Umbau FritzBox Netzwerk auf OpnSense

[fmeyer84]

Hallo zusammen,

ich möchte gerne mein Heimnetz umbauen - aus diversen Gründen...

Folgender Status Quo ist vorhanden:

Internet (DSL) <-> FritzBox 5690 Pro (inkl. Tel-Anlage und WLAN-Mesh + 4x Repeater) <-> LAN (192.168.1.0/24) <-> Synology NAS, PC's, Smarthome Dinge (WLAN Steckdosen, Drucker, Proxmox Host mit LXCs -> Verbindung ins I-Net per Portfreigabe über die FB - z. B. für meinen Vaultwarden, NPM als Reverse Proxy für die öffentliche Erreichbarkeit von meiner Synology etc, Rustdesk Server)

Mein Wunschziel wäre:

Internet <-> DSL-Modem <-> OpnSense <-> LAN (192.168.1.0/24 - PC's, Synology NAS, Smarthome Dinge)

Des Weiteren hinter der OpnSense:
1. Eine DMZ für den Proxmox Host (für Vaultwarden, Rustdesk etc.) -> Backups des Hosts sollten aber ins LAN (Synology NAS) möglich sein
2. FritzBox als Mesh-Master und die weiteren Repeater inkl. Telefonanlage

Ich weiß, wahrscheinlich sind diese Info bestimmt wieder zu wenig - trotzdem die Frage:

Wie würdet ihr vorgehen?

LG
Fabian

 

[Digedag64]

Hi, mal von der DMZ abgesehen hab ich das gerade erst gemacht, nur halt mit ´ner FB7690 (plus zwei Repeater) und einem QNAP-NAS.

Die OPNsense hab ich eine gute Weile vorher installiert und konfiguriert - und viel gelernt! - und lange hing sie also hinter der FritzBox.
Die Umstellung auf DSL-Modem vor und FritzBox hinter die OPNsense hab dann letzte Woche vorgenommen (am Samstag vergeblich versucht, aber am Sonntag dann hinbekommen).

Seitdem sieht es mir schon sehr ähnlich zu deiner Ziel-Konfig aus: Internet <-> DSL-Modem <-> OpnSense <-> Switch <-> PCs, NAS, Proxmox-Server sowie FritzBox samt WLAN-Mesh
(Offen sind der Ersatz meiner beiden FritzRepeater 6000 durch zwei heute bestellte Zyxel-Access-Points sowie die DECT-Telefonie; für Letzteres hab ich noch eine FB7530 und die 7690 wird dann frei. Aktuell arbeite ich mich in WireGuard ein ...)

Sofern du wie ich auch noch keine Kenntnis von OPNsense hast, würde ich empfehlen, dich erstmal dort einzuarbeiten. Das ist wirklich nicht trivial! Meines Erachtens solltest du das Ganze erst umstellen, wenn du diese wesentliche Komponenten halbwegs durchschaust.
Das nötige Wissens habe ich mir u.a. in diversen Foren angelesen.
Nebenbei (ist wohl nicht wirklich eilig) schau mal, welches DSL-Modem du ggf. nutzen kannst oder beschaffen willst. Bei mir wurde es ein Draytek Vigor 167, um die 100 Euro bei kleinanzeigen.de erworben.

 

[the other]

Moinsen,
ganz allgemein gibt es da zB eine Grundsatzfrage zu klären:
Variante 1, dann steht die Fritzbox VOR dem eigentlichen LAN (das hinter der *sense beginnt). Das ist easy gemacht, die *sense macht dann das eigentliche Routing im LAN, die Fritzbox davor ist "nur" Internetrouter. Nachteil: das WLAN der Fritzbox (und der Repeater) ist NICHT im Netzwerk hinter der *sense...du benötigst dann für zB WLAN, dass auch VLANs zugeordnet wird, eher neue APs (bzw je nach Gegebenheit vor Ort nur einen), die dann auch VLAN-fähig sein müssen.

Variante 2: du nutzt ein Modem, dahinter dann die *sense. Im LAN der *sense dann die Fritzbox (und Repeater). Dein WLAN wäre damit schon mal hinter der *sense, du kannst mit einer Fritzbox aber kein VLAN, es bieten sich also maximal 2 Netzwerkbereiche.

Falls du also wirklich vorhaben solltest, dein Heimnetzwerk zu segmentieren (mit VLANs), dann wäre imho der einfachere Und sinnigere) Weg, beim Entwerfen auch neue APs mitzudenken.

Hier zb so:

Fritzbox als Internetrouter. > Dahinter (im LAN der FB) eine pfsense (am WAN Interface angeschlossen). Damit ist für die *sense alles davor wie das Internet (auch die Fritzbox)...

Hinter der pfsense dann das eigentliche LAN, unterteilt (du benötigst wie gesagt auch VLAN-fähige hardware, also switch und AP) in VLANs (zB für IoT, home-office, NAS,...).
An der pfsense dazu hier einen zyxel switch, dahinter dann die Endgeräte / weiterer switch / APs.
Funktioniert bestens. Telefonie macht weiter die FB.

 

[fmeyer84]

Guten Morgen,

vielen Dank für euren Input - bringt mich wirklich weiter.

Da ich gerade erst an der Planung bin, würde ich im ersten Schritt natürlich die opnSense zum testen und einarbeiten ins lokale Netz bringen.

Meine FB 5690 Pro macht ja die Telefonie und eine 2. 7590 greift per LAN auf die 5690 Pro zu für eine Rufnummer, die Funktion bräuchte ich hinterher auch wieder (geht Gebäudetechnisch nicht anders).

Meine Idee für die weitere Planung wäre daher:

- die 5690 Pro für die reine Telefonie ins interne LAN bringen, die 2. 7590 ebenfalls und das WLAN über neue APs

Ich habe 2 TP-Link VLAN fähige Switche, eins müsste ich noch tauschen. Wären dann die WLAN APs auch sinnvoll von TP-Link zu nehmen? Wenn ja welche?

Und zu guter letzt: Welche Hardware würdert ihr für die OpnSense empfehlen?

Grüße
Fabian

 

[the other]

Moinsen,
gehen tut das so oder so...kommt eben auf DEINE Bedarfe und Bedürfnisse an .

Noch eine kurze Rückfrage zum Ausgangspost:
du schreibst

Verbindung ins I-Net per Portfreigabe über die FB - z. B. für meinen Vaultwarden, NPM als Reverse Proxy für die öffentliche Erreichbarkeit von meiner Synology etc, Rustdesk Server)

Meintest du damit, dass du in der FB eine Portweiterleitung eingerichtet hast, so dass diese Dienste direkt aus dem Internet erreichbar werden? Oder hast du (überflüssigerweise) in der FB Ports freigegeben, um nach außen (du sagst "Verbindung ins Internet" nicht "vom")...? Ich gehe mal von ersterem aus und frage daher weiter: muss das alles direkt über eine Portweiterleitung öffentlich verfügbar sein? Oder soll das "nur" für dich von "unterwegs" erreichbar sein? Denn dann tendiere ich erstmal immer zu einem Zugang per VPN (also auf der FB oder später gerne auch auf der *sense). Warum also diese Portweiterleitungen, wirklich nötig?

Andere Frage: die 2. FB macht außer diese eine Telefonnummer abzufragen / zu nutzen was? Welche Aufgaben sonst noch?

Zum letzten Beitrag: ob du nun auch TP-Link APs nimmst oder zb unifi oder... ist am Ende eine sehr individuelle Entscheidung. Achte eben drauf, dass diese a) VLAN-fähig sind, gerne auch mit mehreren mSSIDs und b) beachte, dass du diese (nicht wie einfache WLAN Repeater) per LAN anbindest. Hier zB ein 3 Etagenhaus mit Keller, WLAN in allen Etagen durch drei APs (1 x Keller, 1 x EG/1. Stock, 1 x Dachgeschoss). Alles am LAN Kabel, alle von unifi, eine Controllersoftware ist da zur Einrichtung nötig, die läuft hier als LXC unter proxmox und frisst nur wenig Ressourcen.
Damit deine 2. FB mit den ominösen Aufgaben weiterhin auf die 5690pro zugreifen kann müssen später beide eben im gleichen VLAN sein, oder eine passende "allow" Regel vorhanden oder du belässt die 5690pro VOR der pfsense...auch so wäre die 1. FB von der 2. 7590er noch erreichbar...geht also so oder so oder so.
Vorteil, wenn die 5690pro VOR der *sense: du sparst dir die Anschaffung des Modems...

 

[fmeyer84]

Erstmal vielen Dank für deine ausführliche Antwort!

Moinsen,
gehen tut das so oder so...kommt eben auf DEINE Bedarfe und Bedürfnisse an .

Noch eine kurze Rückfrage zum Ausgangspost:
du schreibst

Meintest du damit, dass du in der FB eine Portweiterleitung eingerichtet hast, so dass diese Dienste direkt aus dem Internet erreichbar werden? Oder hast du (überflüssigerweise) in der FB Ports freigegeben, um nach außen (du sagst "Verbindung ins Internet" nicht "vom")...? Ich gehe mal von ersterem aus und frage daher weiter: muss das alles direkt über eine Portweiterleitung öffentlich verfügbar sein? Oder soll das "nur" für dich von "unterwegs" erreichbar sein? Denn dann tendiere ich erstmal immer zu einem Zugang per VPN (also auf der FB oder später gerne auch auf der *sense). Warum also diese Portweiterleitungen, wirklich nötig?

Ich habe auf der FB 5690 Pro eine Portweiterleitung auf einen LXC unter Proxmox (NPM - Port 80, 443) & auf einen LXC (Wireguard und Rustdesk Server). Der NPM macht dann verschiedene weitere LXCs im Internet erreichbar - also nicht nur für mich per VPN, sondern z. B. auch für meinen Neffen per App (Vaultwarden, Uptime Kuma zB). Reicht diese Erklärung?

Andere Frage: die 2. FB macht außer diese eine Telefonnummer abzufragen / zu nutzen was? Welche Aufgaben sonst noch?

Momentan stellt die 2. FB noch das WLAN Mesh als Repeater zur Verfügung und per Kabel ist ein Laptop angeschlossen. Das könnte ich aber ändern (Kabelverbindung weg - wichtig wäre nur die Telefoniefunktion, da mein Bruder mit seinem Festnetz da dran hängt).

Zum letzten Beitrag: ob du nun auch TP-Link APs nimmst oder zb unifi oder... ist am Ende eine sehr individuelle Entscheidung. Achte eben drauf, dass diese a) VLAN-fähig sind, gerne auch mit mehreren mSSIDs und b) beachte, dass du diese (nicht wie einfache WLAN Repeater) per LAN anbindest. Hier zB ein 3 Etagenhaus mit Keller, WLAN in allen Etagen durch drei APs (1 x Keller, 1 x EG/1. Stock, 1 x Dachgeschoss). Alles am LAN Kabel, alle von unifi, eine Controllersoftware ist da zur Einrichtung nötig, die läuft hier als LXC unter proxmox und frisst nur wenig Ressourcen.

Ich habe bisher auch alle Repeater und beide FritzBoxen per Kabel angebunden, das sollte also kein Problem sein. Leitungswege sind also vorhanden.

Damit deine 2. FB mit den ominösen Aufgaben weiterhin auf die 5690pro zugreifen kann müssen später beide eben im gleichen VLAN sein, oder eine passende "allow" Regel vorhanden oder du belässt die 5690pro VOR der pfsense...auch so wäre die 1. FB von der 2. 7590er noch erreichbar...geht also so oder so oder so.
Vorteil, wenn die 5690pro VOR der *sense: du sparst dir die Anschaffung des Modems...

Ok, das Prinzip mit der 5690 Pro vor der *sense habe ich noch nicht verstanden, weil diese die doch als Internet sieht - wie soll die 2. FB mit der Telefonie dann drauf zugreifen?

Danke nochmal für deinen Input, die Planung und Gedankenanstöße nehmen damit weiter Gestalt an!

 

[Digedag64]

zu guter letzt: Welche Hardware würdert ihr für die OpnSense empfehlen?

Wenn du irgendwas liegen hast mit mindestens zwei Netzwerkports, wäre das ein Anfang.

Ich selbst hab mir eine kleine Kiste aus China bestellt (Topton) mit Intel N150-Prozessor, 16 GB RAM und 256er SSD - und vier Netzwerkports mit 2,5 GBit/s (2.5GBase-T). Bei RAM und Speicher müsste auch jeweils die Hälfte genügen, ich hab halt gern Reserve

Aktuell ist Speicher halt auch sauteuer, zu meinem Glück begann die Preisexplosion erst nach meinen verschiedenen Rechner-Anschaffungen.

 

[fmeyer84]

Für

Wenn du irgendwas liegen hast mit mindestens zwei Netzwerkports, wäre das ein Anfang.

Ich selbst hab mir eine kleine Kiste aus China bestellt (Topton) mit Intel N150-Prozessor, 16 GB RAM und 256er SSD - und vier Netzwerkports mit 2,5 GBit/s (2.5GBase-T). Bei RAM und Speicher müsste auch jeweils die Hälfte genügen, ich hab halt gern Reserve

Aktuell ist Speicher halt auch sauteuer, zu meinem Glück begann die Preisexplosion erst nach meinen verschiedenen Rechner-Anschaffungen.

Nein, liegen nix - müsste gekauft werden. Bräuchte ich für Thema DMZ (für Vaultwarden etc, Dienste die im Internet erreichbar sein müssen) nicht noch nen 3. Port? Gibt ja bei Amazon genug mit 4 Ports, zB von Protectli...

 

[the other]

Moinsen,

16 GB RAM

Wow! Das ist viel für ne private Firewall. Selbst meine netgate appliance hier hat nur 8 GB und ist idR so zu 20 % ausgelastet...aber wie so oft: Haben ist besser als Brauchen.

Zb Protectli sollte eigentlich ne ganz gute Hausnummer sein, auch was die Ressourcen angeht...

Und -sorry- nochmals zurück zum Zugang von Außen: wenn es lediglich du und dein Neffe sein sollten, die da ins Heimnetzwerk müssen...dann würde ich trotzdem persönlich auf der dann *sense einen VPN Zugang einrichten. Da kannst du dann den erlaubt zugreifenden clients auch ne IP reservieren und dann die Regeln sauber anpassen. Ist imho auf jeden Fall ne Überlegung wert in heutigen Zeiten. Ich habe hier auch Dienste, die ich von on the road nutzen will (nicht muss): Home Asistant, keepass, Kalender, Adressbuch, Photos, usw). Dafür auf der pfsense einen openVPN (von früher noch) und einen wirguard server laufen. Mit der passenden App wählt sich mein smartphone in jedem unbekannten WLAN oder auch bei Aktivierung Mobile Daten direkt ins VPN ein. Damit ohne extra "Hier-und-da-noch-klicken-und-eintragen" Zugriff aufs heimische Netz und obendrein surfe ich dann auf Wunsch auch über meine Heimadresse inklusive Pihole zum Blocken von Werbung. In fremden WLANs mache ich Dinge ausschließlich über Umweg durch meinen VPN Server...und wenn das dann eh schon läuft.

Aber! Ich will hier niemanden bekehren, nur eine Alternative zum eher offenen Zugang aufzeigen...also mach es so wie es vor allem für dich und dein setting auch passt.