Anfänger und sorry --- bekomme es nicht hin

[DelayLama]

Du kannst in Interfaces->Overview sehen, welche Interfaces online sind. Bei diesem Router-behind-Router-Setup benötigst Du Outbound NAT, wenn Du von "hinter" der OpnSense Internet-Zugriff haben willst. Und ja, das WAN-Gateway (wahrscheinlich 192.168.178.1) fehlt. Das wäre alles korrekt, wenn Du auf dem WAN nicht Static IP, sondern DHCPv4 eingestellt hättest.

Vielleicht liest Du mal dies: https://forum.opnsense.org/index.php?topic=39556

Klares JAIN!
Entweder Outbound / Source NAT, das ist die einfache Methode -
oder aber er wählt hinter der OPNsense am LAN Interface ein überschneidungsfreies IPv4 Subnet und setzt in der Fritz!Box unter "Heimnetz" => "Netzwerk" => "Erweiterte Netzwerkeinstellungen" eine statische Route auf das Netz hinter der pfSense mit der IPv4-Adresse der pfSense an deren WAN Interface (im Adressbereich der Fritz!Box) als Gateway. Das Default Gateway / WAN Gateway der Pfsense muss dann die LAN IP der Fritz!Box sein. Auf diesem Weg kann man dann das (doppelte) NAT der pfSense deaktiviert lassen und klassisch routen.

[Orion1984]

Hallo,
ich hatte ja bereits angekündigt, dass ich mich hier nochmal melde, wenn ich weitere Schwierigkeiten habe.

Also, ich nutze mittlerweile v.26.1.11 und habe inzwischen einen VPN über WireGurad eingerichtet.
Es läuft eigentlich auch alles, aber ich erhalte immer einen DNS-Leak. Diesen aber auch nur über einen Client, der im LAN ist.
Ich nutze zusätzlich einen AP (Zyxel NWA50AX Pro) mit OpenWrt  v.25.12.4.
Wenn ich mich über den AP mit einem Android Handy (Pixel 10 Pro mit GrapheneOS und RethinkDNS) einwähle, habe ich den DNS-Leak nicht. Hier muss ich erwähnen, dass bei RethinkDNS der gleiche Anbieter (Mullvad) als DNS ausgewählt wurde. Schalte ich RethinkDNS aus erhalte ich den gleichen Leak.

Die IP im DNS-Leak ist mein Provider.

Könnte mir jemand helfen?

EDIT:  Ich nutze mittlerweile eine andere Hardware > Sophos SG 230 XEON E3-12xx mit 16GB <

[meyergru]

Das bedeutet, dass die DNS-Anfragen von Deinem Client nicht den Weg über die VPN-Verbindung nehmen, sondern vermutlich über den DNS-Server auf Deiner OpnSense. Du schreibst nicht, was das für ein Client ist (OS, Browser, welche DNS-Einstellungen nutzt der?).

Offenbar hast Du das VPN auf der OpnSense und nicht auf dem Client eingerichtet.

Wenn Du beispielsweise nur bestimmte Clients oder VLANs über Dein Mullvad-VPN-Gateway routest, hast Du eventuell die Routen für lokale Netze trotzdem ohne VPN konfiguriert, weil Du z.B. per SSH, RDP oder sonstiges diese VPN-Clients aus Deinem LAN kontroliieren willst und sie direkt erreichen musst. Das erlaubt natürlich die Nutzung der OpnSense als DNS-Server. Du musst auf den VPN-Clients "irgendwie" dafür sorgen, dass sie die Mullvad-DNS-Server nutzen, z.B. per DHCP, lokaler Konfiguration oder per DNS-Umleitung. Das wirkt allerdings eventuell nur begrenzt, falls z.B. im Browser DoT oder DoH eingestellt ist (obwohl diese Adressen eher nicht in einem lokalen Bereich liegen und daher wohl per VPN geroutet werden).

Ein Fehler könnte auch darin liegen, dass Du Regeln verwendest, die jeden DNS-Request per NAT auf Deine OpnSense umleiten - dann könnte sonstwas auf dem VPN-CLient eingestellt sein, jeder Request wird dann auf die OpnSense geleitet, was Du bei VPN-Clients nicht willst.

[Orion1984]

Hallo, ich füge mal noch ein paae Screenshots bei.
Regeln, Unbound, Gateway, etc.

Mit den Regeln bin ich nicht so wirklich richtig gut. ;-)

[meyergru]

Im Grunde ist es doch ganz einfach:

Welcher DNS-Server ist auf Deinem VPN-Client konfiguriert (Du hast übrigens nicht die DHCP-Einstellungen gezeigt)? Wenn es Deine OpnSense und nicht der Mullvad-VPN-Server ist, müsstest Du eine Regel auf der OpnSense haben, die für die VPN-Clients den DNS auf Mullvad umbiegt. Das ist ziemlich komplex, also würde ich entweder per DHCP diesen Clients den Mullvad DNS mitteilen oder diese Clients statisch konfigurieren.

[Bob.Dig]

Mit den Regeln bin ich nicht so wirklich richtig gut

Das ist leider wahr, die Regeln sind eher schlecht und Du verlässt dich hier ausschließlich auf das Gateway setzen, um deine Netze zu trennen. Das mag funktionieren, muss aber nicht.  Auch ist deine letzte Regel nutzlos.

Zur eigentlichen Frage, ein "DNS-Leak" in einer Sense ist nicht grundsätzlich negativ. Wenn Du es aber unbedingt vermeiden willst, musst Du dir deine DNS-Kette angucken. Also in dem Client, für den dir ein "Leak" angezeigt wird, wo löst der DNS auf? Wenn Du im Client z.B. 8.8.8.8 einträgst, dann "sollte" die Auflösung mit deinen gezeigten Firewall-Regeln über Mullvad laufen. Wenn Mullvad selbst DNS-Server anbietet, kannst Du natürlich auch diese stattdessen verwenden. In beiden Fällen wird Unbound hier nicht mehr genutzt und deine DNS-Blocklisten finden keine Anwendung. Das ist normal und letztlich deine Entscheidung.

Zwar gibt es auch noch andere Wege, aber die würde ich dir bei deinem Kenntnisstand nicht empfehlen bzw. ich selbst habe mich bewusst dagegen entschieden. So könntest Du Unbound generell durch das VPN zwingen, aber dann hast Du auch schnell generelle Probleme, wenn dieses nicht zuverlässig läuft etc.

[Orion1984]

Welcher DNS-Server ist auf Deinem VPN-Client konfiguriert

Unbound-DNS: Abfrage-Weiterleitung  hier habe ich den DNS von Mullvad eingegeben. Doch wenn ich es aktiviere, ist das Netz weg. :-( (Screenshot)

Das ist leider wahr, die Regeln sind eher schlecht

Mir fällt es wirklich schwer, die Regeln anzuwenden. Hatte bereits die KI gefragt, aber ich verstehe die Wege nicht so richtig. :-(

Der VPN-Client ist doch eigentlich die Sense, oder?
Was ich mit "Client" meine ist eigentlich ein PC hinter der Sense, also mit dem ich hier schreibe.

[Bob.Dig]

Was ich mit "Client" meine ist eigentlich ein PC hinter der Sense, also mit dem ich hier schreibe.

Da liegst Du richtig. Wenn wie hier die Sense der VPN-Client ist, dann musst Du Änderungen am DNS in deinem Client-PC oder -Smartphone vornehmen und nicht in der VPN-Client-Konfiguration auf der Sense.

[Bob.Dig]

Mir fällt es wirklich schwer, die Regeln anzuwenden.

Hier gibt es eine Erklärung von meyergru.
Wenn Videos mehr dein Ding sind, hier werden die Grundlagen erklärt.

Am Besten vergiss, was Du glaubtest zu wissen und lass dich wirklich darauf ein, neu zu "lernen".

[Bob.Dig]

...

[Orion1984]

Da liegst Du richtig.

Erfolgserlebnis ;-)

Wenn wie hier die Sense der VPN-Client ist, dann musst Du Änderungen am DNS in deinem Client-PC oder -Smartphone vornehmen und nicht in der VPN-Client-Konfiguration auf der Sense.

Ohh, ich bin bisher davon ausgegangen, dass ich das alles über die Sense regeln kann. :-O

EDIT: Ich wollte ja gerade das, so müsste ich ja alle Clienten manuell anpassen.

[Patrick M. Hausen]

Ohh, ich bin bisher davon ausgegangen, dass ich das alles über die Sense regeln kann. :-O

Kannst du, indem du deinem Client per DHCP die richtigen DNS-Server mitteilst. Und alle anderen ausgehenden DNS-Abfragen sperrst.

[Orion1984]

annst du, indem du deinem Client per DHCP die richtigen DNS-Server mitteilst.

Ok, das habe ich gemacht (Screenshot). Allerdings den zweiten Teil ... hmmm da stehe ich wieder auf dem Schlauch.

[Orion1984]

Hier gibt es eine Erklärung von meyergru.
Wenn Videos mehr dein Ding sind, hier werden die Grundlagen erklärt.

Danke, schaue ich mir mal an.