Microsoft Navision ERP - kann keine Dokumente öffnen

[jewe57]

Hallo,

ich habe seit kurzem daheim eine OPNSense installiert. Die funktioniert soweit ganz gut, bis auf eine Kleinigkeit, die leider verhindert, dass ich die Firewall produktiv schalten kann.
Meine Freundin nutzt in ihrem Homeoffice Microsoft Navision ERP (Dynamics NAV, jetzt Dynamics 365 Business Central) - und das funktioniert über die OPNSense irgendwie nicht. Sie kommt zwar ins Programm selbst rein, aber sobald sie darin ein Dokument öffnen will, kommt eine Fehlermeldung (ERR_NETWORK_ACCESS_DENIED).
Grundsätzlich ist sie per VPN mit ihrer Firma verbunden - die Microsoft-Cloud-Produkte scheinen aber direkt zu laufen.
Im OPNSense sehe ich keine Blockings und irgendwie stehe ich da gerade auf dem Schlauch.

Andere Microsoft-Produkte wie Teams zum Beispiel funktionieren ohne Probleme.

Das Vlan, welches ich über die OPNSense schleife, macht Probleme - eines, dass ich direkt auf den Internet-Router laufen lasse, funktioniert einwandfrei. Daher sind andere Fehlerquellen ausgeschlossen.

OPNsense 24.1.5_3-amd64
FreeBSD 13.2-RELEASE-p11
OpenSSL 3.0.13
Zenarmor 1.16.4 (Home)

Regelwerk:

Protocol    Source    Port    Destination    Port    Gateway    Schedule       Description    
IPv4 TCP    HomeOfficePC    *    *    *    *    *

(erste Regel, die Proxy-Redirects für Zenarmor kommen danach)

Die Default tcp/udp any allow am Ende ist in dem Netz auch noch aktiv.

[Saarbremer]

Mal so ins blaue hineingeraten:

* Lokaler AV / Personal Firewall
* OPNsense mit Suricata / Zenarmor / ... zu restriktiv
* Kein IPv6 erlaubt auf OPNSense (würde am ehesten passen, warum es mit "dem Internet-Router" funktioniert)
* DNS funktioniert nicht richtig

Wie weiter:
Vielleicht solltest du mal eine Live-View Session starten und schauen, was so geblockt wird, wenn deine Freundin ans Arbeiten geht.
Zu Ipv6: Hat der Client eine GUA? Evtl. über das VPN? und wird falsch geroutet?

[jewe57]

Danke für die schnelle Antwort:

Lokaler AV/Personal Firewall kann es nicht sein, da es an der OPNSense vorbei ja funktioniert
Zenarmor ist für das Interface extrem offen
DNS sollte kein Thema sein, da es ja an der OPNSense vorbei auch klappt.

IPv6 könnte ein Thema sein, das ist auf der Firewall tatsächlich nicht aktiviert. Ich werde das probeweise mal aktivieren, auch wenn ich auf der OPNSense da kein Freund von bin (ist mir zu wenig transparent)

[Saarbremer]

IPv6 ist dir zu wenig transparent? Nun ja, du kannst es natürlich weiterhin "technologieoffen" angehen und bei IPv4 bleiben.

Sorry für den rant.

[jewe57]

ich meine damit, bei IPv4 weiss ich, was ich tue - bei IPv6 ist mir das alles noch nicht so klar und daher für mich nicht so transparent.
Hat nichts mit dem Protokoll an sich zu tun, mehr mit mir selbst...

[Saarbremer]

Auf jeden Fall würde mich interessieren, ob MS jetzt tatsächlich nur IPv6 only funktioniert.

Prinzipiell ist bei IPv6 erst mal das Schema ähnlich.  Nur DHCPv6 ist eigentlich unnötig, da per SLAAC eine Auto-Konfig möglich ist und auch DNS Server, Router (sogar verschiedene) automatisch annonciert werden.

https://docs.opnsense.org/manual/ipv6.html bietet einen guten Anfang, allerdings kann man die Abschnitte über Tunnel wohl überspringen.