"Recent posts
#1
General Discussion / Re: Problem with ping on one e...
Last post by meyergru - Today at 11:26:36 AMDo you operate the two connections from the same location? For multi-WAN setups, you must disable "Reply-To" on WAN connections to avoid assymetric routing.
Also, to avoid your RFC1918 IPs to the main gateway(s), you should set null routes to them: https://forum.opnsense.org/index.php?msg=259031
Also, to avoid your RFC1918 IPs to the main gateway(s), you should set null routes to them: https://forum.opnsense.org/index.php?msg=259031
#2
General Discussion / Problem with ping on one exter...
Last post by syshein - Today at 11:16:31 AMHi there,
i have a really strange problem. When i try to ping a specific host i don't get an answer but see the answer appear two times on the WAN interface. Here is my setup:
I have an Opnsense as a router with a business optical fibre internet connection connected to the WAN interface. The Opnsense runs as a VM and the WAN interface is accessed via PCI passthrough so only the Opnsense VM can access it. I have a bunch of LAN interfaces, e.g. one for my home net, one for my IoT devices, one for my business devices and one which is connected to another private network behind a consumer internet connection.
Everything seems to work fine, but i can't connect to or ping my cloud telephone system over my business connection.
I tried to debug it and run a ping from my PC in my home lan net (IP 10.11.0.5) to my telephone system (IP 212.XXX.XXX.XXX) while running a tcpdump on my Opnsense on the WAN interface (IP 87.XXX.XXX.XXX). My PC doesn't get an answer from my telephone system but i see the following on my WAN interface:
root@OPNsense:~ # tcpdump -i ix1 icmp -n
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
listening on ix1, link-type EN10MB (Ethernet), snapshot length 262144 bytes
09:33:04.408713 IP 87.XXX.XXX.XXX > 212.XXX.XXX.XXX: ICMP echo request, id 19708, seq 57, length 64
09:33:04.417134 IP 212.XXX.XXX.XXX > 87.XXX.XXX.XXX: ICMP echo reply, id 19708, seq 57, length 64
09:33:04.417150 IP 212.XXX.XXX.XXX > 10.11.0.5: ICMP echo reply, id 61649, seq 57, length 64
09:33:05.432725 IP 87.XXX.XXX.XXX > 212.XXX.XXX.XXX: ICMP echo request, id 19708, seq 58, length 64
09:33:05.441115 IP 212.XXX.XXX.XXX > 87.XXX.XXX.XXX: ICMP echo reply, id 19708, seq 58, length 64
09:33:05.441137 IP 212.XXX.XXX.XXX > 10.11.0.5: ICMP echo reply, id 61649, seq 58, length 64
09:33:06.456799 IP 87.XXX.XXX.XXX > 212.XXX.XXX.XXX: ICMP echo request, id 19708, seq 59, length 64
09:33:06.465186 IP 212.XXX.XXX.XXX > 87.XXX.XXX.XXX: ICMP echo reply, id 19708, seq 59, length 64
09:33:06.465207 IP 212.XXX.XXX.XXX > 10.11.0.5: ICMP echo reply, id 61649, seq 59, length 64
For every request i see two replies, one with my public IP as DST and one with my private IP as DST. Whats even more strange, when i start the tcpdump with -Q out i see only my request and with -Q in i see the two replies. At first i thought the Opnsense gets the answer, replaces the DST with my private IP and then something went wrong while routing it but then it should be an outgoing package and not an incoming. it makes absolutely no sense that i see the second answer package as incoming because if its coming from the internet it shouldn't be routed to me and even if it is routed to me the WAN interface shouldn't accept it because its for another IP.
I think its a problem of the opnsense and not my internet provider because my private IP should not be known outside my network.
My Opnsense is also connected to a consumer conntection. When i create a route transmitting the pings via this consumer connection instead of my business connection i get an answer as expected and everything works.
Whats also strange and i don't know if its a part of the same or another problem: before i got my business internet connection two weeks ago my wan interface was connected to the private network with the consumer internet connection and i used this connection. Since i switched to my own connection and connected the wan interface to the modem (via a lancable, one direct connection, nothing else involved) two or three times after a reboot the wan interface got the IP it got when it was connected to the private network. When i go to Interfaces -> overview and click the "reload" button for the WAN interface it gets the right IP. That does not happen at every reboot but sometimes.
I can't explain how this problems can occure. it makes absolutely no sense. Maybe something is really broken in my opnsense installation, maybe i have to start from scratch but because of my many networks and firewall rules i don't wanna do it.
Thanks for your help
Adrian
i have a really strange problem. When i try to ping a specific host i don't get an answer but see the answer appear two times on the WAN interface. Here is my setup:
I have an Opnsense as a router with a business optical fibre internet connection connected to the WAN interface. The Opnsense runs as a VM and the WAN interface is accessed via PCI passthrough so only the Opnsense VM can access it. I have a bunch of LAN interfaces, e.g. one for my home net, one for my IoT devices, one for my business devices and one which is connected to another private network behind a consumer internet connection.
Everything seems to work fine, but i can't connect to or ping my cloud telephone system over my business connection.
I tried to debug it and run a ping from my PC in my home lan net (IP 10.11.0.5) to my telephone system (IP 212.XXX.XXX.XXX) while running a tcpdump on my Opnsense on the WAN interface (IP 87.XXX.XXX.XXX). My PC doesn't get an answer from my telephone system but i see the following on my WAN interface:
root@OPNsense:~ # tcpdump -i ix1 icmp -n
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
listening on ix1, link-type EN10MB (Ethernet), snapshot length 262144 bytes
09:33:04.408713 IP 87.XXX.XXX.XXX > 212.XXX.XXX.XXX: ICMP echo request, id 19708, seq 57, length 64
09:33:04.417134 IP 212.XXX.XXX.XXX > 87.XXX.XXX.XXX: ICMP echo reply, id 19708, seq 57, length 64
09:33:04.417150 IP 212.XXX.XXX.XXX > 10.11.0.5: ICMP echo reply, id 61649, seq 57, length 64
09:33:05.432725 IP 87.XXX.XXX.XXX > 212.XXX.XXX.XXX: ICMP echo request, id 19708, seq 58, length 64
09:33:05.441115 IP 212.XXX.XXX.XXX > 87.XXX.XXX.XXX: ICMP echo reply, id 19708, seq 58, length 64
09:33:05.441137 IP 212.XXX.XXX.XXX > 10.11.0.5: ICMP echo reply, id 61649, seq 58, length 64
09:33:06.456799 IP 87.XXX.XXX.XXX > 212.XXX.XXX.XXX: ICMP echo request, id 19708, seq 59, length 64
09:33:06.465186 IP 212.XXX.XXX.XXX > 87.XXX.XXX.XXX: ICMP echo reply, id 19708, seq 59, length 64
09:33:06.465207 IP 212.XXX.XXX.XXX > 10.11.0.5: ICMP echo reply, id 61649, seq 59, length 64
For every request i see two replies, one with my public IP as DST and one with my private IP as DST. Whats even more strange, when i start the tcpdump with -Q out i see only my request and with -Q in i see the two replies. At first i thought the Opnsense gets the answer, replaces the DST with my private IP and then something went wrong while routing it but then it should be an outgoing package and not an incoming. it makes absolutely no sense that i see the second answer package as incoming because if its coming from the internet it shouldn't be routed to me and even if it is routed to me the WAN interface shouldn't accept it because its for another IP.
I think its a problem of the opnsense and not my internet provider because my private IP should not be known outside my network.
My Opnsense is also connected to a consumer conntection. When i create a route transmitting the pings via this consumer connection instead of my business connection i get an answer as expected and everything works.
Whats also strange and i don't know if its a part of the same or another problem: before i got my business internet connection two weeks ago my wan interface was connected to the private network with the consumer internet connection and i used this connection. Since i switched to my own connection and connected the wan interface to the modem (via a lancable, one direct connection, nothing else involved) two or three times after a reboot the wan interface got the IP it got when it was connected to the private network. When i go to Interfaces -> overview and click the "reload" button for the WAN interface it gets the right IP. That does not happen at every reboot but sometimes.
I can't explain how this problems can occure. it makes absolutely no sense. Maybe something is really broken in my opnsense installation, maybe i have to start from scratch but because of my many networks and firewall rules i don't wanna do it.
Thanks for your help
Adrian
#3
German - Deutsch / Re: Warum wird ein Client gebl...
Last post by Patrick M. Hausen - Today at 11:13:34 AMGeh zurück auf 26.1 (Snapshot vorhanden oder wenigstens Backup?) und mach die Migration nochmal. Die nicht editierbaren Regeln gehören so nicht.
#4
26.7 Series / Re: 26.7.1_1 Firewall logging ...
Last post by SchengFui - Today at 11:01:57 AMso it looks like a bug in 26.7 and i have to wait until it gets fixed...
#5
German - Deutsch / Re: Warum wird ein Client gebl...
Last post by AlexanderB - Today at 10:59:57 AMIch hab das os-firwall-legacy plugin wieder deinstalliert, weil nichts zum export vorhanden ist und der Migrationsassistent nur ein schwarzer Bildschirm ist.
Ja die Schnittstellen haben ihren DHCP Bereich.
Soweit ich gelesen habe ist "DNSmasq DNS & DHCP" das Leichtgewicht und der Rest für sehr viele Clients.
Ich habe aber keine tausende Teilnehmer, daher benötige ich nichts großes.
Ich weiß ehrlich gesagt nicht genau was ich jetzt mache. Das nervt mich übelst, denn ohne DHCP auf der Schnittstelle komme ich mit meinen anderen Aufgaben auch nicht weiter.
Ich weiß jetzt jedenfalls, dass das Teil "DNSmasq DNS & DHCP" eine Macke hat und da muss ich mir was überlegen.
Danke
Ja die Schnittstellen haben ihren DHCP Bereich.
Soweit ich gelesen habe ist "DNSmasq DNS & DHCP" das Leichtgewicht und der Rest für sehr viele Clients.
Ich habe aber keine tausende Teilnehmer, daher benötige ich nichts großes.
Ich weiß ehrlich gesagt nicht genau was ich jetzt mache. Das nervt mich übelst, denn ohne DHCP auf der Schnittstelle komme ich mit meinen anderen Aufgaben auch nicht weiter.
Ich weiß jetzt jedenfalls, dass das Teil "DNSmasq DNS & DHCP" eine Macke hat und da muss ich mir was überlegen.
Danke
#6
German - Deutsch / Re: Warum wird ein Client gebl...
Last post by Patrick M. Hausen - Today at 10:51:30 AMQuote from: AlexanderB on Today at 10:30:42 AMWie meinst du eingeschaltet? Also unter "DNSmasq DNS & DHCP" in den Einstellungen die Häkchen auf den Schnittstellen, ja.
Ja, das meinte ich. Und du hast auch Bereiche/Netze definiert für diese Schnittstellen/VLANs? Vielleicht braucht DNSmasq ja beides. Ich benutze selbst Kea.
Ich würde aber wirklich erst mal das Legacy-Plugin installieren und die Firewall-Regeln aufräumen bzw. die Migration nochmal richtig machen. Evtl. stolpert der DNSmasq ja darüber. So wie Du es im Moment hast, kann es ja offensichtlich nicht bleiben.
#7
German - Deutsch / Re: Warum wird ein Client gebl...
Last post by AlexanderB - Today at 10:30:42 AMGut das man Fehler der Technik immer auf die DAUs schieben kann. Sehe ich komplett anders. Wenn der Programmierer es dem DAU ermöglicht, etwas zu konfigurieren, was nicht im Scope liegt, dann liegt das Problem an schlechter Programmierung. So habe ich es jedenfalls gelernt.
Also ich hab Testweise mit "DNSmasq DNS & DHCP" rumgespielt.
Alle Schnittstellen entfernt und das Häkchen bei "DHCP-Firewall-Regeln registrieren" entfernt.
Siehe da, "DNSmasq DNS & DHCP" hat die automatischen Regeln in der Firewall entfernt.
Jetzt hab ich wieder alle Schnittstellen aktiviert und das Häkchen bei "DHCP-Firewall-Regeln registrieren" wieder gesetzt.
Siehe da, "DNSmasq DNS & DHCP" hat wieder automatische Regeln in der Firewall hinzugefügt.
Was mich jetzt aber wundert ist, dass "DNSmasq DNS & DHCP" wieder nur bei der Hälfte der Schnittstellen in der Firewall die automatischen Regeln hinzugefügt hat und bei der anderen Hälfte nicht.
Wie meinst du eingeschaltet? Also unter "DNSmasq DNS & DHCP" in den Einstellungen die Häkchen auf den Schnittstellen, ja.
Also ich hab Testweise mit "DNSmasq DNS & DHCP" rumgespielt.
Alle Schnittstellen entfernt und das Häkchen bei "DHCP-Firewall-Regeln registrieren" entfernt.
Siehe da, "DNSmasq DNS & DHCP" hat die automatischen Regeln in der Firewall entfernt.
Jetzt hab ich wieder alle Schnittstellen aktiviert und das Häkchen bei "DHCP-Firewall-Regeln registrieren" wieder gesetzt.
Siehe da, "DNSmasq DNS & DHCP" hat wieder automatische Regeln in der Firewall hinzugefügt.
Was mich jetzt aber wundert ist, dass "DNSmasq DNS & DHCP" wieder nur bei der Hälfte der Schnittstellen in der Firewall die automatischen Regeln hinzugefügt hat und bei der anderen Hälfte nicht.
Wie meinst du eingeschaltet? Also unter "DNSmasq DNS & DHCP" in den Einstellungen die Häkchen auf den Schnittstellen, ja.
#8
German - Deutsch / Re: Warum wird ein Client gebl...
Last post by Patrick M. Hausen - Today at 10:21:38 AMEs gibt keine "versteckten Bugs", die an deiner Situation schuld sind. Du hast die Konfiguration vergurkt.
Hast du den DHCP-Server auf den Schnittstellen, auf denen keine Regeln liegen, auch eingeschaltet?
Hast du den DHCP-Server auf den Schnittstellen, auf denen keine Regeln liegen, auch eingeschaltet?
#9
German - Deutsch / Re: Warum wird ein Client gebl...
Last post by AlexanderB - Today at 10:16:55 AMIch merke auch gerade, die Hälfte meiner Schnittstellen hat die automatischen Regeln des DHCP und die andere Hälfte nicht.
Ich bräuchte doch im Grunde nur die Möglichkeit, dass "DNSmasq DNS & DHCP" alle Regeln einmal neu erstellt. Und falls es schon so eine Regel auf der Schnittstelle gibt, soll "DNSmasq DNS & DHCP" diese Regeln nicht erzeugen, sodass keine Duplikate entstehen.
Aber die Frage die sich mir dann stellt ist, wie viele versteckte Bugs mich mit OPNsense in Zukunft noch quälen werden und ob ich alle Konfigurationsänderungen handschriftlich mir notieren muss, falls ich mal ein 1 Jahr altes Backup einspielen muss.
Ich bräuchte doch im Grunde nur die Möglichkeit, dass "DNSmasq DNS & DHCP" alle Regeln einmal neu erstellt. Und falls es schon so eine Regel auf der Schnittstelle gibt, soll "DNSmasq DNS & DHCP" diese Regeln nicht erzeugen, sodass keine Duplikate entstehen.
Aber die Frage die sich mir dann stellt ist, wie viele versteckte Bugs mich mit OPNsense in Zukunft noch quälen werden und ob ich alle Konfigurationsänderungen handschriftlich mir notieren muss, falls ich mal ein 1 Jahr altes Backup einspielen muss.
#10
26.1, 26,4 Series / Re: Rules migration - has some...
Last post by ZPrime - Today at 10:15:46 AMWizards (for both firewall and outbound nat) worked great, I just dumped the CSVs and then imported and then cleared the old rules.
I have some fairly complicated stuff going on (dual-wan using gateway groups for failover, but with specific source IPs forced out certain gateways for monitoring) and it all seems to have moved over just fine. Upgraded to 26.7.1 without issue as well. :)
Going to have to tackle the DHCPd migration at some point next, thanks for the pointer dseven
I have some fairly complicated stuff going on (dual-wan using gateway groups for failover, but with specific source IPs forced out certain gateways for monitoring) and it all seems to have moved over just fine. Upgraded to 26.7.1 without issue as well. :)
Going to have to tackle the DHCPd migration at some point next, thanks for the pointer dseven
