Messages

Ah sorry "Block private networks" herausnehmen hatte ich komplett vergessen..

Du meinst, es sollte so wie es ist, eigentlich funktionieren, daß ich vom LAN ins WLAN komme?

Müsste eigentlich, ja.

Keine Ahnung was du mit dem Port Forwarding auf dem LAN Interface bezweckst..
Standardmässig kommt LAN überall hin ("Default allow LAN to any rule").

Source Ports sind immer Dynamisch, Destination Ports statisch (z.B. 443 oder 1194).

Ohne das ausprobiert zu haben: Wenn die Interface Zuweisung gleich bleibt und auf WAN die Rule aktiv ist die (mindestens) den Zugriff auf die Weboberfläche erlaubt, müsstest Du über die Konsole eine neue IP vergeben können, danach sollte es gehen.

Der vmLAN Client (nehme an den meinst du mit "Client 2") soll als Gateway 192.168.5.1 nutzten, also die LAN Adresse der OPNsense, diese muss auch pingbar sein (selbes Netz).
Dann sollte auch die WAN Adresse der OPNsense pingbar sein.

Das WAN der OPNsense, soll als Gateway den nächsten Hop nach draussen benutzen, laut deinem Netzplan also 192.168.137.1.

So müsste es eigentlich gehen, ansonsten verstehe ich dein Vorhaben nicht.

Damit du von deinem Client1 über das WAN der OPNsense auf die Weboberfläche kommst, musst Du, wie gesagt, dies auf dem WAN Interface in der Firewall entsprechend erlauben.

Ich kenne mich zwar nicht so gut mit Proxmox aus, ich meine aber das 2 VM's, welche ihre Interfaces an der selben Bridge haben, sich gegenseitig erreichen sollten (soweit die Einstellungen passen).

Was die Netzkonfiguration auf Debian anbelangt, hast du's mit sudo probiert?

Hallo

Wie wäre es mit einem Alias, welcher dieses/die Netz/e enthaltet und einer rule, mit einem allow, vor der rule mit dem geoip alias?

Gruss

Einerseits sehe ich hier nirgends wo du den erstellten Alias verwendest (müsste nach mir vor dem "Block Local Networks" sein), andererseits ist die 2te Block Rule wohl etwas zu viel, die Clients auf dem Interface müssen ja die Firewall als Gateway nutzen dürfen, sonst geht nix..

Das WLAN Interface ist ein physischer Port nehme ich an (also nicht derselbe wie WAN & LAN)?

Hallo

Per default ist die Weboberfläche nicht aus dem WAN erreichbar (soll es normalerweise auch nicht).

Das müsstest du auf der Firewall beim WAN Interface erlauben, bin nicht sicher ob die per default überhaupt auf dem WAN Interface hört.

Den Rest habe ich nicht ganz verstanden, ein Netzwerkplan würde helfen..
Wahrscheinlich läuft's aber auf eine statische Route heraus, da das Gerät, welches die Pakete in das Netz hinter der FW schicken will, wissen muss, wie es das erreichen kann.

Gruss

Hallo :)

Da dein Switch wohl kein L3 bzw. inter-vlan routing kann, musst Du die VLANs sowieso auf der Sense konfigurieren und routen und diese mit einem Trunk mit dem Switch verbinden.

DHCP macht ebenfalls die Sense, das kann (und sollte - ausser L3) ein Switch nicht.

Bezüglich dem Gerät, welches in ein anderes VLAN soll, entweder mit einer Firewall Regel auf der Sense oder falls das Gerät mehrere VLANs unterstützt, dieses zusätzlich am Port (auf dem Switch) freigeben.
Selbiges für andere Geräte (VLAN200 -> VLAN100), hier ist eine Regel wohl am sinnvollsten.

Der Unterschied zwischen tagged und untagged ist recht einfach:

• Tagged - Die VLAN ID wird im Header jedes Packets mitgesendet, das empfangende Gerät muss dementsprechend das VLAN auf dem Interface unterstützten und konfiguriert haben.
• Untagged - Auf dem Switch ist der Port im entsprechenden VLAN, das Gerät braucht keine Konfiguration und bekommt vom VLAN nichts mit.

Hier ist das sonst noch genauer erklärt: https://www.thomas-krenn.com/de/wiki/VLAN_Grundlagen

Hoffe das klärt ein paar deiner Fragen.

Gruss

Dem IPsec interface hast Du aber schon eine allow rule zum LAN verpasst?

Siehe: https://docs.opnsense.org/manual/how-tos/ipsec-s2s.html#firewall-rules-site-a-site-b-part-2

Gesendet von meinem ONEPLUS A5000 mit Tapatalk

Hilfreich ist meistens auch die Konsole im Browser, um zu sehen, welche Adressen nicht gezogen werden konnten.

Gesendet von meinem ONEPLUS A5000 mit Tapatalk

Ich verwende einen GeoIP Alias als Source für Ports die von aussen erreichbar sind (TeamSpeak, VPN usw.).
Somit sind diese zumindest "nur" aus dem entsprechenden Land erreichbar.

Gruss

Gesendet von meinem ONEPLUS A5000 mit Tapatalk

Es gibt noch GNS3 (https://www.gns3.com/).
Ist zwar teilweise etwas umständlich, funktioniert aber super.

Gruss

Gesendet von meinem ONEPLUS A5000 mit Tapatalk