Anfängerfragen

[0zzy]

Hallo miteinander,
ich würde opnsense gern ausprobieren.
Dazu habe ich folgende Fragen:

Aktuell nutze ich eine FritzBox 7590 AX , hier würde ich das Wifi gern weiter verwenden (Mesh).
Ist das überhaupt möglich oder benötige ich hier weitere Hardware?

Mein Setup wird auf meinem Proxmox Server in einer VM realisiert.

Provider ist 1und1.

Sollte ich noch etwas vergessen haben / ihr Infos benötigen lasst es mich wissen.


Edit: ich vermute das sollte gehen, opnsense einfach zwischen die hosts schalten und am separaten port der FB anschliessen.
Entsprechend die schnittstelle (vmbr1) taggen und an der opnsense konfigurieren.

Hinweis: Mir geht es hauptsächlich darum, ein VLAN für meine Proxmox Geschichten zu haben.
Die Schnittstellen an der FB sollen weiterhin genutzt werden (kein Bridgemode oder Modem Mode (wie auch immer das heisst bei der FB).

[Saarbremer]

Hi,

ich verstehe nicht genau, welche Richtung du das machen willst (FB als 1. Gerät am ISP oder "hinter" OPNSense), aber beides funktioniert. Sowohl IPv4 als auch IPv6 mit Präfixdelegierung.

[meyergru]

Willst Du eine Art abgeschottete DMZ für die Proxmox-Gäste?

Das geht zwar mit der OpnSense hinter der Fritzbox, allerdings bekommst Du dann ein Problem: Da Du auf der Fritzbox keine Route für ein weiteres Netz einrichten kannst, würde sich die DMZ nur per NAT auf das WAN der OpnSense mappen lassen.

Dann kann aber jede VM in Dein eigentliches LAN, weil es ja auf eine LAN-Adresse geNATet wird. Damit wäre die Abschottung wieder perdu.

Es ist daher eigentlich sinnvoll, die OpnSense als zentrales Gateway usw. zu nutzen und die Fritzbox nur als IP-Client dahinter. VoIP geht damit, die Switch-Ports (eigentlich Bridge-Ports) auch und als WLAN-AP sollte man sie auch nutzen können. Gast-WLAN ist natürlich nicht.

[0zzy]

@tron80 nochmal von vorn:

also folgendes Problem (nach recherche):

FritzBox (im DSLITE VDSL) bietet 2 modi:
- Bridge Mode --> FB ist dann nur modem, kein Wifi mehr kein Mesh (welches ich allerdings benötige),
- PPPoE - Passthrough --> wäre die Option meiner wahl, aber mein ISP hat nur minderbemittelte AN, warte hier auf das "Backoffice" (was auch immer das sein mag, die bekommen nichtmal auf die kette mir einen non Lite Anschluss zur verfügung zu stellen),

Mein Aufbau wäre folgendeder:

FB --> Proxmox --> OPNSENSE --> VLAN Tagged VMs

Im PPPoE sollte mein vorhaben rein technisch gesehen funktionieren insofern ich alles mit festen IPs im Subnetz 10.0.1.0/24 vergebe sind die Büchsen auch im 10.0.0.0/24 Netz erreichbar und umgekehrt (natting gibts da nicht insofern ich das richtig aus den Dokumentationen entnehme).

Ging alles vor einiger zeit mit pfsense eben genau so, aber die Konfig ist ein wenig anders als bei OPNSense.

@meyergru nein keine DMZ aktuell, möchte ich später in einem separaten netz auch über die opnsense und proxmox mit nat bridges realisieren, ist aber noch zukunftsmusik

zu dem:
Es ist daher eigentlich sinnvoll, die OpnSense als zentrales Gateway usw. zu nutzen und die Fritzbox nur als IP-Client dahinter. VoIP geht damit, die Switch-Ports (eigentlich Bridge-Ports) auch und als WLAN-AP sollte man sie auch nutzen können. Gast-WLAN ist natürlich nicht.

Eben bei letzterem bin ich mir unsicher, ob wifi dann noch funktioniert, das wäre das wichtigste.

DHCP und co kann die OPNSense ja auch von daher ob das nun über die FB läuft oder der OPNSense ist mir hier ziemlich egal.

Wenn ich alles über die OPNSense realisieren könnte, ohne die WIFI funktionen zu verlieren wäre das natürlich, für meine zwecke ein Traum (also nicht das Guest, die sind mir zuwieder weil keine Zahlenden Kunden

Zum besseren verständnis folgende Videos:

https://www.youtube.com/watch?v=tVX2z85wGmg --> so ähnlich nur ohne dedicated server möchte ich es haben,

und

wie hier im video geschildert war mein alter aufbau, nicht genau so aber ähnlich und es lief tadellos
https://www.youtube.com/watch?v=gJLxWWPQ9hU&t=140s

einziger unterschied war, anderer ISP (KABEL/FTTB)


ich hoffe so wird mein vorgehen klarer.


Wichtig ist halt das ich zwei netze realisieren möchte, eins FB mit der Adresse 10.0.0.0/24 und in Proxmox /OPNSense 10.0.1.0/24 oder ähnlich.

[0zzy]

hab da etwas gefunden im netz, könnte das so funktionieren und wenn ist da auch das wifi weg?

https://deer-it.de/fritzbox-7412-modem-bridge-mode-pppoe-passthrough/

AVM hab ich mal angeschrieben, das eine FB kein VLAN kann ist auch quatsch. Ok event. nicht alle FBs, manche aber schon.

[Monviech (Cedrik)]

Ich würde dir empfehlen die PPPoE Einwahl auf der Fritzbox zu lassen weil du einen DS-Lite Tunnel verwendest und das WLAN weiterverwenden willst. Ich kenne mich nicht so gut mit DS-Lite aus, aber ich hab gelesen dass die Einrichtung auf der Opnsense wohl nicht so trivial ist. https://forum.opnsense.org/index.php?topic=31312.msg151329#msg151329

Zwischen Opnsense und Fritzbox kannst du ein Transfernetz machen. Durch DS-Lite kann man kein Port Forwarding mit IPv4 machen, deshalb geht keine Funktionalität verloren.

Fritzbox
LAN1: 192.168.1.1/24
Static Route: 10.0.0.0/24 next hop 192.168.1.2
Static Route: 10.0.1.0/24 next hop 192.168.1.2
Exposed Host Regel: 192.168.1.2
^
| Netz: 192.168.1.0/24
v
Opnsense
WAN: 192.168.1.2/24
LAN 1: 10.0.0.0/24
LAN 2: 10.0.1.0/24
Default Route: 0.0.0.0/0 next hop 192.168.1.1
Outbound NAT ausschalten, macht die Fritzbox. Bogon Netze Filter auf WAN deaktivieren.

Auf der Opnsense in WAN, LAN1 und LAN2 erstmal Any/Any Regeln machen (Test Funktionalität und Troubleshooting) und dann nach und nach einschränken.

Für IPv6 kann man jetzt Prefix Delegation einrichten:
https://docs.opnsense.org/manual/how-tos/ipv6_fb.html

Ich glaube das funktioniert so, ich weiß dass man auf der Fritzbox statische Routen eintragen kann. Ich weiß nicht ob die Fritzbox alle Source IP Adressen mit Outbound NAT zulässt, wäre aber interessant zu wissen.

Durch das Routing werden Geräte im Fritzbox WLAN auf die Netzwerke der Opnsense zugreifen können, und umgekehrt. Lässt sich mit Firewall einschränken.

[0zzy]

@Monviech

das war glaub ich der hinweis den ich gesucht hatte.
Ich hab bis jetzt nur mal probiert ob die routen die ich angelegt hatte , allerdings nicht wusste ob die fb das auf die kette bekommt, auch funktionieren.

Dazu flux eine ubuntu lxc hochgezogen (server und gewisse clients werden bei mir immer statisch mit ips versorgt).

funktioniert einwandfrei.

jetzt muss ich aud meine zweite NIC warten...

D.h. aber auch im umkehrschluss, bezüglich des DSLite, das ich eine direkt WAN verbindung vergessen kann.

Naja ich muss mir OPNSense sowieso erst mal zu gemüte führen, DHCP sollte Sie auch können gehe ich von aus.

Dann würde ich das interne DHCP der FB Deaktivieren und auf OPNSense oder einen dedizierten DHCP verweisen.


Somit sollte das konstruckt mit VLANs auch einwandfrei funktionieren. Ich muss allerdings wenn ich dich richtig verstehe, für jedes Subnetz eine eigene static route konfigurieren korrekt?

[Monviech (Cedrik)]

Ja jedes Subnetz braucht eine statische Route auf der Fritzbox.

Oder du machst alle VLANs immer ins 10.0.0.0/8 oder 172.16.0.0/12 Netz.

Für 10.0.0.0/24, 10.0.1.0/24, 10.0.2.0/24 etc... brauchst du dann nur eine Route: 10.0.0.0/8 next hop 192.168.1.2.