Messages

Firewall oder ähnliche Sicherheitseinrichtungen aktiv auf dem Gerät das nichts zurück schickt?

Ja, das war das Problem! Hattest absolut recht!
Wie so oft: "Error was in front of console."

Besten Dank,

Frank!

Vergesst meinen letzten Post! Mein Problem war die Windows Defender Firewall, die kein Ping aus anderen Subnetzen mag!

Gruß,

Frank

Hallo Patrick,

es wäre jetzt an der Zeit, dir mal ein Bier auszugeben, für die Nerven, die ich dir gekostet habe! Unser Problem ist, dass wir zu wenig Windows machen! Und ich habe immer weniger Lust dazu, ganz ehrlich!
Also, Problem gelöst! Es war die Windows Firewall, die ICMP aus anderen Subnetzen nicht mag. Nachdem ich die Maschine bei meinen Versuchen weiter mit Ping traktiert habe, hat sie noch nicht mal auf solche aus dem eigenen Netz reagiert. Wenn ich Windows Defender für Private Netzwerke komplett ausschalte, funktioniert wieder alles. So ein Sch...
Warum nun das NAS genau so reagiert hat, wie die Windows Büchse, kann ich nicht sagen und will ich auch nicht mehr ergründen.
Auf jeden Fall nochmal vielen Dank für deine Geduld. Wenn in Zukunft wieder jemand mit so einem Problem ums Eck kommt, soll er einfach Windows Defender mal abschalten!
Das Gute an der Sache: Jetzt habe ich OPNsense schon mal an einigen Stellen gut kennenlernen können. Ich hatte viele Jahre eine IPCop Firewall am Laufen. Die hat prima funktioniert, allerdings hat sie schon ein paar Jahre keinen Support mehr und jetzt hat auch meine alte Hardware ihr Lebensende erreicht. Außerdem waren das auch Stromfresser. Deshalb habe ich jetzt zwei Fujitsu Futro S920 als Ersatz. Die funktionieren bisher perfekt für den Zweck und brauchen wenig Strom. Ist eine Empfehlung!
Dann noch einen schönen Abend und standhaft bleiben, wenn mal wieder jemand hartnäckig wie ich...

Beste Grüße von der Ostsee,

Frank

Hallo Patrick,
ich verstehe gut, dass ich hier langsam nerve! Alles, was du geschrieben hat, ist plausibel. Und , wenn ich an deiner Stelle wäre, hätte ich vermutlich auch geantwortet: ,,Was soll das mit OPNsense zu tun haben?".
Ja wie soll man remote so etwas lösen, wenn ich davorsitze und nicht hinbekomme? Also erst mal sorry und vielen Dank für die Unterstützung bis hierher! Ich werde nochmal in mich gehen und vielleicht noch ein paar Tests machen, bei denen ich eine Maschine direkt mit dem LAN Interface der OPNsense verbinde. Und ich melde mich erst wieder hier, wenn ich verstanden habe, warum die Maschinen im LAN auf ping aus den OPTx Netzen nicht antworten.
Gruß,
Frank

Hallo Patrick,

Du schreibst "Dem System 192.168.1.17 fehlt wahrscheinlich die Defaultroute zur OPNsense. Du siehst ja im tcpdump, dass die Echo Requests das LAN Interface verlassen."

Die Idee hatten wir schon weiter oben und ja, das würde das Verhalten erklären. Dem ist aber leider nicht so. Bei diesem Windows PC ist als Standardgateway die 192.168.1.101, also die Schnittstelle der OPNsense eingetragen.

Übrigens habe ich auch mal getestet, vom OPT2 Netz ein Ping auf eine Maschine in OPT1 zu machen. Das war kein Problem, was ja auch mit der Regel:
  IPv4 *    OPT2 Netzwerk    *    *    *    *    *
in OPT2 so sein sollte. Aber Ping aus irgendeinem OPTx Netz mit entsprechender Regel an Maschinen im LAN funktionieren nicht.

Gruß,
Frank

Hallo Lignumium,

mach doch mal folgenden Test:

Verändere deine Regel im WLAN und stelle bei Quelle und Ziel any ein.
Mach dann an der OPNsense über Schnittstellen > Diagnose > Ping vom Interface WLAN ein Ping auf 192.168.200.22 (A/V-Receiver).
Ich vermute, du erreichst deinen A/V-Receiver nicht.

Dann verändere im Ping Formular die IP in Host auf die IP deines LAN Interfaces an der OPNsense. Ich vermute, das ping funktioniert.

Dann stell im Ping Formular bei Quelladresse LAN ein und bei Host wieder 192.168.200.22 (A/V-Receiver). Ich vermute, dass funktioniert auch.

Wenn das so ist, liegt aus meiner Sicht ein Software Bug in der OPNsense Software vor. Da können wir an den Regeln drehen, wie wir wollen.

Beste Grüße,
Frank

Hallo Patrick,

ich habe jetzt mal, wie von dir gewünscht, ein tcpdump von der Console der OPNsense auf das Interface em0 (LAN) gemacht. Ich denke, dass ist grundsätzlich das, was auch die OPNsense über die Option Schnittstellen > Diagnose > Paketaufzeichnungen macht, aber ok. Das Ergebnis war erwartungsgemäß gleich.

Zuerst für meinen Test7: ping von 192.168.252.211 auf 192.168.1.17 (mit Regel in OPT2):

20:49:32.517174 IP 192.168.252.211 > 192.168.1.17: ICMP echo request, id 10569, seq 1, length 64
20:49:33.539135 IP 192.168.252.211 > 192.168.1.17: ICMP echo request, id 10569, seq 2, length 64
20:49:34.563024 IP 192.168.252.211 > 192.168.1.17: ICMP echo request, id 10569, seq 3, length 64

Es fehlt eben das reply.
Dann wieder zum Vergleich an der OPNsense über Schnittstellen > Diagnose > Ping vom Interface LAN ein Ping auf 192.168.1.17 im LAN, ohne vorher irgendetwas zu ändern (mein Test 5):

20:54:12.755950 IP OPNsense.localdomain > 192.168.1.17: ICMP echo request, id 12645, seq 0, length 64
20:54:12.756671 IP 192.168.1.17 > OPNsense.localdomain: ICMP echo reply, id 12645, seq 0, length 64
20:54:13.771409 IP OPNsense.localdomain > 192.168.1.17: ICMP echo request, id 12645, seq 1, length 64
20:54:13.772325 IP 192.168.1.17 > OPNsense.localdomain: ICMP echo reply, id 12645, seq 1, length 64
20:54:14.831416 IP OPNsense.localdomain > 192.168.1.17: ICMP echo request, id 12645, seq 2, length 64
20:54:14.832299 IP 192.168.1.17 > OPNsense.localdomain: ICMP echo reply, id 12645, seq 2, length 64

Jetzt wie gehabt mit reply.

Wie schon erwähnt handelt es sich bei der 192.168.1.17 um einen Windows 10 PC. Im LAN Netz gibt es noch ein NAS, dass auf Linux Basis läuft. Zur Sicherheit habe ich von 192.168.252.211 auf 192.168.1.13 (das NAS) mein ping auch nochmal am LAN Interface der OPNsense aufgezeichnet:

21:31:22.372077 IP 192.168.252.211 > 192.168.1.13: ICMP echo request, id 36480, seq 1, length 64
21:31:23.393749 IP 192.168.252.211 > 192.168.1.13: ICMP echo request, id 36480, seq 2, length 64

Auch hier fehlt das reply.

Beste Grüße,
Frank

Hallo Lignumium,

lies bitte mal meinen aktuellen Thread:
https://forum.opnsense.org/index.php?topic=26411.0

Ich glaube, wir haben da aktuell ein generelles Problem, in das LAN Netzwerk zu routen!

Beste Grüße,

Frank

So Leute, jetzt habe ich mal angeschaut, was am Interface der LAN Maschine 192.168.1.17 passiert, wenn ich an sie ein Ping sende. Da es eine Windows Maschine ist, habe ich hier mal den Microsoft Netzwerk Monitor 3.4 installiert und dann die beiden Tests von oben nochmal gemacht.

Zuerst wieder meinen Test7: ping von 192.168.252.211 auf 192.168.1.17 (mit Regel in OPT2):

17   21:53:01 20.01.2022   6.3335084      192.168.252.211   192.168.1.17   ICMP   ICMP:Echo Request Message, From 192.168.252.211 To 192.168.1.17   {IPv4:1}


Also, der Request kommt an der LAN Maschine an. Es gibt aber kein Reply!
Dann erneut zum Vergleich an der OPNsense über Schnittstellen > Diagnose > Ping vom Interface LAN ein Ping auf dieselbe Maschine 192.168.1.17 im LAN, ohne vorher irgendetwas zu ändern (mein Test 5):

23   21:58:27 20.01.2022   1.1816041      192.168.1.101   192.168.1.17   ICMP   ICMP:Echo Request Message, From 192.168.1.101 To 192.168.1.17   {IPv4:11}
24   21:58:27 20.01.2022   1.1819959      192.168.1.17   192.168.1.101   ICMP   ICMP:Echo Reply Message, From 192.168.1.17 To 192.168.1.101   {IPv4:11}


Hier sehe ich auch ein Reply.

Fazit: Am Interface der LAN Maschine sehe ich das Gleiche, was ich auch am LAN Interface der OPNsense sehe. Der Request kommt immer an der LAN Maschine an. Wenn er jedoch aus dem OPT2 Netz kommt, gibt es kein Reply.

???

So, jetzt habe ich mir mal in OPNsense über Schnittstellen > Diagnose > Paketaufzeichnungen angeschaut, was auf den Interfacen passiert.

Zuerst für meinen Test7: ping von 192.168.252.211 auf 192.168.1.17 (mit Regel in OPT2):

LAN
em0   19:28:46.324343 00:15:17:7a:cb:dd > 90:1b:0e:3e:fd:07, ethertype IPv4 (0x0800), length 98: (tos 0x0, ttl 63, id 9019, offset 0, flags [DF], proto ICMP (1), length 84)
    192.168.252.211 > 192.168.1.17: ICMP echo request, id 58522, seq 1, length 64
    192.168.252.211 > 192.168.1.17: ICMP echo request, id 58522, seq 2, length 64
LAN
em0   19:28:47.331457 00:15:17:7a:cb:dd > 90:1b:0e:3e:fd:07, ethertype IPv4 (0x0800), length 98: (tos 0x0, ttl 63, id 9083, offset 0, flags [DF], proto ICMP (1), length 84)
OPT2
em2   19:28:46.324293 90:1b:0e:49:c6:5b > 00:15:17:7a:cb:df, ethertype IPv4 (0x0800), length 98: (tos 0x0, ttl 64, id 9019, offset 0, flags [DF], proto ICMP (1), length 84)
OPT2
em2   
    192.168.252.211 > 192.168.1.17: ICMP echo request, id 58522, seq 1, length 64
    192.168.252.211 > 192.168.1.17: ICMP echo request, id 58522, seq 2, length 64
OPT2
em2   19:28:47.331407 90:1b:0e:49:c6:5b > 00:15:17:7a:cb:df, ethertype IPv4 (0x0800), length 98: (tos 0x0, ttl 64, id 9083, offset 0, flags [DF], proto ICMP (1), length 84)


Man sieht, dass der Request über beide OPNsense Interface OPT2 und LAN geht, also nicht(!) von der Firewall blockiert wird! Es fehlt jedoch das Reply von der Maschine 192.168.1.17 im LAN. Warum auch immer?
Dann habe ich zum Vergleich an der OPNsense über Schnittstellen > Diagnose > Ping vom Interface LAN ein Ping auf dieselbe Maschine 192.168.1.17 im LAN gemacht, ohne vorher irgendetwas zu ändern (mein Test 5) und siehe da, sie antwortet:

LAN
em0   19:30:49.493892 00:15:17:7a:cb:dd > 90:1b:0e:3e:fd:07, ethertype IPv4 (0x0800), length 98: (tos 0x0, ttl 64, id 15219, offset 0, flags [none], proto ICMP (1), length 84)
    192.168.1.101 > 192.168.1.17: ICMP echo request, id 3125, seq 0, length 64
    192.168.1.17 > 192.168.1.101: ICMP echo reply, id 3125, seq 0, length 64
    192.168.1.101 > 192.168.1.17: ICMP echo request, id 3125, seq 1, length 64
    192.168.1.17 > 192.168.1.101: ICMP echo reply, id 3125, seq 1, length 64
LAN
em0   19:30:49.494721 90:1b:0e:3e:fd:07 > 00:15:17:7a:cb:dd, ethertype IPv4 (0x0800), length 98: (tos 0x0, ttl 128, id 57024, offset 0, flags [none], proto ICMP (1), length 84)
LAN
em0   19:30:50.495341 00:15:17:7a:cb:dd > 90:1b:0e:3e:fd:07, ethertype IPv4 (0x0800), length 98: (tos 0x0, ttl 64, id 35036, offset 0, flags [none], proto ICMP (1), length 84)
LAN
em0   19:30:50.496444 90:1b:0e:3e:fd:07 > 00:15:17:7a:cb:dd, ethertype IPv4 (0x0800), length 98: (tos 0x0, ttl 128, id 57025, offset 0, flags [none], proto ICMP (1), length 84)


Spooky, oder? Und das liegt nicht(!) an der Maschine 192.168.1.17 im LAN. Ich habe das mit einer weiteren Maschine im LAN getestet, gleiches Verhalten! Wie gesagt, das Verhalten war reproduzierbar nach kompletter Neuinstallation von OPNsense auf anderer Hardware! Ja, ok, war schon identische Hardware, aber eben eine andere Maschine. Und, um's nochmal zu erwähnen, als Standardgateway ist natürlich auf der Maschine 192.168.1.17 im LAN die 192.168.1.101 eingetragen.

Hat jemand da draußen eine bessere Idee als ich???

Hi KHE,
Du schreibst: ,,Das ist eigentlich nicht korrekt. Wenn du ohne eine Regel in OPT2 auf einen Rechner in OPT2 eine Antwort mit ping bekommst ist was falsch. Der ping sollte hier die IP 192.168.252.211 zwar erreichen, aber zurück sollte nichts durch die Firewall gehen. Sprich das erwartete Ergebnis ist nok."
Ist das wirklich so? Ich denke für den Rückweg braucht es keine Regel. Das macht die Firewall automatisch.?

Ja, Thema Netzwerkplan: Zum Testen macht man das immer so simpel wie möglich. Die beiden Maschinen in LAN und OPT2 sind jeweils über einen kleinen, nicht konfigurierbaren Switch an OPNsense angeschlossen. Im LAN hatte ich noch ein NAS stehen, welches genau das gleiche Verhalten zeigte, also trotz Regel in OPT2 von dort nicht mit ping erreichbar war, vom LAN Port der OPNsense aber immer.
Ja das ist schon etwas spooky, deshalb hatte ich ja die Eingangsfrage gestellt, ob die OPNsense irgendeinen ungewöhnlichen Mechanismus hat, durch den so etwas entstehen kann? Ich könnte problemlos meine Architektur so umstellen, dass ich das Problem umgehen kann, jetzt interessiert mich die Ursache aber schon. Ich schau mir mal etwas genauer an, was auf den Interfaces passiert. Ich hab nur nicht immer gleich die Zeit dazu.
Ansonsten, ich bin jetzt nicht der absolute Netzwerkprofi, habe aber ein gewisses Grundverständnis für die Dinge. Ich bedanke mich auf jeden Fall für jeden Replay und jeden Tipp und werde weiter hier posten, falls ich zu neuen Erkenntnissen komme!  :)

Für LAN gibt es nur die Default rule:
IPv4 *    LAN Netzwerk    *    *    *    *    *

Und das gleiche jetzt zusätzlich für OPT2:
IPv4 *    OPT2 Netzwerk    *    *    *    *    *

So, jetzt habe ich auf einer neuen Maschine OPNsense 21.7.1 neu installiert und kann das Problem erneut reproduzieren. Ich glaube fast, wir haben einen Bug in dieser OPNsense Version? Vielleicht kann das nochmal jemand reproduzieren?
Nochmal, was habe ich gemacht?
-   OPNsense 21.7.1 installiert
-   Per GUI angemeldet und Interface konfiguriert
o   WAN 192.168.250.101
o   LAN 192.168.1.101
o   OPT1 192.168.251.101
o   OPT2 192.168.252.101
o   OPT3 192.168.253.101
-   Per GUI Grundkonfiguration über System>Assistent
-   Eine Maschine habe ich ins LAN gestellt mit 192.168.1.17
-   Eine Maschine habe ich ins OPT2 gestellt mit 192.168.252.211
-   Test1: ping von 192.168.1.17 auf 192.168.252.211 war ok, korrekt!
-   Test2: ping von 192.168.1.101 auf 192.168.1.17 war ok, korrekt!
-   Test3: ping von 192.168.252.211 auf 192.168.1.101 war nok, korrekt!
-   Test4: ping von 192.168.252.211 auf 192.168.1.17 war nok, korrekt!
-   Firewall>Regeln>OPT2 eine neue Regel, die alle überall hinlässt (gleiche Regel wie Default rule in LAN)
-   Test5: ping von 192.168.1.101 auf 192.168.1.17 war ok, korrekt! (zur Sicherheit)
-   Test6: ping von 192.168.252.211 auf 192.168.1.101 war ok, korrekt!
-   Test7: ping von 192.168.252.211 auf 192.168.1.17 war nok, das ist NICHT(!) korrekt
Anmerkung: ping vom LAN OPNsense Interface habe ich über das GUI Schnittstellen>Diagnose>ping gemacht

Zusammenfassend kann ich das bereits gestern mit anderer Hardware und gleicher OPNsense Version gesehene Verhalten bestätigen. Aus irgendeinem Grund verhindert OPNsense Verkehr von den OPTx Netzen in das LAN.
Schaut es euch an. Hat jemand eine Idee?
Beste Grüße von der Ostsee,
Euer Frank!

Hallo Patrick,
erst mal vielen Dank für die schnellen Antworten! Gut, wenn der Verkehr von OPTx auf LAN funktionieren müsste, ist das ja schon mal gut zu wissen! Hätte ich auch nicht anders erwartet. Ja, ich kann mal mit tcpdump auf das LAN Interface schauen. Vielleicht installiere ich einfach die OPNsense nochmal neu und teste mal, bevor ich ein Backup einspiele mit der Original Installation. Das sollte ja dann eigentlich gehen.
Ich mache das morgen mal und poste was rausgekommen ist. Also, nichts für ungut und nochmals besten Dank!!!
Frank

Hallo superwinni2,

im ersten Moment habe ich gedacht, da könntest du recht haben. Hab gleich die Meschine im LAN überprüft, an die ich immer das ping gesendet habe. War aber korrekt das LAN Interface der OPNsense eingetragen.
Ja, das hätte sein können!