Probleme mit opnsense

[jacolani]

Mir sind mehrere Probleme aufgefallen, hauptsächlich nachdem ich openvpn server
eingerichtet habe und meine opnsense als Exposed Host in der Fritzbox eingerichtet habe,
und ich habe IPv6 in der Fritzbox aktiviert, im LAN selbst brauche ich es eigentlich nicht.
Natürlich weiß ich jetzt nicht, welche Probleme mit was genau Zusammenhängen. Deswegen fangen
wir doch einfach mal mit dem an was ich sehe:

1. oben Rechts erhalte ich plötlzich Nachrichten:
 ungelesene Mitteilungen
Der Nachrichteninhalt ist im Bild zu sehen. (siehe unten Bild 1)

2. Manche Dienste laufen nicht, bzw. ich muss die immer wieder manuel starten
Siehe Bild2. DHCP6 Server lässt sich z.B. garnicht starten.

3. Das WAN Interface wird immer wieder deaktivert, wenn ich das richtig verstehe (Siehe Bild3)

4. Kann ich die opnsense über die WebGUI auf Werkseinstellungen zurück setzen, oder geht das nur per Konsole.
Und zur Konsole: Kann ich die Serielle Verbindung während dem Betrieb einstecken und mich verbinden, oder muss die opnsense
booten. Bis vor der opnvpn Konfiguration habe ich ein Konfigurationsdatei gespeichert. Ich würde diese dann nach der Werksteinstellung
laden, oder ist es besser diese direkt zu laden?

[theq86]

1. sagt mir jetzt nix

2. Wenn du kein IPv6 brauchst/willst dann braucht dhcpd6 nicht laufen, genauso wenig wie radvd

3. Ja, scheint so

4. In der GUI: System -> Konfiguration -> Standardwerte

------------------
Generell: Bitte liefere doch n bissl mehr (weitaus mehr) Informationen wenn du gezielte Hilfe möchtest.
Das fängt an mit

- Was für ne Internetleitung (Kabel/DSL/Glasfaser/IPoAC)
- Welche Geräte sind an der Sense angeschlossen (mindestens WAN-seitig, besser auch LAN seitig)
- Wie sind diese Geräte ungefähr konfiguriert
- Wie ist die OPNsense konfiguriert (Interfaces - Static/DHCP/PPPoE usw)

und alles was man noch so im Zusammenhang erwähnen kann.

[franco]

2. Deutet schlicht darauf hin dass IPv6 nicht funktioniert. Die Standard-Konfiguration vermutet ein WAN DHCPv6 und LAN setzt Tracking auf WAN. Diese beiden Dinge sollte man entfernen oder entsprechend den Wünschen des ISP korrigieren in den Interfaces.


Grüsse
Franco

[jacolani]

2. Deutet schlicht darauf hin dass IPv6 nicht funktioniert. Die Standard-Konfiguration vermutet ein WAN DHCPv6 und LAN setzt Tracking auf WAN. Diese beiden Dinge sollte man entfernen oder entsprechend den Wünschen des ISP korrigieren in den Interfaces.
Grüsse
Franco

Das mit dem LAN Tracking habe ich nicht verstanden, um welche Einstellung geht es, bzw. wo entferne ich beide.
IPv6 einfach deaktiveiren, in den DHCPv6 Diensten?

[jacolani]

------------------
Generell: Bitte liefere doch n bissl mehr (weitaus mehr) Informationen wenn du gezielte Hilfe möchtest.
Das fängt an mit

- Was für ne Internetleitung (Kabel/DSL/Glasfaser/IPoAC)
- Welche Geräte sind an der Sense angeschlossen (mindestens WAN-seitig, besser auch LAN seitig)
- Wie sind diese Geräte ungefähr konfiguriert
- Wie ist die OPNsense konfiguriert (Interfaces - Static/DHCP/PPPoE usw)

und alles was man noch so im Zusammenhang erwähnen kann.

OK. Also ich habe es auf Werkseinstellungen per GUI gemacht, und dann wieder den stabilen Ausgang erstellt.
ISP ist O2, 25Mbit Leitung unf Fritzxbox. Nach den Problemen habe ich IPv6 wieder in der FB entfernt.
Ich sehe aber das das Interface WAN am opnsense, immer wieder aufhört zu leuchten. Am WAN habe ich die Frutzbox angeschlossen per DHCP erhalte ich eine feste IP. Dann habe ich zwei Switches an der opnsense angschlossen. Was mir da aufgefallen ist, ist das ein PC grün Leuchtet, der andere aber nur Orange (vielleicht hat das auch was zu sagen?)
Bei den zwei LANs habe ich per Firewall Regeln so gesetzt das LAN1 ins LAN2 darf aber nicht umgekehrt, und dann noch Blacklisten geblockt. Squid Porxy mit Clamav und i-cap ist auch aktiv, und hört auf beiden LANs.

[JeGr]

> und dann wieder den stabilen Ausgang erstellt.
...
> Bei den zwei LANs habe ich per Firewall Regeln so gesetzt das LAN1 ins LAN2 darf aber nicht umgekehrt, und dann noch Blacklisten geblockt. Squid Porxy mit Clamav und i-cap ist auch aktiv, und hört auf beiden LANs.

Also einerseits "neue Ausgangssituation" zum sauberen Aufsetzen, aber dann gleich wieder Proxy und AV und Gedöns draufgeklatscht? Wie wäre es erstmal _simpel_ zu starten und sich hochzuarbeiten zu dem was man erreichen möchte, anstatt gleich Kiloweise Kram anzuschließen, dabei aber noch Probleme mit den Basics zu haben? Just a thought

[jacolani]

Ja  hört sich gut an, aber ich habe nun folgendes gemacht, und würde gerne eure Meinung dazu wissen.
Es geht nun, nach dem ich folgendes gemacht habe. Wie schon erwähnt, IP6 in der Fritzbox deaktiviert, dann habe ich den DHCP Server in der Fritzbox deaktivert. Die FB hat ja dem Gerät eine feste IP zugewiesen, daher dachte ich sollte es auch ohne DHCP Server gehen.
WAN Interface in der opnsense ist auf DHCP. So läuft das nun. Ich wollte eigentlich im WAN Interface Static auswählen, aber dann muss ich im DHCP Server (Diensten-> DHCPv4) auch einen IP Bereich für WAN angeben, was doch keinen Sinn macht, weil die opnsense soll keine IPs vergeben, oder ich muss dann den DHCP Server aktiveiern, was genauso wenig Sinn macht (denke ich mal). Aus dem Grund habe ich WAN Interface auf DHCP gelassen. Nun leuchet auch das WAN Interface in der Opnsense.

2.
Wenn ich nun in der FB für das WAN in der opnsense nur einen Port frei gebe, fürs OpenVPN, dann sollte das doch reichen? ich muss doch nicht unbedingt "Exposed Host" wählen, oder

--> Halt ... Ups .. Ja leider zu früh gefreut. Nach dem es ca. ne Stunde ging, geht es jetzt wieder los. WAN ein, WAN aus siehe Bild oben.
Das Log sagt auch LinkUp und wieder Down. Langsam glaube ich das das Interface selber kaputt ist? Falls ja wie kann ich das sicher prüfen.
Log siehe Bild

[theq86]

Okay, das klingt jetzt vielleicht gemein, aber du scheinst in einigen Bereichen echt ein Defizit an Grundwissen zu haben. Bevor du dich an das Konfigurieren eines ausgewachsenen Firewallrouters machst, lern doch erst mal die Grundlagen korrekt. Hier eine Empfehlung: https://www.amazon.de/Computernetzwerke-Von-Grundlagen-Funktion-Anwendung/dp/3446448276/ref=sr_1_8?ie=UTF8&qid=1548315623&sr=8-8&keywords=netzwerke+buch


>Wie schon erwähnt, IP6 in der Fritzbox deaktiviert, dann habe ich den DHCP Server in der Fritzbox deaktivert.
>Die FB hat ja dem Gerät eine feste IP zugewiesen, daher dachte ich sollte es auch ohne DHCP Server gehen.

Nein! Der DHCP Server ist ja gerade dafür da, damit Maschinen sich eine IP Adresse aus dem Netz vom Router (in deinem Fall die FritzBox) holen können. Diese Zuweisung ist nicht zwingend dauerhaft und schon gar nicht, wenn dann der DHCP Server ausgeschaltet ist

>WAN Interface in der opnsense ist auf DHCP.

Du hast doch DHCP auf der FritzBox ausgeschaltet! Und jetzt soll sich OPNsense seine IP via DHCP holen? Merkste was? ;-)

> So läuft das nun.

Ja. 5 Min, ne Stunde oder so, bald nicht mehr.

> Ich wollte eigentlich im WAN Interface Static auswählen, aber dann muss ich im DHCP Server (Diensten-> DHCPv4) auch einen IP Bereich für WAN angeben

Das stimmt nicht. Auf WAN lässt man idR. keinen DHCP Server laufen. Den kann man auch deaktivieren.

Also weise bitte deiner WAN Schnittstelle eine statische Adresse aus dem Netz der FritzBox zu

> weil die opnsense soll keine IPs vergeben

Wie gesagt, dann DHCP auf der Sense ausschalten. Aber du musst wissen, dass dann alle Geräte am LAN der Sense sich ihre IP Adresse auch statisch setzen müssen. Und solltest du noch andere Geräte an der FritzBox haben müssen die aufgrund des DORT auch deaktivierten DHCP Servers auch statisch gesetzt werden.

>Wenn ich nun in der FB für das WAN in der opnsense nur einen Port frei gebe, fürs OpenVPN,
>dann sollte das doch reichen? ich muss doch nicht unbedingt "Exposed Host" wählen, oder

Ja, das reicht. Aber ist eh egal, kann auch Exposed Host sein. Die Sense filtert ja eh noch mal.

>Halt ... Ups .. Ja leider zu früh gefreut. Nach dem es ca. ne Stunde ging,
>geht es jetzt wieder los. WAN ein, WAN aus siehe Bild oben.
>Das Log sagt auch LinkUp und wieder Down. Langsam glaube ich das
>das Interface selber kaputt ist?

Nix kaputt. Du hast WAN gesagt hol dir deine IP per DHCP. Aber der DHCP Laden hat zu.

Ich verweise dich hier noch mal auf meine ersten Sätze. Mach dich erst mit den Grundlagen vertraut. Nur weil man auf dem Parkplatz mit nem Smart rumkurven kann, kann man noch lange keinen Sattelschlepper fahren.

[jacolani]

Nix kaputt. Du hast WAN gesagt hol dir deine IP per DHCP. Aber der DHCP Laden hat zu.

Danke für deine Tipps. Die Grundlagen sind mir schon klar, genau das ist es auch was mich wundert. Ich habe über die GUI inder FB DHCP deaktiveirt, ganz sicher! Dann habe ich mehrmals einen Laptop an die FB angeschlossen, und erhalte trozdem eine IP per DHCP und kann dann normal surfen, wie kann das sein?

Ich probiere es noch mal ob das über die GUI in der opnsese geht, das ich WAN static mache, ohne gezwungen zu erden einen IP Bereich anzugeben.

Eine andere Frage, bzw. Lösungsmöglichkeit... Wenn ich in der FB eine statische Route zur opnsense einstelle, wird dann Firewall der FB außer Kraft gesetzt, oder muss ich trotzdem noch einen Port frei geben. So wie ich es verstehe wird dann alles an die opnsese weiter gereicht, also so wie dem Exposed Host.

[theq86]

>Die Grundlagen sind mir schon klar, genau das ist es auch was mich wundert. Ich habe über die GUI inder FB
>DHCP deaktiveirt, ganz sicher! Dann habe ich mehrmals einen Laptop an die FB angeschlossen, und erhalte
>trozdem eine IP per DHCP und kann dann normal surfen, wie kann das sein?

Dieser Effekt kann tatsächlich auftreten. Der DHCP Server der Fritz!Box ist zwar deaktiviert, aber der Computer hat sich selbst natürlich gespeichert, welche Adresse er via DHCP erhalten hat. Es gibt den Begriff der DHCP Lease Time. Wenn ein PC eine IP vom DHCP Server bekommt sagt der Server nicht nur: "Hier, haste", sondern sagt gleich noch mit dazu: "Ich geb dir das Ding jetz für ne Stunde erstmal. Du kannst natürlich vor Ablauf anfragen, ob du das Ding weiter haben willst, wenn nicht dann leg ich die Adresse wieder auf den Stapel 'zum Bedienen'"
Viele Rechner fragen innerhalb der Lease-Time den DHCP Server gar nicht noch mal an sondern gehen schlicht davon aus, dass sie diese Adresse jetzt einfach haben und diese auch für sie reserviert ist. Erst vor Ablauf der Lease Time verlängern oder erneuern sie den Lease. Das kann dazu führen, dass sich der PC trotz deaktiviertem DHCP Server die zugewiesene Adresse nimmt. Er kann ja nicht wissen, dass plötzlich der DHCP Server weg ist.

>Ich probiere es noch mal ob das über die GUI in der opnsese geht, das ich WAN static mache, ohne gezwungen
>zu erden einen IP Bereich anzugeben.

Der "IP Bereich" denn du bei Einrichtung des Interfaces eingeben musst, der hat rein gar nichts mit DHCP zu tun.
DHCP Zuweisungsbereiche stellst du unter Dienste->DHCPv4 ein. Was du in den Interface-Optionen bei statischer IP machen musst ist den Netzwerkpräfix angeben.
Diese Information braucht der Router um zu sehen welche Adressen im Netz sind und welche nicht, für seine Routingentscheidung.

Deine Fritz!Box ist standardmäßig konfiguriert mit 192.168.178.1/24
Der Sense musst du am WAN statisch eine Adresse aus diesem Bereich zuweisen und genau diesen Präfix auch verwenden. Deine Einstellung für die statische Adresse der Sense wäre zB. 192.168.178.x/24
Wobei du x fast nach Belieben wählen kannst (x darf nicht 0, 1 oder 255 sein)
Semantisch entspräche übrigens ein Präfix von /32 nur der einen gewünschten IP-Adresse.

>Wenn ich in der FB eine statische Route zur opnsense einstelle, wird dann Firewall der FB außer Kraft gesetzt

Nein! Eine statische Route sagt nur aus, dass Pakete in ein bestimmtes Netz über einen Router mit einer bestimmten IP weitergeleitet werden sollen. Da die Sense allerdings direkt im Netz der Fritz!Box hängt brauchst du keine statische Route. Bzw. wirst du keine sinnvollen Werte finden, die dich die Box überhaupt setzen lässt.
Auf den Status der Firewall hat das überhaupt keinen Einfluss.

Die Sache mit dem Exposed Host ist noch mal ne ganz andere Sache, Stichwort NAT.
Kurz gesagt: Exposed Host sagt nur, dass die Fritz!Box von außen alles durchlässt und an die Sense weiterleitet.
NAT findet grundsätzlich VOR dem Routing statt und ändert Quell/Zieladressen im IP Header.

[jacolani]

 
Sehr gute Erklärung, dafür vielen Dank! Bis auf eine kleine Sache, die ich nicht erwähnt hatte.
Dann habe ich mehrmals einen Laptop mit einem  "live System neu gestartet", an die FB angeschlossen, und erhalte trozdem eine IP per DHCP. Mein OS kann also nichts gespeichert haben, es sei denn UEFI etc. hat noch was damit zu tun.

Werde heute das ganze noch mal checken, und melde mich dann wieder.

[JeGr]

> Danke für deine Tipps. Die Grundlagen sind mir schon klar, genau das ist es auch was mich wundert. Ich habe über die > GUI inder FB DHCP deaktiveirt, ganz sicher! Dann habe ich mehrmals einen Laptop an die FB angeschlossen, und erhalte > trozdem eine IP per DHCP und kann dann normal surfen, wie kann das sein?

Also ganz ehrlich, die Grundlagen sind dir m.E. nicht klar. Ansonsten würdest du nicht an Stellen herumbasteln, die mit deinem Problem nichts zu tun haben bzw auf so wilde Hypothesen kommen wie DHCP Server ausmachen, aber DHCP Client dahinterhängen. Du solltest dich wirklich wirklich erstmal in Grundlagen Netzwerk und dann erweiterte Konzepte und Co einlesen damit du auch sicher verstehst, was du tust und warum.

IP6 in der Fritte abschalten bspw. tut dir genau gar nichts. Das kann an oder aus sein, das macht nichts. Im Gegenteil, irgendwann wird dann eben auch intern nix mehr gehen und die Leute müssen aufhören, ständig alles mit IP4 erschlagen zu wollen, weil mit denen eben irgendwann Schluß mit lustig ist

> dann brauch ich exposed host ja gar nicht

Willst du aber. In den meisten Fällen. Außer man ist Hardcore Bastler und frickelt sich vor der Sense und hinter der Fritte noch irgendwelche Geräte ins Netz was dann aber ganz schnell unübersichtlich wird und auch irgendwie den Sinn verfehlt, eine gute Firewall dahinterzubauen. Man möchte ja sinnvollerweise an einer Stelle dann sauber alles konfigurieren und steuern können ohne jedes Mal dann an die Fritte zu laufen und da noch erst irgendwas anlegen zu müssen.

> WAN ... DHCP

Will man nicht. Schau dir den DHCP Bereich der Fritte an (meist 2-254 oder derlei) und passe den auf 100-199 an oder mach ihn aus wenn da eh außer der Sense kein Gerät hinter ist. Dann konfiguriere deine Sense auf statische IP im Fritzbox Netz (meist 192.168.178.x) auf bspw. die .2 und als Gateway die Fritte mit .1
Dann gibts auch keine komischen Aussetzer mehr durch DHCP oder die IP ändert sich plötzlich doch mal etc.
Exposed Host dann auf die .2 konfigurieren und dann kommt "alles Internet*" erstmal auf der OPNsense an.

Und dann kannst du mit deinem LAN weitermachen

[monstermania]

@jacolani
Wäre auch schön, wenn Du darauf hinweisen würdest, dass Du die gleiche Frage bereits in einem anderen Forum gestellt hast!   
Kannst Du dann auch gern im anderen Forum machen und auf Deine Frage hier verweisen!

Gruß
Dirk

[jacolani]

OK danke noch mal für Tipps der Grundlagen, aber finde das Problem gerade nicht, obwohl ich denke das es gehen sollte. Deswegen hier noch mall alle relevanten Einstellungen. DHCP habe ich bei allen Interfaces aus, außer für die interne Vergabe innerhalb des LANs da habe ich den DHCP Server aktiv, weil sonst muss ich ja jeden einzelen PC manuel einrichten. Die kann ich doch anlassen, oder sollte ich auch diese DHCP Server unbedingt abschalten.
Ich habe noch mal die FB kontrolliert und DHCP war an, obwohl ich es aus gemacht habe, ok habe es jetzt sicher aus, mehrmals kontrolliert, dann habe ich auch mit dem Rechner an der FB keine autom. IP erhalten, gut, manuele IP erstellt, und Gateway a PC und ich konnte normal mit dem PC surfen durch die Fritte. FB scheint also erstmal ok zu sein. In der Fritzbox habe ich die opnsense, die er ja schon länger kennt, den haken aktiviert "Feste IP" zuweisen. Exposed Host mach dann später erstmal sollte es auch so klappen.

Opnsense: Gateway habe ich für das WAN zusätzlich erstellt, also die (.49.1) von der FB: gatewasy_einzeln,
gateway-2

Link Up und Down am igb1 also WAN interface:  siehe Bild syslog, sysprotokoll-up-down

LAN und WAN interfaces: interface-ueberblick, interface-wan, lan-interface, WAN-interface

DHCPv4 (Dienste): dhcpv4-LAN, dhcpv4-wan2, dhcpv4-WAN-1
Firewall Regel WAN: firewall-Regeln-wan

Zu DHCPv4-WAN-Dienste: ich habe es nicht gespeichert, Standardeinstellung gelassen.

Habe ich hier irgend wo einen Fehler? ping aus dem LAN zu WAN (49.20) geht, auf das Gateway komme ich aber nicht (49.1)

[jacolani]

Weitere Bilder sind hier, und im nächsten post