät ankommen?
> Das mit der Bridge hatte ich gelesen, aber stand, dass man das nur wenn unbedingt nötig machen soll.
Richtig, willst du nicht, lass es sein.
Außerdem: NIEMALS 2x das gleiche Netz auf unterschiedliche Ports konfigurieren. Ganz egal ob andere IPs oder nicht. 10.30.1.0/24 liegt entweder auf LAN1 oder 2. Aber nicht auf beidem. Sonst bumm.
> Ich habe auf der der Schnittstelle ein Netz /16 angelegt mit 3 IP Bereichen
Warum zum Geier brauchst du ein /16? Macht doch keinen Sinn? Und was machst du mit tagged/untagged da für Kram?
VLANs sind Layer 2 nicht 3, die werden nicht einfach "magisch" per DHCP vergeben. VLAN muss dein Switch können, nicht die OPNSense. Und optimalerweise bekommt dein Gerät auch NIE mit, wenn es in einem VLAN ist, dafür gibts ja untagged VLAN settings auf dem Switch :)
Ich glaube da solltest du dich dringend ein wenig mehr in VLANs einlesen bevor du dir da einen Moloch baust, der ziemlich übel wird :)
Wieder so ein Ding ... weshalb will man das mit der Bridge nicht?
So ein APU4D4 hat 4 Gigabit-Ethernet-Schnittstellen. Protectli Geräte sogar bis zu 6. Ich würde als Default immer eines als WAN definieren (ist ja auch schon nach der Installation so) und alle übrigen zusammenbridgen und die Bridge als LAN einrichten. Benutzt Ihr alle separate Switche in einem kleinen Heimnetz?
Größere Firmeninstallationen sind was anderes, aber die kleinen Boxen laden doch gerade dazu ein, sie an den Uplink zu hängen und alle internen Geräte an die Box ...
BTW: mit FreeBSD 12.2 kommen dramatische Verbesserungen in der Bridge-Performance. Faktor 5 ...
> Wieder so ein Ding ... weshalb will man das mit der Bridge nicht?
Weil die Firewall ein L3 Gerät ist und eine kleine 08/15 Hardware nie die Performance und das Backbone von echten L2 Switchen wiedergeben kann. Sonst wären echte Switche schon vor langer Zeit ausgestorben, wenn das easy-peasy einfach immer mit Stangen-Hardware funktionieren würde. Netzports bridgen ist eben nicht dasselbe wie ein L2 Switch, der an einer entsprechend performanten Backplane hängt und echtes Gigabit Switching auf jedem Port machen kann. Zudem sieht man allein hier im Forum, dass es durchaus immer wieder heckmeck mit solchen Bridges gibt was die Konfiguration angeht.
> Benutzt Ihr alle separate Switche in einem kleinen Heimnetz?
Wenn ein Switch, der sogar halbwegs gut VLAN kann heute locker unterhalb von 30€ liegt? JA. Warum soll ich mir da Software Streß basteln mit irgendwelchen gebridgten Ports die dann doch nicht genau so funktionieren wie der Switch es einfach tut? Klar kann man es machen. Man kann viel machen. Muss man aber nicht. Und man hat hinterher keinen Streß wenn man doch mal noch ein zwei Geräte mehr bekommt. Basteln des Bastelns wegen, aus dem Alter bin ich raus ;) Allein der unnötige Krimskrams: Erst sind das alles noch Geräte im gleichen Netz, dann will ich das doch in VLANs trennen weils Sinn macht, dann müsste man Port 1-3 zu einer Bridge und dann 4-6 zu ner anderen Bridge basteln etc. etc. das ist ein einziger Software Salat und wenn man dabei dann noch was falsch macht, hängt man sich einfach ab und darf per Konsole o.ä. versuchen die Schritte Rückgängig zu machen.
Darf jeder halten wie jener auf'm Dach ;) aber zum einen komme ich aus größeren Installationen und mag es sauber. Und wer schonmal gesehen hat wie ne Bridge geroutet wurde, weiß, dass er das nicht mag. Heute mag alles viel toller, performanter und besser sein, aber sauberes Networking bleibt trotz allem meiner Meinung nach wichtig. Auch und gerade für transparentes Debugging und klare Wege zu haben. Und nicht auf dem Gerät, das eigentlich meine Sicherheit erhöhen soll nen Paketmischer zu installieren :D
Aber as said: to each its own :)
Bridge bleibt Bridge, da wird nichts drauf geroutet. Ich erwarte von einem SOHO-Router/Firewall einfach 1 WAN und N LAN Ports. Hat jeder Ubiquiti oder Mikrotik Router auch ... je weniger Kistchen desto besser.
Aber wie Du magst, natürlich.
Servus beinander,
sorry, dass ich den alten Faden rauskrame, der entspricht genau meinem gewollten Setup, ich komm aber mangels Bilder und Verständnisproblemen nicht weiter.
Mein Heimnetz besteht nur aus dem Netz 192.168.3.0, die FritzBox (FB) hat die .3.1. Ich möchte nun gerne die Opnsense (OS) integrieren, will aber nicht meine bestehenden Server mit neuen IPs versorgen müssen.
Somit ist die Idee, dass ich der OS die LAN IP .3.1 zuweise (somit OS die FB als Gateway ersetzt), die WAN IP .4.2 wird und das WAN-Gateway die neue IP der FB wird, nämlich .4.1. Ich verliere dann zwar alle bisherigen Portfreigaben, aber das soll ja sowieso zukünftig via OS funktionieren.
Konfigplan:
OS LAN IP: 192.168.3.1
OS LAN GW: Auto-detect
OS WAN IP: 192.168.4.2
OS WAN GW: 192.168.4.1
Blockiere private Netze deaktivieren
FB IP: 192.168.4.1
FB Route: 192.168.4.1 --> 192.168.4.2
Heißt das, dass dadurch sämtliche Ports offen sind und im ersten Schritt sämtlicher Internetverkehr "durchgereicht" wird, bis ich die OS mit entsprechenden Firewall-Regeln konfiguriert habe?
Sehe ich das so richtig? Und reicht es dann für die SIP Telefonie, die neue FB IP zu verwenden?
Habe de Ehre,
Stefan