Topics

1

German - Deutsch / FW Livelog - Kein Logging der Redirect FW-Regeln bei IPv4

« on: August 13, 2021, 08:58:56 am »

Moin zusammen,

ich habe NAT Portweiterleitungen für IPv4 und IPv6 eingerichtet, welche externe DNS Anfragen an die OPNsense/ DNScryptProxy umleiten.

Sowohl für die Port-Forward Regeln, als auch für die zugehörigen Firewall-Regeln habe ich das Logging aktiviert.
Die Port-Forwards werden sowohl für v4 als auch für v6 geloggt, die Firewall-Regeln hingegen werden nur für v6 geloggt, nicht aber für v4. Die Weiterleitung unter v4 funktioniert einwandfrei und DNScryptProxy beantwortet die Anfragen entsprechend.

Ich kann mir das Verhalten nicht erklären, übersehe ich hier etwas oder handelt es sich um einen Bug?

Gruß

2

German - Deutsch / Firewall blockt vermehrt LAN to WAN Pakete - Wo ist der Fehler?

« on: May 26, 2020, 03:53:51 pm »

Moin zusammen,

bevor es zur Sache geht so wie ich es vor Jahren mal gelernt habe kurz einmal zu mir:
Ich nutze opnsense seit vergangenem Jahr für mein Heimnetz, insbesondere wegen des OVPN Servers und WAN Failover. Bei der Einrichtung und sonstigen Problemen habe ich mich immer hauptsächlich durch die Docs und Forenbeiträge geschummelt oder gemäß Try and Error ausprobiert... demnach hält sich meine Erfahrung mit der gesamten Materie etwas in Grenzen, außerdem bin ich GUI-Liebhaber der nur hobbymäßig Bezug zur IT hat

Beim Wechsel zu einem neuen ISP (Deutsche Glasfaser) im verganenen Monat habe ich auch meine Hardware gewechselt (Terra/ Wortmann RC100 G3) und opnsense 20.1.7 entsprechend neu aufgesetzt.
Mein ISP liefert mir CGNAT und natives v6, opnsense hängt direkt am Modem, alles läuft soweit einwandfrei.

Was mir auffällt sind jedoch Einträge in der FW-log auf die ich mir keinen Reim bilden kann, wobei igb0 und 10.13.12.0/24 mein LAN ist.

Code: [Select]

filterlog: 16,,,0,igb0,match,block,in,4,0x0,,64,34390,0,DF,6,tcp,76,10.13.12.60,172.217.16.138,46232,443,24,FPA,2298045867:2298045891,3739770163,376,,nop;nop;TS
Das gleiche tritt auch auf IPv6 und von unterschiedlichen Clients auf...
Wie kann es sein, dass hier Pakete geblockt werden, die vom LAN ins WAN gehen, obwohl eine default allow LAN to any Regel besteht?

Einschränkungen merke ich wie gesagt nicht, die Einträge sind nur ziemlich lästig und bereiten mir die Sorge, dass irgendwo doch der Wurm drin ist...

Sollten noch Infos benötigt werden stelle ich diese natürlich gern zur Verfügung, ich will jetzt nur nicht mit redundanten Infos um mich werfen...

Gruß