Interfaces am Router sind VIEL zu wertvoll, als dass man sie als "bridged" verschwenden sollte ;-). Dann häng deinen Kram aus der Bridge an EIN Interface mit einem billigen Switch. Und nutz die verschiedenen Interfaces, um Datenverkehre und Geräte sinnvoll aufzutrennen (home office - Eltern - Kinder - Gäste WHATEVER). Aber nicht die Firewall als Switch missbrauchen.
Wichtig! Lieber alles blocken und dann Schritt für Schritt Freischaltungen schreiben als andersherum. Ansonsten: Als Best Practise gilt: Port 80/443 freischalten. Alles andere ist je nach Netzwerkumgebung anzupassen.
@Oxygen61Wenn ich den AP vom OPT Interface ans LAN Interface hänge (also physisch an den Switch klemmen und der LAN Port mit dem OPT Interface bleibt dann wieder frei) dann würden sich ja LAN und WLAN Geräte so oder so sehen. Um das einzuschränken, würde man also Firewall Regeln für den AP definieren? Oder ist es dann doch praktikabler, den AP am eigenen LAN Port zu lassen und den Bridge Modus zu entfernen und eben die spezielle Kommunikation zwischen LAN und OPT durch die Firewall zu konfigurieren?Ich bin mir nämlich gerade nicht sicher, ob ich das nicht durcheinander bringe. mit den INterfaces und Geräten und der Kommunikation untereinander.Also, so einfach gesprochen wie möglich:Nutze ich besser EINEN physischen LAN Port, an dem durch den Switch ALLE Geräte verteilt sind und arbeite dann mit Firewall Regeln auf EINEM virtuellen Interface (LAN) in der Firewall?ODERNutze ich ZWEI physiche LAN Ports (wie momentan, an einem hängt der Switch, am anderen nur der AP). Und wenn ich das tue, ist dann die Bridge zwischen den virtuellen Interfaces (LAN und OPT) besser/einfacher oder habe ich auf lange Sicht mehr davon, ZWEI Interfaces getrennt voneinander zu haben, die dann per Firewall miteinander kommunizieren?
Nutze ich ZWEI physiche LAN Ports (wie momentan, an einem hängt der Switch, am anderen nur der AP). Und wenn ich das tue, ist dann die Bridge zwischen den virtuellen Interfaces (LAN und OPT) besser/einfacher oder habe ich auf lange Sicht mehr davon, ZWEI Interfaces getrennt voneinander zu haben, die dann per Firewall miteinander kommunizieren?
Das solltest du machen. Ein physischer Port an der Firewall wo dein Switch ran kommt. (Falls der VLANs unterstützt kannst du sogar über OPNsense zusätzlich noch die Kommunikation der Geräte die am Switch hängen einschränken.) Der zweite Port ist für das WLAN also kommt da der AP ran, mit dem sich dann deine WLAN Geräte verbinden.Die Interfaces immer von einander trennen. Falls du willst das die sich kennen, kannst du ja immer noch eine Erlauben Regel schreiben, die diese Kommunikation dann erlaubt.Also zum Beispiel:Quelle: WLAN Net | Ziel: NAS Server IP/Alias | AllowIch weiß, dass klingt anstrengend und zeitintensiv (was es leider auch ich), aber du wolltest ja einen Best Practise, den man einmal aufsetzt und dann laufen lassen kann für die nächsten 10 Jahre Für die Regeln kannst du unter: Firewall > Log Files die angewandten Regeln dir anschauen.Da siehst du dann ganz schnell, warum das Katzenbild von Whatsapp nicht hochgeladen werden kann.
Demnächst kommt evtl. eine QNAP NAS hinzu (LAN). Natürlich möchte ich dann auch intern (per WLAN) alle Dienste der QNAP nutzen können.
QuoteDemnächst kommt evtl. eine QNAP NAS hinzu (LAN). Natürlich möchte ich dann auch intern (per WLAN) alle Dienste der QNAP nutzen können.Aber das wäre doch, mit entsprechenden Firewall Regeln, bei zwei getrennten Subnetzen, doch genau so möglich, oder nicht?Gruß
Richtig soweit?
Richtig. Sofern du ohne VLANs arbeitest, kannst du ja mal ne "Erlaube alles" Regel auf beiden Seiten schreiben nur um mal zu sehen ob die Kommunikation über das Modem nach draußen schon funktioniert.Ich bin mir nicht sicher, aber du wirst vielleicht noch eine static route schreiben müssen, wegen dem Gateway.(System > Routes > All > Add route)Das musst du mal ausprobieren ob es auch ohne geht.
Die static route ist dann wofür genau?
