Topics

Hi zusammen,

habe bereits mehrere Varianten gesehen um für die jeweiligen Interfaces eine "erlaube alles außer private IP-Adressen"-Regel zu erstellen.

Nur eine Allow-Regel mit invertiertem RFC1918-Destination-Alias zu erstellen würde doch nur IPV4-Verbindungen blocken, oder?

Ich habe aktuell eine IPv4+IPv6-Regel mit invertiertem Destination-Alias, das alle meine Networks enthält, also z. B. __lan_network, __opt1_network_, ___opt2_network, usw. (WAN- und Loop-Interface müssen hier nicht rein, oder?).

Die einzige Gefahr, die ich darin sehe ist, dass sich die Rule nicht bei einem neu hinzukommenden Interface automatisch aktualisiert. Gibt es auch Lösungen die absolut failsafe sind?

Danke :-D

Hallo,

ich habe inzwischen mein OPNSense zufriedenstellend aufgesetzt und kümmere mich nun um die Trennung meiner VLANs.

Ich möchte meine gesamten Amazon-Geräte (Echos und Fire-TV-Sticks) ins IoT-VLAN packen, allerdings soll weiterhin ein Streaming von User- und Guest-VLAN möglich sein.

Ich habe das mDNS-Repeater-Plugin bereits installiert und alle 3 VLANs eingestellt und testweise alle Verbindungen aus dem User-VLAN auf den Fire-TV-Stick erlaubt (protocols: any, ports: any).

Folgendes funktioniert:
Starte ich die Youtube-App auf dem Stick, wird der Fire-TV-Stick auf dem Smartphone in der Youtube App angezeigt und das Streaming ist möglich. Vorher, im gleichen VLAN, musste ich die App auf dem Fernseher gar nicht starten, aber damit könnte ich leben.

Allerdings funktionieren sonst keine Streaming-Dienste. Prime Video findet den Fire-TV-Stick, zeigt mir nach Auswahl des Sticks sogar an, dass das Streaming auf dem Fernseher/Stick läuft, dem ist aber nicht so.

Ich habe testweise in der Firewall auch alle Verbindungen vom Stick zum User-VLAN zugelassen, das brachte aber keine Abhilfe.

Gibt's hier einen Trick? wäre ein externer Avahi-Server besser als der mDNS-Repeater oder brauche ich noch irgendetwas anderes?

Moin,

stehe vor folgender Herausforderung:

Mein gesamtes System läuft nun zufriedenstellend und ist folgendermaßen aufgebaut:

- OPNsense-Router (nur ein LAN-Port) (Trunk Port 1)
- Proxmox Server (Trunk Port 5)
- TP-Link SG2008P Switch
- Telekom DSL Modem (Port 2 - Tagged VLAN 1+7)

Im Proxmox werden die VLANs den jeweiligen VMs/LXCs zugeordnet.

Nun habe ich mir dort einen Omada Controller installiert und möchte den bereits eingerichteten Switch adoptieren. Leider wird sich dieser beim adoptieren ja zurücksetzen, womit ich dann auch keinen Zugriff mehr auf das Management-Vlan des Controllers haben werde.

Gibt es irgendeinen Trick (außer einen zweiten Switch zu verwenden)?

Hätte überlegt, übergangsweise alle anderen VMs herunterzufahren und Proxmox ein untagged VLAN1 zuzuweisen, auf welchem dann ja auch der Controller liegt. Anschließend den switch adoptieren, der dann ja auch standardmäßig auf VLAN1 liegen sollte und anschließend die Konfiguration der VLANs wieder vorzunehmen, inkl. Management VLAN.

Aber vielleicht geht's auch einfacher?

Danke :)

Hi,

habe OPNSense mit einem DSL-Modem am laufen. Bisher hat eigentlich alles gut geklappt, allerdings wechselt mein Windows-PC ständig den DNS, was zu fehlerhafter oder langsamer Hostnamenauflösung intern führt. Ich denke das Problem betrifft alle IPv6-fähigen Geräte.

nslookup gibt dann *****************(ipv6-adresse die bei allen Interfaces angezeigt wird)*******.dip0.t-ipconnect.de aus.

Hier die WAN-Config:

You cannot view this attachment.

Hier die Konfig eines VLANS:
You cannot view this attachment.


So sieht der nslookup aus:

C:\Users\skald>nslookup google.de
Server:  p200300e****************.dip0.t-ipconnect.de
Address:  2003:eb:cf31:***********************

Nicht autorisierende Antwort:
Name:    google.de
Addresses:  2a00:1450:4016:808::2003
          142.251.36.163


Habe in einem anderen Beitrag über Router Advertisements gelesen, aber ich bin mir nicht ganz sicher, ob das nicht doch nur eine Notlösung ist:

You cannot view this attachment.

Damit funktioniert die Auflösung von lokalen Hostnamen immer.

Mache ich hier evtl. etwas falsch?

Moin,

habe VOIP mit einer Fritzbox in einem VLAN grundsätzlich zum Laufen gebracht, hatte aber manchmal z. B. keinen Rufton, obwohl es auf der Gegenseite geklingelt hat.

Dann habe ich mir während des Anrufs mal das Firewall-Log angesehen und gesehen, dass der RTP-Port (z. B. 7081) blockiert wird und zwar tausendfach innerhalb von Sekunden.

Meine Outbound Rule sieht folgendermaßen aus und funktioniert grundsätzlich, da vorher gar keine Telefonie möglich war:

You cannot view this attachment.

Die dann noch bestehende Probleme konnte ich mit folgender Freigabe lösen:

You cannot view this attachment.

Nun habe ich aber schon mehrfach gelesen, dass dies ein Sicherheitsrisiko darstellt und gar nicht notwendig sein soll.

Hier aber noch ein Screenshot, wie es aussieht, wenn die Rule deaktiviert ist (aber nur bei manchen Rufnummern - in diesem Fall eine Festnetznummer):
You cannot view this attachment.


Ist es tatsächlich ein Risiko oder kann ich es so belassen? Oder lässt es sich ggf. anders lösen?

Danke :-)

[Just to be clear: I don't actually have any problems. Internet is working. VLAN Isolation is working. VoiP via my old Fritzbox (access point and VoIP) is working. I'm just worried that I might have misconfigured something, which could lead to security issues.Thanks in advance for your help!]

Hello,

im very new to OPNSense and networking. I only worked with products like AVM Fritz!Box and Telekom Speedports. I have basic knowledge of port forwarding, firewall rules, and similar topics.

I now installed OPNsense on an Intel NUC that only has one LAN-port. OPNSense is connected to a managed switch via trunk port. MY ISP-Modem is connected to a second switch port with Tagged VLAN 7.

Everything is working so far but i just want to make sure i configured it correctly.




I have a WAN-Interface which is assigned to VLAN7:
You cannot view this attachment.
My ISP (Telekom) dictates VLAN 7 for the PPPoE-Connection. Is WAN configured correctly? Are "block private networks" and "block bogon networks" configured right? (ticked)




The PPPoE-Interface looks like this:
You cannot view this attachment.



My Dashboard looks like this:
You cannot view this attachment.
WAN has no IP, PPPoE gets the ISP-IP.



My NAT-Rules look like this:
You cannot view this attachment.
Every guide or tutorial and even the OPNSense help tells me, that i have to use the WAN-Port für rules like this, but the rules only work if i use the PPPoE-Interface (WANVLAN7).



Just to be clear: I don't actually have any problems. Internet is working. VLAN Isolation is working. VoiP via my old Fritzbox (access point and VoIP) is working. I'm just worried that I might have misconfigured something, which could lead to security issues.

Thanks in advance for your help!