Dringender Hilfegesuch eines OPN neulings

[IT-Newbi]

Hallo Leute,

ich bin neu hier und hoffe, dass ihr mir helfen könnt.
Seit etwa 4 Jahren betreibe ich zuhause eine PFsense auf einer alten Securepoint RC100, die bisher gut funktioniert hat. Vor 2 Jahren habe ich ein abgelegenes Grundstück mit einer Hütte in der Natur erworben, ohne Strom, DSL, Wasser, etc. - einfach nur ruhig und gemütlich. Inzwischen habe ich an der Hütte eine Insel-/Garten-PV-Anlage mit Speicher, eine Grundwasserpumpe und alle notwendigen Dinge für den Betrieb mit Kindern installiert.

Bis November letzten Jahres hatte ich einen LTE-Cube von Vodafone mit Prepaid-Karte in der Hütte, der jedoch leider seinen Dienst versagte. Als IT-Enthusiast habe ich mehrere Router, Access Points und Switches im Keller liegen. So kam mir die Idee, die Hütte über den Winter smarter zu machen, ähnlich wie mein Zuhause. Bei mir zuhause habe ich an meiner FritzBox 7530 AX einen LTE-Stick als Failover angeschlossen und dachte, das könnte auch für die Hütte eine bessere Option sein als der Cube.

Ich habe also eine FritzBox 7590, die alte Securepoint RC100 und ein paar einfache nicht-managebare Switches aus dem Keller geholt. Beim ersten Versuch stellte sich heraus, dass ich mein altes Samsung A51 als USB-Modem verwenden konnte, was im Vergleich zum Cube recht flott war. Sogar 5G mit fast vollem Empfang war möglich, wenn ich das Handy ans Fenster legte.

Zuerst habe ich versucht, die laufende Konfiguration meiner Heim-PFsense zu klonen (SSD-Klon). Das funktionierte zuhause soweit, ich konnte die Geräte austauschen, die FritzBox hatte alle Einstellungen der 7530 übernommen und funktionierte. Also alles eingepackt und ab zur Hütte. Nach dem Aufbau aller Komponenten stellte sich jedoch heraus, dass nichts funktionierte - absolut kein Ping zu 8.8.8.8 oder 9.9.9.9 möglich. Also habe ich erneut mit den Einstellungen herumgespielt.

Nach längerer Recherche im Internet und verschiedenen Foren las ich oft, dass OPNsense einfacher und fortschrittlicher als PFsense sein soll. Also entschied ich mich, für die Hütte testweise OPNsense statt PFsense zu verwenden. Aber auch hier stoße ich an meine Grenzen. Mittlerweile habe ich das Handy, die RC100, die FritzBox und einen alten 24-Port-Switch wieder zuhause stehen und kämpfe seit 5 Wochen mit dem Aufbau. Selbst wenn ich die Grundfunktionen zuhause zum Laufen bekomme, funktioniert in der Hütte wieder nichts.

Warum überhaupt eine Firewall in der Hütte? Ganz einfach: Nachdem die Hütte in meiner Abwesenheit mehrmals aufgebrochen wurde, habe ich Kameras installiert. Ich möchte die Möglichkeit haben, über ein sauber laufendes VPN vom NAS zuhause Filme und Musik zu hören, die Bilder der Überwachungskameras zuhause auf meinen IoT-Panels anzuzeigen und die Smarthome-Geräte über meinen IoBroker-Server zuhause zu steuern und zu überwachen. Ein SSL-VPN-Port-Forwarding oder etwas Ähnliches zwischen zwei Firewalls erschien mir als die sicherste Lösung.

Zum Aufbau:

FritzBox 7590 mit A51 als USB-Modem.
IP-Konfiguration:
FritzBox: 192.168.1.2/24
OPNsense WAN: 192.168.1.1/32 mit Exposed Host auf der FritzBox
OPNsense LAN: 192.168.1.10/26
OPNsense Kamera/Alarm: 192.168.1.65/27
OPNsense IoT: 192.168.1.129/25
Die Switches unterstützen kein VLAN.

Für die aktuellen OPNsense-Konfigurationsbilder müsste mir jemand sagen, wie ich sie hier einfügen kann, ohne Ärger zu bekommen. Auch wäre es hilfreich zu wissen, von welchen Bereichen ich Screenshots machen sollte. Ich habe mittlerweile so viel ausprobiert und verändert, dass ich den Wald vor lauter Bäumen nicht mehr sehe. Meine Frau und Kinder machen mir schon die Hölle heiß, weil ich abends nur am Rechner sitze, und öfter mal das Internet weg ist, wenn ich mit den Firewalls zum Testen hantiere.

Bitte dringend um Hilfe. Ich wette, für einen Profi ist das ein Klacks. Ich bin sicher, ich habe irgendwo nur einen Haken vergessen oder zu viel gesetzt.

[Patrick M. Hausen]

Das hier:

FritzBox: 192.168.1.2/24
OPNsense WAN: 192.168.1.1/32 mit Exposed Host auf der FritzBox
OPNsense LAN: 192.168.1.10/26

geht so nicht. Du musst für OPNsense LAN und WAN unterschiedliche Adressbereiche benutzen. Also zum Beispiel:

Fritzox: 192.168.1.2/24 - das ist gleichzeitig der Defaultgateway für deine OPNsense an WAN
OPNsense WAN: 192.168.1.1/24 - wenn du hier /32 verwendest, kann die OPNsense nicht mit der Fritzbox sprechen
OPNsense LAN: 192.168.2.1/24 - also ein komplett anderes Netz als 192.168.1.0/24 - so funktioniert IP.

Gruß
Patrick

[Maurice]

Wozu überhaupt die Fritzbox? Stöpsel das Smartphone doch einfach direkt in die RC100. USB-Tethering unter Android ist schlicht Ethernet über USB, für OPNsense ist das daher ein ganz normales Ethernet-Interface.

Grüße
Maurice

[IT-Newbi]

Ich habe bereits mehrmals versucht, die Einstellungen über die GUI zu ändern, jedoch wird dabei jedes Mal alles von der OPNsense gelöscht, und ich erhalte nur noch eine APIPA-Adresse auf den Clients. Die Anpassungen über die Konsole hingegen funktionieren problemlos. Ehrlich gesagt, hatte ich die /32 beim Zurücksetzen heute Morgen übersehen, die OPNsense hat sie automatisch wieder gesetzt.

Aktuell habe ich folgende Konfiguration:

FritzBox (Fritte) mit der IP 192.168.1.2/24
OPNsense WAN mit der IP 192.168.1.1/24 und Exposed Host auf der FritzBox
OPNsense LAN mit der IP 192.168.2.1/24
OPNsense Kamera/Alarm mit der IP 192.168.3.1/24
OPNsense IoT mit der IP 192.168.4.1/24

Trotz dieser Anpassungen bekomme ich keine WAN-Verbindung zustande. Alle Pings in Richtung 8.8.8.8 oder 9.9.9.9 resultieren in 100% Verlust. Zusätzlich habe ich als Monitor bei IPv4 die Adresse 9.9.9.9 eingetragen, und das Gateway meldet weiterhin offline.

In den Gateway-Einstellungen habe ich folgende Konfiguration:

Schnittstelle WAN/re0
Adressfamilie IPv4
Adresse 192.168.1.1
Upstream Ja
Monitor IP 9.9.9.9
Prio 255

Trotz dieser Bemühungen scheint das WAN weiterhin nicht zu funktionieren. Jegliche Hilfe oder Ratschläge werden dringend benötigt. Vielleicht habe ich einen entscheidenden Schritt übersehen oder falsch gesetzt.

[IT-Newbi]

@Maurice, die RC befindet sich in einem Rack, praktisch in einem Erdkeller oder halben Bunker. Um eine Verbindung herzustellen, müsste ich ein USB-C-Kabel von mindestens 10 Metern verlegen. Außerdem nutze ich das originale WLAN der FritzBox für Gäste, und diese sollten sich nicht im gleichen Netzwerk befinden. Daher plane ich, separate ausgeblendete SSIDs zu erstellen – eine für IoT-Geräte, eine für die Kameras. Eine eigene SSID für mobile Geräte wie Handys, Tablets und TV-Sticks für die Kinder hinzu, um beispielsweise über eine Alexa-Musikwiedergabe zu verfügen.

[IT-Newbi]

Ich habe nun erneut Anpassungen an den Gateway-Einstellungen vorgenommen. In der Konfiguration sieht es folgendermaßen aus:

Schnittstelle WAN/re0
Adressfamilie IPv4
Adresse 192.168.2.1
Upstream Nein
Monitor IP 9.9.9.9
Prio 255

Nach dieser Änderung zeigt das Gateway nun als "Online" an. Allerdings werden im Firewall-Log alle Verbindungen aus dem LAN blockiert. Ich vermute, dass hier noch ein Problem in den Firewall-Regeln besteht. Aber welche ? Ping auf 8.8.8.8 ohne erfolg.

[Maurice]

Wenn die Fritzbox die 192.168.1.2 hat, dann musst Du auch diese Adresse in OPNsense als Gateway konfigurieren. Nicht die 192.168.1.1 oder die 192.168.2.1, das ist ja beides OPNsense selbst. Das kann sich schlecht selbst als Gateway verwenden...

[IT-Newbi]

Keine Änderung in sicht. Gateway geändert, aber ping geht nicht. Selbt any to any Regel ermöglicht keinen Ping.

[Maurice]

Ich empfehle eine etwas systematischere Vorgehensweise. Bekomme erstmal ein Basic-Setup zum Laufen. Weder benötigst Du dazu in der Fritzbox einen exposed Host (da im Mobilfunk von Ausnahmen abgesehen ohnehin keine eingehenden Verbindungen möglich sind), noch in OPNsense eine statische WAN-Konfiguration, irgendwelche zusätzliche Firewall-Regeln oder weitere LAN-Interfaces. Wenn es mal läuft kannst Du dann erweitern.

So Geschichten wie die Fritzbox gleichzeitig als Mobilfunk-Router und als AP für die OPNsense-LANs zu verwenden wird wahrscheinlich ohnehin schwierig bzw. nur mit alternativer Firmware möglich sein.

[IT-Newbi]

Genau das versuche ich gerade umzusetzen. Zuerst möchte ich eine Verbindung über die OPNsense nach außen herstellen. Wenn das funktioniert, kann ich mich um die weiteren Schritte kümmern. Ich habe das A51 nun direkt an die RC100 angeschlossen. In der Konsole wurde es auch erkannt, aber ich kann keinen Eintrag unter den Schnittstellen finden, wo ich es auswählen könnte.

[Maurice]

Interfaces: Assignments, dort beim Interface WAN das Device auf ue0 ändern.