DNS Server mit Captiv Portal nicht erreichbar

[Dieter Bosli]

Ich habe hier ein Setup von zwei OPNsense als HA mit vier Ports geschaltet. Dabei nutze ich nicht den in der OPNsense enthaltenen DNS-Server, sondern einen DNS-Server auf einem eigenen Host. Das läuft soweit gut
Neu habe ich ein VLan aufgebaut um Gäste in einem separaten Netzwerk abkapseln zu können. Auch das läuft gut.

Als nächsten Schritt habe ich für die Gäste ein Captive Portal konfiguriert und habe nun das folgende Problem:
Sobald das CP aktiviert wurde, erreichen die DNS-Abfragen den DNS-Server nicht mehr. Der liegt in einem anderen Subnetz an einem anderen Port der OPNsense. Das heisst ich kann die Abfragen auch im Log des DNS-Servers nicht sehen. Konsequenz, die Landing Page wird nie angesteuert.
Eine Firewall-Regel für die DNS-Abfragen ist erstellt und funktioniert auch ohne aktiviertes CP.

Nach zwei Tagen suchen, bin ich keinen Schritt weiter. Was muss auf der CP konfiguriert werden, damit die DNS-Abfragen funktionieren?

PS: Bei der Konfiguration bin ich weitgehend dieser Anleitung gefolgt:
https://docs.opnsense.org/manual/how-tos/guestnet.html
Habe natürlich die DNS-Regel mit der IP des DNS-Servers angepasst.

PS2: DHCP für das Gäste Subnetz funktioniert auch mit OPNsense wunderbar. Wurde auf dem VLan konfiguriert.

[Dieter Bosli]

Ich habe jetzt weiter gesucht. Gelöst ist es bei weitem noch nicht, aber folgende Erkenntnisse kann ich hier nachreichen:
- Zur Zeit habe ich die Firewall mit einer alle ist erlaubt Regel umgangen.
- DNS-Server erhällt immer noch keine DNS-Anfrage.
- Trage ich CP unter Hostname die CARP VIP und Erlaubte Adressen die CARP VIP und die IP's der beiden VLan-Interfaces meiner beiden OPNsense ein, werde ich beim Anmelden im Netz zwar immer noch nicht auf die Landing Page gelenkt, kann diese aber manuell über VIP:8000 erreichen und mich auch anmelden. -> Bisher mit der Lokalen DB und einer Lokalen Gruppe.
- Voucher-Betrieb geht nicht und reagiert auch nicht gerade so wie erwartet. -> aber eines nach dem andern...

Was muss ich machen, damit automatisch die Landing Page aufgeht?

[Dieter Bosli]

So ich konnte das Problem jetzt lösen.

Das Problem war primär bei der Einstellung Erlaubte Adressen zu suchen. Letzten Endes steht dort jetzt ausschliesslich die IP-Adresse meines DNS-Servers drin. Da ich nicht den in der OPNsense integrierten betreibe und er sich ausserhalb des Gast-Subnetzes befindet, muss für die DNS-Abfrage nicht nur die entsprechende Firewall-Regel angelegt, sondern eben auch eine Umgehung des Captive Portals konfiguriert werden.

Vielleicht hilft das in Zukunft jemandem etwas Zeit zu sparen.