Umstieg von Endian C. zu Opnsense - Ein paar Fragen

[almo]

Ich denke wir arbeiten uns jetzt erst mal von ganz unten hoch:

Meine erste Frage:

Wie soll die Konfiguration der LAN-Schnittstelle + Dienste aussehen das IPv4 und IPv6 funktionieren. Und die Clients im LAN Netz alles von der Firewall bekommen (DHCP) das Sie intern und extern Arbeiten können auf beiden Protokollen?

Siehe Zeichnung:

[JeGr]

OK erste Antwort ;)

LAN sollte haben:

- v4 Adresse, Subnetz konfiguriert
- v6 Adresse, Subnetz konfiguriert - ODER funktionierendes Track Interface WAN mit ID x (0-f oder 0-ff)
- DHCP4
- DNS für v4 und v6
- DHCP6 muss nicht, aber im Bereich Routing Advertisment sollte es dann zumindest auf unmanaged stehen und DNS und NTP rausgeben, damit RAs verteilt werden und DNS ankommt.

Somit sollte dann ein Client:

- v4 Adresse
- v4 Gateway (LAN der Firewall)
- v4 DNS (Firewall)
- v6 Adresse via SLAAC oder DHCP6
- v6 DNS via DHCP6
- v6 Gateway via link-local (oder echtes Gateway)

erhalten haben.

Sieht dann bspw. in Windoof so aus:

Code Select Expand


Ethernet-Adapter Ethernet:

   Verbindungsspezifisches DNS-Suffix: lan.domain.de
   Beschreibung. . . . . . . . . . . : Intel(R) Ethernet Connection (4) I219-V
   DHCP aktiviert. . . . . . . . . . : Ja
   Autokonfiguration aktiviert . . . : Ja
   IPv6-Adresse. . . . . . . . . . . : 2a04:xxxx:xxxx:xxxx:e505:dc55:2bc7:3298(Bevorzugt)
   Temporäre IPv6-Adresse. . . . . . : 2a04:xxxx:xxxx:xxxx:493d:46c6:11d5:e40(Bevorzugt)
   Verbindungslokale IPv6-Adresse  . : fe80::e505:dc55:2bc7:3298%21(Bevorzugt)
   IPv4-Adresse  . . . . . . . . . . : 10.x.y.70(Bevorzugt)
   Subnetzmaske  . . . . . . . . . . : 255.255.255.0
   Lease erhalten. . . . . . . . . . : Freitag, 2. Februar 2018 08:40:27
   Lease läuft ab. . . . . . . . . . : Freitag, 2. Februar 2018 12:45:22
   Standardgateway . . . . . . . . . : fe80::225:90ff:fef4:a433%21
                                       10.x.y.254
   DHCP-Server . . . . . . . . . . . : 10.x.y.251
   DHCPv6-IAID . . . . . . . . . . . : 55894445
   DHCPv6-Client-DUID. . . . . . . . : 00-01-00-01-20-F2-AD-E7-54-E1-AD-4C-5E-2D
   DNS-Server  . . . . . . . . . . . : 10.x.y.251
                                       10.x.y.252
   NetBIOS über TCP/IP . . . . . . . : Aktiviert
   Suchliste für verbindungsspezifische DNS-Suffixe:
                                       lan.domain.de
                                       nocheinlan.domain.de


In dem Fall ist das an einem Cluster, deshalb pushen wir bspw. bei DNS auch 251 und 252 statt die Cluster-IP 254, damit man auch sauber 2 DNSe hat statt nur einen. 254 ist der aktive Knoten, also nicht irritieren lassen :)

Das ist ein typischer Client wie Laptop, der per DHCP und SLAAC ins Netz geht.