Messages

Eventuell ntopng?

Moin,

Mal am Rande: gibt's sowas wie ein Tutorial für Ein-/Umsteiger, 1st steps o.ä.? Denn die Doku ist ja mehr eine Referenz.

Viellecht ist ja das was für dich:
https://www.amazon.de/OPNsense-Praktiker-Enterprise-Firewalls-mit-Open-Source/dp/374485521X/ref=pd_lpo_14_t_0/257-1288701-4079006?_encoding=UTF8&pd_rd_i=374485521X&pd_rd_r=4d5fa5ef-47e6-4e98-8e0d-0d88470acc84&pd_rd_w=wGgif&pd_rd_wg=8n4j6&pf_rd_p=d5c9797d-0238-4119-b220-af4cc3420918&pf_rd_r=SQMY1YJDX2VWPYJ5HJWE&psc=1&refRID=SQMY1YJDX2VWPYJ5HJWE

Die Sache ist geklärt:
https://forum.opnsense.org/index.php?topic=19117.new;topicseen#new

Thanks a lot. Issue resolved. Thumbs up!

Hello everyone,

after the update to 20.7.2 I noticed by chance, that an error "Invalid argument" appears when creating new aliases. After some searching I found out that it is my GeoIP alias. Does anyone else in the wide world have this problem?

I have the following release running:

OPNsense 20.7.2-amd64
FreeBSD 12.1-RELEASE-p8-HBSD
OpenSSL 1.1.1g 21 Apr 2020

Hallo zusammen,

nach dem Update auf 20.7.2 ist  mir zufällig aufgefallen, das beim Anlegen neuer Aliase ein Fehler "Invalid argument" auftacht. Nach einigeer Suche habe ich herausgefunden, das es mein GeoIP-Alias ist. Hat das Problem noch jemand in der weiten Welt?

Folgendes Release habe ich am Laufen:

OPNsense 20.7.2-amd64
FreeBSD 12.1-RELEASE-p8-HBSD
OpenSSL 1.1.1g 21 Apr 2020

Wenn etwas auf mehreren Hosts gescripted werden soll, dann schaut Euch mal ansible an.

Ist schon richtig. Aber wer sich eine Firewall aufsetzt, hat sich in meinen Augen schon mehr Gedanken um die Sicherheit seines Netzwerkes gemacht als die meisten Anwender - und ich denke, in diesem Zuge auch Gedanken über den Zugriff auf interne Systeme.
Das "Auslagern" von Daten zu externen Anbietern - sei es ein ISP, google oder wer auch immer - nun das muß jeder selber wissen. Niemand kann sagen, was mit diesen Daten geschieht. Und Daten einer Firewall außerhalb der eigenen Kontrolle abzulegen.... nun ja....
Die nextcloud (oder welcher Service auch immer - Stichwort IoT...) muß ja, wie schon erwähnt, nicht von außen frei zugänglich sein. VPN ist da sicher ein guter Weg.

Also ganz ehlich: wer hier in diesem Forum nicht das KnowHow hat sowas abgesichert zu betreiben - warum beschäftigt sich ein solcher Anwender mit ner Firewall wie die opnsense?

Ich habe auch eine nextcloud-VM - um opnsense zu sichern - die ist aber nicht von außen erreichbar und wird wiederum mittels veeam auf ein nicht von außen erreichbares NAS gesichert.

Das ändert leider nichts, auch wenn TCP/UDP auf Port 53 und 53530 erlaubt ist.

Schade....

Du hast in Deinem Screenshot ipV4 und V6 auf udp stehen - DNS möchte gerne auf UDP und TCP hören - das könnte es sein

Versuchs mal mit TCP an Stelle von UDP

So, nun ich wieder  ;D :

zu Frage 1:
Wie sind die Systeme "kaskadiert" - d.h. wen fragt der pihole als übergeordneten DNS und wen fragt die opnsense als übergeordneten DNS?
Wenn du also den pihole immer als primären DNS haben möchtest, muß dieser die fritzbox als primäfren DNS nutzen. Die opnsense nun muß wiederrum den pihole als DNS eingetragen haben.
Dann sollte die opnsense bei Anfragen, die sie ncht selber beantworten kann, den pihole fragen und der leitet die Anfrage dann an die fritzbox weiter, wenn er auch keine Informationen zu der Anfrage hat.

Ich hoffe, ich konnt meine Frage etwas mit den Ausführungen bessser formulieren.

zu Frage 2:
vom Sicherheitssapekt sicher ok. Das unangenehme an Deiner Config ist, das Du an zwei Stellen lokale Einträge pflegen mußt.

zu Frage 3:
Eine Sache habe ich vorhin überlesen - sorry: Du nutzt unbound und bind gleichzeitig? Beide Dienste lauschen auf dem gleichen Port (TCP 53) Kann es sein, das keiner von beiden sauber läuft?
Das würde erklären, warum die opnsens so gar nicht auf DNS-Anfragen reagiert, was Deine Tests ja zeigen. Ich denke, Deine lokale Auflösung kommt rein vom pihole - kann das sein?

Deaktiviere doch mal zum testen den bind und versuche dann eine DNS-Anfrage gegen die opnsense. im unbounf hast Du auch die Möglichkeit, unter "Blacklists" eine ähnliche Funktionalität des pihols zu implementieren.

Und noch eine Idee: sind Deine Netze in den Access Lists des unbound eingetragen? Wenn nicht, nimmt dieser keine Anfragen an.

Noch ne Frage: welchen Grund hat es, das Du den pihole vor der opnsense an der fritzbox betrteibst?

Frage 1: wer ist den forwarder für wen?
Frage 2: welcher DNS hält die lokalen DNS-Einträge?
Frage 3: hast Du mal die Reihenfolge (im dhcp) der dns-Server umgedreht und dann getestet?