Messages

151

German - Deutsch / Re: Proxmox LAN/Routing probleme (auf MGMT) :-/

« on: October 22, 2024, 05:02:29 pm »

Also Proxmox und Omada liegen im VLAN10, ebenso wie PC1, und natürlich hat auch OPNsense da ein Interface.
Zugriffe zwischen Geräten innerhalb dieses Subnetzes passieren nicht die OPNsense. Wenn du vom PC1 auf Proxmox oder Omada zugreifst, geht das über den Switch und die Bridge am Host direkt da hin. Das kann keine Regel auf OPNsense verhindern. Zugriffe von jedem anderen Subnetz kannst du aber sehr wohl blockieren.

Ja, aber der Punkt ist, dass es an die Fritzbox gerichtet ist, genauer gesagt eigentlich an das Gateway des an der FB hängenden ursprünglichen LANs und nicht wie aus dem Asgard-VLAN an die OpnSense ;-)... das VLAN100 sollte von 192.168.0.1 gar nichts wissen.

Muss sie von da her auch nicht.

Das ist ein DNS Request. Proxmox hat vermutlich noch die alte Gateway IP als DNS Server eingestellt und richtet ihre Anfrage da hin.
Welche Regel den Zugriff erlaubt, zeigt dir das Log: WAN ja, Intranet Block   
Das alte LAN ist nicht Teil des Aliases "Internal Networks", und damit erlaubt die Regel den Zugriff.

Naja eigentlich sollte ja jeder dieser Pings/Zugriffe innerhalb des Subnetzes stattfinden und so dachte ich zumindestens auch den gleichen Regeln unterworfen sein. Deshalb ist ja die Frage, weshalb kann ich von 10.10.10.10 (dem Omadacontroller) die Proxmox VE auf 10.10.10.3 pingen, aber nicht das Gateway des selben VLANs auf 10.10.10.1...

Bedenke, dass auf jedem Zielgerät eine eigene Firewall laufen kann. Für OPNsense trifft das wohl zu und die Regel funktioniert auch. Auf Proxmox ist die Firewall vielleicht nicht aktiviert. Die kannst du aber in der GUI konfigurieren.

Zugriffe von allen anderen Subnetzen auf das Management-Subnetz kannst du auf der OPNsense blockieren.

152

24.7 Production Series / Re: Configuration help needed

« on: October 22, 2024, 02:17:42 pm »

After everything was configured and working, I moved LAN and WAN so it was between my modem and router. .

Which subnet is this?
How is your router accessing the internet?

You said, you assigned an IP to the bridge interface, which? Which subnet?
Which IP has OPT1?

153

German - Deutsch / Re: HA Cluster Probleme mit Internet Access

« on: October 22, 2024, 01:04:08 pm »

Hast du die Tipps in https://docs.opnsense.org/manual/virtuals.html#virtual-cloud-based-installation berücksichtigt?

Mit der HA OPNsense verbundene Geräte müssen den Wechsel der MAC Adresse erlauben. Die Funktion wird oft MAC Spoofing genannt. Das müsste zumindest am Switch aktiviert werden.

154

German - Deutsch / Re: Proxmox LAN/Routing probleme (auf MGMT) :-/

« on: October 22, 2024, 12:05:08 am »

Hier ein Überblick, ich hoffe ich habe alle wichtigen Informationen hineingepackt. Wenn nicht, bitte fragen, ergänze es natürlich sehr gerne.

Was ist in der Grafik dieses VLAN10 vom Switch auf Proxmox #4? Ist das eine Schnittstellennummer?)
Wenn, dann ist irgendwas daran falsch, entweder "VLAN10" oder die Omada IP, denn VLAN10 sollte ja das Asguard Subnetz 192.168.10.0/24 sein.

hier die Regeln:

Allerdings wundere ich mich, das ich auf Prox und Omada normal zugreifen kann, aber auf die OpnSense nur komme, wenn die untere Regel an ist... ist das normal ? kommt mir auch etwas spanisch vor

und hier das Ergebnis aus der Live-View

Wäre an und für sich normal, allerdings zeigt der Regel-Screenshot die des MGMT Interfaces, während das Log zur Verwirrung Zugriff auf dem Asguard Interface zeigt.

Kein Zugriff auf das WAN, der Ping geht zwar raus, aber mit Destination 192.168.0.1:53 !... wtf EIGENTLICH dürfte die Proxmoxbox ja überhaupt nichts von dem 192.168.0.0/24 wissen ;-)

Das ist wohl ein DNS Request auf Port 53. Pings gehen auf keine Ports.

Ping auf 10.10.10.1 ist verboten
Ping auf 10.10.10.3 geht durch, wird von der FW aber nicht registriert
Zur Erinnerung 10.10.10.3 ist die ProxVE, über welche der Omada-Controller läuft.

Ja, so funktioniert Netzwerk und Firewall. Zugriffe innerhalb eines Subnetzes passieren normalerweise nicht die Firewall (den Router) und werden damit weder blockiert noch geloggt.

155

German - Deutsch / Re: Sync von Aliassen auf mehreren OPNsense

« on: October 21, 2024, 10:11:08 pm »

Es gab hierzu aber die Idee, eine Sync-Kette aufzubauen.

Also um die Boxen A, B, C, D zu synchronisieren:
A > B, B > C, C > D, ...

Keine Ahnung, wie gut das klappt. Habe das aber noch nicht selbst gemacht.

156

German - Deutsch / Re: Phase 2 disconnected

« on: October 20, 2024, 11:32:49 pm »

Ohne zu wissen, was du angegeben hast und was gefordert ist, kann ich nur würfeln...

Ich würde aber mal einen Blick ins Log riskieren.
Wenn dieses das Problem nicht klar eingrenzt, dann auch in das der Gegenstelle.

Wenn du weitere Fragen hast, poste doch bitte mal beide und erzähl was zu deiner Konfiguration.

157

24.1 Legacy Series / Re: Default deny drops packets that are explicitly ALLOWED - antispoofing?

« on: October 19, 2024, 08:34:57 pm »

Again, anyone can answer my second questio (is there a way to circumvent the "asymmetric cut")?

If the request packet passes OPNsense, but no the response, you can masquerade the traffic on the outbound interface.

Less ideal: You can add add rule to allow the traffic with "sloppy state" in the advanced options of the rule.

158

German - Deutsch / Re: hoch verfügbarkeit einstellen stehe gerade auf dem schlauch

« on: October 19, 2024, 08:06:10 pm »

Um diese Fragen beantworten zu können, musst du schon noch ein paar Details zu deinen Anforderungen nennen.
Welcher Dateidurchsatz?
Wie viele VPNs?
Welche Pakete / Plugins sollen darauf laufen?

Und am besten machst du für diese Frage ein neues Thema auf, damit es Leute mit entsprechender Erfahrung lesen.

1 Gbit/s ohne zusätzliche Plugins werden wohl beide CPUs locker schaffen.
Entscheidend ist aber auch die Netzwerkkarte, wenn OPNsense direkt auf der Hardware laufen soll. Intel sind wärmstens empfohlen. Realtek sollten tunlichst vermieden werden.

159

General Discussion / Re: Need help with a specific firewall rule

« on: October 18, 2024, 11:46:57 am »

You can see the floating rules in the screenshot at the top. They're just the three automatically created entries by the NAT port forwarding rules, as mentioned above.

The screenshot shows only the LAN rules. The interesting part would be the WAN rules.

160

General Discussion / Re: Need help with a specific firewall rule

« on: October 18, 2024, 11:21:24 am »

The LAN rules shouldn't have any impact on traffic coming from WAN.

Do you have floating rules or interface group rules on WAN?

161

General Discussion / Re: Need help with a specific firewall rule

« on: October 17, 2024, 11:18:06 pm »

Ensure that rule, which allows the inbound traffic on WAN is defined on the WAN interface only.
There must no floating or interface group pass rule be applied to the incoming traffic on WAN.

162

General Discussion / Re: Need help with a specific firewall rule

« on: October 17, 2024, 11:02:54 pm »

And yes, request coming in on WAN, routed through the default gateway don't work.

Sure? I don't expect this behavior.

Check System: Routes: Status.

163

German - Deutsch / Re: hoch verfügbarkeit einstellen stehe gerade auf dem schlauch

« on: October 17, 2024, 09:58:22 pm »

Cloud Backup von OPNsense könnte auch helfen. Google und Nextcloud werden unterstützt.
https://docs.opnsense.org/manual/how-tos/cloud_backup.html

164

General Discussion / Re: Need help with a specific firewall rule

« on: October 17, 2024, 09:52:57 pm »

But here is what I want at the same time: When I'm not home and I want to synchronize mit Bitwarden vault with Vaultwarden, hosted in Docker on my NAS in my home LAN, the answer from my NAS should be routed through the default gateway (which is not the VPN tunnel gateway).

So it the VPN your default gateway currently and are responses routed to it, even the requests come in on WAN?

165

German - Deutsch / Re: hoch verfügbarkeit einstellen stehe gerade auf dem schlauch

« on: October 17, 2024, 09:46:37 pm »

dann mache ich nur noch eine firewall und habe das was ich möchte mir ging es nur darum wenn ich mal an der firewall bastel und die kille ich noch ein backup habe und alles weiter läuft.

Ein Snapshot ist mit Proxmox auch schnell wiederhergestellt.