ICMP-Block auf Gateway und DNS

[AWilan]

Hallo liebes OPNsense-Forum,

ich habe aktuell ein Problem. Ich habe auf meiner OPNsense Firewall zum WAN acht zusätzliche Netze eingerichtet. Acht VLANS ebenso. Sieben von den Netzen funktionieren einwandfrei, ein Netz sperrt mir aber die ICMP-Protokolle zum Gateway (nnn.nnn.nnn.1) und zum DNS (8.8.8.8).
Ich kann aber nicht rausfinden warum?

Kennt jemand dazu eine passende Lösung?

Besten Dank,

Gruß Anton

[Patrick M. Hausen]

Solange du nicht deine vollständige Konfiguration postest, wird das eine ziemliche Glaskugelei. Und meine Glaskugel ist grad in der Inspektion 😉

[AWilan]

Das ist sehr schade dass die Glaskugel in der Inspektion ist, hoffentlich bekommt sie noch Tüv... ;-)

Anbei Screenshots von der Konfig des Netzes, hoffe mehr Klarheit damit auch ohne Glaskugel zu schaffen. Aufgrund der Dateigrößenbeschränkung von 256KB auf mehreren Posts....

[AWilan]

Die nächsten Screenshots

[AWilan]

Und die letzten Screenshots...

[meyergru]

Gut, ich nehme an, das ist das betroffene Interface-Netz.

Interessant wäre der Vergleich zu den Firewall-Regeln der funktionierenden Interfaces, aber eins sieht man schon jetzt:
Deine "Default allow LAN to any rule" erlaubt bei Dir nur spezifischen TCP-Traffic. Du hast offenbar die Default-Regel für das erste LAN angepasst, ohne die Bezeichnung zu ändern.

Am Rande bemerkt: Je nachdem, zu welchem Zweck man VLANs anlegt, schottet man diese normalerweise gegeneinander ab. Falls die Segmentierung ausschließlich der Trennung von Broadcast Domains zur Vermeidung von zu viel Broadcast Traffic dient, gilt das natürlich nicht.
Will sagen: Die normale "Default allow LAN to any rule" ist sinngemäß sinnvoll für kleine Heimnetze ohne VLANs, mit VLANs würde man zuvorderst mal die anderen (V)LANs schützen und trotzdem (bestimmten) Internet-Verkehr zulassen - es gibt einige Threads dazu, u.a. wie man limitierte Netze zu Gruppen zusammenfasst, um das zentral zu regeln.

Bei Deiner Konfiguration geht mehr (nämlich Zugriff auf andere VLANs)  und weniger (z.B. kein Ping) als das, also würde ich annehmen, dass sie noch weitere Fragen aufwirft. Beispielsweise ist nicht nur Ping betroffen, wenn Du explizit nur bestimmte TCP-Ports erlaubst: Wie soll dann z.B. DNS funktionieren und andere Firewall-Services?

Ich will nichts unterstellen, aber vielleicht liest Du zuerst mal dies - oder sogar dies, je nachdem, was Du vorhast.

[AWilan]

Genau, das ist das betroffene Interface-Netz.

Beim Anpassen der Description war ich etwas nachlässig, gebe ich zu. Es gab keine Default-Regeln, die wurden unter "automatically generated rules" gelistet. Grundsätzlich ist Traffic über TCP/UDP über Ports 53,443 und 8443 zulässig, über TCP nur Port 80. (Benötigt heutzutage meines Wissens nach kein UDP). Somit wären die Standardfunktionen wie auch DNS funktionell.

Habe den gleichen Aufbau in einem anderen VLAN und da funktioniert alles ohne Probleme. Zum Thema VLAN: Danke für den Hinweis, da muss ich mich nochmal gezielt hinsetzen. Proxy-Services sind aktuell nicht vorgesehen, ist aber sehr interessant und dem werde ich mich auch noch widmen.