Paketfilter pf hängt sich auf --> alles wird geblockt

[ziegler]

Hallo,

ich habe ein APU Board mit:

OPNsense 23.7.11-amd64
FreeBSD 13.2-RELEASE-p7
OpenSSL 1.1.1w

Folgendes Problem habe ich festgestellt, auch mit der Vorgängerversion 23.7.10.

Meine Internetverbindung funktioniert ab und an nicht, kein DNS, kein ping auf eine IP usw...
Es wird einfach alles geblockt.

Ich habe herausgefunden, wenn ich auf der opnsense den Packet Filter (pf) Dienst neu starte funktioniert wieder alles so wie es soll. Dieses Verhalten ist auch schon in der Version 23.7.10 aufgetreten. Es kommt nicht regelmäßig vor, aber das Verhalten ist jetzt schon einige male aufgetreten.

Ist das vielleicht bei anderen auch so?

[Patrick M. Hausen]

Es gibt in dem Sinn keinen pf Dienst, das ist ein Modul im Kernel und das ist eigentlich immer an.

Was genau tust du, wenn du sagst, du startest den Dienst neu?

[ziegler]

Ich lasse mir im Dashboard der opnsense alle Services anzeigen.
Dort ist der Service pf gelistet und ich kann diesen da "restarten"
Wenn ich das mache haben meine Clients alle wieder eine Onlineverbindung.

[Patrick M. Hausen]

OK, also UI funktioniert noch. Dann kannst du wahrscheinlich auch noch per SSH auf das System?

[ziegler]

Noch nicht getestet, aber ich gehe davon aus das ssh auch noch funktioniert.
In der UI funktioniert bei dem "Fehler" auch alles so wie gewohnt, ich verbinde mich auch nicht per IP sondern über den DNS Namen im Browser.

Gibt es denn per SSH eine Möglichkeit sich bestimmte Logs anzuschauen?

[Patrick M. Hausen]

Naja, dann könnten wir mal gucken, ob du von der OPNsense aus noch externe Dienste erreichen kannst, oder wenigstens den Default-GW, wie das mit der Namensauflösung ist, etc.

Ohne Shell kein Debug.

[ziegler]

Wie geschrieben, das ist jetzt erst einige male aufgetreten.
Da ich seit einigen Wochen Probleme mit meinem Provider (Vodafone Kabel) habe, hatte ich erst immer deren Router (VodafoneStation) im Verdacht gehabt. Also erst mal VodafoneStation neu gestartet, Fehler aber immer noch da, danach hatte ich die opnsense neugestartet, Fehler weg.

Habe dann aber mal genauer geschaut woran es liegt. Die VodafoneStation UI erreiche ich, war auch online, die UI vom AccessPoint an der opnsense auch, also kam nur die opnsense in Frage. Erst den unbound DNS im Verdacht gehabt, aber weil ein ping auf dem Client (ping 8.8.8.8) auch nicht funktioniert hatte kam ich auf den Paketfilter.
Sobald ich diesen neu starte funktioniert der Internetzugriff wieder ganz normal.

Viele FW Regeln habe ich auch nicht eingestellt.

Wie bzw. wo kann ich denn per ssh im erneuten Fehlerfall nachschauen?