OPNsense hinter A1 Router (Österreich)

[walterring]

Ich habe ein paar Newbie Fragen und hoffe auf Eure Unterstützung.

1.) Ich habe hier ein A1 Modem (Österreich) VV2220v2. Dieses ist noch im MU Modus (multiuser). Um das vernüftig mit OPNsense betreiben zu können (und doppeltes NAT zu vermeiden) muss ich das auf den SU Modus (Single User stellen), richtig?

2.) Ich habe einen VDSL2 Anschluss, das Modem zeigt mir derzeit, dass es VLAN 2 - PPP - PTM zur Einwahl verwendet. Ist das das gleiche wie PPPoE, also kann sich da OPNsense problemlos einwählen?

3.) Derzeit im MU Modus verwende ich 10.0.0.0/24 und 10.0.0.138 als Gateway, alle meine Clients im Netz haben also eine 10.0.0.* Adresse (das ist fix so vorgegeben von A1). Wenn ich jetzt auf SU Umstelle und OPNsense die Einwahl überlasse, dann muss ich ihm ja die 10.0.0.138 als Einwähladresse angeben, kann ich dann auf der LAN Seite das 10.0.0.0/24 Netz beibehalten, oder muss ich da auf ein anderes Subnetz umstellen?

4.) Wenn der WAN Adapter über PPPoE eingewählt ist, bekommt dann das WAN Interface die 10.0.0.138 oder die offizielle IP-Adresse von A1? Also ist dann vom Routing her ein 10.0.0.0/24 Zwischennetz, oder geht der dann direkt auf die offizielle IP-Adresse von A1? Muss ich in so einem Fall beim Installation Wizard die Einträge "Block private networks from entering via WAN" und "Block non-Internet routed networks from entering via WAN" wegklicken?

[Mks]

Servus Landsmann ;-)

Habe ein ähnliches Setup und kann dir ein paar Infos bereitstellen hab aber gerade keinen Zugriff auf mein System.

Lg

[Mks]

Hi,

muss ich das auf den SU Modus (Single User stellen), richtig?

Musst du nicht, ich habs als Multiuser gelassen. Die Internetverbindung baut weiter das A1 Modem auf.

3.) Derzeit im MU Modus verwende ich 10.0.0.0/24 und 10.0.0.138 als Gateway, alle meine Clients im Netz haben also eine 10.0.0.* Adresse (das ist fix so vorgegeben von A1).

Deine Clients können auch eine andere Adresse haben. zB so:

Code: [Select]

WAN / Internet
            :
            : PPPoE A1
            :
      .-----+-----.
      |  Gateway  |  (A1 Modem)
      '-----+-----'
            |
        WAN | IP 10.0.0.0/24
            |
            |
      .-----+------.   private DMZ   .------------.
      |  OPNsense  +-----------------+ DMZ-Server |
      '-----+------'   172.16.16.1   '------------'
            |
        LAN | 192.168.0.1/24
            |
      .-----+------.
      | LAN-Switch |
      '-----+------'
            |
    ...-----+------... (Clients/Servers)

OpnSense hat am WAN Port zB die statische IP: 10.0.0.50 und Upstream Gateway: 10.0.0.138.
Die anderen Netze an der Sense kannst du konfigurieren wie du willst.

fg

[walterring]

Danke vorerst mal.

Aber wenn ich das A1 Modem auf MU lasse, dann hab ich ja doppeltes NAT, das will ich eigentlich nicht. Weil da muss ich am A1 Modem Port-Forwardings einstellen, und dann auf der OPNsense nochmals. Doppeltes NAT ist nie gut.

[fabian]

Wenn es die Box schafft, kannst du zum Beispiel auch eine statische Route konfigurieren (172.16.0.0/12 an die OPNsense IP, ggf. weitere Netze) und dann kannst du einfach das NAT auf der OPNsense deaktivieren, sodass dies nur noch durch die A1-Box gemacht wird.

[Mks]

Wenn die Vermeidung des doppelten NATs deine Nr.1 Anforderung ist, dann wäre natürlich die Umstellung auf SU und die PPPoE Verbindung der Sense zu überlassen der sauberste Weg.

Um Opnsense "vernünftig", was immer damit auch gemeint ist , zu betreiben bedarf es dem aber nicht.

lg

P.S.: Wenn du ein laufendes Setup mit SU hast, lass es uns wissen, Danke

[walterring]

Klar, poste ich, sobald ich meine APU2D4 Kiste habe, sollte in den nächsten Tagen kommen.

[walterring]

So, hab jetzt getestet, funktioniert alles!

Mein Setup sieht so aus:


+----------------+
| A1 Modem in SU |
+----------------+
        |
        |
+----------------+
|    OPNsense    +
+----------------+
        |
        |
+----------------+
|      LAN       +
+----------------+   

Mein lokales Netz 10.0.0.0/24 konnte ich 1:1 beibehalten.

Ich musste zuerst mein Modem in den SU Modus stellen. Man kommt dann immer noch auf das 10.0.0.138 Interface drauf, dafür muss man sich aber direkt ans Modem dranhängen und am Laptop eine statische IP einstellen. Im Normalfall braucht man das aber nicht, weil der A1 Router dann rein als Modem fungiert.

Im OPNsense hab ich dann auf dem LAN Interface 10.0.0.138 konfiguriert und einen entsprechenden DHCP Range eingestellt.

Am WAN Interface habe ich PPPoE eingestellt und meine A1 ID und Passwort eingetragen, Enable Dial on Demand, alles andere auf Default gelassen.

Schon hat sich OPNsense eingewählt, und alles funktionierte auf Anhieb.

Das 10.0.0.138 auf dem Modem ist dann nicht mehr erreichbar, weil das OPNsense WAN Interface dann direkt die Public IP bekommt, da gibt es also dann kein Zwischen-Netz mehr.

Ein Tracert schaut dann beispielsweise so aus:


tracert 8.8.8.8

Tracing route to google-public-dns-a.google.com [8.8.8.8]
over a maximum of 30 hops:

  1    <1 ms     1 ms    <1 ms  OPNsense.localdomain [10.0.0.138]
  2     6 ms     6 ms     6 ms  88-117-111-254.adsl.highway.telekom.at [88.117.111.254]
  3     9 ms     8 ms     9 ms  195.3.65.201
  4     *        9 ms     8 ms  lg35-9073.as8447.a1.net [195.3.64.129]
  5    10 ms     9 ms     8 ms  lg2-9071.as8447.a1.net [195.3.64.10]
  6    16 ms    15 ms    15 ms  72.14.205.220
  7    15 ms    15 ms    15 ms  74.125.242.241
  8    16 ms    16 ms    16 ms  108.170.233.181
  9    15 ms    15 ms    15 ms  google-public-dns-a.google.com [8.8.8.8]

Trace complete.


Es funktioniert also alles wie erwartet, zumindest jetzt auf den ersten Blick. Langzeiterfahrung noch ausstehend.

[Mks]

Wunderbar!

[Mks]

Hi,

zum Zwecke des Erfahrungsaustauschs.

Habe heute auch umgestellt, leider nicht ganz ohne Probleme.

Bestehendes Setup ähnlich wie walterring, jedoch mit ein paar VLANs mehr, spielt aber in dem Fall keine Rolle.
Zuerst A1 Modem auf SU umgestellt, dann das WAN Interface.

Allerdings hat bei mir das Dial on demand probleme gemacht, hat einfach damit nicht funktioniert. Wollte zuerst Dial-on-demand mit Wert 0 angeben, wird aber von der GUI unterbunden, habe dann zum Testen einen größeren Wert angegeben. Konnte danach keine Verbindung aufbauen.

Hab alles nochmal zurückgesetzt und Dial-on-demand nicht aktiviert. Funktioniert jetzt.


lg

[Federbein0815]

Hallo, habt ihr A1Tv auch darüber zum laufen gebracht oder only Internet?


LG

[Mks]

Servus,

in meinem Fall "nur" Internet.

fg