Messages

Danke erst Mal.

am besten nur auf dem WAN interface anmachen, im Netmap mode

Das möchte ich eher nicht machen, sondern das Ganze auf einem WireGuard-Interface betreiben. Mal sehen, ob das dann ohne netmap geht/gehen muss.
Bei mir hat divert in einem kurzen Test halt die Verbindung zum eigentlichen Ziel gekappt, ganz ohne Treffer. Mir ist auch noch nicht klar, warum das nur für 'ne große Kiste gut sein soll, denn ich möchte ja gerade bei 'ner kleinen Kiste performance sparen / selektiver sein. Aber gut, divert lass ich dann weg.

Ich bin gerade auf der Suche nach eine WAF-Lösung

Vielleicht ist das ja was für Dich:
https://www.youtube.com/watch?v=PDNMLmULm_M

Und nein, ich entschlüssle den Mail-Traffic zuvor nicht, aber es gibt trotzdem ein paar Hits, wenn nämlich sich irgendwas unverschlüsselt verbindet.
Auch interessant, dass es selten, dann aber oft mehrere Tage hintereinander zu IP-Blocks kommt, die offensichtlich in meinen massiven IP-Blocklisten nicht enthalten sind. Zugegeben kein Game-Changer, aber wenn ich die Ressourcen habe, warum nicht.

Nur was eben divert soll, ist für mich maximal unklar geblieben. Und irgendwer hier wird es doch nutzen, es wird ja immerhin mitgeliefert...

Deswegen frage ich ja hier, vielleicht erbarmt sich noch wer. Ich nutze es bereits anderswo, nun soll es auch mal auf der OPN sein.

Niemand hier, der IPS auf der OPNsense nutzt?

Willst Du mit deinem Wissensstand wirklich einen Web- und einen Mail-Server ins Internet stellen?

Ich möchte gerne IPS nutzen, zum ersten Mal auf der OPNsense. Mit das Erste worüber ich stolpere ist Divert-to. Was genau macht eine Firewallregel damit. Wird der Traffic damit vollständig umgeleitet zum IPS? Wenn ja, bedeutet das, dass das eigentliche Ziel den Traffic nicht mehr bekommt? Wo wäre dann der Nutzen.

Die Kiste, auf dem das laufen soll, ist zwar schwach, aber es gibt auch kaum Traffic, daran sollte es also nicht liegen, dass ich bis jetzt eher nicht weit gekommen bin.

point me to a nice explanation

Here you go. Ok, it isn't that good but contains some info which is relevant here too. 

Although I doubt that it makes gaming better than static port does. It would only make a difference if your gaming clients would use the same UDP source ports. But why should they in the first place, these days that would be stupid.
I think Endpoint-independent Port Restricted Cone NAT is more for very big networks, maybe ISPs and their CG-NAT stuff etc.

Jetzt gibt es diese Möglichkeit allerdings nicht mehr.

Vielleicht hast Du noch nicht die Regeln migriert, nachholen.

apologies

No apologies needed, it is still optional. Maybe look in Outbound NAT or the migration assistant, I don't remember. But it should be easy, nothing complicated this time. 

before my first reply I checked my system to be sure and here there are the screenshots:

You are current but have not migrated the Outbound-NAT rules yet.
This is how it should look:

please double check.

You must be living under a rock. If you are current and have done all the migrations, it was replaced by Source NAT.

Here

Here what, you were wrong, about twenty years.

Surfshark is like any other VPN-Provider, so probably no. Maybe use a desktop-client if *Sense is to hard for you.

RTL8126 is very solid to me in Windows. There is some CPU utilization but that could be come in part from SMB too. And I paid 30 bugs for two cards. Feels like a no-brainer.

I'm giving up on pfSense and started to install and configure OPNsense today

Maybe go back?