Umstieg von Sophos UTM SG nach OPNSense - ich tue mich schwer

[luckymr74]

Ich nutze Sophos UTM SG seit vielen Jahren und bin sehr zufrieden. Leider geht Sophos neue Wege. Ich habe bereits meine Access Points auf OpenWRT umgestellt und versuche nun meine UTM mit OPNsense abzulösen.

Ich bin es von der UTM gewohnt die Dinge vorzudefinieren (Ports, Netzwerke,... ) und dann zuzuweisen. Das soll hier wohl über die Aliasse passieren... nur tue ich mich das schwer

Ziel 1:
Ich möchte für mein LAN bestimmte Ports (TCP, UDP,...)definieren und benennen, dann zusammenfassen und schließlich in einer Regel für eine Gruppe von Rechner im LAN zuweisen

Ziel 2:
Ich möchte OpenVPN einrichten und so einstellen, dass es wie mit dem Sophos SSL VPN klappt. Ich habe es dort über den Port tcp 443 laufen lassen, weil dieser Ports in vielen LANs "raus" darf

Ziel 3:
Ich möchte die vorhandenen Site2Site VPN in IPSec mit anderen UTMs unverändert lassen, aber auf meiner Seite mit OPNsense verbinden

Ziel 4:
In der UTM ließen sich alle AccessPoints (WLAN) zentral administrieren. Es wäre Klasse das in Verbindung mit OpenWRT hinzubekommen

Ziel 5:
den LiveLog der Firewall abdocken zu können (so wie in UTM) um beim Einrichten und Test nicht immer umschalten zu müssen

es gibt bestimmt noch viele weitere Ziele....aber die hier sind für den Anfang bestimmt happig genug

Herzlichen Dank im voraus für Euer Interesse und Tipps

[Patrick M. Hausen]

Nun hast du Ziele definiert, aber keine einzige Frage gestellt?

[luckymr74]

gerne
Für Ziel 1:
- wie definiert man Ports vor und vergibt ihnen Benenungen?
- wie fasst man solch definerte Ports (udp, tcp, udp/tct,...) in einer Gruppe (Alias?) zusammen?
- wie definiert man Rechner vor und fasst diese in einer Gruppe zusammen?
- wie definiert man Netzwerke vor und fasst diese einer Gruppe zusammen?

[Patrick M. Hausen]

1. Firewall > Aliases, hinzufügen, Typ "Port(s)" auswählen, Namen und Portnummern eintragen, abspeichern.
2. Es gibt keine Portgruppen, du kannst aber in einen Alias, den du passend benennst, beliebig viele Ports eintragen.
3. Firewall > Aliases, hinzufügen, Typ "Hosts(s)" auswählen, Namen und IP-Adressen eintragen. Dann Alias vom Typ "Network group" anlegen und die Hosts da rein packen.
4. Wie bei Hosts, nur Typ "Network(s)".

Was genau ist daran unklar, bis auf den Punkt mit den Portgruppen?

Schon mal in die Doku geschaut?

https://docs.opnsense.org/manual/aliases.html

[luckymr74]

Wenn ich unter Aliasse Ports definieren möchte, dann kann ich KEINE Ports auswählen. Nur "bogons" und "Virusprotect" wird angeboten.

Wo ist der Difinitions-Bereich für Ports... wo man einstellt, dass er TCP und Port xyz ist und man einen Namen daf+r hinterlegt?

Ich möchte in so einem Fenster nicht die Port-Nummern eintippen

Und wie gibt man bei diesem Alias an, dass der Port 443 TCP oder 443 UDP ist?

[Patrick M. Hausen]

1. Man kann nur Nummern eintippen.
2. Die Unterscheidung TCP/UDP passiert in der Firewall-Regel.

[luckymr74]

Und woher stammen die Definitionen in der Firewall-Regeln? Hier gibt es plötzlich klartext Benennungen, nur leider ohne Port-Nr

[luckymr74]

Ich rede von so etwas 

[Patrick M. Hausen]

Das macht OPNsense einfach nicht so.

Du kannst Portnummern mit Namen versehen und diese in Regeln als Quelle und Ziel nutzen. TCP oder UDP lässt sich ebenfalls nur in der Regel definieren.

[Patrick M. Hausen]

Und woher stammen die Definitionen in der Firewall-Regeln? Hier gibt es plötzlich klartext Benennungen, nur leider ohne Port-Nr

Die Protokolle im "Protocol" Feld sind fest verdrahtet. Die haben ja auch nichts mit Ports zu tun - da gibt es TCP, UDP, ICMP, ICMP6, GRE, ...

Portnummer ist ein separates Feld, in dem man dann eben auch die selbst definierten Aliase verwenden kann.

[luckymr74]

Dann muss ich quasi für jeden Port einen Alias anlegen, wenn ich dafür einen Namen haben will.

In der json-Datei finde ich meine Probe-Einträge. Und denke mir, dass ich die aus der UTM exportiere und hie einlese.

Braucht es unbedingt die eindeutige ID? - Falls ja... wie erzeugt man sich so eine?

[Patrick M. Hausen]

Dann muss ich quasi für jeden Port einen Alias anlegen, wenn ich dafür einen Namen haben will.

Ja. Oder für jede Gruppe von Ports, die du einer Anwendung mit Namen zuordnen willst.

Wie schon geschrieben (nur als Beispiel, die sind vordefiniert)

  HTTP - 80
  HTTPS - 443

und dann

  Web - HTTP, HTTPS

geht nicht. Es gibt keine Portgruppen. Was geht ist:

  Web - 80,443

In der json-Datei finde ich meine Probe-Einträge. Und denke mir, dass ich die aus der UTM exportiere und hie einlese.

Braucht es unbedingt die eindeutige ID? - Falls ja... wie erzeugt man sich so eine?

Ja, und die kann man auf dem Desktop-Rechner z.B. mit dem Tool "uuid" erzeugen:

Code: [Select]

$ uuid
e7d69240-7413-11ef-a754-734b7288304f

Da gibts verschiedene Implementierungen in Perl, PHP, Python, Ruby ...

Z.B. http://www.ossp.org/pkg/lib/uuid/

[Domi741]

Dann muss ich quasi für jeden Port einen Alias anlegen, wenn ich dafür einen Namen haben will.

In der json-Datei finde ich meine Probe-Einträge. Und denke mir, dass ich die aus der UTM exportiere und hie einlese.

Braucht es unbedingt die eindeutige ID? - Falls ja... wie erzeugt man sich so eine?

Bei den Aliases gibt es eine Import und Export funktion. Da brauchst du dir keine Gedanken über die Uuid machen.
Einfach eine Liste im richtigen Format impotieren.


Gesendet von iPhone mit Tapatalk Pro