Messages

1

German - Deutsch / Re: HAProxy WAF Module

« on: September 18, 2019, 08:41:46 pm »

Danke für dein Feedback.
Schade das aus Stabilitätsgründen das einschränken der IP's auf welche Nginx hören soll nicht implementiert ist.
Ist geplant, dass dies in naher Zukunft in den Code mit aufgenommen wird?

Nein, hab ich nicht vor.

Finde aktuell generell das Nginx Plugin sehr unstabil und grösstenteils lässt es sich gar nicht starten ohne Reboot.
Da fehlen mir irgendwelche Error Meldungen...

Wieso? Viele sind schon am Klicken des richtigen Reload-Buttons gescheitert (der kleine unten rechts).
Was funktioniert nicht?

Finde das HAProxy aktuell um Welten besser, wenn eine WAF Funktion noch integriert wäre, dann 1A

Wird es vermutlich niemals geben, da WAF nicht im Scope von HAProxy ist. Das ist ein purer LB.

2

German - Deutsch / Re: HAProxy WAF Module

« on: September 17, 2019, 06:34:17 pm »

Folgende Anforderungen habe ich:
- SSL Zertifikat via Let's Encrypt Modul
- URL Weiterleitung zum Beispiel x.x.com/a soll intern weitergeleitet werden auf /b.html ohne das die URL im Browser sich verändert
- Multi WAN IP ansprechen (Virtual IP's)

Das nginx plugin arbeitet bez. ACME genau gleich wie HAProxy. Da musst du nichts ändern. Im Server muss die entsprechende Checkbox angekreuzt sein.
URL-Rewriting sollte gehen zumindest im Server.
Multi-Wan sollte nicht relevant sein - siehe unten.

Aktuell ist es so, dass das HAProxy Setup super funktioniert ausser die WAF Funktion fehlt.
Welchen Weg empfehlst du einzuschlagen oder welche Erfahrungen hast du schon gesammelt in diesem Bereich?

Wenn du kein spezielles Load Balancing brauchst, reicht nginx vermutlich auch.

Ist es überhaupt möglich, verschiedene IP's im Nginx Modul zu hinterlegen (als Listen Adresse)?

Lasse ich aus Stabiliätsgründen nicht zu. Nginx hört immer auf alle IP-Adressen.

3

19.7 Production Series / Re: HAProxy and Let's Encrypt stopped working when I switched to Production (LE)

« on: September 17, 2019, 06:18:57 pm »

Just look at the config commands - they should contain most information how things are invoked.

4

19.7 Production Series / Re: HAProxy and Let's Encrypt stopped working when I switched to Production (LE)

« on: September 16, 2019, 08:08:35 pm »

The problem is in the acme plugin so switching the reverse proxy will not help. You can try to run the acme commands directly on CLI to generate a valid cert.

5

German - Deutsch / Re: Squid Proxy hängt sich auf

« on: September 16, 2019, 06:24:16 pm »

Der TLS-Fehler sollte nur auftreten, wenn das Serverzertifikat ungültig ist (zum Beispiel abgelaufen).

6

Development and Code Review / Re: Compiling using GCC

« on: September 14, 2019, 12:37:37 pm »

If it works, then just set CC and CXX to the gcc compilers but is there a reason for that?

7

German - Deutsch / Re: AirPrint zwischen zwei VLANS

« on: September 14, 2019, 06:46:00 am »

Da ich noch nie ein Update für das Plugin gemacht habe, kann es dann nur eine Änderung im Core oder Port sein.

8

General Discussion / Re: Firefox directs by default DoH queries to Cloudflare

« on: September 11, 2019, 10:53:01 pm »

DoH may break internal hostname resolutions and DNS based adblocking. Everything else should not be impacted.

You can use other providers as well but cloud flare is the default.

Encrypted DNS (DoT and DoH) together with TLS 1.3 (ESNI) will be very likely a powerful privacy protection mechanism.

9

German - Deutsch / Re: Wie soll ich mit CGN (Carrier-Grade NAT [RFC6598]) umgehen?

« on: September 11, 2019, 08:39:21 pm »

Bei der OPNsense hatte ich bisher IPv6 weitestgehend deaktiviert, kann das aber natürlich auch wieder aktivieren wenn es Sinn macht.

Ja, solltest du.

Was genau soll ich denn machen bzw. prüfen, wenn ich nicht diese "exposed host"-IPv4-Krücke nutzen soll?

Gar nix. Wenn du IPv6 richtig einrichtest, hat jedes Gerät eine öffentliche IP und ist daher direkt aus dem Internet ansprechbar (vorausgesetzt keine Firewall blockiert das).
Exposed / DMZ Host bedeutet, dass ein NAT-Gerät für IPv4 alles was es nicht kennt, über ein Destination-IP-Rewriting an einen anderen Host weiterleitet. Da du bei IPv6 aber nicht mehr mit der IP-Adresse des Routers kommunizierst sondern direkt mit dem Host, kannst du dir den unnötigen Zwischenschritt sparen. Dein Router macht also das, wozu er da ist -> Pakete von einem IP-Netz ins nächste weiterleiten.

10

German - Deutsch / Re: Wie soll ich mit CGN (Carrier-Grade NAT [RFC6598]) umgehen?

« on: September 11, 2019, 07:59:54 pm »

Zwar hatte ich bei Vertragsabschluss sogar schriftlich darauf hingewiesen, dass ich eine echte IPv4-Adresse benötige, also nicht in ein CGN gesteckt werden möchte – das wurde aber einfach ignoriert. Und jetzt redet man sich damit heraus, dass IPv4-Adressen grundsätzlich nicht mehr herausgegeben werden bei diesen neuen Verträgen.

Lange Rede kurzer Sinn: Was kann ich tun?

Wenn es in den Vertrag mit eingeflossen ist im worst case einen Juristen bemühen und die nicht gelieferten Leistungen einklagen.

Wahrscheinlich ist IPv6 dann die beste Option? Der Anschluss liefert tatsächlich auch eine IPv6-Adresse, nur kenne ich mich damit überhaupt nicht aus bisher.

In der Fritzbox (eine 6591) wird mir die aktuelle IPv6-Adresse und auch das IPv6-Präfix angezeigt.

Bei der IPv6-Adresse und beim IPv6-Präfix steht dann noch zusätzlich "Gültigkeit: 1206473/601673s". Was genau heißt das für mich? Ändert sich die IPv6 also auch ab und an (wie ja sonst auch die IPv4)?

Ja, kann man dynamisch vergeben.

Und könnte ich meinem DynDNS-Dienst eventuell diese IPv6-Adresse "beibringen"?

Nein, da das die falsche IP adresse sein wird. Alle Geräte werden ihre eigene IP-Adresse haben. Das heißt die brauchen auch eigene Hostnamen und müsen das DynDNS daher selber machen. Eine Ausnahme währe, wenn du ein NAT66 hast oder einen Proxy Server verwendest.

Meine OPNsense läuft als "exposed host" hinter der Fritzbox, sämtliche Netzwerkgeräte gehen auch nur über diese OPNsense online.

Vielen Dank im Voraus für Eure Unterstützung.

Das ist eine IPv4-Krücke. Ist für IPv6 NICHT notwendig. Checke einfach die FW-Regeln ob die FritzBox von außen rein lässt.

11

19.7 Production Series / Re: OpenVPN curious login behaviour

« on: September 09, 2019, 05:31:46 pm »

Usually not. The config should be the same for all users except if you have some special overrides.

12

19.7 Production Series / Re: Run OPNsense as router and firewall at the same time

« on: September 07, 2019, 08:13:15 am »

You will also need rules for the response packets as well but then it should work (There are still some default rules).

13

19.7 Production Series / Re: Protect Postfix/IMAP

« on: September 06, 2019, 12:25:03 pm »

nginx can inspect mail protocols (the plugin has it currently not implemented but it exists) and you have the option to use the postfix plugin for (E)SMTP which rspamd as milter, which should as well avoid some spam.

14

German - Deutsch / Re: Seiten mit haproxy und ohne haproxy möglich?

« on: September 06, 2019, 11:57:47 am »

Müsste ich überlegen ob die Richtung nat -> filter oder filter -> nat ist. Kannst du nicht auch bei der DNAT Regel eine automatische Filterregel erzeugen lassen?

15

German - Deutsch / Re: Seiten mit haproxy und ohne haproxy möglich?

« on: September 05, 2019, 11:06:20 pm »

Mit dem Frontend.