Messages

Musste erst mal nachschauen, was Netflow ist.Das ist ja ein zusätzliches Plugin? -> Nein.

Ich habe mir auch gerade mal die Überwachung des SMART Werts ins zabbix eingebaut und werde das beobachten.
Evtl. tausche ich mal am nächsten Wochenende eine der SSDs aus, die haben beide nämlich einen ähnlichen ssd_life_left Wert, nicht das mir beide SSDs gelichzeitig das Zeitliche segnen.

Moin,

wir haben hier zwei OPNsense am laufen.
Wir hatten schon öfters das Problem, dass die SSDs (NVMe onboard) defekt gegangen sind.

Deswegen habe ich für die Mainboards größere Rackgehäuse besorgt und dort jeweils zwei größere SATA SSDS per ZFS eingebaut.
Den SMART Dienst habe ich ebenfalls installiert.

Was mir jetzt aufgefallen ist, das bei der aktiven OPNsense der Wert SSD_Life_Left schon auf 76 (%?) gefallen ist, bei der HA Maschine ist er noch auf 98%.
Grundsätzlich war ich schon mal über alle möglichen Prozesse drüber gegangen, die Schreibend auf die Datenträger zugreifen.

Die SSDs sind aktuell 2% belegt, RAM bei 12% und SWAP 9%
Also eigentlich sollte das kein Problem sein, das z.B. der SWAP übermäßig benutzt wird.

Habt Ihr eine Idee wie ich dem Problem weiter auf die Schliche kommen kann?

Grüße

Gregor

Nein. Du solltest schon aus Sicherheitsgründen die OPNsense immer auf dem aktuellen Stand halten.

Da gebe ich Dir grundsätzlich recht!
Aber nicht immer kann man das Zeitnah machen, ich mache das dann z.B. an Wochenenden, auch wenn die Downtime recht kurz ist, mache ich es ungern wärend der Normalen Arbeitszeiten.
Jetzt wollte ich das dyynds Plugin testen, muss ich halt warten,...

Moin,

ich stoße immer mal wieder an das Problem, das ich ich ein Plugin installieren möchte, es aber nicht geht, weil die OPNsense nicht auf der aktuellsten Version ist.

Nun möchte ich aber nicht immer warten, bis ich in einem Wartungsfenster die OPNsense aktualisieren kann.

Gibt es die Möglichkeit, Plugins für die vorherige(en) Versionen herunterzuladen und manuell über die Konsole zu installieren?

Grüße

Gregor

Moin,

vielen Dank für die Aufklärung.
Ob mir/uns das jetzt weiterhilft ist die Frage.

Unter HA stelle ich mir halt etwas anderes vor.
Evtl. müsste ich die MASTER Node an eine abschaltbare Steckdose setzen, wenn ich dann vom Peer alle 5 Minuten einen SSH auf die HA Schnittstelle mache und das nicht funktioniert: Kopf ab (STONITH)

,....

Moin,

ich versuche mich mal an der Situationsbeschreibung:

Wir haben zwei opnsense GW (MASTER / PEER)

Wir haben zum wiederholten male den Fall gehabt, das auf dem MASTER ein Problem entstand und die Dienste ihren Dienst quittiert hatten, aber der PEER nicht eingesprungen ist.

Aktuell ist mal wieder eine SSD defekt gegangen, dass habe ich so oft auch noch nicht gehabt. Es gab aber auch schon mal ein anderes Problem, die Probleme müssen nicht hier untersucht werden,...

Fakt war, das der MASTER zwar noch z.B. über einen Ping erreichbar war, aber es lief keinerlei Verkehr über das GW.
auf was prüft denn die HA / CARP Übernahme?

Welchen Lösungsansatz könnt Ihr mir empfehlen STONITH? Auf welche Trigger könnte ich da aufbauen?

Grüße

Gregor

Moin,

an welcher Stelle müsste ich denn einen Feature Request einwerfen, oder evtl. gibt es den schon:

Bei der Definition von Aliase gibt es ja die charmante Möglichkeit direkt ein Suchfeld zu haben, welches sogar Live die Liste filtert.
Dieses wäre bei andern Listen ebenfalls hilfreich, z.B. bei den Regelwerk für die Firewall.

Diese Listen kann man zwar über Kategorien filtern, diese müssen aber zuerst angelegt und zugeordnet werden. Das macht zwar im Grunde genommen Sinn, aber eingänglicher wäre eine Suchfunktion wie bei den Aliase.

Gibt es Gründe die gegen so eine Suche sprechen? Gibt es den Feature Request schon?

Grüße

Gregor

Mercy

Moin,

wir sind dabei den GL Anbieter zu wechseln.
Von beiden Anbietern liegen die IP Bereiche an der OPNsense an.

Gibt es die Möglichkeit, den Gateway Quellbezogen zu bestimmen? Normalerweise erfolgt das Routing ja über die Definition der Ziele.

Mein Wunsch wäre es, erst mal bestimmte interne Netze über den neuen Anbieter zu routen und den DefaultGW erst im letzten Schritt umzustellen.

Grüße

Gregor

Mea culpa.

Und vielen Dank für die Richtigstellung.
Ich habe tatsächlich nur auf den Status geschaut, ohne einen Ping oder ähnliches Laufen zu lassen,...

Nachdem ich für den Peer den Parameter keepalive gesetzt habe, einfach mal auf 3 Sekunden, wird der Tunnel aufgebaut.

Jetzt sehe ich im Firewall Live Log auch eingehenden Verkehr auf Port 51820,...

Warum ich den Parameter setzen muss erschließt sich mir noch nicht, in den Tutorials wurde das nicht gemacht.

Moin,

Ist das ein Test-Lab mit privaten WAN Subnetzen?
Dann musst du in den WAN Interface Einstellungen den Haken bei "Block private networks" entfernen.

Ja, für dieverse Tests betreibe ich das lokal, ich teste hier verschiedene Setups.
"Block private networks" ist ausgeschaltet.

Und ggf. "Force gateway" ausschalten.

Die Stelle Option finde ich nicht, ist die ebenfalls direkt am WAN Interface?

Moin,

ich versuche zwischen zwei virtualisierten OPNsense eine Wireguard Verbindung zu erstellen:

envA
WAN 192.168.211.206

envB
WAN 192.168.211.159


Die Verbindung setze ich nach https://docs.opnsense.org/manual/how-tos/wireguard-s2s.html auf.

Ich denke, das ich die Instanz und die Peers richtig konfiguriert habe.
Was ich momentan nicht feststellen kann ist, dass auf den FWs kein eingehender UDP Verkehr auf dem port 51820 entsteht. Ich habe die Freigaberegel im log, ein nmap von einem anderen Gerät wird auch geloggt.

Ich habe schon ganz verschiedene Setups versucht, mit zugewiesenen Interface als auch ohne.
Und diverse andere Sachen und Freigaben.

Die jeweiligen peers zeigen natürlich auf die WAN IP der Gegenseite, aber wie geloggt, scheint da kein Verkehr anzukommen?
Die VMs sind mit der aktuellsten 25.7.5 versehen.

Grüße

Gregor

Hmm, momentan funktioniert es, ich habe noch mal alle Instanzen gesynct.

Evtl. war eine Einstellung noch nicht auf den HA Backup übertragen,...

Moin,

ich teste (virtuell) gerade ein Setup mit insgesamt 4 opnsense FWs , jeweils zwei pro virtueller Umgebung.
Ziel ist ein HA Setup mit entsprechenden CARP VirtIPs und einem IPSec Tunnel.

Der Grundaufbau ist kein Problem, die Definition der einzelnen Netze und das einrichten der VirtIPs nebst HA funktioniert tadelos.

Der Grundlegende Aufbau der IPSec Verbindung funktioniert ebenfalls.

Was nicht funktioniert ist der automatische Wiederaufbau der IPSec Verbindung im HA Fall.

Getestet habe ich das manuelle Herunterfahren oder auch eine Neustart der jeweiligen HA Master FW.

Die Übernahme der VirtIP klappt, der Tunnel wird nicht automatisch wieder übernommen, erst manuell kann ich ihn wieder starten.

Ich habe jetzt schon verschiedene Einstellungen versucht, bin aber noch zu keinem zufriedenstellenden Ergebnis gekommen.

Hat jemand ein entsprechendes Setup am laufen und es funktioniert?

Grüße

Gregor