WAN-Umstellung von PPPoE auf DHCP

[PrinceLG]

Hallo zusammen,

seit Jahren nutze ich die OPNSENSE sehr erfolgreich als DSL-Router. Nun wechsel ich von DSL auf Glasfaser.

In Folge wird das Draytek Vigor 165 DSL Modem durch den Zyxel Medienkonverter ONT FMG3005-R20A ersetzt.
Die erste Freischaltung des Glasfaseranschlusses habe ich testweise mit einer Fritz 7490 gemacht.
Die Portalaktivierung läuft so, dass zunächst eine Verbindung über eine temporäre IP hergstellt wird,
die nicht ins Internet geroutet wird, aber den Zugriff auf das Registrierungsportal ermöglicht.

Dort gebe den Freischaltcode ein, was erfolgreich zur Registrierung und Freigabe der verbundenen
MAC der Fritzbox führte. Danach habe ich eine routebare IPv4 erhalten und hatte vollen Internetzugriff.

Nach dem erfolgreichen Test des Glasfaseranschlusses wollte ich die OPNSENSE entsprechende konfigurieren.
Dazu ist es erforderlich, das WAN-Interface von PPPoE auf DHCP umzustellen.

Dazu habe ich die PPPs-Konfiguration gelöscht, und das Interfaces direkt der WAN-Netzwerkkarte zugeordnet.
Zusätzlich habe ich Private Netzwerke und Bogon-Netzwerke blockieren deaktiviert. Der Kea-DHCP-Server ist aktiv.

Danach erhalte ich wie beim vorgenannten Test eine private IP 10.211.0.1 für das Registrierungsportal zugewiesen,
auf das ich über die OPNSENSE leider nicht zugreifen kann.

Im nächsten Schritt habe ich versucht die MAC-Adresse des WAN-Interfaces zu spoofen, leider ohne Erfolg.
Ich bekomme keinen Zugriff auf das Registrierungsportal.

Kann der Fehler daran liegen, dass meine Vorgehnsweise beim Ändern der WAN- Schnittstelle auf DHCP fehlerhalft ist?
Oder muss ich im Kea-DHCP-Server ein weiteres Subnetz für die private IP 10.211.0.1 alegen ?

[meyergru]

Wahrscheinlich kannst Du auf das Registrierungsportal (vermutlich DG?) nicht zugreifen, weil OpnSense die eingestellten Nameserver (noch) nicht nutzen kann. Du musst OpnSense so konfigurieren, dass Unbound den vom ISP zugewiesenen Nameserver nutzen kann, sonst ist die Auflösung von dessen URL nicht möglich.

Leider funktioniert die Auflösung für den Namen n.m.E. auch nicht mit "normalem" Internet-Zugriff, sonst könnte man auch einen Override in Unbound eintragen.

[PrinceLG]

Hallo meyergru,

danke für Deine wertvolle Nachricht, dies dürfte der Fehler sein.

Der ISP Lünecom schreibt:
Zum Aktivieren Ihres Internet-Anschlusses mit einem eigenen Router wird Dein persönlicher Aktivierungscode benötigt. Bitte verwende dabei unbedingt den automatisch zugewiesenen DNS-Server. Nur so kann der Internet-Anschluss aktiviert werden.
Meine Rückfrage wie der Namensserver heisst konte mir von der Hotline nicht beantwortet werden, hier muss ich
per Mail nachfragen.

In der Fritzbox 7490 gibt es unter den DNS-Server Einstellungen die Option "Vom ISP zugewiesene DNSv4 Server verwenden".
Damit hat die Registrierung problemlos funktioniert.

Kann ich diese Option auch in der OPNSense nachbilden? Bei mir läuft der Unbound-DNS auf Port 5335 und AdGuard Plugin auf Port 53.


 

[Patrick M. Hausen]

Kann ich diese Option auch in der OPNSense nachbilden?

Natürlich:

System: Settings: General: Allow DNS server list to be overridden by DHCP/PPP on WAN

[meyergru]

Ja, klar. Du musst dazu unter System: Settings: General die Option "Allow DNS server list to be overridden by DHCP/PPP on WAN" aktivieren.

Das sorgt aber zunächst nur dafür, dass OpnSense selbst die ISP-Nameserver nutzt. Um Deinen PC die nutzen zu lassen, musst Du:

a. Dem PC sagen, dass er OpnSense als Nameserver nimmt - aktuelle Browser wie Chrome oder Firefox nutzen oft DoH als Default. Du musst auch sicherstellen, dass der PC die OpnSense als Nameserver hat (per DCHP oder manuell).

b. Unbound auf Port 53 lauschen lassen und so konfigurieren, dass er den selben Nameserver verwendet, wie OpnSense selbst: Services: Unbound DNS: Query Forwarding -> "Use System Nameservers" anhaken. Normalerweise würde Unbound selbst Namen auflösen, also keinen Upstream Server dazu nutzen.


Damit nutzt der Browser dann OpnSense, dort läuft Unbound und nutzt als Upstream Server die im System vorgegebenen Nameserver, die wiederum per DHCP vom ISP kommen.

P.S.: MAC-Spoofing klappt oft nicht, weil die Fritzbox m.W. nicht die MAC, sondern eine DUID sendet.

[PrinceLG]

Hallo zusammen,

puhh, das ist mal starker Tobak in die Tiefen der Sense abzutauchen.
Das muss ich erstmal bei einem Käffchen sacken lassen.

Danke für die MEGA Hilfe, die mich sicher zum Ziel führen wird.
Freue mich das später umzusetzen und euch dann hoffentlich später
eine Erfolgsmeldung zu senden

Danke danke !

[PrinceLG]

Hallo zusammen,

Dank eurer Hilfe läuft die OPNSense am Glasfseranschluss der Lünecom ! Vielen Dank.

Beim ersten Versuch habe ich alle Vorschläge umgesetzt:

- System: Settings: General die Option "Allow DNS server list to be overridden by DHCP/PPP on WAN" aktiviert.
- am PC die Netzwerkverbindung von DHCP auf manuell geändert und unter bevorzugter DNS die IP der OPNSense eingetragen.
- den Firefox DoH habe ich auf Standard DNS-Resolver gestellt
- Unbound-DNS auf Port 53 gestellt
- Adguard deakiviert

Diese Änderungen führten nicht zum Erfolg kein Zugriff auf das Registrierungsportal portal.deinnetz.de

Beim zweiten Versuch habe ich nach Zurücksetzen und Neustart nur folgendes geändert:

- System: Settings: General die Option "Allow DNS server list to be overridden by DHCP/PPP on WAN" aktiviert.
- am PC die Netzwerkverbindung von DHCP auf manuell geändert und unter bevorzugter DNS die IP der OPNSense eingetragen.
- zusätzlich hier jedoch den DNS-Server der Lünecom 46.253.240.11 unter Alternativer DNS eingetrage.

Direkt danach meldete sich in Firefox die Anmeldeseite des Registrierungsportals und ich konnte die Aktivierung vollständig abschließen.
Danach sofort 290Mbps download und 128Mbps upload - Mega Erfolg !!

Ich denke der entscheidende Punkt war die Option System: Settings: General die Option "Allow DNS server list to be overridden by DHCP/PPP on WAN"
und dass ich zusätzlich die IP des Lünecom DNS Servers als Alternativer DNS eingetragen habe.

Die Änderungen habe ich nach der erfolgreichen Registrierung wieder zurückgenommen und für das nächste Mal gut dokumentiert.

Ende gut alles gut !!!! ich wünsche euch eine schöne Zeit und Danke für die schnelle Hilfe zum Erfolg

So macht OPNSense richtig Spass und Freude