Upgrade 26.7.5 > 26.7.6 oder 26.7.7 kein Connect mehr zur Firewall

[Hellgirl]

Hallo zuammen,

ich hoffe Ihr könnt mir weiter helfen. Ich habe nun schon seit sicher einer Woche versucht, die Opnsense von 26.7.5 auf 26.7.7 zu upgraden.

Sobald das Update fehlerfrei durchlief, ist die Firewall nicht mal mehr per Ping aus einem meiner VLANS erreichbar. Das selbe ist schon der Fall gewesen bei dem Versuch von 26.7.5 auf 27.7.6 zu gehen. Daher hatte ich auf die nächste Version gewartet, in der Hoffnung das es das Problem löst. Hat es aber leider nicht.

Kurz zum Aufbau: Die Opnsense läuft als Proxmox VM. Ich habe dort einen Intel(R) Ethernet 10G 2P X520 Adapter in die VM geroutet für LAN und für WAN eine Intel(R) GbE 4P I350-t rNDC. Dieses Setup lief bis inklusive Version 26.7.5 fehlerfrei.

Die nächste und die jetzt aktuelle Version 26.7.7 funktionieren beide nicht mehr.

Auf der Proxmox Konsole (SSH Konsole ist ja schon nicht mehr erreichbar) sehe ich, das WAN und LAN beide online sind. Auf der Konsole kann ich ebenso Teilnehmer von der OPNsense anpingen, auch aus anderen VLANs. Netzwerkverbindung steht also. Nicht mehr erreichbar ist offensichtlich alles von außen IN die opnsense.

Kann mir hier einer Tips geben, wo ich weiter nach Fehlern suchen könnte? Ich habe diverse VLANs konfiguriert und eines davon ist mein Admin Netzwerk in dem auch mein Desktop PC hängt. Der LAN Adapter hat die IP 10.10.2.2 und das Admin VLAN die IP 10.10.2.1. Mein Desktop die IP 10.10.2.9. Von der 10.10.2.9 kann ich nach Upgrade und Reboot nicht mehr die 10.10.2.1 pingen.

Da ich nach dem Upgrade ja nicht mehr an die IP komme, komme ich natürlich auch nicht mehr auf das Webinterface und kann daher dort nicht nach dem rechten sehen.

Eine erneute Zuweisung vom LAN und WAN Adapter brachte keinen Erfolg. Auch eine neue IP Adressvergabe über die Konsole nicht.

Die Migration von ICS DHCP ist bereits auf KEA vollständig abgeschlossen und funtioniert in Version 26.7.5 ebenso ist die Migration auf  die neuen Firewall Rules abgeschlossen.

Der Boot läuft vollständig ohne Fehlermeldungen ab.

Ich habe leider keine Idee mehr wie ich das Problem analysieren kann und hoffe daher auf Eure Unterstützung ;-)

[viragomann]

Hallo.

Sobald das Update fehlerfrei durchlief, ist die Firewall nicht mal mehr per Ping aus einem meiner VLANS erreichbar.

Hast du auch eine Neuinstallation und eine anschließende Wiederherstellung der Konfiguration versucht?

Auf der Konsole kann ich ebenso Teilnehmer von der OPNsense anpingen, auch aus anderen VLANs. Netzwerkverbindung steht also. Nicht mehr erreichbar ist offensichtlich alles von außen IN die opnsense.

Also Verbindungen durch die OPNsense funktionieren, der Zugriff auf sie selbst aber nicht?
Da würde ich vermuten, dass dieser aus irgendeinem Grund blockiert wird. Was es ist, sollte das FW Log zeigen, vorausgesetzt, Logging ist aktiviert.

Die Firewall kannst du in der Konsole deaktivieren:
pfctl -d
Dann solltest du auf die Web GUI kommen und das Problem vielleicht ausfindig machen können.

Falls es nicht offensichtlich ist, musst du Untersuchungen anstellen. Dazu wenn nicht eh aktiv, dann das Logging aller relevanten Regeln wie auch das der Default Block Rule (Firewall: Settings: Advanced > Default block) aktivieren.
Dann kannst du die FW wieder aktivieren:
pfctl -e
und ein paar Zugriffsversuche unternehmen, die blockiert werden. Danach die FW wieder deaktivieren und in der GUI die Logs prüfen. Die Ursache sollte sich so hoffentlich zeigen.

[Hellgirl]

Vielen Dank für Deine Hinweise. Diese haben mich schon ein Stück weiter gebracht ;-)

Installiert ist die OPNsense frisch mit 26.7.0 Image inkl. Config load während der Installation und anschließendem Versuch auf 26.7.7 zu upgraden. Vor Upgrade ist das ganze Netzwerk inkl. aller VLANs erreichbar. Danach die besagten Einschränkungen.



Ich befinde mich jetzt mit 10.10.2.9 im VLAN 02:
Erreichbar:
Alles Teilnehmer im VLAN02 mit unten stehenden Ausnahmen.

Nicht erreichbar:
10.10.2.1    (Gateway Adresse VLAN 02 / WebIF Opnsense somit nicht erreichbar)
10.10.2.2    (Hardware Adresse LAN Adapter)
10.10.2.12  (Proxmox VM im VLAN 02, Proxmox selbst mit 10.10.2.3 aber erreichbar)
Alle anderen Teilnehmer aus anderen VLANs nicht erreichbar und kein Internet



Ich befinde mich dann mit 10.10.1.100 im VLAN 01:
Erreichbar:
10.10.2.1    (Gateway Adresse VLAN 02 / WebIF Opnsense erreichbar)
10.10.2.2    (Hardware Adresse LAN Adapter)
Alles außerhalb VLAN 02 inkl. Internet

Nicht erreichbar:
Alle anderen Teilnehmer aus VLAN 02.



Ich bin mir daher nun ziemlich sicher, dass ich irgendwo schon lange einen groben Konfigurationsfehler habe, welche in den Versionen bis inkl. 26.7.5 keine Rolle spielte und ab 26.7.6 dann drastische Auswirkungen hat.

Hast Du eine Idee, wie ich nun weiter den Fehler analysieren kann? Zur Info: Ein vollständiges Disablen der Firewall brachte keinerlei Änderungen hervor. Ebenso sehe ich bei den Anfragen im Firewall Log auch, dass diese nicht geblockt werden. Also am Ruleset selbst scheint es nicht zu liegen.

Ist es generell richtig, dass ich dem LAN Adapter die 10.10.2.2 Adresse gebe? Ich habe ja für das VLAN 02 das Netzwerk 10.10.2.0/24 vergeben und als Gateway für VLAN 02 somit die 10.10.2.1?