Topics

Hallo zusammen,

ich checke nicht, warum und weshalb eine Schnittstelle jede Stunde einen PTR Spam zu meinem DNS ausführt.
Vielleicht kann mich jemand erleuchten.

Dankeschön

Hallo zusammen,

das ist jetzt keine spezifische OPNsense Frage, aber es ist bestimmt ein Netzwerktechniker hier, der sich im Detail auskennt.

Mein Netz ist wie folgt aufgebaut

 WAN / Internet
            :
            :
            :
      .-----+-----.
      |  Modem    |
      '-----+-----'
            |
        WAN | PPPoe- + DHCPv6-Einwahl
            |
      .-----+------.     
      |  OPNsense  +
      '-----+------'
            |
            |  Netz 1        .----------------------.
            |----------------+ Name: Infrastruktur  | - Hier auch Pihole drunter
            |  192.168.10.1  '----------------------'
            | 
            |
            |
            |  Netz 2        .----------------------.
            |----------------+ Name: Services       | - Services die lokal und aus dem Internet erreichbar sein sollen
            |  192.168.20.1  '----------------------'
            |  IPv6 (LLA + GUA)
            |
            |
            |  Netz 3        .----------------------.
            |----------------+ Name: User           | - Lokale Nutzer
            |  192.168.30.1  '----------------------'
            |  IPv6 (LLA + GUA)
            |
            |
            |---> Noch viele andere Netze
            |

Da ich eine Internet-Adresse bei Hetzner gekauft habe, möchte ich diese im DNS Namenssystem gerne verwenden. Nennen wir diese einmal AlexanderB.de.

Fragen:

1. Kann ich, wenn lokal nach Domain gefragt wird, diese angeben?
   also dass ich zu OPNsense unter Infrastruktur (oder auch den anderen Gatewayadressen) z.B. mit opnsense.alexanderb.de komme.
   Und zum OpenMediavault was z.B. auf der 192.168.20.20 liegt unter Services liegt unter omv.alexanderb.de

   Ist das die Standardvorgehensweise wenn man eine Domain besitzt?
   Oder sollte man noch eine Subdomain hinzufügen um eine Trennung der Verbindung von außerhalb und innerhalb zu haben?
   Also omv.home.AlexanderB.de -> für Verbindungen aus dem lokalen Netz
   Und  omv.AlexanderB.de -> für Verbindungen aus dem Internet?
   Geht das, macht das Sinn? Aus Gründen der Sicherheit und Trennung?
   
   Wie geht man da richtig vor und gibts das überhaupt was ich mir da ausgedacht habe?
   Die Internetseite, von einem lokalen Wordpress-Server (192.168.20.47), soll dann mit der subdomain www.alexanderb.de erreichbar sein.

2. Wie trage ich reine IPv6 Adressen in mein lokales DNS ein? Die per SLAAC bezogene GUA ändert sich ja. Muss ich dann lokal nur die LLA eintragen und global mit DynDNS diese Adresse an Hetzner ins DNS weitergeben, damit Hetzner diese dann richtig global auflösen kann?

   Dann habe ich zwei DNS Register, eins lokal im pihole und eins bei Hetzner für global. Ist das der richtige Weg, oder geht das besser?

3. Kann ich meinen pihole (192.168.10.68), allen Teilnehmern so als DNS mitteilen, oder ist der Standardweg, dass man das Gateway mitteilt und dieses leitet die Anfragen an pihole weiter?
4. Wird es Port-Konflikte geben, wenn ich Unbound in der OPNsense als Upstreamserver dem pihole mitteile? Wie konfiguriert man die Ports dann richtig?
5. Und vor allem wie geht das dann mit IPv6? mDNS hatte ich am Rande mal gehört.
6. Verstehen dann alle Dienste, wie z.B. SMB das DNS? Also reicht es dann den Namen vom OpenMediaVault-Server einzutragen?

7. Vielleicht etwas Off-Topic, aber wie erreiche ich es, dass mein Handy den Weg ins Internet über meinen pihole zu Hause macht? Sodass ich mobil auch meine Blocklisten und meine DNS Einträge, sowie mein lokales Netz erreichen kann?

Ich weiß, VPN ist dann auch notwendig und das muss ich noch angehen. Das bedeutet, das ganze DNS System muss auch unter VPN Bedingungen funktionieren.

Die Erreichbarkeit von extern, soll nur mit IPv6 ermöglicht werden, da das die einfachste Variante ohne zusätzliche Dienste ist. IPv4 ist bei mir hinter CG-NAT.

Warum wird ein Client bei der Adressvergabe geblockt, während ein anderer eine Adresse bekommt?
Beide liegen im gleichen VLAN20 an der gleichen Schnittstelle.
Die erste Shell ist das aktuelle debian 13 als LXC template.
Die zweite Shell ist ein über die helper scripte installierte Wordpress, auch mit debian 13 als Unterbau.

Ich checke nicht, warum der eine Client, eine IP erhält aber der andere nicht.


Die Info zu dem Block sieht so aus:


Der Client wird ja sowohl für IPv6 als auch für IPv4 geblockt:

Es ist die allererste Regel der globalen Regeln, die die IPv4 DHCP Anfrage blockt:


Für den IPv6 Block gibts keine rid.

Was soll denn da schon wieder verkehrt sein? Vielleicht kann mir da jemand helfen.

Ich muss sagen, nachdem man gewisse Wissensfortschritte gemacht hat, scheint es noch Dinge zu geben, die einfach unerklärlich sind, bzw. eventuell dem Client und dessen korrekte/inkorrekte Netzwerk-Nachricht zu zuschreiben sind.

Hallo zusammen,

ich habe aktuell einige kleine und große Probleme bei der vollständigen Umstellung auf IPv6.
Ziel:
Meine lokale Netzwerkarchitektur vollständig auf IPv6 umstellen. (Eventuell hab ich noch den einen oder anderen Teilnehmer, der nur IPv4 spricht, da bleibt IPv4 an)

Meine größten Probleme sind:
1. Ich checke aktuell überhaupt nicht, wie ich die Teilnehmer, die sich per SLAAC eine Adresse holen, mit meinen DNS Server (Technitium) mit einem Domainnamen greifbar mache.
2. Ich checke auch überhaupt nicht, wie ich Übersicht über Netzwerkteilnehmer behalte, die sonst durch DHCP in "dnsmasq dns & dhcp" zu sehen waren und von dort auch statisch gemacht werden konnten. SLAAC bedeutet wohl auch, dass die Privatsphäre der einzelnen Teilnehmer so privat ist, dass der übergeordnete Admin nicht mehr weiß wer in seinem Netzwerk überhaupt vorhanden ist?

Macht es denn keinen Sinn SLAAC für einfach alle Teilnehmer zu verwenden? Sollte ich DHCPv6 verwenden um Übersicht zu behalten, wobei ich auch gelesen habe, dass z.B. Android nur SLAAC kann und sonst nix.
Es muss doch doch bestimmt nicht jeder Host, den ich erreichen will, eine statische Adresse haben? Was ist denn da der Standard?
Wie schreibe ich denn Firewall-Regeln, wenn die IPv6 eine SLAAC ist und ihre Adresse sich regelmäßig ändert?

Das einzige IPv6 was bisher schick funktioniert hat, war die DynDNS Funktion und das Updaten meiner IPv6 WAN-IP bei Hetzner im AAAA Record. Wobei ich ja dann für die Services nicht meine WAN-IP mitteile, sondern die SLAAC-IPv6 des einzelnen Servers (+SRV Record für den Port? (Wobei Browser ja SRV nicht richtig lesen können)

Soweit verstanden kann ich im Grunde die globale IPv6 des Dienstes direkt routen, ohne Proxy und ähnliches, was noch bei IPv4 notwendig war.
Mein nächstes Problem ist dann sicher, wenn ein Server (Eine IPv6), mehr als nur einen Dienst (mehr als einen Port) im Internet verfügbar haben soll.

Ich sitze hier schon gut ein paar Wochen und ich komme so ewig langsam voran.

Gibt es für meine aktuellen Probleme die richtigen standardisierten Lösungen? Oder gibt es da nur Meinungen wie man es machen könnte mit dann in Zukunft auftretenden Problemen?

Aktuell bin ich mit einem Netzwerk (Schnittstelle VLAN-Gerät) bereits voll auf IPv6, aber jetzt hab ich das Problem, dass ich von dort nicht auf die Teilnehmer eines anderen Netzwerkes mehr zugreifen kann, die noch in IPv4 hängen und irgendwie nicht selbstständig sich auf IPv6 umstellen (Auch wenn diese Teilnehmer bereits sich eine SLAAC IPv6 generiert haben und ich ihnen die IPv4 Verbindung getrennt habe).

Vielleicht weiß hier ja jemand mehr.

Vielen Dank schonmal und ein schönes Wochenende!