Umbau FritzBox Netzwerk auf OpnSense

[blurrrr]

Die OPNsense hat doch auch Unbound dabei (https://docs.opnsense.org/manual/unbound.html). Damit sollte es eigentlich auch möglich sein, dass man intern bestimmte Records überschreibt (s. Overrides). Wenn die Clients dann die Firewall als DNS-Resolver nutzen, kannst Du mittels Overrides die externen FQDNs (die dann auf Deine öffentlichen IPs (v4/v6) zeigen) intern auch so manipulieren, dass sie auf die internen IPs zeigen.

Extern: <Host>.domain.tld = <öffentliche IPs>
Intern: <Host>.domain.tld = <interne IPs>

Somit verlässt der Traffic - bei interner Nutzung - auch erst garnicht Dein Heimnetzwerk, die hinterlegten Zertifikate (Lets Encrypt) kommen dabei trotzdem zum Einsatz (der angesprochene FQDN muss halt zum FQDN im Zertifikat passen).

 

[Barungar]

Bi IPv6 muss man sich diese "Mühe" gottseidank nicht mehr machen, weil da ist der interne Host natürlich über die gleiche IPv6 intern wie extern erreichbar.

Und da ich IPv4 persönlich ablehne, gebe ich nur die notwendigsten Dienste per IPv4 frei. In meinem Netz mache ich ausschließlich für Wireguard, DNS und SMTP eine "IPv4-Ausnahme". Alles andere wird ausschließlich per IPv6 angeboten.

 

[blurrrr]

@Barungar Du kannst auch einfach sagen wie es ist: So wie es derzeit allgemein gelöst ist, ist es schlichtweg "<piep>". Ich hätte einen "harten Cut" wirklich sehr bevorzugt. Dieses ganze rumeiern mit irgendwelchen Behelfslösung ist meiner Meinung nach total daneben und solange sowas angeboten wird, wird sich auch nicht wirklich etwas bewegen. IPv6 an sich ist ja eine ziemlich coole Sache, wenn auch gewöhnungsbedürftig und die Schreibweise der Adressen ist auch nicht grade "merkenswert", aber naja, machste nix.

Das Ding ist halt - und es gibt auch einen Grund, warum @Barungar doch noch Dinge via IPv4 (zusätzlich!) regelt. Landet man in einem IPv4-only-Netz, ist halt nix mehr mit dem Zugriff auf IPv6. Gilt umgekehrt aber ebenso, von daher ist es mitunter auch garnicht so schlau, dass man eines von beidem deaktiviert. Inbesondere dann, wenn es um Dienste wie z.B. VPN geht. Gibt ja irgendwie nix blöderes, als irgendwo weit weit weg zu sein und just in diesem Moment braucht man Zugriff auf etwas im Heimnetzwerk und dann funktioniert das VPN nicht.

Wenn man komplett intern kein IPv6 "möchte", ok, ist eine persönliche Vorliebe. Aber zumindestens bis zur Firewall (sprich Firewall-WAN-Interface), sollte man die IPv6-Sache doch durchziehen (wenn man sowohl IPv4 als auch IPv6 vom ISP gestellt bekommt). Das hat auch nichts mehr mit "Vorliebe" zu tun, sondern schlichtweg mit technischer Verfügbarkeit.

Das aber nur mal so am Rande. Muss man initial auch nicht angehen das Thema, sollte man sich aber definitiv mal auf den Zettel schreiben, denn spätestens dann, wenn man irgendwo zu Besuch ist und wem "mal eben" kurz was zeigen will und das VPN dann nicht funktioniert... naja, dann ist halt schon irgendwie... blöd

 

[fmeyer84]

Danke für euren Input, vermutlich muss ich irgendwann sowieso IPv6 wieder anmachen, spätestens wenn Glasfaser anliegt (vmtl. 2027 - so Gott und UGG will) - aber das schauen wir dann

Bzgl. Passwortmanager Vaultwarden habe ich eine Lösung - siehe den Thread dazu

Heute kommt noch die Firewall und dann werde ich erstmal "spielen" Zu gegebener Zeit oder wenn Fragen zur Firewall sind, melde ich mich! Nochmals herzlichen Dank an alle - es hat mich bisher perfekt weitergebracht.