Automatisch generierte Regeln umgehen/löschen

[user797979]

Hallo,

undzwar war ich mehrere Wochen an der Installation und Konfiguration des OPNsense dran. Das heißt ich bin ganz neu drin.

Jedoch habe ich Versucht mit einem Mini-Computer, zwei weitere Geräte anzuschließen und die gegenseitig zu pingen. Erst erfolgreich, dann erfolglos...

Ich habe insgesamt 4 Ports, einer ist mit meinem Netzwerk besetzt (LAN1).
LAN2 für mein 1. Gerät und LAN3 für mein 2. Gerät.

Ich habe es anfangs mit einer Bridge versucht, dann habe ich schnell gemerkt das mir die Automatisch generierte Regeln im Weg stehen.
Somit habe ich die Floting rules entdeckt und verstanden weshalb sie sich nicht anpingen können (Default deny / state violation rule).
Mit der Floating rule konnte ich den Gesamten Datenverkehr erlauben da sie ja über den Automatisch generierten Regeln stehen. Erfolg.

...los. Die Bridge habe ich somit garnicht benötigt, welches jedoch mein Ziel war um auch spezifischere Regeln für den Datenverkehr erstellen zu können.


So in etwa schaut es aus (Das bild ist aus dem Internet Quelle: siehe unten)
Ich hoffe das Bild wird so angezeigt

Vielen dank für eure Hilfe


Quelle: https://administrator.de/forum/floating-rules-bei-opnsense-7569557798.html
Datum: 18.09.2024 - 10:26 Uhr

[Patrick M. Hausen]

Willst du die einzelnen PC voneinander trennen? Dann brauchst du an jedem Interface jeweils ein eigenes Netzwerk. Z.B. 192.168.10/24, 192.168.2.0/24, ...

Sollen die alle in eine, Netz sein und frei miteinander kommunizieren und ggf. nur unterschiedliche Firewall-Regeln bekommen? Dann brauchst du eine Bridge. Da funken auch die automatischen Regeln nicht daziwschen.

Wichtig ist, dass man dann das LAN-Interface der Bridge zuweist und die beiden Tunables aus der Dokumentation setzt.Sonst funktioniert es nicht.

[user797979]

Hallo Patrick, danke für deine Antwort.

Sie sollten alle in einem Netz sein.
Auf meiner Bridge sind nun die Schnittstellen LAN2, LAN3, und LAN4 zugewiesen. Dass hießt das LAN1 (verbunden an mein eigenes Netzwerk) nicht mit inbegriffen ist, es aber so sein sollte?

[Patrick M. Hausen]

Ja. Wenn du nur WAN und LAN haben willst und alle Ports gemeinsam als LAN wie bei einem Standardrouter, dann müssen alle Schnittstellen außer WAN Teil der Bridge werden und die Zuordnung und IP-Konfiguration muss "umziehen". Ist doch alles in der Doku ausführlich erklärt?

https://docs.opnsense.org/manual/how-tos/lan_bridge.html

[user797979]

Mit der Dokumentation bin ich irgendwie nicht zurecht gekommen, frag nicht wieso

Aber danke dir hat nun funktioniert. 
Gibt es im Forum denn auch etwas über VLAN konfiguration? Danach habe ich ebenso gesucht, jedoch nichts richtiges gefunden.

[Patrick M. Hausen]

Was hast du denn konkret vor mit VLANS?

[user797979]

Ich möchte meine LAN Ports so zuweisen das sie sozusagen miteinander nix zu tun haben.

Z.B. ich habe zwei VLANs (Gäste und Büro). Ich möchte es so konfigurieren, dass sich Büro an Gäste pingen kann, jedoch Gäste nicht an Büro. Ein VLAN ist ja kurz gesagt ein großes Netzwerk, unterteilt in kleinere Netzwerke?
Wenn ich das hinbekomme, sollte ich auch wieder spezifischer mit den Regeln eingehen können, für das was ich eigentlich vor habe, sind ja alles gerade nur Tests.

[Patrick M. Hausen]

Naja, dann nimmst du einfach die Bridge wieder weg und weist jede Port einen eigenen IP-Adressbereich/Netzwerk zu - fertig.

VLANs brauchst du nur wenn du einen managed Switch an einen Port der OPNsense und dann mehrere getrennte Netze aus dem Switch rauskommen sollen. Analog dasselbe mit einem Access Point - ein Kabel zur OPNsense, mehrere SSIDs, jede ein VLAN.

Ohne Bridge sind die Interfaces von Haus aus getrennt.