Messages

Onderstaande Melding Kreeg ik ik heb uitgevoerd en opgelost

export naar excel en dan weer inladen en remove all legacy rules


    Firewall: Migration assistant

    Firewall rules


    To switch from the legacy rules to the new rules interface, a migration is needed.
    As this can be a risky operation, manual intervention is required.

    This module assists you in moving your rules to the new application and offers pointers to
    various components available to guide you through the process.

    When using a ZFS based setup, you can use snapshots to revert back to the old situation when accidents happen.
    The other option is to use configuration history to undo changes or backup your configuration [1].

    To prevent being locked out during the process, do not disable the anti-lockout rule and access the machine
    via your LAN interface [2].

    With all preparations in place, we can export the rules into a format our new rules interface understands [3].

    {tip} Use a tool like Microsoft Excel to inspect and modify rules in the CSV file before importing them or when certain validations fail.

    Now we can import the existing rules into the new user interface [4].

    After validating the rules are as expected, you can remove all legacy rules via [5] which forwards you to the new rules page after completion.

       

Onderstaande Melding Kreeg ik ik heb uitgevoerd

export naar excel en dan weer inladen en remove all legacy rules


    Firewall: Migration assistant

    Firewall rules


    To switch from the legacy rules to the new rules interface, a migration is needed.
    As this can be a risky operation, manual intervention is required.

    This module assists you in moving your rules to the new application and offers pointers to
    various components available to guide you through the process.

    When using a ZFS based setup, you can use snapshots to revert back to the old situation when accidents happen.
    The other option is to use configuration history to undo changes or backup your configuration [1].

    To prevent being locked out during the process, do not disable the anti-lockout rule and access the machine
    via your LAN interface [2].

    With all preparations in place, we can export the rules into a format our new rules interface understands [3].

    {tip} Use a tool like Microsoft Excel to inspect and modify rules in the CSV file before importing them or when certain validations fail.

    Now we can import the existing rules into the new user interface [4].

    After validating the rules are as expected, you can remove all legacy rules via [5] which forwards you to the new rules page after completion.

       

Beste OPNsense-gebruikers,

Vandaag heb ik mijn OPNsense-firewall bijgewerkt naar versie 26.7.3_8.

Sinds deze update kan ik mijn bestaande firewallregels niet meer aanpassen. De optie om een bestaande regel te bewerken/wijzigen is in de webinterface niet meer zichtbaar.

De bestaande firewallregels worden nog wel gewoon weergegeven, maar ik kan deze niet openen om bijvoorbeeld instellingen of vinkjes binnen de regel aan te passen.

Voor de update werkte dit zonder problemen.

Zijn er meer gebruikers die dit probleem ervaren na de update naar OPNsense 26.7.3_8? Is dit mogelijk een bekende bug in deze versie?

Alvast bedankt voor jullie hulp en reacties.

Hier is een duidelijke richting waar je moet zoeken — jouw laatste zin *"heb geen firewall actief op je proxmox server / het zou kunnen zijn dat proxmox firewall alles tegenhoudt"* is **heel waarschijnlijk correct**.

Onderstaande punten lopen precies door *waar* het misgaat bij OPNsense-in-Proxmox setups zoals jij beschrijft.

---

# ✅ Waar het waarschijnlijk misgaat

## **1. Proxmox firewall blokkeert je WAN-bridge**

Dit is **veruit de meest voorkomende oorzaak**:
Zelfs als je denkt dat de Proxmox firewall "uit staat", kan deze nog geactiveerd zijn op:

* **Datacenter level**
* **Node level**
* **VM level**
* **Bridge level (vmbrX)**

➡️ Als *één* van die vier firewalls actief is, blokkeert Proxmox standaard **alle inkomende en uitgaande traffic** behalve wat expliciet is toegestaan.
Dit zorgt ervoor dat jouw WAN-interface wel een DHCP-IP krijgt, maar **geen ICMP/everything else** kan ontvangen.

### ✔ Controleer dit:

Ga in Proxmox GUI naar:

### **Datacenter → Firewall → Options → Firewall**

➡️ **Uit** zetten.

### **Node (pve) → Firewall → Options → Firewall**

➡️ **Uit** zetten.

### **Dat VM → Firewall → Options → Firewall**

➡️ **Uit** zetten.

### **Check ook de bridges:**

In `/etc/network/interfaces` zie je soms regels als:

```
bridge-firewall on
```

➡️ Maak die **off**

```
bridge-firewall off
```

Herstart networking:

```
systemctl restart networking
```

---

# ✅ 2. WAN interface heeft geen promiscuous mode / MAC filtering

Sommige Ziggo modems in bridge mode accepteren maar **1 MAC-adres**.
Proxmox moet dan **promiscuous mode** toestaan.

Ga in Proxmox → jouw VM → Hardware → Network Device.

Stel in:

* **Model:** VirtIO (of e1000 voor test)
* **Bridge:** vmbrX (WAN)
* **VLAN Tag:** (NIET invullen, WAN moet "untagged")
* **Firewall:** uit
* **MAC filter / learning:** op **all=1**

En op vmbrX zelf (in `/etc/network/interfaces`):

```
bridge-ports enpXsY
bridge-stp off
bridge-fd 0
bridge-maxwait 0
bridge-learning off
bridge-arp-nd-suppress off
```

---

# ✅ 3. Double-check Ziggo modem behavior

Ziggo in bridge mode geeft **exact 1 WAN-IP** uit via DHCP.
Als je OPNsense herstart terwijl de VM-MAC verandert → Ziggo weigert verkeer tot de modem wordt gereboot.

➡️ **Dus: reboot Ziggo modem** nadat je OPNsense VM gereconfigureerd hebt.

---

# ✅ 4. OPNsense firewall zelf

Je zei dat hij "zo open is als maar kan" — maar voor WAN werkt dat niet zo:

* Een *outbound* ping vanaf de WAN interface hoort te werken zonder extra rules
* Een ping **naar** het WAN IP werkt niet tenzij je dat expliciet toestaat

Maar jouw probleem is:

> ICMP gaat eruit, maar er komt GEEN reply terug
> → 99% zeker **Proxmox firewall of MAC filtering / bridge config**.

---

# 🧪 Test of dit het probleem is

In Proxmox shell:

```
iptables -L -n
iptables -t filter -L -n
```

Als je tabellen ziet met REJECT of DROP op vmbrX → firewall actief.

Ook:

```
cat /proc/net/bridge/bridge-nf-call-iptables
cat /proc/net/bridge/bridge-nf-call-ip6tables
```

Als deze **1** zijn → brug loopt door firewall → moet **0** zijn.

---

Ik ondervind een probleem met OPNsense 25.7.8-amd64: DNS-resolutie werkt niet op bepaalde VLANs.

De clients kunnen wel pingen naar het internet.

Clients krijgen correct hun IP-adres en DNS-server toegewezen via ISC DHCPv4.

Een nmap-scan laat zien dat poort 53 open staat.

Ik heb drie VLANs aangemaakt: VLAN 50, 60 en 70. VLAN 50 werkt correct, maar VLAN 60 en 70 kunnen geen DNS-resolutie uitvoeren.

Unbound DNS is geconfigureerd en alle interfaces zijn actief.

Heeft iemand een idee wat er mis kan zijn met de DNS-resolutie op VLAN 60 en 70?