OPNsense in VM auf Proxmox

[DerProf]

Hallo zusammen.

Ich bin ganz neu in dem Thema OPNsense und würde mir gerne neues Wissen aneignen und deswegen auch gern ein paar Fragen zu meinem Projekt und aktuell auch Problem stellen.

Kurz zu mir, ich betreibe einen Minecraft Server und würde dort gern alle Server hinter OPNsense verlagern. Dabei habe ich aber Probleme, denn ich bekomme die Ports meines Test_Minecraft_Server nicht durch die FW.

Der Server steht in einem Rechenzentrum und liegt direkt an einer PuplicIP und dort werden keinerlei Ports geregelt ausser DDoS.

IP und GW sind für diesen Post geändert!

IP: 94.199.215.73 / 24
GW: 94.199.215.65

OPNsense läuft in einer VM in Proxmox und nutzt dort 2x Linux Bridge wobei vmbr0 auf die Netzwerkkarte zeigt und vmbr2 dann als LAN für OPNsense genutzt werden soll.

Es wurde OPNsense laut verschiedener Anleitungen und Videos installiert und eigerichtet, aber irgendwie schaffe ich es nicht, dass die Ports passend weitergeleitet werden.

Vielleicht will mir jemand weiterhelfen, dass ich die OPNsense verstehen und einrichten lerne, wofür ich sehr dankbar wäre.

Bitte habt Rücksicht mit mir, da ich bestimmt nicht alles verstehen werde beim erstenmal.

Danke für Eure Hilfe und wünsche noch einen schönen Tag.

MFG DerProf

[lewald]

Hast Du nur eine Public IP?
Ist die wirklich auf dem WAN der OPNsense?

[DerProf]

Irgendwie liest es sich gerade so, als wäre "nur eine Public IP" eher schlecht als gut!?

Diese IP welche ich für OPNsense nutzen möchte ist eine dedizierte IP und muss soweit am WAN der OPNsense liegen, da auch Internet im LAN verfügbar ist. Habe eine VM mit Ubuntu Desktop laufen über die ich auf OPNsense zugreife und dort kann ich ganz normal das Internet nutzen.

[Patrick M. Hausen]

Es wurde OPNsense laut verschiedener Anleitungen und Videos installiert und eigerichtet, aber irgendwie schaffe ich es nicht, dass die Ports passend weitergeleitet werden.

Dann schreib doch bitte mal:

- Wie genau hast du die Portweiterleitungen eingerichtet? Evtl. erst einmal eine davon exemplarisch.
- Was soll dadurch erreicht werden?
- Was passiert stattdessen? Fehlermeldung, beobachtetes Verhalten, ...

Ohne diese Infos ist eine Diagnose schwierig. 

Gruß
Patrick

[lewald]

Irgendwie liest es sich gerade so, als wäre "nur eine Public IP" eher schlecht als gut!?

Diese IP welche ich für OPNsense nutzen möchte ist eine dedizierte IP und muss soweit am WAN der OPNsense liegen, da auch Internet im LAN verfügbar ist. Habe eine VM mit Ubuntu Desktop laufen über die ich auf OPNsense zugreife und dort kann ich ganz normal das Internet nutzen.

Ich glaube, das sagt niemand. Aber wenn ich an Proxmox und Rechnenzentrum denke, dann kommt mir als erstes eine Netzwerkkarte in den Sinn, und damit meistens auch eine öffentliche IP. Die ist dann oft auf dem Proxmox-Host. Wenn dann noch weitere IPs ins Spiel kommen, müssen die in die WAN-Seite der Opnsense. Und da gibt es einige Punkte, die man beachten sollte.

[DerProf]

Ich glaube, das sagt niemand. Aber wenn ich an Proxmox und Rechnenzentrum denke, dann kommt mir als erstes eine Netzwerkkarte in den Sinn, und damit meistens auch eine öffentliche IP. Die ist dann oft auf dem Proxmox-Host. Wenn dann noch weitere IPs ins Spiel kommen, müssen die in die WAN-Seite der Opnsense. Und da gibt es einige Punkte, die man beachten sollte.

Es ist so, dass mehrere öffentliche IP´s auf diesem Root Server habe. Eine davon hat der Proxmox Host und ist auch zu 100% nur für diesen. Alle weiteren werden weitergereicht an die verschiedenen VM´s in Proxmox und darunter hat eben die VM mit OPNsense diese eine öffentliche IP. Somit teilen sich mehrere öffentliche IP´s eine Netzwerkkarte.
Welche Punkte wären das?

Gruß
DerProf

[lewald]

Nun dann ist doch erst mal alles gut.

Dann hätte ein Blick in die Doku gereicht.

Das sagt meine OPNsense KI.

Um eine Portweiterleitung für einen Minecraft-Server in OPNsense einzurichten, gehen Sie bitte wie folgt vor:

1. Melden Sie sich an Ihrer OPNsense-Web-Oberfläche an.
2. Navigieren Sie zu `Firewall` > `NAT` > `Port Forward`.
3. Klicken Sie auf "**Add**" in der oberen rechten Ecke, um eine neue Weiterleitungsregel hinzuzufügen.

In der neuen Regel konfigurieren Sie die folgenden Felder:

- **Interface**: Wählen Sie das Interface, auf dem der Traffic ankommt, normalerweise ist dies WAN.
- **TCP/IP version**: Wählen Sie `IPv4`.
- **Protocol**: Wählen Sie `TCP/UDP`, da Minecraft beide Protokolle verwenden kann.
- **Source / Invert**: Lassen Sie dies deaktiviert.
- **Source port range**: Setzen Sie dies auf `any` oder lassen Sie es leer.
- **Destination / Invert**: Lassen Sie dies ebenfalls deaktiviert.
- **Destination**: Wählen Sie das Interface, über das der Traffic ankommen wird, normalerweise WAN.
- **Destination port range**: Setzen Sie dies auf `25565` (dem Standardport für Minecraft-Server).
- **Redirect target IP**: Geben Sie die interne IP-Adresse des Computers ein, auf dem der Minecraft-Server läuft.
- **Redirect target port**: Setzen Sie dies ebenfalls auf `25565`.
- **Description**: Geben Sie eine Beschreibung ein, z.B. “Minecraft Server”.

Lassen Sie die anderen Felder auf ihren Standardeinstellungen, es sei denn, Sie wissen, dass Sie etwas Spezielles benötigen.

4. Klicken Sie auf "**Save**" und anschließend auf "**Apply Changes**", um die Regel zu aktivieren.


Diese Schritte sollten Ihren Minecraft-Server über die öffentliche IP-Adresse erreichbar machen.

[DerProf]

Das sagt meine OPNsense KI.

Um eine Portweiterleitung für einen Minecraft-Server in OPNsense einzurichten, gehen Sie bitte wie folgt vor:

1. Melden Sie sich an Ihrer OPNsense-Web-Oberfläche an.
2. Navigieren Sie zu `Firewall` > `NAT` > `Port Forward`.
3. Klicken Sie auf "**Add**" in der oberen rechten Ecke, um eine neue Weiterleitungsregel hinzuzufügen.

In der neuen Regel konfigurieren Sie die folgenden Felder:

- **Interface**: Wählen Sie das Interface, auf dem der Traffic ankommt, normalerweise ist dies WAN.
- **TCP/IP version**: Wählen Sie `IPv4`.
- **Protocol**: Wählen Sie `TCP/UDP`, da Minecraft beide Protokolle verwenden kann.
- **Source / Invert**: Lassen Sie dies deaktiviert.
- **Source port range**: Setzen Sie dies auf `any` oder lassen Sie es leer.
- **Destination / Invert**: Lassen Sie dies ebenfalls deaktiviert.
- **Destination**: Wählen Sie das Interface, über das der Traffic ankommen wird, normalerweise WAN.
- **Destination port range**: Setzen Sie dies auf `25565` (dem Standardport für Minecraft-Server).
- **Redirect target IP**: Geben Sie die interne IP-Adresse des Computers ein, auf dem der Minecraft-Server läuft.
- **Redirect target port**: Setzen Sie dies ebenfalls auf `25565`.
- **Description**: Geben Sie eine Beschreibung ein, z.B. “Minecraft Server”.

Lassen Sie die anderen Felder auf ihren Standardeinstellungen, es sei denn, Sie wissen, dass Sie etwas Spezielles benötigen.

4. Klicken Sie auf "**Save**" und anschließend auf "**Apply Changes**", um die Regel zu aktivieren.


Diese Schritte sollten Ihren Minecraft-Server über die öffentliche IP-Adresse erreichbar machen.

Danke dafür, die Weiterleitung funktioniert jetzt, aber irgendwie bricht regelmäßig nach nicht gleichmäßiger Zeit die WAN Schnittstelle ab und geht auf offline.
Das muss ich mir dann noch genauer anschauen ober vielleicht hat schon jemand eine Idee?

DANKE

Gruß
DerProf

[lewald]

Das ist jetzt ein Proxmox-Thema, vermute ich.
Und dann geht es nicht ohne tiefere Infos zum Setup.

[Patrick M. Hausen]

Welchen Typ virtuelle Netzwerkkarte verwendet die OPNsense VM?

Wenn VirtIO (vtnet0, vtnet1, ...) dann setz mal unter System > Settings > Tunables

Name: hw.vtnet.csum_disable
Value: 1

[DerProf]

Welchen Typ virtuelle Netzwerkkarte verwendet die OPNsense VM?

Wenn VirtIO (vtnet0, vtnet1, ...) dann setz mal unter System > Settings > Tunables

Name: hw.vtnet.csum_disable
Value: 1

Damit hatte ich leider keinen Erfolg und ja es ist VirtIO mit vtnet0 und vtnet1 laut OPNsense und in PVE sind es vmbr0 und vmbr2.

Gruß
DerProf

[DerProf]

Das ist jetzt ein Proxmox-Thema, vermute ich.
Und dann geht es nicht ohne tiefere Infos zum Setup.

Wie kann ich herausfinden ob es ein PVE oder OPNsense Problem ist?

Was wenn es ein PVE Problem ist, kann mir da jemand weiterhelfen oder soll ich in einem PVE Forum um Unterstützung zu fragen?

Gruß
DerProf