Topics

Hey,

Since the update to 24.7.5 I get a notification from Monit every 2-3 days that the resource limit has been reached. (mem usage > 90%)
After a restart I am back to the usual ~10%.

For your information: I use ZFS as file system, but the ARC cache remains in the usual range.

What is the best way to check what is causing this significant RAM increase?

Hallo,

ich habe auf meiner OPNsense schon seit einiger Zeit WireGuard erfolgreich laufen.
Habe bis dato immer ein Android Smartphone verwendet und bin nun auf ein iPhone umgestiegen.

Dazu habe ich die Konfigurationen von meinem Android Gerät auf dem iPhone übernommen.

Nun ist mir aufgefallen, dass ich zwar normal ins Internet komme, aber nicht mehr in mein Heimnetzwerk.
Interessanterweise tritt dies nur bei einem speziellen WLAN auf. Habe ein anderes WLAN getestet, da funktioniert es. Auch im mobilen Netzwerk funktioniert es reibungslos.

Ping möglich - iPhone 10.0.3.2 -> WG0 10.0.3.1
Ping nicht möglich - iPhone 10.0.3.2 -> Server 192.168.200.8 (Von meinem Android Smartphone möglich)

Hat jemand eine Idee an was das liegen könnte?

Im Anhang die Log-Datei des iPhone.

#################

     WAN / Internet
            :
            : PPPoE
            :
      .-----+-----.
      |  Gateway  |  (or Router, CableModem, whatever)
      '-----+-----'
            |
        WAN | IP or Protocol
            |
      .-----+------.   WG0             .------------.
      |  OPNsense  +-----------------+ (Clients/Servers) |
      '-----+------'   10.0.3.1/24   '------------'
            |
        LAN | 192.168.200.1/24
            |
      .-----+------.
      | LAN-Switch |
      '-----+------'
            |
    ...-----+------... (Clients/Servers)

Hallo,

ich habe bis dato mein AdGuard auf einem eigenen Gerät in meinem Netzwerk laufen lassen.
Nun habe ich mich dazu entschlossen AdGuard auf meine OPNSense umzusiedeln.

Code Select Expand


      WAN / Internet
            :
            : PPPoE-/Provider
            :
      .-----+-----.
      |  Gateway  |  (or Router, CableModem, whatever)
      '-----+-----'
            |
        WAN / IP
            |
      .-----+------.   Wireguard.    .------------.
      |  OPNsense  +-----------------+ OPNSense-Wireguard
      '-----+------'   10.0.3.0/24   '------------'
            |
        LAN | 192.168.200.1/24
            |
      .-----+------.
      | LAN-Switch |
      '-----+------'
            |
    ...-----+------... (Clients/Servers)


AdGuard habe ich mittels folgendem Guide installiert.

Code Select Expand

https://forum.opnsense.org/index.php?topic=22162.0

Die DNS Auflösung im LAN Netzwerk läuft problemlos.

Leider funktioniert nun die DNS Auflösung via WireGuard nicht mehr.
Ich habe bei meinen Clients den DNS Server von 192.168.200.30 auf 192.168.200.1 geändert. (Ist im gleichen Netzwerk, sollte also daher kein Problem sein)

Folgende Dinge habe ich auch bereits geprüft:

Problem solved.      Configuration in Opnsense:

1 - VPN - Wireguard - Local:

Tunnel Adress 10.0.0.1/24    ( example )

Dns Server: EMPTY

2 - Firewall - Rules - WG:  Add rule:

Action: Pass         tcp: ipv4       Protocol: any       Source: WG net        Destination:  any

3 - Firewall - Rules - Wireguard: Add rule:

Action: Pass         tcp: ipv4       Protocol: any       Source: WireGuard net        Destination:  any

4 - Smartphone client wireguard:

Edit configuration: DNS servers: 10.0.0.1 (example)

Fehlt mir hier vielleicht irgendwo eine Firewall Regel?

Interessanterweise kommen die Anfragen in AdGuard an, aber werden nicht aufgelöst.
Als DNS Server in AdGuard habe ich 192.168.200.1:5353 (lokales Unbound) definiert.
Die Anfragen der OPNSense selbst und im LAN werden normal aufgelöst.

In Unbound habe ich auch die ACL bearbeitet.
Internal Allow 10.0.3.0/24

WireGuard local 10.0.3.0/24
WireGuard Endpoint 10.0.3.2/32; 10.0.3.3/32

Hallo,

ich habe sowohl unter "System/Settings/General", als auch unter "Services/DHCPv4/[LAN]" meine beiden internen DNS Server eingetragen.

- 192.168.200.30     -> AdGuard Haupt DNS Server
- 192.168.200.1       -> OPNsense Unbound Ausfall DNS Server

Ich möchte, dass normalerweise nur 192.168.200.30 angesprochen wird.
192.168.200.1 soll erst benutzt werden, wenn 192.168.200.30 nicht verfügbar ist.
Aktuell werden beide gleichzeitig bzw. abwechselnd benutzt.

Kann dies irgendwie eingestellt werden?

Hallo,
ist es möglich wenn ein Update ansteht, dass man eine Benachrichtigung vom System erhält?
Eventuell vielleicht sogar über Monit?

Hallo,

ich habe eine Portweiterleitung von 80 und 443 auf meinen Server vorgenommen.
Das funktioniert auch wunderbar.

Des Weiteren habe ich zusätzlich eine Einschränkung via GeoIP gemacht.
Er soll nur IP's aus AT+DE zulassen. Dafür habe ich einen Alias angelegt.

Außerdem habe ich einen Alias für lokale Netzwerke angelegt. (192.168.0.0/16 + 10.0.0.0/8)
Ist notwendig, damit Zugriffe auch aus meinem LAN möglich sind.

Diese beiden Aliase habe ich in einem weiteren Alias zusammengefasst. (Allowed_IP's)

Den zusammengefassten Alias habe ich dann als Advanced Source bei der Regel der NAT Portweiterleitung hinterlegt.

Kann dies zu einem Sicherheitsrisiko kommen?
Bzw. ist das so richtig eingestellt?
Denn zuvor sind lokale Netzwerke in den automatisch erstellten Regeln im WAN Interface geblockt? (Sieht Screenshot)