Umbau FritzBox Netzwerk auf OpnSense

[fmeyer84]

Hallo zusammen,

ich möchte gerne mein Heimnetz umbauen - aus diversen Gründen...

Folgender Status Quo ist vorhanden:

Internet (DSL) <-> FritzBox 5690 Pro (inkl. Tel-Anlage und WLAN-Mesh + 4x Repeater) <-> LAN (192.168.1.0/24) <-> Synology NAS, PC's, Smarthome Dinge (WLAN Steckdosen, Drucker, Proxmox Host mit LXCs -> Verbindung ins I-Net per Portfreigabe über die FB - z. B. für meinen Vaultwarden, NPM als Reverse Proxy für die öffentliche Erreichbarkeit von meiner Synology etc, Rustdesk Server)

Mein Wunschziel wäre:

Internet <-> DSL-Modem <-> OpnSense <-> LAN (192.168.1.0/24 - PC's, Synology NAS, Smarthome Dinge)

Des Weiteren hinter der OpnSense:
1. Eine DMZ für den Proxmox Host (für Vaultwarden, Rustdesk etc.) -> Backups des Hosts sollten aber ins LAN (Synology NAS) möglich sein
2. FritzBox als Mesh-Master und die weiteren Repeater inkl. Telefonanlage

Ich weiß, wahrscheinlich sind diese Info bestimmt wieder zu wenig - trotzdem die Frage:

Wie würdet ihr vorgehen?

LG
Fabian

 

[Digedag64]

Hi, mal von der DMZ abgesehen hab ich das gerade erst gemacht, nur halt mit ´ner FB7690 (plus zwei Repeater) und einem QNAP-NAS.

Die OPNsense hab ich eine gute Weile vorher installiert und konfiguriert - und viel gelernt! - und lange hing sie also hinter der FritzBox.
Die Umstellung auf DSL-Modem vor und FritzBox hinter die OPNsense hab dann letzte Woche vorgenommen (am Samstag vergeblich versucht, aber am Sonntag dann hinbekommen).

Seitdem sieht es mir schon sehr ähnlich zu deiner Ziel-Konfig aus: Internet <-> DSL-Modem <-> OpnSense <-> Switch <-> PCs, NAS, Proxmox-Server sowie FritzBox samt WLAN-Mesh
(Offen sind der Ersatz meiner beiden FritzRepeater 6000 durch zwei heute bestellte Zyxel-Access-Points sowie die DECT-Telefonie; für Letzteres hab ich noch eine FB7530 und die 7690 wird dann frei. Aktuell arbeite ich mich in WireGuard ein ...)

Sofern du wie ich auch noch keine Kenntnis von OPNsense hast, würde ich empfehlen, dich erstmal dort einzuarbeiten. Das ist wirklich nicht trivial! Meines Erachtens solltest du das Ganze erst umstellen, wenn du diese wesentliche Komponenten halbwegs durchschaust.
Das nötige Wissens habe ich mir u.a. in diversen Foren angelesen.
Nebenbei (ist wohl nicht wirklich eilig) schau mal, welches DSL-Modem du ggf. nutzen kannst oder beschaffen willst. Bei mir wurde es ein Draytek Vigor 167, um die 100 Euro bei kleinanzeigen.de erworben.

 

[the other]

Moinsen,
ganz allgemein gibt es da zB eine Grundsatzfrage zu klären:
Variante 1, dann steht die Fritzbox VOR dem eigentlichen LAN (das hinter der *sense beginnt). Das ist easy gemacht, die *sense macht dann das eigentliche Routing im LAN, die Fritzbox davor ist "nur" Internetrouter. Nachteil: das WLAN der Fritzbox (und der Repeater) ist NICHT im Netzwerk hinter der *sense...du benötigst dann für zB WLAN, dass auch VLANs zugeordnet wird, eher neue APs (bzw je nach Gegebenheit vor Ort nur einen), die dann auch VLAN-fähig sein müssen.

Variante 2: du nutzt ein Modem, dahinter dann die *sense. Im LAN der *sense dann die Fritzbox (und Repeater). Dein WLAN wäre damit schon mal hinter der *sense, du kannst mit einer Fritzbox aber kein VLAN, es bieten sich also maximal 2 Netzwerkbereiche.

Falls du also wirklich vorhaben solltest, dein Heimnetzwerk zu segmentieren (mit VLANs), dann wäre imho der einfachere Und sinnigere) Weg, beim Entwerfen auch neue APs mitzudenken.

Hier zb so:

Fritzbox als Internetrouter. > Dahinter (im LAN der FB) eine pfsense (am WAN Interface angeschlossen). Damit ist für die *sense alles davor wie das Internet (auch die Fritzbox)...

Hinter der pfsense dann das eigentliche LAN, unterteilt (du benötigst wie gesagt auch VLAN-fähige hardware, also switch und AP) in VLANs (zB für IoT, home-office, NAS,...).
An der pfsense dazu hier einen zyxel switch, dahinter dann die Endgeräte / weiterer switch / APs.
Funktioniert bestens. Telefonie macht weiter die FB.

 

[fmeyer84]

Guten Morgen,

vielen Dank für euren Input - bringt mich wirklich weiter.

Da ich gerade erst an der Planung bin, würde ich im ersten Schritt natürlich die opnSense zum testen und einarbeiten ins lokale Netz bringen.

Meine FB 5690 Pro macht ja die Telefonie und eine 2. 7590 greift per LAN auf die 5690 Pro zu für eine Rufnummer, die Funktion bräuchte ich hinterher auch wieder (geht Gebäudetechnisch nicht anders).

Meine Idee für die weitere Planung wäre daher:

- die 5690 Pro für die reine Telefonie ins interne LAN bringen, die 2. 7590 ebenfalls und das WLAN über neue APs

Ich habe 2 TP-Link VLAN fähige Switche, eins müsste ich noch tauschen. Wären dann die WLAN APs auch sinnvoll von TP-Link zu nehmen? Wenn ja welche?

Und zu guter letzt: Welche Hardware würdert ihr für die OpnSense empfehlen?

Grüße
Fabian

 

[the other]

Moinsen,
gehen tut das so oder so...kommt eben auf DEINE Bedarfe und Bedürfnisse an .

Noch eine kurze Rückfrage zum Ausgangspost:
du schreibst

Verbindung ins I-Net per Portfreigabe über die FB - z. B. für meinen Vaultwarden, NPM als Reverse Proxy für die öffentliche Erreichbarkeit von meiner Synology etc, Rustdesk Server)

Meintest du damit, dass du in der FB eine Portweiterleitung eingerichtet hast, so dass diese Dienste direkt aus dem Internet erreichbar werden? Oder hast du (überflüssigerweise) in der FB Ports freigegeben, um nach außen (du sagst "Verbindung ins Internet" nicht "vom")...? Ich gehe mal von ersterem aus und frage daher weiter: muss das alles direkt über eine Portweiterleitung öffentlich verfügbar sein? Oder soll das "nur" für dich von "unterwegs" erreichbar sein? Denn dann tendiere ich erstmal immer zu einem Zugang per VPN (also auf der FB oder später gerne auch auf der *sense). Warum also diese Portweiterleitungen, wirklich nötig?

Andere Frage: die 2. FB macht außer diese eine Telefonnummer abzufragen / zu nutzen was? Welche Aufgaben sonst noch?

Zum letzten Beitrag: ob du nun auch TP-Link APs nimmst oder zb unifi oder... ist am Ende eine sehr individuelle Entscheidung. Achte eben drauf, dass diese a) VLAN-fähig sind, gerne auch mit mehreren mSSIDs und b) beachte, dass du diese (nicht wie einfache WLAN Repeater) per LAN anbindest. Hier zB ein 3 Etagenhaus mit Keller, WLAN in allen Etagen durch drei APs (1 x Keller, 1 x EG/1. Stock, 1 x Dachgeschoss). Alles am LAN Kabel, alle von unifi, eine Controllersoftware ist da zur Einrichtung nötig, die läuft hier als LXC unter proxmox und frisst nur wenig Ressourcen.
Damit deine 2. FB mit den ominösen Aufgaben weiterhin auf die 5690pro zugreifen kann müssen später beide eben im gleichen VLAN sein, oder eine passende "allow" Regel vorhanden oder du belässt die 5690pro VOR der pfsense...auch so wäre die 1. FB von der 2. 7590er noch erreichbar...geht also so oder so oder so.
Vorteil, wenn die 5690pro VOR der *sense: du sparst dir die Anschaffung des Modems...

 

[fmeyer84]

Erstmal vielen Dank für deine ausführliche Antwort!

Moinsen,
gehen tut das so oder so...kommt eben auf DEINE Bedarfe und Bedürfnisse an .

Noch eine kurze Rückfrage zum Ausgangspost:
du schreibst

Meintest du damit, dass du in der FB eine Portweiterleitung eingerichtet hast, so dass diese Dienste direkt aus dem Internet erreichbar werden? Oder hast du (überflüssigerweise) in der FB Ports freigegeben, um nach außen (du sagst "Verbindung ins Internet" nicht "vom")...? Ich gehe mal von ersterem aus und frage daher weiter: muss das alles direkt über eine Portweiterleitung öffentlich verfügbar sein? Oder soll das "nur" für dich von "unterwegs" erreichbar sein? Denn dann tendiere ich erstmal immer zu einem Zugang per VPN (also auf der FB oder später gerne auch auf der *sense). Warum also diese Portweiterleitungen, wirklich nötig?

Ich habe auf der FB 5690 Pro eine Portweiterleitung auf einen LXC unter Proxmox (NPM - Port 80, 443) & auf einen LXC (Wireguard und Rustdesk Server). Der NPM macht dann verschiedene weitere LXCs im Internet erreichbar - also nicht nur für mich per VPN, sondern z. B. auch für meinen Neffen per App (Vaultwarden, Uptime Kuma zB). Reicht diese Erklärung?

Andere Frage: die 2. FB macht außer diese eine Telefonnummer abzufragen / zu nutzen was? Welche Aufgaben sonst noch?

Momentan stellt die 2. FB noch das WLAN Mesh als Repeater zur Verfügung und per Kabel ist ein Laptop angeschlossen. Das könnte ich aber ändern (Kabelverbindung weg - wichtig wäre nur die Telefoniefunktion, da mein Bruder mit seinem Festnetz da dran hängt).

Zum letzten Beitrag: ob du nun auch TP-Link APs nimmst oder zb unifi oder... ist am Ende eine sehr individuelle Entscheidung. Achte eben drauf, dass diese a) VLAN-fähig sind, gerne auch mit mehreren mSSIDs und b) beachte, dass du diese (nicht wie einfache WLAN Repeater) per LAN anbindest. Hier zB ein 3 Etagenhaus mit Keller, WLAN in allen Etagen durch drei APs (1 x Keller, 1 x EG/1. Stock, 1 x Dachgeschoss). Alles am LAN Kabel, alle von unifi, eine Controllersoftware ist da zur Einrichtung nötig, die läuft hier als LXC unter proxmox und frisst nur wenig Ressourcen.

Ich habe bisher auch alle Repeater und beide FritzBoxen per Kabel angebunden, das sollte also kein Problem sein. Leitungswege sind also vorhanden.

Damit deine 2. FB mit den ominösen Aufgaben weiterhin auf die 5690pro zugreifen kann müssen später beide eben im gleichen VLAN sein, oder eine passende "allow" Regel vorhanden oder du belässt die 5690pro VOR der pfsense...auch so wäre die 1. FB von der 2. 7590er noch erreichbar...geht also so oder so oder so.
Vorteil, wenn die 5690pro VOR der *sense: du sparst dir die Anschaffung des Modems...

Ok, das Prinzip mit der 5690 Pro vor der *sense habe ich noch nicht verstanden, weil diese die doch als Internet sieht - wie soll die 2. FB mit der Telefonie dann drauf zugreifen?

Danke nochmal für deinen Input, die Planung und Gedankenanstöße nehmen damit weiter Gestalt an!

 

[Digedag64]

zu guter letzt: Welche Hardware würdert ihr für die OpnSense empfehlen?

Wenn du irgendwas liegen hast mit mindestens zwei Netzwerkports, wäre das ein Anfang.

Ich selbst hab mir eine kleine Kiste aus China bestellt (Topton) mit Intel N150-Prozessor, 16 GB RAM und 256er SSD - und vier Netzwerkports mit 2,5 GBit/s (2.5GBase-T). Bei RAM und Speicher müsste auch jeweils die Hälfte genügen, ich hab halt gern Reserve

Aktuell ist Speicher halt auch sauteuer, zu meinem Glück begann die Preisexplosion erst nach meinen verschiedenen Rechner-Anschaffungen.

 

[fmeyer84]

Für

Wenn du irgendwas liegen hast mit mindestens zwei Netzwerkports, wäre das ein Anfang.

Ich selbst hab mir eine kleine Kiste aus China bestellt (Topton) mit Intel N150-Prozessor, 16 GB RAM und 256er SSD - und vier Netzwerkports mit 2,5 GBit/s (2.5GBase-T). Bei RAM und Speicher müsste auch jeweils die Hälfte genügen, ich hab halt gern Reserve

Aktuell ist Speicher halt auch sauteuer, zu meinem Glück begann die Preisexplosion erst nach meinen verschiedenen Rechner-Anschaffungen.

Nein, liegen nix - müsste gekauft werden. Bräuchte ich für Thema DMZ (für Vaultwarden etc, Dienste die im Internet erreichbar sein müssen) nicht noch nen 3. Port? Gibt ja bei Amazon genug mit 4 Ports, zB von Protectli...

 

[the other]

Moinsen,

16 GB RAM

Wow! Das ist viel für ne private Firewall. Selbst meine netgate appliance hier hat nur 8 GB und ist idR so zu 20 % ausgelastet...aber wie so oft: Haben ist besser als Brauchen.

Zb Protectli sollte eigentlich ne ganz gute Hausnummer sein, auch was die Ressourcen angeht...

Und -sorry- nochmals zurück zum Zugang von Außen: wenn es lediglich du und dein Neffe sein sollten, die da ins Heimnetzwerk müssen...dann würde ich trotzdem persönlich auf der dann *sense einen VPN Zugang einrichten. Da kannst du dann den erlaubt zugreifenden clients auch ne IP reservieren und dann die Regeln sauber anpassen. Ist imho auf jeden Fall ne Überlegung wert in heutigen Zeiten. Ich habe hier auch Dienste, die ich von on the road nutzen will (nicht muss): Home Asistant, keepass, Kalender, Adressbuch, Photos, usw). Dafür auf der pfsense einen openVPN (von früher noch) und einen wirguard server laufen. Mit der passenden App wählt sich mein smartphone in jedem unbekannten WLAN oder auch bei Aktivierung Mobile Daten direkt ins VPN ein. Damit ohne extra "Hier-und-da-noch-klicken-und-eintragen" Zugriff aufs heimische Netz und obendrein surfe ich dann auf Wunsch auch über meine Heimadresse inklusive Pihole zum Blocken von Werbung. In fremden WLANs mache ich Dinge ausschließlich über Umweg durch meinen VPN Server...und wenn das dann eh schon läuft.

Aber! Ich will hier niemanden bekehren, nur eine Alternative zum eher offenen Zugang aufzeigen...also mach es so wie es vor allem für dich und dein setting auch passt.

 

[fmeyer84]

Moinsen,

Wow! Das ist viel für ne private Firewall. Selbst meine netgate appliance hier hat nur 8 GB und ist idR so zu 20 % ausgelastet...aber wie so oft: Haben ist besser als Brauchen.

Ich würde auch zu 8GB tendieren, schaue mich mal weiter bei Protectli um...

Und -sorry- nochmals zurück zum Zugang von Außen: wenn es lediglich du und dein Neffe sein sollten, die da ins Heimnetzwerk müssen...dann würde ich trotzdem persönlich auf der dann *sense einen VPN Zugang einrichten. Da kannst du dann den erlaubt zugreifenden clients auch ne IP reservieren und dann die Regeln sauber anpassen. Ist imho auf jeden Fall ne Überlegung wert in heutigen Zeiten. Ich habe hier auch Dienste, die ich von on the road nutzen will (nicht muss): Home Asistant, keepass, Kalender, Adressbuch, Photos, usw). Dafür auf der pfsense einen openVPN (von früher noch) und einen wirguard server laufen. Mit der passenden App wählt sich mein smartphone in jedem unbekannten WLAN oder auch bei Aktivierung Mobile Daten direkt ins VPN ein. Damit ohne extra "Hier-und-da-noch-klicken-und-eintragen" Zugriff aufs heimische Netz und obendrein surfe ich dann auf Wunsch auch über meine Heimadresse inklusive Pihole zum Blocken von Werbung. In fremden WLANs mache ich Dinge ausschließlich über Umweg durch meinen VPN Server...und wenn das dann eh schon läuft.

Aber! Ich will hier niemanden bekehren, nur eine Alternative zum eher offenen Zugang aufzeigen...also mach es so wie es vor allem für dich und dein setting auch passt.

Grundsätzlich hast du vollkommen Recht, ohne wenn und aber. Ins Heimnetz müssen wirklich nur ich und mein Neffe. Nach deinem Post musste ich nochmal drüber nachdenken und ertappte mich dabei, dass ich für meine Kameras auf der Synology schon extra nur diesen Weg über VPN gehe. Lediglich für Synology Drive und Vaultwarden nutze ich aktiv die Portweiterleitung auf den NPM, Uptime Kuma habe ich noch nie von unterwegs genutzt. Ist also nur ne Umgewöhnung, vorher auch für Synology Drive und Vaultwarden Wireguard zu aktivieren. Das werde ich auch so umsetzen. Danke für deinen Input und Anregungen dazu.

Damit deine 2. FB mit den ominösen Aufgaben weiterhin auf die 5690pro zugreifen kann müssen später beide eben im gleichen VLAN sein, oder eine passende "allow" Regel vorhanden oder du belässt die 5690pro VOR der pfsense...auch so wäre die 1. FB von der 2. 7590er noch erreichbar...geht also so oder so oder so.
Vorteil, wenn die 5690pro VOR der *sense: du sparst dir die Anschaffung des Modems...

Kannst du mir das nochmal erklären? Speziell, wenn die 5690Pro noch als Router vor *sense agieren soll? Habe ich dann nicht auch doppeltes NAT? Und wie sollte die 2. FB (7590) dann zur 5690Pro kommen für die Telefonie?

 

[fmeyer84]

Ich möchte zusätzlich das Thema selbstgehosteter Rustdesk Server (als LXC auf meinem Proxmox Host) noch mit nennen. Dieser ist ja momentan auch per Portweiterleitung erreichbar, sodass ich 2-3 Leuten außerhalb meines Heimnetzes Remotehilfe von Zuhause geben kann. Sollte dieser in eine DMZ oder dann auch wie bisher über eine Portweiterleitung/Firewallregel erreichbar sein?

 

[blurrrr]

Hi,

Kannst du mir das nochmal erklären? Speziell, wenn die 5690Pro noch als Router vor *sense agieren soll?

Fritz!Box <> Firewall <> interne Netze

Habe ich dann nicht auch doppeltes NAT?

Nein, NAT (also die Adressübersetzung) findet "nur" auf dem Router statt, bei der OPNsense/pfSense schaltet man das dann normalerweise einfach ab. Die Fritz!Box "vor" der Firewall muss dann allerdings die Routen kennen (internes Netz xy -> Gateway =Firewall-WAN).

Und wie sollte die 2. FB (7590) dann zur 5690Pro kommen für die Telefonie?

Die 7590 könnte z.B. als SIP-Client agieren. Die 5690 stellt einen Account für ein "IP-Telefon" bereit (kann man dort einrichten), die 7590 meldet sich bei der 5690 als IP-Telefon an. Allerdings kann ich nicht so ganz nachvollziehen, warum die Telefonie über die 7590 laufen und nicht einfach über die 5690

 

[fmeyer84]

Die 7590 könnte z.B. als SIP-Client agieren. Die 5690 stellt einen Account für ein "IP-Telefon" bereit (kann man dort einrichten), die 7590 meldet sich bei der 5690 als IP-Telefon an. Allerdings kann ich nicht so ganz nachvollziehen, warum die Telefonie über die 7590 laufen und nicht einfach über die 5690

So ist die Konfiguration auch momentan: FB 5690 hat alle Rufnummern und Telefone drin, u. a. die 7590 als IP Telefon mit daran angeschlossenem analog Tel. Jedoch wie soll das gehen, wenn die FB5690 vor der Firewall ist und die 7590 im internen LAN hinter der FW?

 

[Barungar]

Dafür gibt es Firewall-Regeln... eine Firewall blockt ja nur das, was man ihr sagt. Und wenn Du IP-Telefonie zwischen FB 5690 und FB7590 willst, dann geht das auch durch 23 Firewalls (falls sie Deiner Kontrolle unterliegen).

 

[blurrrr]

Btw... bevor hier im Vorfeld schon etliche Fragen gefragt werden: Lass erstmal alles so wie es ist. Besorg Dir Firewall-Hardware, installier die Kiste erstmal, häng Dich mit einem Client dahinter und dann schau Dir das ganze erstmal an. Ja, wird erstmal doppeltes NAT sein (Standard), aber spiel erstmal ein bisschen damit rum (Eingewöhnungsphase). Wenn Du genug gespielt hast und Dich sicher genug im Umgang damit fühlst, wird das Ding ggf. nochmal komplett platt gemacht und neu aufgesetzt. Das war der initiale "praktische" Teil.

Danach wird das Ding vorerst beiseite gelegt und Du setzt Dich erstmal hin und überlegst Dir, wie Du Dein Netz (bzw. Deine Netze) gestalten möchtest. Dazu nimmst Du am besten entweder ein Blatt Papier und einen Stift, oder ggf. schon ein kostenloses Tool (s. auch forum.heimnetz.de - Software zum Erstellen von Netzwerk-Plänen/-Übersichten). Dabei wird das Hauptaugenmerk auch erstmal auf die Netze an sich gelegt (s. dazu auch forum.heimnetz.de - Empfehlung für Netzwerksegmentierung und HW Auswahl, da sind auch ein paar Beispiele dabei). Eine vernünftige Segmentierung macht es dann später bei der Firewall bzw. den Regeln auch wesentlich einfacher, dazu kommen wir dann aber später. Erstmal ein bisschen rumspielen, dann Gedanken über die Segmentierung machen (auch gern vorher, je nachdem), dann kommen die (theoretischen) Regeln (was darf wohin?) und wenn das alles vorhanden ist, wird es dann in die Praxis umgesetzt.

Dabei würde ich aber noch darauf achten, dass manche Dinge mitunter vorrangig behandelt werden und andere vielleicht nicht unbedingt zeitkritisch sind (Fritz!Box-Telefonie wäre so ein Thema, das hätte sicherlich auch erstmal Zeit, da die Telefonie ja erstmal funktioniert). Ebenso wäre es eine Überlegung - damit Du jetzt nicht Dein LAN komplett zerpflückst (scheint ja evtl. doch einiges zu laufen), dass man das aktuell vorhandene LAN einfach hinter die Firewall verfrachtet und für das Fritz!Box-Netz im Nachgang ändert. Mal beispielhaft:

IST:
<Fritz!Box> 192.168.178.0/24

SOLL:
<Fritz!Box> 192.168.255.0/24 <Firewall> 192.168.178.0/24

Das dient dann auch nur dazu, dass man sich die Mühe erspart und alle Geräte mit statischen Adressen neu konfigurieren muss. Somit wandert das gesamte LAN dann einfach hinter die Firewall. Falls Du auf der Fritz!Box noch DHCP-Reservierungen gesetzt hast ("Gerät immer die gleiche IP zuweisen"), musst Du diese natürlich auf die Firewall übertragen.

Soweit erstmal von meiner Seite, wünsche vorab schon mal gutes Gelingen und falls Fragen auftauchen (und das werden sie bestimmt)... einfach nachfragen

 

[fmeyer84]

Vielen Dank für deine ausführliche Beschreibung und Anregungen.

Ich bin parallel schon dabei mir Gedanken über die zukünftige Netzstruktur zu machen, dazu bin ich ab nächste Woche im Austausch mit meinem IT-Kollegen, welcher bei uns auf Arbeit die Netzwerkinfrastruktur betreut.

Als Firewall habe ich jetzt folgendes Gerät genommen:

https://www.amazon.de/dp/B0HHW88KLB?psc=1&smid=A3QM3N6DQR3S23&ref_=chk_typ_imgToDp

Als nächsten Schritt (und zur weiteren Vorbereitung) muss ich erstmal meinen Vaultwarden so hinkriegen, dass er auch im heimischen Netz erreichbar ist - sodass ich dann ggf. von unterwegs per VPN drauf zugreifen kann. Ist wohl nicht ganz so einfach, weil die Dinger immer HTTPS brauchen - dazu aber evtl. einen gesonderten Thread.

 

[the other]

Moinsen,
hier zB habe ich das "böse" doppel-NAT (war damals zu faul...) und merke keine negativen Auswirkungen. Von außerhalb komme ich auf der FB an, diese hat eine Portweiterleitung für die benötigten Ports auf die pfsense...fertig.

HTTPS...naja, ist heute auch alles keine Astrophysik mehr: du kannst zB einfach eine eigene Domain registrieren (ja, das kostet ggf -je nach Anbieter- -im Jahr ein paar wenige Euro). Auf diese kannst du dann ssl Zertifikate ausstellen lassen (zB bei Letsencrypt oder oder). Auch sog. wildcard Zertifikate.
Dann kannst du deinem NPM sagen, dass er diese Zertifikate bitte selbst abholt (und aktuell hält) beim Zertifikatsdienstleister. Da du eine eigene Domain vorab hast, kann dann eine Validierung zur ssl-Zertifikateerstellung erfolgen indem deine (existieende) Domainadresse geprüft wird...einmal eingerichtet läuft das dann idR einfach im Hintergrund. Ist also dann auch kein Hexenwerk...

Konkret: ich habe zB eine Domain bei netcup, diese ist als DNS Eintrag hinterlegt via cloudflare (ja, ich weiß...). Letsencrypt testet dann, ob die Domain zu diesem Eintrag existiert, sagt "jau" und stellt dann das Zertifikat zur Verfügung (mal sehr vereinfacht dargestellt, bevor ich Mecker bekomme). Dein Reverseproxy (ob nun als container mit NPM oder ggf direkt auf der opensense mit eigenem Proxy sei egal) bekommt dann die je erneuerten ssl-Zertifikate.
Ein wildcard Zertifikat hat den Vorteil, dass du etwa *.example.com da angibst...im NPM kannst du das "*" dann ersetzen für die jeweiligen Dienste (vaultwarden.example.com usw). Bleibt so also übersichtlich. Und alles eben direkt auf dem ReverseProxy verwaltet, kein extra Einpflegen von Zertifikaten auf Geräten (oder in Container)...
Lässt sich beizeiten also auch gut regeln, dann (wenn es so weit ist) gerne melden (oder den Kollegen IT befragen).

Aber: ein Schritt nach dem anderen (wie @blurrrr ja schon sagte)...nimm dir während des Wartens auf die hardware Stift und Zettel (ja, oldschool analog) und mach dir Pläne:

• was habe ich (Dienste / Geräte)? Was sol im LAN sein?
• kann das sinnig (individueller Bedarf!) geclustert werden? Sollen diese dann in ein VLAN zusammengefasst werden?
• was ist mir wichtiger: Sicherheit (und damit Komplexität) oder Bequemlichkeit (und erhöhtes Risiko)? > welche Geräte zusammen / wie komplex später die Firewallregelei?
• was benötige ich noch? wieviel Ports soll der switch haben?
• manchmal einfach was malen (siehe Bild), verwerfen, neudenken, verwerfen, machen...nach 7 Monaten nachjustieren...
• denke auch immer daran: VPN, VLAN, eigene lokale Dienste...alles nice, hoher Lernfaktor...und damit aber auch: hohe Komplexität im Heimnetzwerk, hohe Hürde für Neueinstieg, Komplexität erfordert imho eine GUTE Dokumentation (Liste mit allen IPs, domainnames, Verbindungen, Versionslisten für Updates, Ports, switch Belegung....und dann alles immer aktuell halten (also die Doku) PLUS alles immer aktuell halten (updates). Das frisst bei aller Liebe auch Zeit, Geld, Wissen und mitunter Nerven...

Und gerne eben hier melden und einfach nett fragen...dann klappt auch alles.

Hoppla: Nachtrag: und der Zugang via VPN hätte noch einen Vorteil...du musst nichts umkonfigurieren (also mal per domainname auf den Dienst, dann wieder per IP oder internem hostname)...du richtest dir im LAN alles ein. Kommst du dann via VPN...ist es ja eben so, wie im LAN...nicht zu Hause 192.168.1.12einhalb und im Cafe vaultwarden.example.com. Aber, wie gesagt, eine Sache nach der anderen.

 

[fmeyer84]

Auch dir vielen Dank für deine ausführliche Antwort.

Thema Heimnetz-Umbau geht dann hier irgendwann weiter - ich muss jetzt erstmal gucken, wie ich den Vaultwarden hinkriege

 

[the other]

Moinsen,
gerne doch, ist ja ein Forum...

Ich selber habe nie was mit vaultwarde gemacht. Viele Dinge, die HTTPS zwingend voraussetzen (oder die OPtion anbieten) bringen ja eigene ssl Zertifikate (vom Hersteller) mit > Synology NAS haben ja zB auch ein "eigenes", die pfsense (und vermutlich ebenso die opnsense) auch. Das kann ja durchaus "erstmal" genutzt werden...

Oder du baust dir eben ein eigenes mit eigener CA und stellst dir dann (für rein intern) ein eigenes aus...geht auch recht einfach bzw ist gut dokumentiert...

Oder ich verstehe die Problematik einfach falsch...

 

[Fusion]

Vaultwarden im LAN muss doch nur die Domain auf den Proxy zeigen. Dann klappt auch der Aufruf und das Zertifikat.
Wenn man keinen DNS-Resolver/Adblocker wie pihole oder Adguard mit local DNS nutzen will (adblock lässt sich auch deaktivieren) bliebe noch die /etc/Hosts um für eine IP eine festes Ziel vorzuschreiben. Das geht aber nur halbwegs komfortabel an einem PC, auf dem Handy eher schwierig.