Mühsames Subnet aussperren

[MarroniJohny]

Mal eine dumme Frage: Was sind eigentlich die Plesk_TCP_Ports? Doch nicht etwa 80 und 443?

Doch schon, ja. Wieso?

[meyergru]

Naja. Dann ist es ziemlich klar. Die Anti-Lockout-Regel, die eigentlich für die UI der OpnSense gedacht ist, erlaubt den Zugriff für jedermann. Die der NAT-Regel zugeordnete Firewall-Regel greift dann nicht mehr, es sind ja die selben Ports.

Also solltest Du vorzugsweise den Port für die OpnSense von 443 auf einen alternativen Port verlegen und die Weiterleitung von Port 80 auf 443 für das UI abschalten oder unter Firewall: Settings: Advanced -> Disable anti-lockout einschalten (aber dann musst Du natürlich vorher selbst für den möglichen UI-Zugriff aus dem LAN sorgen).

 

[MarroniJohny]

hmm, okay. Kann ich die Regel nicht einfach dahingehend umgestalten, dass ich da nur vom LAN (Pilot Network) aus zugreifen kann? Das würde mir eigentlich reichen. Vom WAN aus will ich gar nicht, dass die Sense erreichbar ist.

[meyergru]

Genau das habe ich doch gesagt:

Also solltest Du vorzugsweise den Port für die OpnSense von 443 auf einen alternativen Port verlegen und die Weiterleitung von Port 80 auf 443 für das UI abschalten oder unter Firewall: Settings: Advanced -> Disable anti-lockout einschalten (aber dann musst Du natürlich vorher selbst für den möglichen UI-Zugriff aus dem LAN sorgen).

P.S.: Die Regel selbst kannst Du nicht "umgestalten", drück mal auf den Edit-Button und schau selbst, wohin Dich das führt...

[MarroniJohny]

Okay, musste da ellenlang mit der KI hin und her diskutieren, wieso da meine NAT Regel nicht zieht, und was das mit meiner Anti_Lockout_Rule zu tun hat. Habe das aber mittlerweile verstanden denk ich.

Aber kann ich jetzt mal bevor ich den Port zur Sense ändern muss (wtf?) wenigstens mal monitoren, auf welchen Dienst es die netten Ukrainer abgesehen haben? Die sind da weiterhin fleissig am Werk...

[viragomann]

Den Web GUI Port auf einen zu ändern, der nicht anderweitig genutzt wird, ist grundsätzlich zu empfehlen.

Warum die Anti-Lockout Regel am LAN irgendetwas vom WAN öffnet, ist mir aber nicht klar. Eine solche Erfahrung hatte ich auch noch nicht gemacht. Ich hätte angenommen, dass sich diese ausschließlich auf eingehende Verbindungen am LAN Interface auswirkt.

Für die Problemanalyse mit Verbindungen und Datenverkehr ist Firewall > Diagnostic > Packet Capture geeignet.