VLANs / Regeln

[djwest]

Hallöchen,

ich bin ein wenig verwirrt. Ich habe eine OPNsense mit einem WAN Interface und 3 VLANs.
Bis jetzt dachte ich wenn ich Regeln für die VLAN Interfaces erstelle und nur bestimmten Traffic eingehend erlaube, dann wird auch nur dieser Traffic zu gelassen. Allerdings verhält es sich genau anders rum, ich muss Regeln für Outbound setzen damit alles andere geblockt wird, warum ist das so?

Was verstehe ich hier falsch?

Grüße

[Patrick M. Hausen]

Zeig doch mal mindestens eine Regel und erklär, was du damit erreichen willst. So wie im Moment formuliert ist es Kaffeesatzleserei.

[Saarbremer]

Hallo,

dieser Umstand erfordert zunächst einmal eine Einsicht in die Situation, was wohl "eingehend" und "ausgehend" bedeuten. Während bei "ausgehend" die Sache klar scheint, ist es bei "eingehend" schon schwieriger.

Die Pflanze auf meiner Fensterbank könnte zum Beispiel auch "eingehend" sein und dann weiß man aber nicht, ob sie jetzt Traffic sperrt oder erlaubt, geschweige denn, welche Schnittstelle an der Gieskanne davon betroffen ist. Der Griff vielleicht? Man weiß es nicht.

Jedenfalls ist eine wichtige Erkenntnis: Eingehende Regeln sperren keinen eingehenden Verkehr, wenn er nicht auf der gleichen Schnittstelle eingeht. Sonst geht die Regel halt mangels traffic ein.

Was vielleicht verwirrend klingt, lässt sich leicht am Beispiel erkennen.

Wenn du bestimmten Traffic provozierst, dann kommt der Traffic aus deinem Router-Interface ins Netzwerksegment und ist damit nicht eingehend, sondern ausgehend. Aus dem Router.

Und damit es erst gar nicht soweit kommt, blockierst du Datenverkehr, der am Router eingeht und in die weite Welt oder nur ins Nachbar VLAN will, damit die Regeln nicht eingehen.


Um also jeglichen Traffic aus einem VLAN X zu 1.1.1.1 zu unterbinden, schreibt man VLAN X src=any, dest=1.1.1.1 direction=IN

Viel Glück.

[djwest]

Guten Morgen,

danke schon mal für eure Antworten und sry das ich es etwas schwammig formuliert habe.
Mit eingehendem Traffic meine ich ich habe einen Apache Proxy, der leitet an die einzelnen Server in einzelnen VLANs Traffic weiter.
Es kommt Traffic an der WAN Schnittstelle an und wird direkt weitergeleitet an den Proxy und dieser leitet nun den Traffic verteilt an die VLANs weiter zu den Servern innerhalb der VLANs.
Jetzt sollten die Server in den jeweiligen VLANs nicht kommunizieren dürfen untereinander also Inter-VLAN Routing ist absolut nicht gewünscht.

[Patrick M. Hausen]

Dann brauchst du Regeln, die das verbieten ... auf jedem VLAN.

Oder du legst eine Interface-Gruppe an, packst da alle VLANs rein, und nennst die z.B. "Servers" oder "Restricted" und machst dann sowas wie im Anhang.

[djwest]

Danke dir. Allerdings dachte ich, dass Traffic bei angelegten VLANs standardmäßig verboten ist.

[Patrick M. Hausen]

Ist er ja auch. Wenn auf dem VLAN keine eingehende Regel liegt, kommt ein Server aus diesem VLAN nirgendwo hin.

Regeln in/out ist definiert aus der Sicht der Firewall. Die weiß ja nicht, was aus deiner Sicht "innen" und "außen" sein soll. "WAN" ist nur ein Name.

Also "in" ist, was zum Interface rein kommt. Wenn ein Server eine Verbindung aus dem VLAN ins Internet aufmacht, ist das "in" zu dem VLAN-Interface.

Man braucht praktisch nur "in" Regeln.

[djwest]

Okay für mich gerade etwas verwirrend. Bsp: VLAN100 in bedeutet für mich, das alles was rein kommt an VLAN100 ist in alles was aus VLAN100 raus geht ist out für mich.

Ich muss z.B. out Regeln setzen, damit VLAN110 nicht mit VLAN100 kommunizieren darf.
Das habe ich so getestet und verwirrt mich etwas.
Vielleicht bin ich einfach zu hohl gerade...

[Patrick M. Hausen]

VLAN100 in ist alles was von Servern im VLAN100 zum Interface rein kommt.
Firewall-Regeln sind aus Interface-Sicht. Ist bei jeder Firewall so.

[djwest]

Danke, logisch.