Messages

Hallo Michael,

ich würde mal behaupten, es liegt nicht an netgear.com
Wie hast du denn den unbound eingestellt ?

Heiko

Hallo puldi,

schau' mal in
Settings -> High Availability -> Settings bzw.
Settings -> High Availability -> Status -> Synchronize Settings to Backup

LG

Hallo Thomas,

ich glaube, dass zunächst mal angesehen werden muss, an welche Zielgruppe so ein Best Practice Guide hat.
Bei uns, 140 MA, 2,5 Admins.

Firehol ->  https://forum.opnsense.org/index.php?topic=11791.0

GeoIP finde ich schwierig, CGN, Proxies, Tor-Exit-Nodes und wie du schreibst muss ggf. in der Urlaubszeit nachjustiert werden. Zudem unterhalten wir div. Beziehungen mit Ländern, die öfters in der Angriffsliste auftauchen (CN, RU, US, ...) . Ich kann sie nicht komplett blocken.

Ich habe Firehol Level 3 aktiv jedoch keinen GeoIP-Filter. SMTP geht über ein HA-Gateway, OWA ist public verfügbar.
Eine sichere Methode ist, den Zugriff auf OWA nur über VPN zu ermöglichen. Clients für Android / Apfel sind verfügbar. Alternativ VPN + IMAP. Mag "oldschool" sein, tut aber.

Ein zusätzliche (Basic-) Auth vor dem Exchange bringt deinen Benutzern zusätzlich Verwirrung und Dir vermutlich viele Fragen (oder Tickets). Es macht das ganze System unnötig kompliziert.

Das Problem vom März liegt ja nicht an der Firewall, sondern daran, dass M$ es (mal wieder) nicht auf die Reihe gekriegt hat, den 0Day zuzugeben und dann abzustellen. Hinzu kommt die hohe Verbreitung des Exchangeservers. Leider hilft nur patchen und das Internet "beobachten" und ja, das Einfallstor so klein wie möglich zu halten.

Aber ich bin an jeder Verbesserung / Absicherung der Exchangeserver interessiert ;-)

Grüße

Heiko

Hallo Stefan,

auf der FW ist (hoffentlich) kein IPS aktiv, sonst schalte es zum testen ab.
Dann kannst du noch die Kompression abschalten.
Du kannst testen welche MTU dein Setup zulässt. (vgl. https://www.geekbundle.org/mtu-fuer-client-vpn-einstellen/)
Dann kannst du noch an den Parametern tun-mtu, fragment und mssfix drehen.
(vgl. https://blog.doenselmann.com/openvpn-durchsatz-optimieren/)

tun-mtu 1500
fragment 1300
mssfix

LG

Hallo Zusammen,

ich stehe irgendwie auf dem Schlauch.

FTP1 ist mittels Port-Forward auf eine Public-IP  (62.x.y.199) freigegeben. Der Server macht passives FTP und antwortet im Bereich 40001 bis 40020.
FTP2 ist mit 1:1 NAZ auf Public-IP (193.a.b.133) freigegeben. Der Server macht ebenfalls passives FTP.
Konfiguration anbei. Die Konfiguration von FTP2 ist aktuell disabled.

FTP   von Internet                        auf Public-IP(FTP1) funktioniert.
FTP   von LAN1 / LAN2 / OpenVPN ins Internet funktioniert. Geht über ftp-proxy.
FTP   von LAN1 / LAN2 / OpenVPN auf  FTP1 funktioniert. Läuft direkt.
FTPS von LAN1 / LAN2 / OpenVPN auf  FTP1 funktioniert. Explizites TLS/SSL. Läuft direkt.
---
FTP   von LAN1 / LAN2 / OpenVPN auf  FTP2 funktioniert. Läuft direkt.
FTPS von LAN1 / LAN2 / OpenVPN auf  FTP2 funktioniert. Explizites TLS/SSL. Läuft direkt.

FTP(S)  von Internet                        auf Public-IP(FTP2) funktioniert nicht. -> Timeout
MS-RDP von Internet                       auf Public-IP(FTP2) funktioniert.

opnSense ist 21.1.2-amd64

Hat mir jemand eine Idee ?

Hallo otter1,

wenn du nicht routen kannst musst du NATten.
Outbound klingt gut. Für Site B müssen die Paktete so aussehen als seien sie von einer IP der bekannten Gegenstelle.

LG

Hallo aeschma,

Du brauchst zwischen dem Kabelmodem und beiden opnSense-Knoten einen Switch, selbiges zwischen Router FW. Dann schaust Du Dir das Thema "carp" an.  https://docs.opnsense.org/manual/how-tos/carp.html?highlight=carp

Das Kabelmodem schaltest du, nach Möglichkeit in Bridge-Mode ('ne Fritz-Box z.B. kann sowas). Du wirst je FW auf diesem Interface eine andere IP-Adresse erhalten, also hier nicht wundern.

Dein Glas-Netzbetreiber hat dir vermutlich einen NW-Bereich genannt. Du erstellst ein CARP-Interface und lässt es "routen".

Je ein günstiger Netgear/D-link/HP/etc. ohne Management reich völlig.

Grüßle

Hallo aeschma,

ist das ein Glasfasermodem oder ein Router eines Netzbetreibers ?

Hallo XBrainBug,

ich kenne mich mit Asterisk nicht so gut aus, aber kann es sein, dass der Asterisk-Server die Verbindung zwischen den Clients übergibt.  Dazu müssen sie diese aber sehen. Schau' mal ob der Schalter "Inter-client-communication" dein Problem behebt.

LG

Hallo Workonit,

läuft denn auf deiner opnSense ein Proxy ? Hast du ihn eingeschaltet ?

Wenn der Proxy läuft musst du auf deinem Client (auf dem Skype installiert ist)
die Verbindungsdaten eintragen (Windows -> Systemsteuerung -> Internetoptionen), die du auf der FW eingestellt hast.

LG

Hallo Nephiria,

Ein Gedanke hierzu:

Warum holst du dir die config.xml nicht von deinem Zielserver ?
Das hätte den Vorteil, dass die opnSense gar nicht verbogen werden muss.
(winscp z.B. kann gescriptet werden)

Für etwas größere Umgebungen: Kennt ihr Rancid ? (https://shrubbery.net/rancid/)
Das holt via ssh die configs aus den NW-Komponenten und versioniert diese auch gleich.
Hier müsste auch eine opnSense Script gebaut werden. Hab's so leider nicht am laufen sonst
könntest du es haben ;-)

Diese Funktionalität lässt sich aber auch unter Windows nachbauen.

Grüßle

Hallo Zusammen,

das klingt sehr gut, bin ich gerne dabei.
Ich habe bisher sehr gute Erfahrungen mit Jitsi gemacht.
Freitags bin ich leider nur schon verplant ;-(

Wunschthemen für mich sind z.B. 
* opnSense und Graylog
* eigene Plugins / Erweiterungen schrieben
* Reverse Proxy / Loadbalancer auf Webserver oder z.B. OWA
* IPv6 bei unterschiedlichen Providern, privat habe ich es schon oft versucht, bin aber immer gescheitert.

Ich denke, Themen gibt es genug.

Grüßle aus dem sonnigen Süden

Heiko

Hallo,

das ist alles schon machbar.

Wenn du z.B. ganze Domains blocken möchtest würde es sich anbieten die DNS-Einträge zu "überschrieben".
Wenn die FW auch als DNS-Server betrieben wird kannst du facebook.com (und alles was drunter hängt) auf z.B. 127.0.0.1 zeigen lassen.

Eine Anleitung für den Proxy gibt es unter
https://docs.opnsense.org/manual/how-tos/proxytransparent.html und
https://docs.opnsense.org/manual/how-tos/proxywebfilter.html

Wenn du Dateien im Filesystem anpasst, denke daran, dass diese ggf. vom System nach eine Änderung überschrieben werden, sofern diese nicht über die GUI eingetragen wurden.

Mit squid ist es schon möglich bestimmte Dateitypen zu sperren. vgl. https://www.cyberciti.biz/faq/squid-content-filter-block-files/

Die Frage ist: Bist du sicher, dass die Daten ausschließlich über den Proxy laufen ?

Ich bin kein Experte für squid, bedenke, es gibt ggf. verschiedenen Wege wie eine Datei in HTTP "verpackt" werden kann.  Vielleicht musst du das hier ein wenig aufdröseln.

Um SSL mitlesen zu können musst du den Tunnel an der Firewall terminieren lassen und danach wieder in SSL verpacken. Am Client musst du das Zertifikat der Firewall "vertrauen".

Hallo Fred15,

in der Doku ab "Step 5"
https://docs.opnsense.org/manual/how-tos/guestnet.html

So, nun sind die Interfaces komplett gleich und es tut, wie es soll.
Ich sollte die Doku genau lesen https://docs.opnsense.org/manual/how-tos/carp.html