Web Ui nicht mehr erreichbar (Anfänger braucht Eure Hilfe)

[skiworker]

Hallo,

ich habe das Problem, dass ich nicht mehr auf die Web - Oberfläche meiner OPNsense komme.
Ich habe den Zugriff der Web UI von HTTPS auf HTTP umgestellt, da das selbstsegnierte Zertifikat am 30.04.24 abgelaufen war. Seit dem ist die Web UI nicht mehr erreichbar. Zuvor konnte ich noch, durch Klick auf "zur unsicheren Website" auf die Web UI zugreifen. Die Umstellung auf HTTP für den Zugriff auf die Web UI war, naja wie soll ich sagen, eine Kurzschlussreaktion von mir, da dieses Zertifikat anscheinend auch für meine LAN-Webanwendungen auch verwendet wird. Ich konnte jedenfalls auch keine sichere HTTPS Verbindungen über NGINX Proxy Manager in meinem LAN aufbauen. Ob es an den abgelaufenen Zertifikat liegt, kann ich nicht genau sagen. Aus diesem Grund wollte ich jedenfalls ein neues Zertifikat erstellten und um mich nicht von der Web UI auszusperren, habe ich jedenfalls den WEB Zugriff der UI auf HTTP umgestellt. Aus jetziger Sicht ein Fehlschlag. Da der Zugriff via SSH noch funktioniert habe ich schon folgendes versucht:

Nach SSH Verbindung die Nummer 2 (Set interface IP address) gewählt, die IP-Adresse des LAN Schnittstelle (hier hänge ich mit dem PC dran) vergeben und die Web UI Settings auf Defaults zurückgesetzt. Er sagt dann auch, dass die Web UI unter "http://192.168.168.1" zu erreichen ist. Dem ist allerdings nicht so. Auch ein "configctl webui restart" und ein "configctl webui restart renew" in der Shell ( brachten kein Erfolg.  :'(

Ich habe noch eine Config.xml als Backup von meiner letzten Änderung im Dezember 2023.

Was kann ich tun, um dieses Problem zu beheben?
Ich brauch dringend Eure Hilfe.

Noch ein Wort am Schluss: Gehe ich richtig in der Annahme, dass ein "configctl webui restart renew" als erstes ausgereicht hätte, um das selbstsegnierte Zertifikat zu erneuern?


Gruß, euer verzweifelter
skiworker
 

[Saarbremer]

Hast du das NAT für Port 80 aus deinem anderen Problem wieder rausgenommen?

Falls nein, willst du möglicherweise mal schauen, auf welchem Port HTTP WebGui überhaupt läuft und dann dich auch damit verbinden. Ports kann man leider nicht mehrfach verwenden.

[skiworker]

Nein habe ich nicht, da der Port 80 aus dem Internet an den Reverse Proxy weitergeleitet werden muss.
Ich bin davon ausgegangen, wenn ich mich im internen Netzwerk befinde, das NAT nicht greift, da ich ja direkt die IP-Adresse der OPNsense aufrufe.

Ich habe aber mittlerweile folgendes feststellen müssen:
Ich habe meine ganzen internen Webanwendungen auf eine Subdomain gelegt (xxx.lan.meine-Domain.de) und diese alle über den Reverse Proxy über HTTPS (mit einem jeweiligen Letsencrypt Zertifikat) erreichbar gemacht.
Diese Subdomain ist nur über das interne Netzwerk erreichbar.
Also:
- Aufruf Opnsense über die IP-Adresse 192.168.xxx.xxx geht nicht (Webseite nicht erreichbar)
- Aufruf der Opnsense über Reverse Proxy geht (nachdem ich den Weiterleitungsport im Reverse Proxy von HTTPS (443) auf HTTP (80) umgestellt habe.

Meinst Du das liegt am NAT, dass ich die OPNsense über die IP-Adresse nicht erreichen kann, aber über die Subdomain schon?

Die Umstellung auf einen Port meiner Wahl für die Web UI der OPNsense würde also das Problem lösen?


Gruß
Skiworker

[skiworker]

Ach ja, eins noch...

Die WEB UI der OPNsense verwendet den Port 80

[Saarbremer]

Die Umstellung auf einen Port meiner Wahl für die Web UI der OPNsense würde also das Problem lösen?

Es ist grundsätzlich eine gute Idee, Ports an verschiedenen Interfaces nicht unterschiedlich zu belegen. Allein schon, weil man den Überblick verliert.

Zum Debuggen müsste man halt:
a) klären, wer wie auf welchen Port auf die Webgui zugreift
b) Checken, ob der Traffic ankommt
c) Checken, ob auf dem IF korrekt am Port gelauscht wird
d) Checken, ob das Firewall Live Log von Blockaden oder NAT berichtet, ggf. Logging vorher auf allen betroffenen Regeln aktivieren
e) Webgui Log inspizieren, ob ein Fehler vorliegt

Aber das ist halt Aufwand. Also rate ich einfach: Ja, ändere den Port und stell sicher, dass du in Zukunft mal genauer beschreibst was du da machst.

"Ich kann nicht zugreifen" kann > 1.000.000 Bedeutungen haben. Eine Fehlermeldung und auch die Anfrage selbst, inkl. Protokoll wäre mal ein Anfang gewesen.

[kruemelmonster]

Ich erlaube mir, dir einen "AusErfahrungBesserwisser"-Tip zu geben.
Sichere künftig vor Änderungen deine Konfiguration. Dann kannst du sie in Fällen wie diesem hier, über die ssh wieder zurückspielen. Ich spreche da aus eigener Erfahrung