Verständnisfrage: Firewall, (D)NAT und Regeln, nur erlauben was benötigt wird.

[bobbis]

Hallo,
ich habe Kabelinternet mit einem Kabelmodem, welches als Router fungiert, dahinter läuft die OPNSense,
ich würde gerne alles an Traffic auf der OPNSense verbieten und nur erlauben was ich wirklich benötige, als bsp.: DNS/HTTP(s)! Das ganze läuft, wenn ich soweit richtig informiert bin dann wohl alles als double NAT, weil ja der Kabelrouter schon eine private IP hat und die OPNSense dahinter ja auch.

Wie gehe ich nun am besten vor, alles auf der Sense zu sperren (Traffic), muss ich dazu die (Transparent Filtering Bridge) einrichten und dann, wie gehe ich weiter vor, dann muss ich mit floating Regel arbeiten, bzw. Aliase oder wie funktioniert das ganze mit NAT, dass ich auch mal ins internet komme wenn ich "automatic NAT rule generation" abschalte ?

Danke

[JeGr]

> Das ganze läuft, wenn ich soweit richtig informiert bin dann wohl alles als double NAT, weil ja der Kabelrouter schon eine private IP hat und die OPNSense dahinter ja auch.

So du das Kabelmodem nicht direkt in einen Modem only Modus zwingen kannst, ist das richtig.

> Transparent Filtering Bridge

Was hat eine Bridge mit Filtern zu tun? Du schreibst ja schon, dass du wahrscheinlich 2 NATs haben wirst. Bei ordentlichem Routing-Setup ist das richtig. Da muss keine Bridge oder Ähnliches konfiguriert werden.  Auch mit keiner Floating Regel oder sonst irgendwas. Du erlaubst einfach genau das was du möchtest auf dem LAN und schaltest die "allow any" Regel ab bzw. löschst sie. Dann wird auch nur noch das rausgelassen was soll.

> wie funktioniert das ganze mit NAT, dass ich auch mal ins internet komme wenn ich "automatic NAT rule generation"

Und warum willst du das abschalten? Wenn es läuft, lass es doch an. Wenn etwas funktioniert wie es soll, ist es doch unnötig es abzuschalten oder auf manuell zu setzen? Du brauchst manuell nur, wenn du gezielt das ausgehende NATting anders Regeln möchtest als das interne Netz auf die WAN Adresse zu NATten. Ansonsten kann das einfach an bleiben. Kein Grund daran zu schrauben.

Gruß