VLANs, Regeln; Gateways? uff, sehe nicht durch

[MarroniJohny]

Hi

Versuche mich kurz zu halten. Bin seit 10 Jahre bei Zyxel zu hause, bzw. Zyxel bei mir. Da komme ich recht gut klar mit. Habe eine 10 GbE Anbindung über Fiber, im Moment doppelt NAT. Liegen 4 Fasern hier, und möchte den Provider wechseln. Darum habe ich mir eine 10 GbE Firewall gebaut, mit 6x Kupfer. Da baue ich dann aber noch eine SFP+ Karte ein für das WAN.

Leider kann man nur 4 Pics posten. Habe schon mehr vorbereitet. Ethernet seht ihr in den beiden Pics "EthernetZywall" und "EthernetOpnsense", wobei letzeres mein aktueller Versuchsaufbau ist, um den es geht im Moment. Ich möchte vom produktiven untagged 101, 102, 104 und 200 am Server weg kommen, da fahre ich mit 4 Strippen drauf. Ziel ist mit der Sense diese 4 Netzwerke neu getagged mit einer einzelnen 10 GbE Strippe anzufahren. Bzw. das läuft schon soweit. Die VMs an den entsprechenden VLANs beziehen brav die gewünschten Adressen per DHCP.

Nun habe ich aber das Problem mit den Firewall Regeln. Hätte ja gerne Bilder gepostet von den entsprechenden Regeln, aber bin schon beim maximum. Bei den LAN Regeln hat es eine Regel drin "allow all" eingehend. Das verwirrt mich maximal, müsste das nicht ausgehend heissen? Also habe ich jetzt mal stur die Regeln bei den betreffenden VLANs auch mit rein genommen. So komme ich an allen VLANs/Gästen raus ins Internet. Nun kann ich aber zwischen den VLANs pingen. Wenn ich da als Ziel "WAN Schnittstelle" wähle, komme ich nicht mehr raus.

Was muss ich da in den VLANs genau für default Regeln anlegen, damit ich raus komme, aber die VLANs untereinander isoliert sind?

Ahja, Desktop und Server sollen direkt an der Firewall hängen, auch später dann produktiv. 10 Gbit Switch ist nicht vorgesehen.

Gruss und danke.

[kruemelmonster]

....
Bei den LAN Regeln hat es eine Regel drin "allow all" eingehend. Das verwirrt mich maximal, müsste das nicht ausgehend heissen? Also habe ich jetzt mal stur die Regeln bei den betreffenden VLANs auch mit rein genommen. So komme ich an allen VLANs/Gästen raus ins Internet. Nun kann ich aber zwischen den VLANs pingen.
...

"allow all" eingehend erlaubt genau das. Eingehenden Verkehr (in Richtung zur Sense) nach überall hin. Wenn du dicht machen willst (habe ich auch so gemacht) auf jedem LAN/vLAN augehend blockieren und nur gewünschte Verbindungen durchlassen. Hat den Vorteil, das du nicht jede Verbindung nach außen explizit erlauben musst. Eingehend dicht machen geht auch. Ist aber mehr Arbeit, jeden gewünschten Verkehr nach außen zu erlauben.

[lewald]

Um die Aufgabenstellung, dass die VLANs ins Internet dürfen,
aber untereinander nicht kommunizieren sollen zu lösen,
besteht die Möglichkeit, das mit einer Firewall-Regel und einem Alias zu erledigen.

Hierzu legt man ein Alias an, welches die IP-Bereiche von lokalen Netzwerken definiert.

Ensprechend RFC1918. https://www.rfc-editor.org/rfc/rfc1918

10.0.0.0        -   10.255.255.255  (10/8 prefix)
172.16.0.0      -   172.31.255.255  (172.16/12 prefix)
192.168.0.0     -   192.168.255.255 (192.168/16 prefix)

In OpenSense bitte zu Firewall->Aliases gehen.
Dort auf plus (Hinzufügen) drücken.
Dem Eintrag einen Namen geben -RFC 1918 beispielsweise-.
Beim Typ Networks auswählen und jetzt die Bereiche anlegen welche zum RFC1918 gehören.
Damit hat man ein Alias, der die Netzwerke definiert, die zum RFC 1918 Bereich gehören.

Nun muss noch eine Firewall-Regel erstellt werden, welche alle Ziel Netzwerke außer den RFC1918 erlaubt.
Hierzu geht man unter Firewall->Regeln.
Auf dem passende VLAN, Regel hinzufügen via Plus (hinzufügen).
Beim erstellen der neue Regel, (Action=Pass) ist, (Richtung= in) und als (Ziel= das angelegte Alias- hat).
Wichtig ist (Ziel / Umkehren) auf an.
Dadurch erreicht man das die Regel umgekehrt wird.

Nun ist alles außer dem Ziel (Alias) erlaubt.

Achtung. Sollten im lokalen Netzwerk DNS Server oder andere dienste laufen, welche nicht direkt im jeweiligen Vlan sind muss für diese jeweils eine Allow Regel definiert werden.
Diese muss vor der RFC1918 Regel sein.

Die Regel sollte auf jedes Vlan gepackt werden welches gesichert werden soll.

[tangofan]

Bei den LAN Regeln hat es eine Regel drin "allow all" eingehend. Das verwirrt mich maximal, müsste das nicht ausgehend heissen?

Zumindest diesen Teil kann ich (hoffentlich) beantworten:
Die Richtung (in/out) ist aus der Sicht des Firewalls zu sehen. Ein Request von einem Rechner im LAN in das Internet ist inbound/eingehend auf dem entsprechenden LAN-Interface und outbound/ausgehend auf dem WAN-Interface.

D.h. eine Regel, wie du sie beschreibst, erlaubt Netzverkehr, der am LAN-Interface ankommt (also im LAN-Netz seinen Ursprung hat), in Richtung aller anderen Interfaces, insbesondere auch ins WAN-Interface.

[MarroniJohny]

Okay, ich habe das mit den VLANs und welche Interfaces mit wem reden dürfen mal eingerichtet und durch gepingt. Ist auf den ersten Blick verwirrend, aber mit der super Anleitung von @lewald hat das geklappt soweit. Danke dafür.

Von aussen ist noch nichts beregelt, muss mir erst noch paar 10 Gbit NICs holen, bevor ich da von der Zywall zur opnsense switche.