Messages

Hallo!

Die Kinder spielen gerne mal Fortnite, aber da macht man ja den halben Firewall auf. Wie macht ihr das? Ich habe eine Gruppe angelegt und Gruppenregeln eingerichtet, die Fortnite erlauben. Dann aktiviere ich diese Regeln per "alle auswählen" und schalte sie auch wieder ab. Aber das erscheint mir nicht die offizielle Lösung zu sein.

Irgendwelche Vorschläge?

Danach kannst du in deinen anderen VLANs ganz einfach die 10.50.50.1 aufrufen und das wird dann zum neuen OPT Interface zum Proxmox geroutet.

probier ich aus! Das mit dem X war Faulheit....

Code Select Expand


Port1 [x] -> Trunk, dient als Bridge-Port für vmbr0; Hierüber werden PVE, als auch alle anderen VMs und CTs erreicht
Port2 [ ] -> leer
Port3 [x] -> PCI-Passthrough an OPNsense-VM (WAN)
Port4 [x] -> PCI-Passthrough an OPNsense-VM (LAN | Trunk)


Port1 und Port4 sind mit dem selben Switch verbunden.

OK, aber "verbunden" bedeutet doch Kabel, oder? Das ist exakt die selbe Verbindung wie bei mir, nur dass ich keine PCI Passthroughs verwendet habe....

OKay, einen Versuch starte ich noch, dann nehme ich das Kabel.

Ich habe den ProxMox-Port in der OPNsense VM garnicht verbunden, es fehlt schlicht die (virtuelle) Netzwerkkarte in der VM.

Dort ist nur vmbr1 und vmbr2 angegeben (als Proxmox "Netzwerkkarte"), ich schätze es fehlt vmbr0, auf dem die IP für den ProxMox Zugang liegt.

Ich kann die Netzwerkkarte hinzu fügen und OPNsense neu starten. Dort sehe ich jetzt als zusätzliche (zunächst unbenutzte) Schnittstelle vmbr0. Die IP von ProxMox X.X.10.50 liegt im VLAN10, was mache ich denn jetzt? Ein VLAN mit dem Anschluss vmbr0 erstellen? Eine Bridge?

Sorry für die Grundlagenforschung!

Mit Kabel: Ja (über die GUI angesehen)
Ohne Kabel: Nein

Ich glaube hier https://forum.proxmox.com/threads/proxmox-host-nicht-erreichbar-vom-lan.32450/ hat jemand dasselbe Problem, aber mit pfsense. Klingt auf jeden Fall sehr ähnlich.
Zitat von dort "Okay, die default Route ist hier die falsche." (Schreibfehler habe ich mit kopiert)

Das kommt mit option -v

root@OPNsense:~ # tcpdump -i vlan02 host 192.168.10.50 -v
tcpdump: listening on vlan02, link-type EN10MB (Ethernet), capture size 262144 bytes
12:25:57.644170 ARP, Ethernet (len 6), IPv4 (len 4), Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:25:58.305961 ARP, Ethernet (len 6), IPv4 (len 4), Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:25:59.309298 ARP, Ethernet (len 6), IPv4 (len 4), Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:26:00.662310 ARP, Ethernet (len 6), IPv4 (len 4), Request who-has 192.168.10.50 tell 192.168.10.101, length 46

OK, mit dem Schema von dir kam nix..??
Eingabe war tcpdump -i vlan02 port 8006 and host 192.168.10.50

Ich habe folgende Ausgabe raus gekitzelt, kling für mich 100% kryptisch.. Jemand will wissen, wer die IP 192.168.10.50 hat und dieses Wissen an 192.168.10.101 weiter geben?

tcpdump -i vlan02 host 192.168.10.50
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on vlan02, link-type EN10MB (Ethernet), capture size 262144 bytes
12:19:58.147702 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:19:58.818388 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:19:59.820407 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:20:01.207793 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:20:01.809916 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:20:02.811911 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:20:04.218147 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:20:04.822967 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:20:05.820829 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:20:07.225064 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:20:07.825051 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:20:08.811145 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:20:10.181699 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:20:10.813587 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:20:11.815634 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:20:13.508226 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:20:14.324114 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46

Ich habe den Browser auf 192.168.10.101 offen, dann das Kabel raus gemacht und das ist die Ausgabe. Mit Kabel ist die Ausgabe leer, weil der Switch die Pakete offensichtlich direkt routet.

Das hier ist ein ping 192.168.10.50 von 192.168.10.101

root@OPNsense:~ # tcpdump -i vlan02 host 192.168.10.50
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on vlan02, link-type EN10MB (Ethernet), capture size 262144 bytes
12:23:30.570693 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:31.312052 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:32.313743 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:33.378955 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:34.311839 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:35.318950 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:39.140429 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:39.810019 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:40.811515 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:42.245787 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:42.814933 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:43.816446 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:45.185808 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:45.819921 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:46.806290 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:48.201332 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:48.824243 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:49.826336 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:50.822535 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:51.808523 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:52.808502 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:54.263777 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:54.811595 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:55.813268 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:58.571020 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:23:59.318621 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46
12:24:00.319183 ARP, Request who-has 192.168.10.50 tell 192.168.10.101, length 46

OK, ich habe folgendes gemacht:
In ProxMox:
Firewall ja auf Rechenzentrum, Node und VM
Regel angelegt: IN, ACCEPT, TCP (ich gehe davon aus, das jetzt alles offen ist?) auf Rechenzentrum, Node und VM

In OPNsense:
Alle Netze haben "Accept Any", im Moment bauche ich das System ja erst auf, deswegen habe ich alles frei geschaltet. Ich habe diese Regel für LAN (das sollte unnötig sein, da alle Verbindungen VLAN sind) und VLAN10 (wo der Proxmox läuft).

Ergebnis: geht nicht. Ich schätze meine ProxMox Regel sind Stuss..?

Die Beispiel-Regel (https://www.wundertech.net/how-to-configure-the-firewall-on-proxmox/) für die GUI ist
IN, ACCEPT, vmbr2 (Bridge, auf dem LAN physikalisch rein kommt), tcp, Port 8006
Das geht aber auch nicht...

Wie kommt den die Info von eth3 ("Stecker LAN") zu eth0 ("Stecker ProxMox", den ich einsparen will)? Geht das automatisch intern?

Hallo!

Ich habe einen Micro-Computer mit 4x 2.5GBit NICs und darauf Proxmox installiert (16GB/N100). Darauf läuft eine VM mit OPNsense. Physikalisch steckt im Port 1 (eth0) zunächst mal nichts. Im Port 2 (eth1) steckt WAN (in Richtung DSL Modem) und im Port 3 (eth2) steckt LAN (kommt vom zentralen Switch). Dort habe ich 4 VLANS, eine Daisy Chain Verbindung zu einem weiteren Switch (Beide Netgear 308E), DHCP auf allen VLANS, alles soweit OK.

Der Proxmox-Zugang liegt auf eth0 mit der Adresse x.x.10.50 im VLAN 10.

Die Konfiguration ist im angehängten Bild zu sehen (hoffentlich klappt das mit dem screenshot), ist aber rein intuitiv!

Um jetzt auf den Proxmox zu kommen, muss ich ein Kabel von eth0 zum Switch (VLAN10) ziehen. Das kann es doch nicht sein, oder? Wie kann ich das lösen, sodass ich z.B. über eth2 (LAN) auf den proxmox-server komme? Ich habe viel gelesen über Linux-VLAN Bridge etc, meine Versuche waren aber alle erfolglos.

Bitte um Schließung dieser Bildungslücke!

Sorry, unscharfe Bezeichnung von mir. Habe diese Hardware gekauft:
https://www.aliexpress.com/item/1005005668388451.html
mit 4x Intel i225 Chipsatz für die NICs. Das habe ich "Intel NUC" genannt, ist natürlich ein China-Clon. Habe mich etwas im Prozessor vertan und den N100 bestellt, naja, besser zuviel als zuwenig...
Ich habe es (wegen Verzollungsgrenze von 150€) ohne Speicher und SSD bestellt und hier ein Corsair VENGEANCE SODIMM DDR5 RAM 16GB  4800 (50€) + 256GB M.2 SSD von Samsung (20€) dazu bestellt, so dass ich gesamt auf ca. 220€ gekommen bin.

Meine Kinder kaufen Legosets für das Doppelte... Da darf ich das auch mal....

Danke für den Tip! Ich probiere es mal aus, aber mein 4-Port NUC ist schon in Deutschland, ich setze es dann auf der "richtigen" Hardware nochmal komplett auf und da ist der Pferdefuß mit der einen Netzwerkkarte dann hinfällig....

Danke für deine Tips in jedem Fall!

Jetzt klappt es. Problem war wie folgt:

"Blockiere private Netze" in WAN war aktiviert, das habe ich deaktiviert.

Ich hatte nach der Installation das erste VLAN per promt erstellt und wohl beim VLAN20 bei der Eingabe
"Enter the Optional interface 1 name or "a" for auto detection" OPT1 eingegeben statt es leer zu lassen. Ich habe jetzt per GUI VLAN30 und VLAN40 eingegeben, alles läuft wie geschmiert mit NETGEAR 308E..

Ich werde das System jetzt nochmal factory reseten und alles neu aufsetzen, hoffe, dass es dann noch geht ;-)

Passt super, vielen Dank!

OK, der Blocker "private Netzwerke" war im WAN aktiviert. Das habe ich raus geschmissen, jetzt habe ich auch im VLAN20 Internet. Passt, danke.

Dennoch finde ich immer noch seltsam, dass im Netz 192.168.10 ein ping auf .1 geht, im Netz 192.168.20 aber nicht. Ich kann z.B. die OPNsense-Gui im 10er Netz unter .1 erreichen, im 20er Netz aber nicht. Irgend etwas stimmt also noch nicht....

Bei statischen Routing hätte ich keine Ahnung, was ich da eingeben müsste.
Es gibt: Zielnetz (wäre das 192.168.20.1 mit mask 32?)
Subnetz Maske: 32??
Gateway: ??? 192.168.1.109 (das wäre die Adresse von OPNsense vom 192.168.1er Netz?

Muss ich mal nachlesen....

Im Outbound NAT scheint jedes Netz erwähnt zu sein (LAN = VLAN10, und VLAN20) sind drin...

Hallo!

Ich habe die letzten vier Stunden mittels google oder im Forum gesucht und viele viele Postings durchgelesen, aber irgendwie war mein Problem nicht mit dabei, es ist wahrscheinlich einfach, aber ich komme nicht drauf.

Aufbau:
TPLink DSL Router (192.168.1.1) als "Modem" ins WAN
|
| Port 1, VLAN 99
Netgear 308E ("managed")
|
| Port 2: VLAN 10 (untagged)
|
| Port 3: VLAN 20 (untagged)
|
| Port 8: VLAN 1 (trunk, tagged)

Netgear 308e:
vier VLANS:
1 (alle Posts untagged)
10 (2U & 8T) 2 ist untagged, 8 ist tagged
20 (3U & 8T)
99 (1U & 8T)

Zugehörigkeiten:
1 VLAN 99
2 VLAN 10
3 VLAN 20
8 VLAN 1

Im Port 1 steckt ein Kabel zum TPLink Router (WAN Ausgang)
Im Port 2 steckt ein Kabel zum Laptop (testmaschine)
im Port 3 steckt zunächst nicht
im Port 8 steckt ein Thin Client 920er mit OPNsense (fritsch installiert bzw. Factory Reset)4GB Ram, 8GB ssd, 1 NIC (also nicht wie üblich zwischen Switch und WAN)

Zuordnung:
WAN: VLAN99
LAN: VLAN10 (DHCP aktiv, 192.168.10.1, Range .100-.150)
OPT1: VLAN20 (das sollte der Knackpunkt sein) DHCP aktiv 192.168.20.1, Range .100-.150

Firewall Regeln:
any für alle VLAN Netze (10,20)

NAT:
keine Änderungen

Jetzt das Problem:
Gesteckt wie oben (Laptop in Port 2 VLAN10) alles super: IP 192.168.10.100, Internet vom Laptop geht, Ping geht, Tracert geht, Ping auf .1 geht

Jetzt wird umgesteckt, Laptop is port 3 (VLAN20):
- Laptop bekommt die IP 192.168.20.100 (ok)
- Ping geht auf 8.8.8.8 (langsam 2-6sek pro Hop) zumindest bis außerhalb meines Netzes, dann breche ich ab
- tracert geht auf 8.8.8.8 (langsam)  zumindest bis außerhalb meines Netzes, dann breche ich ab
- Ping auf 192.168.20.1 geht nicht (!)
- Kein Internet (über Browser)

Kochrezept ist:
https://blogoverflow.de/index.php?option=com_content&view=article&id=57:opnsense-installation-auf-einem-single-nic-device-mit-vlans&catid=14&Itemid=102

Hat jemand eine Idee? Fehlen noch infos?