Messages

Wie sehen die alten Portweiterleitungen denn aus? Wenn du als Ziel "any" oder "WAN IP" hast, dann musst du die anpassen, ja. Denn "WAN IP" matcht auf alle IP-Adressen am WAN-Anschluss, nicht nur die primäre. Du musst also einen manuellen Alias für deine alte WAN-Adresse anlegen und einen für deine neue. Und dann in den NAT > Port forwarding Regeln eben diese Aliase als Ziel verwenden.

*cough* that said, it sure would be nice to be able to copy-and-paste firewall rules between interfaces, say, by ticking the rule-selector checkbox and clicking "copy to Interface X"...

Click the "duplicate" symbol to the right, change interface in the opened rule edit dialog, possibly change some more things like source from "interface1 net" to "interface2 net", save, done. The UI will even take you to the "interface2" rules instead of where you started.

Hopefully a follow-up patch drops soon, because seeing those CVEs right after updating doesn't inspire much confidence.

The followup patch is 25.7. 25.1 is long EOL. Complaining about vulnerabilities in EOL software is a bit strange, don't you think. But you do you.

Die Reihenfolge ist irrelevant, kein Client auf der Welt beachtet irgendeine Reihenfolge. Das ist so definiert, was die Resolver-Library macht. Gib den Systemen per DHCP nur den richtigen DNS, weshalb überhaupt mehr als einen? Wenn du Redundanz brauchst, dann brauchst du zwei DNS Server, die einen identischen Datenbestand haben.

Ich krieg auf einem Atom der 3er Serie mit einer in TrueNAS (bhyve) virtualisierten OPNsense locker ein knappes Gbit/s hin mit Intel Gbit Interfaces. Interfaces per PCIe passthrough. Detaillierte Specs müsste ich nachgucken.

Spricht dafür, das bei dir irgendwas vermurxt ist.

Clients verwenden die übergebenen DNS Server round-robin. Es gibt da keine Reihenfolge.

Probier mal

Code Select Expand

certctl rehash

auf der OPNsense auszuführen. Wir hatten das schon auf Standard FreeBSD, was du beschreibst, und das war die Lösung. Mach einen Snapshot vorher (wenn du ZFS benutzt) oder mindestens ein Config-Backup.

Wenn ich perspektivisch einen Reverse-Proxy nutzen möchte (um Subdomains für andere Hosts zu nutzen) leitet dieser doch nur Port 80 und ggf. 443 weiter. Das heißt doch, dass ich die NAT-Regel trotzdem für die anderen Ports benötige oder?
Und dann muss ich explizit Port 80 und 443 aus meiner NAT-Regel herausnehmen oder?

Ja und ja.

Rechts oben "Show community plugins" ...

1. NAT greift immer von Firewall-Regeln.
2. Wenn du die NAT-Regel (eingehend) bei "Firewall rule association" auf "Pass" gestellt hast, greift auch das "Pass" vor allen anderen Firewall-Regeln.
3. Du musst also bei der NAT-Regel explizit auf eine Firewall-Regel verweisen statt "Pass" zu benutzen.
4. Die Block-Regel muss dann vor dieser in der Liste sein.

Not really a wizard, but I'm a big fan of being able to edit things in context, so edit or create an alias while having a firewall rule open

I use tabs for that :-P

Netflow. It's by far the generator of the largest amount of any data you can have on OPNsense. Export Netflow data to an external collector like ElastiFlow

But then again let's assume you write 40 GB per day. With a typical TBW of 200 for a smaller quality SSD that means you get 5.000 guaranteed days of operation or over 13 years.

Man kann allerdings den Präfix eingeben und bekommt dann eine eingeschränkte Liste

Genau! 🙂

Does this show I have done something wrong, or do I have to do something to fix these two problems

Just wait for the next update to fix these two issues. Happens all the time - you cannot patch a complex product the day a vulnerability is discovered.

If you want to be cautious - go read the CVE entries and try to decide if they apply to you or not and if yes, if they pose a risk.

E.g. the first one is easy: are you running OpenVPN? No? No risk.
Second one is more difficult. It's about an API for crypto hardware. Most probably also not attackable in the context of OPNsense.

HTH,
Patrick

Bei mir haben Alias semantische Prefixe. Und ich versuche wo möglich Gruppen anzulegen. Den Inhalt nochmal in den Namen zu schreiben halte ich spontan für überflüssig - habe ich noch nie getan. Man legt Aliase ja genau deshalb an, damit man sich nicht mit Adressen und Ports beschäftigen muss sondern mit benannten Systemen und Funktionen.

Das mit den Prefixen habe ich angefangen, weil bei der Sidewinder die unterschiedlichen Alias-Typen unterschiedliche Symbole hatten und man im UI gleich Netze, Ports, etc. auseinanderhalten konnte.