Hilfe bei Grundeinrichtung Deutsche Glasfaser -> Opnsense -> Fritzbox 7590ax

[Mlaurich]

Guten Tag liebe Gemeinde,
nach einem eklatanten Sicherheitsproblem in meinem Heimnetz, verursacht vermutlich durch meinen 16 Jährigen Sohn mittels irgendwelcher Downloads und massiven finanziellen Einbußen, dank ausländischer IT-Sachkundiger, habe ich nach 2 Wöchiger Downtime und Reinigung, Reinstallation, Firmwareupdates ect. aller PC´s mich dazu entschlossen eine Firewall vor meine Fritzbox in Stellung zu bringen.
Bislang habe ich mich nur um mein Smarthome und die Fritzboxen gekümmert, daher bin ich warscheinlich von eurer Warte aus eher ein Azubi und bitte daher um Verständnis, ich arbeite daran besser zu werden.
Krankheitsbedingt habe ich dazu gerade auch Zeit.

Nach Tagen intensiver Einarbeitung in die Thematik habe ich einen alten Rechner umgebaut, mit 3 Netzwerkkarten ausgestattet und Opnsense installiert.
Problematisch wurde es dann bei der Einrichtung der Schnittstellen mangels Kenntnis der Einstellungen, mein Heimnetz hat aber nun seit gestern wieder Internet und auch die Fernseher laufen und der Nachwuchs gibt endlich Ruhe.

Mein Aufbau sieht im Groben so aus


Mein Problem: Sip Telefonie funktioniert aktuell nicht.
Ich brauche Hilfe bei den Grund-/ und den Firewalleinstellungen um dann hinterher sukzessiv weiter zu machen.

Ziel später ist es, über den Switch am Hauptverteiler die Kids über VLAN vom Restnetz zu isolieren, damit der Rotz sich nicht im ganzen Netz verteilt, wenn da mal wieder was reingeholt wird. Verhindern kann ich das eh nicht.

Hier wurde zwischendurch mal nach einer Möglichkeit gefragt kostenlos Netzwerkdarstellungen zu konzipieren
https://app.diagrams.net/ damit gehts

Edit: Sorry wegen dem Bild. Nun wirds angezeigt.

[W0nderW0lf]

Hi.

1. Wenn du einen Aufbau mit anderen teilen willst, lad das nicht in google hoch und mach das dann als privat, so dass die leute erst noch eine Berechtigungsanfrage an dich senden müssen. Die mühe macht sich keiner.. und ich auch nicht..
Es gibt hier im Forum einen Leitfaden wie man das sinnvoll hier abbilden kann. https://forum.opnsense.org/index.php?topic=7216.0
2. Ohne dein Diagram fällt es mir jetzt schwer nachzuvollziehen was genau du wie aufgebaut hast.
Was heißt "vor meine Fritzbox in Stellung bringen"? Deine Fritzbox ist doch die erste anlaufstelle für das Internet, richtig?
Ich würde die Firewall hinter deine Fritzbox stellen. Feste IP's vergeben und das DNS over TLS zwischen Fritzbox, OPNsense und außerhalb etablieren. Ich habe keine Sip telefone, aber eine kurze google suche spricht bände. https://www.reddit.com/r/OPNsenseFirewall/comments/14w1nq4/new_challenge_getting_voip_sip_to_work_with/?rdt=55141
3. An sich klingt es schon sinnig für die Kids ein eigenes kastrietes VLAN zu haben. Du solltest nur deine Firewall rules so aufbauen, dass sie zugriff auf die nötigsten ports haben. 80, 443, 25 und whatever sie noch für dienste brauchen.
OPNsense hat eine menge guter plugins die man sich zunutze machen kann. Zenarmor hat auch eine gute filterfunktion mit der du illegale seiten schon vorab blockierst.

Gibt einige guides da draußen. Man muss sie nur finden.
Hoffe das hilft.

[meyergru]

Ganz einfach:

1. Eingehende NAT für Ports 5060 (SIP) und 7078-7110 (RTP) zulassen.
2. Ausgehende NAT für die Fritzbox mit Static-port machen und in der Priorität vor die normale Outbound-NAT-Regel verschieben.
3. Konfiguration der Fritzbox mit "IPv4 bevorzugt", trotz CGNAT, denn der SIP-Registrar ist dg.voip.dg-w.de und der löst nur zu IPv4 auf.

Siehe Anhänge.

[Mlaurich]

Danke für eure Antworten.
Daraus ergeben sich für mich natürlich wieder neue Fragen.

Ich suche seit Tagen nach Quellen und Anleitungen, aber das als Einsteiger und Neuling in der Firewallwelt zu verstehen und zu behalten ist natürlich nicht so einfach.

Viele Anleitungen entsprechen halt nicht dem, was hier auf meinem Bildschirm steht. Die Anleitung von meyerguru hilft da schon weiter. Gibt aber immer noch vermittlungsfehler aus.

Ich lerne zwar autodidaktisch aber "learning by doing" ist in dieser Themenwelt echt müssig.

[meyergru]

Wenn die Anleitung nicht klappt, dann eventuell, weil Du die Fritzbox (welche von den drei?) offenkundig nicht als LAN-Client laufen lässt. Zumindest schließe ich das daraus, dass zumindest eine als DHCP-Server für das Gastnetz dient.

[Mlaurich]

Ja, da hast Du Recht. Ich dachte die könnte ich als DHCP Server nutzen (siehe Bild oben)
Ich nutze aktuell alle 3 Boxen als WLAN/GastWlan/AP im Mesh mit  Kindersicherung und Zeitschaltung und dachte eine Firewall ginge problemlos *vor* der Hauptbox, da das Ont ja eigenständig eine Adresse zuweist.
3 Boxen im Mesh deshalb, weil ich hier so viel Beton und Stahl in der Hütte habe, das eine WLAN Verknüpfung auch nur semi lief und ich daher alle Boxen mit CAT7 verdrahtet habe.

Läuft ja auch prinzipell, nur halt nicht so wie ich mir das vorgestellt habe.

Nachdem ich deinen Threat für Dummies aufmerksam gelesen habe, muss ich hier nochmal einiges überdenken und habe auch verstanden, warum meine Seitenfilter nicht laufen.


Dein Threat sollte hier eigentlich gepinnt werden, ich denke mit der Fritzbox fangen die meisten an

Hier nochmal für alljene die Anfangen mit der Thematik
https://forum.opnsense.org/index.php?topic=39556.0

Ich werde weiter berichten und fragen