Messages

Hallo Forum,
wir lösen nach und nach die SOPHOS-Firewall bei den Kunden ab und nutzen deren SOPHIS-Firewall-Hardware, um dort drauf die OPNsense zu installieren.

Das klappt soweit prima. Nun haben wir beim nächsten Kunden ein SOPHOS-RED-Gerät in einer Aussenstelle mit SOPHOS Access-Point. Diese Hardware kann nicht genutzt werden, da es sich hierbei um Hardware handelt, auf der OPNsense nicht läuft. Den AP würden wir gegen einen Unifi U6-Pro ersetzen.

Ich habe nun zwei Fragen an die Box in der Aussenstelle.
1.) Was würdet Ihr hier als alternative Hardware empfehlen? Gerne mit mindestens vier LAN-Buchsen.
2.) Wie würdet Ihr die Anbindung machen? VPN per IPsec, OpenVPN oder Wireguard oder als Bridge?

Die Konfiguration soll so eingestellt werden, daß der normale "Surf-Traffic" in der Aussenstelle über den Router ins Internet erfolgt und lediglich die Anfragen an den Server der Zentrale über den Tunnel geschickt werden. Bei SOPHOS nennt man das "Standard-Split"-Mode.

Ich freue mich auf Eure Kommentare und verbleibe

MfG
Christoph

Guten Morgen,

ich komme nochmal auf OPNcentral zurück.

Habe nun zwei "externe" OPNsense's an meine OPNsense per OPNcentral angebunden. Das funktioniert super.

Aber mir fiel folgendes auf:

Auf meiner ist das OPNcentral-Plugin installiert (muß ja auch) und auf einer der beiden anderen "Externen" OPNsenses auch. Auf der anderen nicht. Trotzdem bekomme ich von beiden Informationen über deren Status.

Daher meine Frage:

Muß auf den externen OPNsenses das Plugin überhaupt auch installiert sein? Oder reicht es, wenn es auf meiner Verwaltungsmaschine läuft?

Besten Dank im Voraus.

Gruß
Christoph

Hi Forum,

gibt's ein gutes Tutorial für folgendes Szenario:

Auf einem Windows-Server gibt es eine Gruppe VPN mit einigen (nicht allen Usern des Windows AD). Diese Gruppe soll über die OPNsense OPNVPN machen dürfen.

Ich hatte das früher schonmal auf einer SOPHOS UTM konfiguriert und würde das gerne hier auch machen wollen.

Besten Dank im Voraus.

Gruß
Christoph

Hallo Patrick,

vielen Dank. Gestern mal ausprobiert und siehe da: heute neue Dateien in der Nextcloud. Das ist ja total klasse :-).

Gruß
Christoph

Hi Forum,

man kann ja über ein installiertes Nextcloud-Plugin in die Backups der Konfiguration in einen Nextcloud-Ordner sichern.

Weiß jemand, ob die Sicherung nur erstellt wird, wenn man auf den Button drückt oder ob die alle paar Tage automatisch gemacht wird.

Falls manuell, kann man das automatisieren?

Gruß
Christoph

Super, vielen Dank.

Der eine Kunde hat eine FritzBox mit Exposed-Host. Dort klappt das mit der Einschränkung des Source-Bereiches auf unsere feste IP.
Der andere Kunde hat einen Medianten von unserem lokalen Anbieter (TNG). Der Mediant hat noch zwei ISDN-Schnittstellen für seine TK-Anlage. Wenn die Kiste den Geist aufgibt, dann bekommt der eine SIP-Anlage und der Mediant fliegt raus ;-).

Besten Dank für die Unterstützung. Wir verabschieden uns derzeit von Sophos als Silber-Partner. Auslaufende Lizenzen verlängern wir nicht mehr und spielen auf die Sophos-Hardware die OPNsense in der Business-Edition.

Von daher werde ich sicherlich demnächst noch häufiger das Forum kontaktieren :-).

Gruß
Christoph

Das Listen interface sollte auf "All (recommended)" bleiben damit die Webui nicht an das up oder down Verhalten eines Interfaces geknüpft ist. Ansonsten kann man sich gegebenenfalls aussperren. Das Zugriffsverhalten steuert man mit Firewall Regeln, mit denen man einfach Port 4444 auf "This Firewall" erlaubt.

Bei dem Listen-Interface steht bei mir nicht mehr 'All' zur Auswahl. Habe daher die Haken bei LAN und WAN gemacht. Ist ja auch nicht so schlimm. Von daher alles gut.
In der Firewall-Regel habe ich als Destination nicht "This Firewall" genommen, sondern "WAN adress". Was wäre da der Unterschied?

Die Firewall Regeln die es erlauben auf das Interface zuzugreifen, sind auf dem LAN Interface der Firewall automatisch angelegt. Auch durch die "Prevent Lockout" DNAT Regeln auf dem LAN interface. Auf dem WAN Interface existieren solche Regeln nicht automatisch. Wenn man sich dort von überall aus einloggen kann, liegt ein Konfigurationsfehler vor. (z.B. eine Firewall Regel auf dem WAN die "Direction in" "Destionation any" erlaubt)

Die Regel sieht so aus (siehe Fotos):

Hi,
vielen Dank. Ich habe es mit Deiner Hilfe hinbekommen.

Im Moment habe ich die Source-IP noch auf Any wg. des Doppel-NAT, schaue mir aber mal die Logs an, ob ich dort noch was begrenzen kann.

Aber: Auch ohne WAN-seitige Firewall-Regel kann ich das Webinterface aufrufen und viel schlimmer, auch einloggen.

Ich habe zwar als Listen-Interface auch das WAN-Interface angegeben, aber keine Regel definiert. Wird da intern eine Regel angelegt?

Guten Morgen Forum,

ich bekomme das OPNcentral nicht zum Laufen. Vielleicht habt Ihr ein paar Tipps für mich ;-).

Bestand:
- Eine eigene OPNsense Business-Edition (Lizenz aktiviert) bei mir im Büro
- Eine OPNsense Business-Edition (Lizenz aktiviert) beim Kunden

Meine macht direkte PPPoE-Einwahl am FTTH-Anschluß, beim Kunden ist ein Router am FTTH-Anschluß und die OPNsense hängt WAN-seitig in einem "Zwischennetz", also Doppel-NAT.

Beide WebGUI-Ports sind auf 4444 geändert, da LE-ACME mit http/https-Challenge aktiv.

Nun habe ich beim root-User der Kunden-OPNsense die API-Keys erzeugt und bei mir unter Management/Hosts die Daten der Kunden-OPNsense eingetragen.
Dabei habe ich als URL die feste externe IP des Anschlusses des Kunden gewählt und die API-Keys eingetragen.
Ich bekomme nun allerdings keine Verbindung. Bei der URL habe ich die feste-IP mal mit ...:4444 eingetragen und auch mal ohne versucht.

Im Router des Kunden sind alle Ports direkt an den WAN-Port der OPNsense weitergeleitet.

Ich hoffe, daß Ihr mir helfen könnt und danke schonmal im Voraus.

Gruß
Christoph

Hallo Forum,
wir sind Neueinsteiger in OPNsense und wollen bei uns die SOPHOS ablösen. Regelwerke usw. funktionieren, aber bei der Implementierung des ReverseProxy sind wir unschlüssig, welchen man nehmen sollte (HAProxy oder nginx).

Wir betreiben einen hausinternen Exchange-Server, der natürlich auch von aussen per OWA erreicht werden soll. Ebenso sollen sich Mobilgeräte damit synchronisieren können.

Welche Erfahrungen habt Ihr jeweils gemacht und welchen würdet Ihr empfehlen?

Gibt's anständige HowTos dazu?

Viele Grüße
Christoph