Messages

76

German - Deutsch / Re: Bugreports nur auf Github?

« on: June 07, 2018, 02:09:11 am »

Wäre tatsächlisch schön. Die Realschule meiner großen hat allerdings nicht mal so ein System à la Time for Kids, was ich eh zweifelhaft finde. Zudem die meisten heute mit Smartphones rumlaufen, deren Datentarife sponsored by mommy/daddy sind und dann eben einfach am Handy gesurft wird. Unterläuft somit eh jedes System. Da wäre Unterricht in IT und Umgang mit Internet etc. wesentlich wertvoller - nur dafür gibbet ja leider wieder niemand, der sich damit auskennt. Die "Kleinen" sind meist x-fach schneller/besser mit dem Medium vertraut als die Lehrer, schlimm genug.

Mit den Smartphones das stimmt natürlich. Bei mir war es meine letze Berufsschule vor 4 Jahren. Und in dem Alter sollte man schon wissen was man darf und was nicht. Letztlich ging es bei der Berufsschule um die Haftung falls jemand Mist baut. Gemeint sind da, Pornoseiten, Warezseiten und weiter verbotenes. Dafür ist das ganze auch richtig, es bringt nur nichts, wenn a) Der gesamte Internetzugang eingeschränkt wird und b) Einige Programme nicht mehr so funktionieren wie sie sollen, da sie mit dem Transparenten Proxy nicht klar kommen. Und das ganze nur mit IPv4. IPv6 konnte das Ding damals schon nicht, und laut dem Handbuch auf deren Webseite aktuell wohl immer noch nicht. OPNsense wiederum kann das alles und zwar richtig. Es fehlt eben nur an kostenpflichtigen Filterlisten für Schulen und Unternehmen und einer kostenpflichtigen Subskription für den Support. Das könnte man doch anbieten und hätte so auf dem Markt wenigstens brauchbare Konkurrenz. So steht dieses "Time for Kids" Produkt nämlich am Markt fast alleine da. Das denke ich wäre doch seitens Deciso ein sinnvolles Angebot. Ein OpenSource Produkt ohne Subskription kommt ja leider deshalb nicht infrage, da die Haftung ansonsten trotzdem beim Admin läge. So lässt sich das auf die Filterlisten schieben.

Ist wie gesagt nur ein Vorschlag von mir, ich kenne da nämlich einige Admins die von OPNsense wirklich begeistert sind, das aber aufgrund dessen nicht als Alternative vorschlagen können.

77

German - Deutsch / Re: Bugreports nur auf Github?

« on: June 06, 2018, 12:09:31 am »

Damit die M$ Produkte nicht zu viel nach Hause Telefonieren, gibt es ja OPNsense. 

Was Schulen und Datenschutz betrifft, kann man an der ein oder anderen Schule tatsächlich durch die Decke gehen, wenn es um Datensicherheit geht. Das Internet wird in vielen Schulen mittels eines "Time for Kids"-Systems so beschnitten, das nicht mal mehr Lizenzierte Software funktioniert. Dieses auf der Endian Firewall, aufsetzende System, ist dazu löcherig wie ein Schweitzer Käse und soll dann für Sicherheit und Einhaltung der Gesetzlichen Jugendschutz Richtlinien sorgen. Ich denke für so manche Schule wäre eine Investiton in OPNsense allerdings Sinnvoller als in dieses besch***... System.
Zumal das oben genannte System Primär auf Squid und den IBM Webfilter aufsetzt, und einer IP-Tables Logging Funktionalität. Nichts was OPNsense nicht auch könnte. Aber es geht sich, zumindest hier an Deutschen Schulen, wie man mir vor 7 Jahren mal sagte diesbezüglich um die Haftung. Dazu kann sich jetzt jeder denken was er will. Ist aber der Grund weshalb OpenSource ohne Subscription hier ausscheidet. Villeicht bietet Deciso ja auch mal sowas an. Wie das Modell eines Time for Kids Systems aussieht findet man dann über Google. Aber jeder verantwortungsvolle Admin, dem nicht die Hände diesbezüglich gebunden sind, würde soetwas nicht einsetzen.

78

German - Deutsch / Re: Bugreports nur auf Github?

« on: June 05, 2018, 02:32:49 am »

Letztlich sollte man froh sein, dass M$ da investieren will, denn so ist die Zukunft der Plattform gesichert.

Andererseits ist das Ganze Internet eine Datenkrake, wer damit nicht einverstanden ist, sollte halt nach Möglichkeit, keinen PC oder Smartphone nutzen.

M$ Bashing ist sinnfrei und Müllt in dem Fall nur den Thread zu.

a) soll GitHub selbständig bleiben
b) ist jetzt noch gar nichts "datengesammelt"
c) welche Daten? Accountname ist frei wählbar, persönliche Daten gibts keine. Da ist jedes Forum (inkl. diesem) weniger DSGVO Konform als GitHub momentan.

Sprich man kann auch aus Mücken Elefanten machen. Und "Cloud Act" hin oder her, DSGVO gilt in Europa so oder so und da hält sich auch MS dran, sowohl mit Azure, als auch mit Office365 und anderen Angeboten, die sehr brav mit ADV kontrolliert werden. Kannst du jetzt glauben oder nicht, ist aber so.

Wenn dir das Schweißperlen bereitet, würde mich mehr die Geschichte mit BND und DECIX aufregen, denn dann wäre die Konsequenz einfach dem Internet fernzubleiben

@JeGR
Da stimme ich dir zu.

79

German - Deutsch / Re: [Siproxd & VOIP Support] Problem- und Lösungsthread

« on: June 05, 2018, 02:24:51 am »

Hallo Zusammen, ich melde mich aus Wien mit einem Problem mit der richtigen Konfiguration von siproxd:
 wir nutzen einen Kabelinternetzugang von UPC (250/20) sowie seit kurzem den VOIP-Provider Sipit / Sipnal in Wien, mit einer virtuellen PBX bei Sipnal sowie 3 VOIP-Anschlüssen hinter einer OPNSense (18.1.9).
Die 3 Telefone haben fixe IP-Adressen, ich schaffe es 1 Gerät ohne Siproxd erfolgreich laufen zu lassen, alle 3 klappt nicht da ich nicht die gleichen ports an 3 verschiedene IP-Adressen weiterleiten kann - hier wurde mir siproxd als Alternative empfohlen.
Der Provider verwendet in unserem Setup keinen Stunserver, alle 3 Geräte registrieren sich direkt am sipserver des Providers und benutzen den Outbound Proxy des Providers.

Was mir nicht klar ist: wie bekomme ich die 3 Geräte an siproxd zum laufen: ein Variante wäre wohl als Outbound-Proxy siproxd zu verwenden, aber wo trage ich die RTP-Ranges in siproxd richtig ein?
Der Provider verendet wohl Serverseitig die Portrange 8000-9000 das übersetzt dann an den Geräten zu der Range 5004-5204 (ist so erfolgreich bei dem ersten Anschluss als Weiterleitung eingetragen).
Mir fehlt da leider grundlegendes Knowhow wie ich siproxd richtig konfiguriere.
Ohne das Plugin habe ich an den beiden anderen Anschlüssen das Problem dass bei eingehenden Anrufen der Anrufer nicht gehört wird.
Kann  mich da jemand in die richtige Richtung leiten bitte?
Vielen Dank schon mal!

Hallo akironet,

bitte benutze zur Konfiguration diese Bilderanleitung: Anleitung Telekom

Du konfigurierst deine OPNsense genau so ähnlich. Bis auf den Telekom Outboundproxy. Und die RTP Port Range setzt du auf eine Portweite von 1000 Ports. RTP Port Low 7000, und RTP Port High auf 8000. Natürlich musst du dann die Port Range auch in den Firewall Freigaben genauso auch anpassen. Ganz im Gegensatz zu dem Hinweis von @mimugmail brauchst du allerdings nicht die gleiche RTP Port Range wie dein Provider benutzen, da die jeweiligen zu Benutzenden Ports beim Verbindungsaufbau über SIP mitgeteilt werden. Richtig ist allerdings, das sofern du eine echte Öffentliche IPv4 Adresse bekommen hast, du kein Stun Plugin im Siproxd eintragen brauchst. Deine Telefone kannst du im Prinzip so konfiguriert lassen wie sie sind. Den Outbound Proxy von deinem Provider, trägst du zusätzlich in dem Outbound Proxy Tab von Siproxd ein. Die Konfiguration wie in der Bilderanleitung hat den Vorteil, dass du keinen Outbound Proxy in deinen SIP Telefonen eintragen musst, Siproxd hängt in diesem Fall transparent dazwischen und verändert den SIP Header jedesmal so, das alles über Siproxd geroutet wird.

80

German - Deutsch / Re: RRD Graphen - Sehe Wald vor lauter Bäumen nicht . . .

« on: June 01, 2018, 01:49:27 am »

Warum Netflow anwerfen? Der läuft a) eh schon ständig auf der opnsense für das im Dashboard eingebaute Insight und zweitens sammelt es genau die Daten, die man will. Wenn man dann noch weitere Auswertungen oder sonstige Abfragen machen will, dann braucht man eben irgendwo einen Flow Collector der einem entweder die Daten in eine Datenbank/Files oder sonstwas packt und die man dann entsprechend beackern kann. Das gibts von simplen Tools wie pmacct oder nfdump bis hin zu kostenfreien oder kostenden Collector Lösungen die dann gleich noch Reports und Abfragen bauen (können). Muss man für sich entscheiden, was man da braucht, ich habe dafür testweise mal auf einem RasPI einfach die NFDump Tools draufgeworfen, mein Kollege in unserer Firma hat pmacct installiert und getweakt und holt sich da in eine DB dann sämtlichen Traffic nach IP Ranges rein etc. etc. - machbar ist viel.

Ich wusste nicht, das Netflow auch für die RRD Graphen zuständig ist. Es geht mir ja nur um diese einfache Funktion, wenn es möglich wäre mithilfe der RRD Datenbanken, zu berechnen wie viel Traffic pro Tag/Monat/Jahr ein- und ausgehend über das Interface bspw. WAN gegangen ist, würde das ja schon ausreichend sein. Leider lässt sich das aber so nicht filtern. Zumindest nicht direkt auf der OPNsense. Und so eine einfache Funktion, sollte die OPNsense doch auch ohne eine RasPI hinbekommen. 

81

German - Deutsch / Re: RRD Graphen - Sehe Wald vor lauter Bäumen nicht . . .

« on: May 31, 2018, 02:01:29 am »

Im Grunde sollte es eine Übersicht darüber geben, wie viel Traffic pro Tag/Monat und Jahr verbraucht wurde. Nur jedes mal Netflow dafür anwerfen zu müssen ist ja auch irgendwo blöd, da reichen eigentlich die RRD Graphen für. Wenn sie es denn unterstützen würden.

82

German - Deutsch / Re: RRD Graphen - Sehe Wald vor lauter Bäumen nicht . . .

« on: May 30, 2018, 01:11:26 am »

Leider nein, evtl. mache ich nen Feature Request.

83

German - Deutsch / Re: Telekom - VOIP - 7490

« on: May 25, 2018, 12:47:12 am »

Hallo Julien,

Hier findest du die Bilderanleitung.

Ich hoffe du weißt was gemeint ist, auch wenn die GUI Sprache Deutsch ist.

Gruß
NR

84

German - Deutsch / Re: IPv6 Regeln mit dynamischem Präfix / Track Interface

« on: May 12, 2018, 11:04:25 pm »

IPv6 ist ohnehin blödsinnig gelöst, da man leider nicht einen Prefix dauerhaft behalten kann. Daher solange du IPv4 hast gib deine Dienste darüber frei, irgendwann wird die OPNsense das mit den Dynamischen Prefixen bestimmt auch unterstützen.

85

German - Deutsch / Re: Nach IP-Wechsel kein Zugriff

« on: May 12, 2018, 11:01:02 pm »

Hi,
ne hatte alles überprüft und auch Cache gelöscht. Ich habe es nun so gelöst, dass ich alles wieder auf Factory gesetzt habe und dann gleich die IP vergeben habe die die sense haben soll, also ohne den späteren Sprung von einer auf die andere. So funktioniert es.

Freut mich das du das Problem selber lösen konntest. Ich habe meine OPNsense seit der Erstinstallation immer nur geupgradet, daher ist mir so ein Problem bisher nicht aufgefallen und kann daher auch nicht sagen ob das ein Problem des neueren Installationsimages ist oder nicht.

86

German - Deutsch / Re: Zugriff von LAN ins Internet bei opnsense HINTER FritzBox

« on: May 12, 2018, 10:57:36 pm »

Den Wunsch möglichst wenig Arbeit bei einem Routertausch zu haben kann ich nachvollziehen.
Und die Schmerzen beim Wunsch das Fritten-WLAN zu nutzen auch. 

Ersteres bekomme ich aber auch im OPNsense Routingbetrieb hin. Wenn ich die neue Fritte oder was auch immer eh anpassen muss um z.B. den exposed Host einzurichten, kann ich auch noch schnell ne Rückroute für das LAN Subnetz hinter der Sense einrichten.
Falls mein Kunde oder wer auch immer die Subnetze der Sense-LANs ständig ändert und/oder erweitert, kann man auch eine komplette Netz-Klasse als Rückroute (z.B. 10.0.0.0/8) auf der Fritte einrichten. Dann spart man sich das nachträgliche Anpassen und Erweitern der Routen.

Letztlich führen aber beide Varianten zum Ziel. Ich versuche jedoch NAT zu vermeiden wo es geht. Es ist und bleibt eine Krücke, und bietet im LAN keinerlei Mehrwert an Sicherheit. Die Fritte zeigt in ihrer SmartHome Übersicht auch nur die Sense an, da alle anderen Clients hinter der Sense bis auf deren IP für sie nicht sichtbar sind.

Ob du nun NAT machst oder nicht spielt z B. Performance-technisch nur noch eine untergeordnete Rolle, da bei OPNsense ohnehin egal ob Firewall oder NAT alles durch den PF Prozess, bzw. durch dessen Kernel Module muss, also letztendlich durch die CPU. Sicherheitstechnisch gesehen hat Source-NAT zwar "theoretisch" keine Vorteile, aber um einheitliche Portforwarding Regeln (Destination-NAT) zu erstellen und möglichst wenig bis gar keine Arbeit bei einem Routertausch zu haben, empfiehlt es sich NAT auf der Sense eingeschaltet zu lassen. Da du ansonsten Portfreigaben alle in der FritzBox machen musst und in der OPNsense Firewall für den jeweiligen Host den Port freischalten. Warum deine FritzBox auch so die Geräte hinter OPNsense nicht anzeigt liegt daran, das die FritzBox die Netzwerkgeräte alle anhand der MAC Adresse identifiziert (ARP Tabelle IPv4, NDP IPv6).

Das kann sie bei Geräten hinter einem Nachgelagerten Router natürlich auf die Weise nicht. Ein Datenpaket welches aus deinem Lokalen Netzwerk über eine Routergrenze hinweg soll, trägt immer im Layer 2 die Zielmac-Adresse deines Routers im Netzwerk. Schaltest du jetzt also z.B. in deiner aktuellen Konfiguration auf der FritzBox die Kindersicherung ein, und sperrst z. B. einen HOST im Nachgelagerten Netzwerk den Internetzugang, haben Automatisch alle Geräte die an der OPNsense hängen keinen Internetzugang mehr.

Probier es mal aus. Falls dich das interessiert.

Gruß
NR

87

German - Deutsch / Re: OpenVPN - No Route to Host nach IP wechsel

« on: May 11, 2018, 11:19:39 pm »

Danke für deine Antwort.

Aber wieso funktioniert es nicht, wenn die Fritzbox bspw. 5 Tage in Betrieb ist? Die DNS Einträge haben sich dann ja aufjedenfall schon aktualisiert.

Das Problem tritt im übrigen nicht nur am Handy auf, sondern auch am Notebook. Die .conf kann ich gleich nachliefern.

So ganz versteh ich aber immer noch nicht wie ich das beheben soll.
Die angefragte IP Adresse im Client und der Fritzbox sind ja identisch. Aber trotzdem muss ich jedesmal die Fritzbox neustarten, wenn ich von Unterwegs ins eigene Netz will.

Dann sollte das normalerweise auch mit jedem anderen Gerät auftreten, wo du Ports in der FritzBox öffnest. Bspw. für einen HTTP-Server. Ich kann mir nicht vorstellen das das ein OPNsense Problem sein soll. Du könntest aber mal den kostenlosen SPDNS-Dienst ausprobieren: https://www.spdyn.de/index/login/

Update URL für die FritzBox wäre:

Code: [Select]

https://update.spdyn.de/nic/update?hostname=<domain>&myip=<ipaddr>
Domain:  deinhost.firewall xyz etc.
Username: Dein Benutzername bei spdyn.de
Passwort: Update Token des Hosts


88

German - Deutsch / Re: Telekom - VOIP - 7490

« on: May 11, 2018, 06:19:20 am »

Jo, nimm siproxd. Ich hab den daheim auch für Firmenaccount und Telekom. Grad wenn du dann im Haus unterwegs bist und den VoIP client am Handy schnell aktivierst gehts echt super

@mimugmail

Bzgl. des VOIP Sammelthreads und Snom, hast du das gelöst bekommen?

89

German - Deutsch / Re: Telekom - VOIP - 7490

« on: May 11, 2018, 12:17:40 am »

Mit Siproxd sähe das natürlich anders aus, da dieser den Sip-Header entsprechend umschreibt.

Hier gibt es die Bilderanleitung.

90

German - Deutsch / Re: Nach IP-Wechsel kein Zugriff

« on: May 09, 2018, 11:39:54 pm »

Es kann sein, dass dein PC noch die alte Mac Adresse drinne hat von deinem Pfsense Router. Evtl. mal das Netzwerkinterface deaktivieren und wieder aktivieren, damit auch der ARP-Cache geleert wird. Das könnte man zwar auch über die Kommandozeile, geht aber so schneller.