PING auf Firewall geht nicht (Standardgateway)

[thron]

Hallo,

ich habe ein Problem und komme nicht weiter. Vielleicht kann mir ein schlauer Kopf helfen. Es handelt sich um einen Testaufbau (siehe Anhang).

Dabei ist die OPNSesne01 der Standardgateway und die OPNSesne02 ein "Bypass"!
Die Rules in der OPNSense02 sind any any an beiden Interfaces, da es hier nur um Routing geht.
Wenn ich vom der Adresse 192.168.20.10 eine PING nach 192.168.178.10 send funktionier alles ohne Probleme.

Von 192.168.178.10 zu 192.168.20.10 ging nicht, was klar ist, weil die Rückroute fehlt! Also in der OPNSense02 als GW am LAN-Interface die OPNSense01 eingetragen und eine Route in der OPNSense01 und alles kappt!

Außer der PING auf die OPNSense02 selbst, der geht nicht mehr! Warum, verstehe ich nicht!

Habe ein Capture auf der OPNSense02 auf der LAN-Schnittelle mit ICMP gemacht uns sehe, das die PING-Pakete zwischen OPNsense01 und OPNSense02 hin und her gehen!?

Viele Dank für Eure Hilfe schon jetzt im Voraus.

[mimugmail]

Wenn du auf Interfaces : WAN ein upstream gateway hast dann werden AAAAAAALLE pakete dahin geschickt, auch wenn in dem Netz ein anderer Host ist.

Lösung:
- Upstream gateway raus und nur mit System : Gateways arbeiten
- Eine Regel erstellen und dort explizit das disable-replyto setzen

Ersteres wäre für einen Testaufbau ratsam

[thron]

Das Gateway ist kein Upstream-Gateway, sondern ein normales.

[mimugmail]

Nein, in Interfaces : WAN, ganz unten ist ein Punkt upstream gateway, auto-detext oder Gateway drin?

[thron]

Dort steht Auto-detect drin und im LAN steht 192.168.27.254 drin.
Jetzt weiß ich was du meinst mit Upstream-Gateway. Es gibt ja auch noch die Checkbox unter System --> Gateways --> Single --> GatewayName --> Upstream Gateway (Checkbox). Diese ist deaktiviert, es ist als kein default Gateway sondern eben nur das Gateway an der Schnittstelle, was ja nur die unbekannten Pakete an die hinterlegte Adresse weiter leitet!

VG

[mimugmail]

Hm dann kann ich mir das Verhalten nicht wirklich erklären ...

[micneu]

was ich gerade an deinem bild nicht verstehe, warum ist die eine pc mit 2 sense verbunden?
kannst du nochmal genau erklären was dein ziel ist.
aus deinem ersten post ist nur erklärt was du gemacht hast, aber nicht dein ziel.

[thron]

Es soll eine Datenschleuse realisiert werden, bzw. an dem ByPass ein Rechner angeschlossen werden, der sich in einem komplett anderen IP Bereich befindet und per Replikation Daten überspielen. Dort wo aktuell nur ein Rechner zwischen den Firewalls steht sind später 70 Rechner.

VG

[Gauss23]

System: Routes: Status

Bitte von beiden OPNsense Boxen

[micneu]

Das könntest du doch auch mit einer Sense und einem vlan mit entsprechend Regel realisieren oder nicht?


Gesendet von iPad mit Tapatalk Pro

[Gauss23]

Das könntest du doch auch mit einer Sense und einem vlan mit entsprechend Regel realisieren oder nicht?


Gesendet von iPad mit Tapatalk Pro

Mir erschließt sich leider der gesamte Sinn des Aufbaus nicht. Ich verstehe auch nicht, warum man dazu 2 OPNsense Boxen braucht. Eine Box und Switches mit VLAN Unterstützung würden das auch abdecken.