Messages

Yes, I can see the Connection in the Live Session.

But how can I fix my problem?

By chance, I noticed that he hadn't created a certificate.
Now I've restarted OPNsense, and now, everything is working.

Mmh, I don't know where I can set a host header.

The Clients are using the OPNsense as DNS.
How can I see that the Traffic go's through the Zenarmor Plugin?

Hello,
I want to use the Caddy Plugin on the OPNsense to redirect a custom URL to SharePoint Online URL.
A CNAME doesn't work for Sharepoint, I need a htaccess Redirection 301
For example intranet.domain-name.de to https://domainnamede.sharepoint.com
It doesn't work, no matter what settings I try.
Reverse Proxy or Redir.

For Internal-Service it works.
for Excample https://salesapp.domain-name.de to http://192.168.12.33:80

Do you have any advice for me?

Best Regards
Arthur

Hello together,
I use the NGFW Plugin Zenarmor on OPNsense.
I duplicate the default Police and create a own Police:

Securtiy:
Malware/Virus
Pishing
Hacking

Advanced Security
Recent Malware/Phishing/Virus Outbreaks
Botnet
Compromised Website
Spyware and Adware
Keyloggers and Monitoring

And Web Controls:
Block TLS Encrypted Client HELLO (ECH)

I get on many sites the Browser Error Message "Secure Connection Failed"
In the Live Session Log I can see the Block in the App category "Secure Web Browser" or "Malware/Virus"
I don't get the Error Block Message from the Zenarmor Plugin.

Example sites:
https://www.ikkaro.net/
https://linuxvox.com/
https://nmap.org/

I have two problems:
Why I don't get the right Zenarmor Error Message?
If I browse to sex.de, then I geht the Zenarmor Error Block Message by Category Pornography

Why are so many blocks from the IP 188.144.96.3 or 188.144.97.3?

Best regards
Arhtur


 

Ich sags mal so, nichts ist zu 100% sicher, aber ich denke schon, das viele kleine Dinge im gesamten helfen.
Das mit den Blocklisten kannte ich noch gar nicht, werde ich auf jeden Fall auch einbauen.

Ist wird ja immer schwieriger irgendwelche Dienste sicher zu betreiben.

Was jetzt natürlich noch interessant wäre, ist das Logging vom Traffic und vielleicht ein Drop und Alert, wenn eine bestimmte Schwelle überschritten wird.

Vielen Dank für eure Rückmeldungen.
Nein, ich hab keine Abneigung von intern die WAN IP anzusprechen, es bisher nicht funktioniert bzw. bei der 3CX wurde immer empfohlen das über Unbound DNS zu lösen.

Also mit dem Caddy kann man kein Verbindungslimit einrichten, mmh, mal schauen ob das interessant ist oder nicht.

Hab ich sonst noch sinnvolle Möglichkeiten die System mit der OPNsense abzusichern?
Wollte auch noch GeoIP Blocking einrichten, aber mehr fällt mir persönlich nicht ein.

Ich hab in einer Umgebung mal den Caddy als Plugin in der OPNsensen gesehen und mir kurz gezeigt wie einfach er eingerichtet werden kann.
Und das mit den Zertfikaten ist ja super und macht die Sache auch einfacher.
Wenn man jetzt noch bestimmte URLs sperren kann, dann denke ich sollte er auch das machen was ein HAProxy kann, hoffe ich zumindest.
Damit meine ich z.B. wie bei Wordpress, dasn /wp-admin nicht von außen aufrufbar ist.

Aber wenn der HAProxy sich Sache sicherer macht, dann muss ich mich damit mal beschäftigen.

Was ich noch nicht weiß, ist wie ich in der OPNsense einstelle, dass der Zugriff auf interne Ressourcen den selben Weg geht, als wenn der Zugriff von Außen kommt.
Also zumindest, wenn ich z.B. andere Ports verwende, z.B. statt 443 dann 1443.

Vielen Dank für die Rückmeldungen.

Also es ist außer Frage, das der Zugriff über VPN der sicherste Weg ist.

Mir ging es darum ob die verschiedenen VLans das ganze Konstrukt sicherer macht.

Also, es gibt zwei Proxmox Hosts im Cluster und darauf laufen mehrere Server, Docker Container.

Der Reverse Proxy soll einfach auch noch eine zusätzliche Sicherheit bieten und er könnte auf Grund der nur einen vorhanden externen IP-Adresse eventuell auch noch das Routing übernehmen.

Ist der HAProxy besser als der Caddy?
Sollte ich mir diesen mal anschauen?

Klar, am besten wäre es, wenn der Zugriff von intern und extern vollständig identisch ist, also gleiche externe URL und Port.

Ach so, noch ein Hinweis:
alle Server / Dienste laufen auf einem Proxmox Host

Hi at all,
I also want to update to specific version.
Because sometimes there are problems if you not install update for update.
Is is possible to install a specific version?
Regards Arthur

Hallo Zusammen,
bisher ist nur die 3CX direkt von außen, übers Internet, erreichbar.
Alle anderen Dienste sind nur über VPN zugänglich.
Jetzt stehen aber ein paar Umstellungen an und es gibt Überlegungen verschiedene Dienste direkt online verfügbar zu machen.
Es gibt eine öffentliche externe IP-Adresse.

Jetzt zum möglichen Szenario:
Auf der OPNsense den Caddy installieren, als reverse Proxy für den Zugriff auf die Nextcloud und eventuell weitere Dienste einrichten.
Für jeden Dienst ein eigenes Vlan anlegen, eins für die Telefonie (bereits vorhanden), eins für die Nextcloud, Mailcow, usw.

Macht das Sinn?
Und noch viel wichtiger, ist es dann überhaupt sicherer?
Was meint ihr?

Viele Grüße
Arthur

Thanks for the replies.

I need two Gateway.
1. for the Clients and Servers and so
2. for the 3CX PBX and Phones

I also need incoming Firewall Rules for the 3CX.
Is that a problem?

Hello,
I need on the Lan Interface (igb1) in VLan1 two IP Addresses.
Both IPs I need as Gateway IP for Clients and Phone.
I can not work with different VLans because there is a chaotic network.
Can I use a Virtual IP for the second IP Address?

Best regards
Arthur