Show Posts
1
German - Deutsch / Re: OPNsense auf Hardware Firewall für Server
« on: November 01, 2020, 04:59:52 pm »Quotewas wäre hier die beste Lösung, um lokalen Zugriff darauf zu bekommen?Ich bin mir nicht sicher, ob ich deine Frage richtig verstehe: Also du hast zwei "Kisten" ein Server um deine Applikation zu hosten und eine physische Firewall mit opnsense drauf. Du möchtest nun die Firewall direkt mit deinem Server verbinden (patchen), um keinen zusätzlichen Switch kaufen zu müssen, korrekt?
Ja genau. Und der Server bzw. Firewall haben beide mehr als genügend Ports, Firewall hat 6 und Server hat 7 (2x WAN redundant, 1x ILO, 4x Sonstige). Das Datacentrum verrechnet zusätzliche Geräte, darum müsste ich für den Switch evtl. mehr im Monat bezahlen für das Housing.
Du bräuchtest dann an der Firewall mindestens 3 Ports: WAN, und 2 LAN Ports. Dann verbidest du LAN Port 1 mit dem iLO und LAN Port 2 mit dem LAN interface vom Server. Dann musst du aber (wie du ursprünglich beschrieben hast) die zwei LAN ports in ein anderes Netz konfigurieren. Also hättest du ein "iLO Netz" und ein "Server Netz". Wenn die miteinander kommunizieren sollen, dann musst du noch eine entsprechende Firewall Rule konfigurieren.
Das Problem ist folgendes - Alles steht momentan noch bei mir zuhause, und ich habe keinen Zugriff auf ILO bzw. Proxmox, wenn diese am Firewall angeschlossen sind, eben weil sie sich in verschiedenen Subnetzen befinden. Darum wäre es sehr praktisch, wenn ich von meinem Laptop Zugriff auf diese Hätte (wenn auch nur temporär), wenn dieser ebenfalls an der Firewall angeschlossen ist. Habe mir schon überlegt, dem Server und dem ILO Netz je ein zusätzlicher Port an der Firewall zu geben, via Bridging, dann könnte ich meinen Laptop an das jeweilige Netz anschliessen und hätte Zugriff auf beide Netze. Wie das per Rule geht, konnte ich leider bisher noch nicht herausfinden. Alles, was ich getested habe, hat nicht funktioniert.
Aber ehrlich gesagt: Ein kleiner (smart managed) Switch ist ja echt kein Kostenpunkt.
Ausserdem (wie von lfirewall1243 angemerkt) würde ich jetzt auch nicht unbedingt das iLO direkt im Internet exponieren. Funktioniert zwar grundsätzlich mit Port-Forwarding, aber du hast nur den Schutz von iLO Login/Passwort. Schliesse mich der Empfehlung von lfirewall1243 an: Internes Management wie das iLO sollte nur über VPN erreichbar sein. Den Web-Zugriff würde ich via HAProxy umsetzen.
VPN Einrichten sollte kein Problem sein, gibt ja genügend Tutorials dafür - Aber eine Frage zu der grundsätzlichen funktionsweise hätte ich noch, hoffentlich weis da jemand weiter. Wenn ich einen VPN Zugang konfiguriere, kann ich meineswissens in den Tunnel Settings eines oder mehrere IPV4 Local Networks wählen - in meinem Fall dann ja das ILO Netz und das Proxmox Netz, mit Komma getrennt. Wenn ich dann per Open VPN Verbinde, habe ich dann Zugriff auf beide Netze zusammen, so also wäre ich lokal mit diesen beiden Netzwerken verbunden?
Für die die einzelnen Proxmox vms solltest du eine DMZ Zone erstellen.
Falls da also dein Webserver gehackt wird, ist erstmal kein direkter Zugriff auf Proxmox und ILO möglich.
Also eigentlich ein separates virtuelles Netzwerk, in dem alle VMs sind, und keinen Zugriff auf das Proxmox Admin interface haben? Ich sehe keine Lösung, wie ich einen der freien Ports an der Ffrewall für das VM Netzwerk nutzen kann, ohne zusätzlichen Switch - Oder gibt es eine?
