Nutzung /29 Subnet an OpnSense

[Alex9779]

Hallo liebe Gemeinde,
ich habe irgendwie ein Problem das keines ist, weil es in der Praxis geht, aber alles was ich finde sagt, dass es falsch ist.
Daher wollte ich mal fragen, ob das ok ist, oder ob mit das irgendwann auf die Füße fallen kann.
Das ganze läuft so schon seit über 5 Jahren ohne Probleme nur bei einer anstehenden Umstellung habe ich jetzt Zweifel.

Konkret geht das darum, dass ich ein /29 Subnet habe, welches an eine OpnSense gerouted wird.
Zusätzlich hat diese OpnSense noch eine weitere öffentliche IP aus einem /26 Subnet.
Im WAN Interface ist diese angegeben mit /26, als Gateway der Gateway dieses /26 Subnet.
Die IPs des /29 Subnet habe ich als "Virtual IPs" dem selben Interface zugeaordnet. Allerdings mit /32 und auch alle 8 IPs. In der Dokumentation steht leider ohne weitere Erkläung bei "Virtual IPs" und "IP Alias": "Usually the subnet mask should match the interfaces or be defined as a single address (/32 or /128)."
In allem was ich finde heißt es, dass bei /29 nur 6 IPs nutzbar sind, faktisch nur 5 für Hosts, weil eine der Gateway belegt, die erste wäre die Netzadresse und die letzte die Broadcast.
Durch die Zuweisung als /32 zum Interface kann ich aber alle 8 nutzen, was ich seit über 5 Jahren auch tue, damals wohl etwas blauäugig eingerichtet bzw. nicht weiter drüber nachgedacht.

Es ist mir klar, dass wenn ich mehrere einzelne Geräte an einem Switch so betreiben würde, dass das nicht geht.

Mein Problem ist, dass wenn ich das jetzt "richtig" machen wollte, dann müsste ich einiges ändern, Dienste wieder zusammenfassen und hätte bei der anstehenden Umstellung einiges mehr an Downtime hinzunehmen.

Bei dem was ich zur Nutzung von /29 Subnets finde geht es auch immer darum die IPs an mehrere Geräte zu verteilen. Das mache ich ja nicht. Mir dienen die IPs nur als Filter für die OpnSense bei eingehenden Verbindungen und bei Ausgehenden kommt es ja darauf an von wo eine Verbindung initiiert wird, wenn ich von innen also nach außen hin eine bestimmte IP nutzen wollte, müsste ich das im NAT exlizit festlegen.

Grüße
Alexander

[knebb]

Moin,

mir ist noch nicht ganz klar, wie Deine Struktur aussieht. Die hast also 8 öffentliche IPs zur Verfügung, hast diese alle an ein WAN-Interface der OPNSense gepackt, richtig?
Wofür brauchst Du die IPs? Für Server o.ä. "hinter" der OPNSense? Die haben lokale (nicht öffentliche!) IPs und werden via Portforwarding vom Internet aus erreicht?

Oder was ist das Ziel?

/KNEBB