Umbau FritzBox Netzwerk auf OpnSense

[blurrrr]

Die OPNsense hat doch auch Unbound dabei (https://docs.opnsense.org/manual/unbound.html). Damit sollte es eigentlich auch möglich sein, dass man intern bestimmte Records überschreibt (s. Overrides). Wenn die Clients dann die Firewall als DNS-Resolver nutzen, kannst Du mittels Overrides die externen FQDNs (die dann auf Deine öffentlichen IPs (v4/v6) zeigen) intern auch so manipulieren, dass sie auf die internen IPs zeigen.

Extern: <Host>.domain.tld = <öffentliche IPs>
Intern: <Host>.domain.tld = <interne IPs>

Somit verlässt der Traffic - bei interner Nutzung - auch erst garnicht Dein Heimnetzwerk, die hinterlegten Zertifikate (Lets Encrypt) kommen dabei trotzdem zum Einsatz (der angesprochene FQDN muss halt zum FQDN im Zertifikat passen).

 

[Barungar]

Bi IPv6 muss man sich diese "Mühe" gottseidank nicht mehr machen, weil da ist der interne Host natürlich über die gleiche IPv6 intern wie extern erreichbar.

Und da ich IPv4 persönlich ablehne, gebe ich nur die notwendigsten Dienste per IPv4 frei. In meinem Netz mache ich ausschließlich für Wireguard, DNS und SMTP eine "IPv4-Ausnahme". Alles andere wird ausschließlich per IPv6 angeboten.

 

[blurrrr]

@Barungar Du kannst auch einfach sagen wie es ist: So wie es derzeit allgemein gelöst ist, ist es schlichtweg "<piep>". Ich hätte einen "harten Cut" wirklich sehr bevorzugt. Dieses ganze rumeiern mit irgendwelchen Behelfslösung ist meiner Meinung nach total daneben und solange sowas angeboten wird, wird sich auch nicht wirklich etwas bewegen. IPv6 an sich ist ja eine ziemlich coole Sache, wenn auch gewöhnungsbedürftig und die Schreibweise der Adressen ist auch nicht grade "merkenswert", aber naja, machste nix.

Das Ding ist halt - und es gibt auch einen Grund, warum @Barungar doch noch Dinge via IPv4 (zusätzlich!) regelt. Landet man in einem IPv4-only-Netz, ist halt nix mehr mit dem Zugriff auf IPv6. Gilt umgekehrt aber ebenso, von daher ist es mitunter auch garnicht so schlau, dass man eines von beidem deaktiviert. Inbesondere dann, wenn es um Dienste wie z.B. VPN geht. Gibt ja irgendwie nix blöderes, als irgendwo weit weit weg zu sein und just in diesem Moment braucht man Zugriff auf etwas im Heimnetzwerk und dann funktioniert das VPN nicht.

Wenn man komplett intern kein IPv6 "möchte", ok, ist eine persönliche Vorliebe. Aber zumindestens bis zur Firewall (sprich Firewall-WAN-Interface), sollte man die IPv6-Sache doch durchziehen (wenn man sowohl IPv4 als auch IPv6 vom ISP gestellt bekommt). Das hat auch nichts mehr mit "Vorliebe" zu tun, sondern schlichtweg mit technischer Verfügbarkeit.

Das aber nur mal so am Rande. Muss man initial auch nicht angehen das Thema, sollte man sich aber definitiv mal auf den Zettel schreiben, denn spätestens dann, wenn man irgendwo zu Besuch ist und wem "mal eben" kurz was zeigen will und das VPN dann nicht funktioniert... naja, dann ist halt schon irgendwie... blöd

 

[fmeyer84]

Danke für euren Input, vermutlich muss ich irgendwann sowieso IPv6 wieder anmachen, spätestens wenn Glasfaser anliegt (vmtl. 2027 - so Gott und UGG will) - aber das schauen wir dann

Bzgl. Passwortmanager Vaultwarden habe ich eine Lösung - siehe den Thread dazu

Heute kommt noch die Firewall und dann werde ich erstmal "spielen" Zu gegebener Zeit oder wenn Fragen zur Firewall sind, melde ich mich! Nochmals herzlichen Dank an alle - es hat mich bisher perfekt weitergebracht.

 

[fmeyer84]

Guten Morgen,

habe die Firewall zum testen und spielen in Betrieb genommen und folgendermaßen konfiguriert:

WAN = igc0 = 192.168.1.254 - Gateway 192.168.1.1 (FB 5690Pro)
LAN = igc1 = 192.168.2.1 - DHCP konfiguriert

Ich hänge mich also per Laptop an den LAN Port und kriege auch wunderbar eine IP aus dem .2-Netz - soweit so gut. Ins Internet und in mein "eigentliches" LAN der FB 5690 Pro (.1.xxx) komme ich auch wunderbar. Soweit so gut.

Folgende erste Veständnisfragen habe ich:

1. Ich kann aus dem .2-er Netz die WebGUI der FW über 192.168.2.1 UND 192.168.1.254 öffnen - ist das so richtig? Ich habe keine zusätzlichen FW-Regeln erstellt, alles ist Standard nach der Installation.

2. Aus dem .1-er Netz der FB 5690 Pro komme ich nicht auf das WebGUI der FW (192.168.1.254), auch anpingen kann ich sie über diese Adresse nicht - ist das auch normal?


Ich wünsche einen angenehmen kleinen Freitag

 

[Barungar]

1. Ich kann aus dem .2-er Netz die WebGUI der FW über 192.168.2.1 UND 192.168.1.254 öffnen - ist das so richtig? Ich habe keine zusätzlichen FW-Regeln erstellt, alles ist Standard nach der Installation.

Das ist ja beides Mal die Firewall. Und da Du aus dem internen (berechtigten) Netz kommst funktioniert hat.
Aus dem .1-er Netz der FritzBox sollte KEINE der beiden funktionieren.

2. Aus dem .1-er Netz der FB 5690 Pro komme ich nicht auf das WebGUI der FW (192.168.1.254), auch anpingen kann ich sie über diese Adresse nicht - ist das auch normal?

Das Interface an die die 192.168.1.254 gebunden ist gehört aus Sicht der Firewall zur "bösen Außenwelt" (Internet). Es ist für eine Firewall nicht unüblich, dass sie nicht reagiert, wenn man dieses Interface von der Außenseite anspricht. Das also die WebUI nicht geht ist zu erwarten, und das PING geschluckt wird ist nicht unüblich.

 

[fmeyer84]

Ich bin weiter am "basteln"

Ich kann ja aus dem LAN Netz der OPNSense per IP auf z. B. meine Synology aus dem FritzBox Netz zugreifen - per DNS geht das nicht. Derzeit kriegt mein Laptop per DHCP die OPNSense als DNS (x.2.1) - wie kann ich sagen, das er als sekundären DNS z. B. die FritzBox nimmt x.1.1) - sodass meine Netzlaufwerke auf die Synology wieder per DNS der fritzBox gehen? Finde da irgendwie keine Option...

 

[blurrrr]

Per "DNS" geht das auch, nur nicht via mDNS, etc. Dafür muss man aber auch ein entsprechenden DNS-Resolver befragen und nicht einfach via Broadcast im "lokalen" Netz rumbrüllen (wo es logischerweise keine Antwort gibt). Das was Du da hast, ist kein "DNS" im herkömmlichen Sinne (Domain Name System). Es ist so eine Broadcast-Geschichte und wenn Dein Rechner im OPNsense-LAN brüllt und nach der IP vom Hostnamen (NASDS920) fragt, kennt keiner die Antwort - das funktioniert nur um gleichen Netz. Die Fritz!Box hat damit eigentlich auch nichts zu tun, sie macht es aber trotzdem, allerdings wäre es dann "nasds920.fritz.box" oder irgendwie sowas.

Variante 1) Nutz es einfach via IP (so mache ich das i.d.R., weil DNS - egal in welcher Form - auch immer noch ein weiteres mögliches Problem darstellt). Nur in recht großen Umgebungen greife ich normalerweise auf FQDNs zurück.

Variante 2) Nutz den DNS-Resolver (unbound) auf der OPNsense und leg einen Eintrag dafür an (z.B. DS920.fmeyer84.internal (s. dazu auch .internal)). Dazu hatte ich unter #21 auch schon etwas geschrieben.

Variante 3) Syno ins gleiche Netz wie die OPNsense verfrachten.

Was die Fritz!Box angeht, wenn die Büchse ihre WAN-IP von der Fritz!Box bekommt und sonst nichts weiter konfiguriert ist, sollte die OPNsense vermutlich eh die Fritz!Box bzgl. DNS befragen. Kannst Du mit dem Rechner hinter der OPNsense ganz einfach testen mit einem nslookup fritz.box in der Windows Eingabeaufforderung. Es sollte die private IP Deiner Fritz!Box auftauchen.

EDIT: Kleiner Nachtrag: Dein "Endgerät" (Client) muss garnicht div. DNS-Resolver eingetragen haben. Dein Client fragt die Firewall und die fragt entweder den nächsten (ihren eigenen DNS-Resolver), könnte z.B. schon die Fritz!Box sein, oder befragt direkt irgendwas externes an. Ich vermute aber mal, bei WAN-IP-Bezug via DHCP von der Fritz!Box, dass die OPNsense sowieso schon die Fritz!Box als DNS-Resolver nutzt. Da müsstest Du mal in die Einstellungen der OPNsense schauen. Client fragt OPNsense, OPNsense fragt Fritz!Box, Fritz!Box fragt Provider - so sollte es dann (vorerst) so sein.

 

[fmeyer84]

Per "DNS" geht das auch, nur nicht via mDNS, etc. Dafür muss man aber auch ein entsprechenden DNS-Resolver befragen und nicht einfach via Broadcast im "lokalen" Netz rumbrüllen (wo es logischerweise keine Antwort gibt). Das was Du da hast, ist kein "DNS" im herkömmlichen Sinne (Domain Name System). Es ist so eine Broadcast-Geschichte und wenn Dein Rechner im OPNsense-LAN brüllt und nach der IP vom Hostnamen (NASDS920) fragt, kennt keiner die Antwort - das funktioniert nur um gleichen Netz. Die Fritz!Box hat damit eigentlich auch nichts zu tun, sie macht es aber trotzdem, allerdings wäre es dann "nasds920.fritz.box" oder irgendwie sowas.

OK - das habe ich verstanden

Variante 1) Nutz es einfach via IP (so mache ich das i.d.R., weil DNS - egal in welcher Form - auch immer noch ein weiteres mögliches Problem darstellt). Nur in recht großen Umgebungen greife ich normalerweise auf FQDNs zurück.

Fand ich jetzt nicht immer so schön, aber ja - danke für den Hinweis.

Variante 2) Nutz den DNS-Resolver (unbound) auf der OPNsense und leg einen Eintrag dafür an (z.B. DS920.fmeyer84.internal (s. dazu auch .internal)). Dazu hatte ich unter #21 auch schon etwas geschrieben.

Das hat geklappt mit der Einstellung:



Vielen Dank!

Variante 3) Syno ins gleiche Netz wie die OPNsense verfrachten.

Nee, erstmal noch nicht - später dann sowieso im gleichen Netz.

Was die Fritz!Box angeht, wenn die Büchse ihre WAN-IP von der Fritz!Box bekommt und sonst nichts weiter konfiguriert ist, sollte die OPNsense vermutlich eh die Fritz!Box bzgl. DNS befragen. Kannst Du mit dem Rechner hinter der OPNsense ganz einfach testen mit einem nslookup fritz.box in der Windows Eingabeaufforderung. Es sollte die private IP Deiner Fritz!Box auftauchen.

Ja so ist es - exakt die 192.168.1.1 wird ausgeworfen

EDIT: Kleiner Nachtrag: Dein "Endgerät" (Client) muss garnicht div. DNS-Resolver eingetragen haben. Dein Client fragt die Firewall und die fragt entweder den nächsten (ihren eigenen DNS-Resolver), könnte z.B. schon die Fritz!Box sein, oder befragt direkt irgendwas externes an. Ich vermute aber mal, bei WAN-IP-Bezug via DHCP von der Fritz!Box, dass die OPNsense sowieso schon die Fritz!Box als DNS-Resolver nutzt. Da müsstest Du mal in die Einstellungen der OPNsense schauen. Client fragt OPNsense, OPNsense fragt Fritz!Box, Fritz!Box fragt Provider - so sollte es dann (vorerst) so sein.

Nee, habe nicht per DHCP Bezug - habe sie statisch festgelegt und konnte im Setup nur das Gateway eintragen (bei der Installation) -192.168.1.1 - nach DNS wurde ich nicht gefragt.

 

[fmeyer84]

Ich habe jetzt an igc2 der FW einen WLAN AP dran hängen, folgende Config:

igc2: 192.168.3.1 inkl. DHCP von x.3.2 bis x.3.10

WLAN AP per DHCP Reservation 192.168.3.2 hinzugefügt - verbinde ich jetzt ein Gerät mit dem WLAN, kriege ich zwar eine Verbindung und auch in der FW wird der Lease angezeigt, aber ich habe kein Internet. Die Config ist aber genau gleich, wie auf dem LAN Interface igc1...

Die Lernkurve steigt, aber wie von euch prophezeit auch das Frustationslevel

 

[the other]

Moinsen,
hehehe, told you so...

Der Unterschied bzw die Crux liegt in den default Einstellungen, vermute ich mal...
Die pfsense (und ich vermute, ebenso dein fork, die opnsense) ist im Werkszustand so eingestellt, dass du aus dem LAN einfach ins Netz kommst...nicht aber aus dann später eingerichteten anderen LANs (anderes Interface, anderer IP Adressraum, eigenes Netzwerk) oder auch VLANs eben NICHT einfach so woanders hin darfst. Lediglich innerhalb des "neuen" Netzes darfst du reisen, alles andere wird geblockt (firewall). Also: du musst für das Interface (bei dir eben igc2) auch die passende Regel oder auch mehrere einrichten...
Für einen reinen TEST (und dann später nach Bedarf anpassen) also zB ein einfaches
Source (Name des Netzes oder interface)
Destination: any
Port: Any
Damit kommt dann ALLES aus dem Netz hinter igc2 überallhin (Internet aber auch in deine anderen Subnetze / LANs / VLANs (was ja nicht immer gewünscht ist später, warum sonst die firewall?)...
Also: das o.g. sollte auch bei der opnsense so laufen, die Einstellungen sind hier zumindest unter;
Firewall / Rules / Interfacename...
Und beim Anlegen von mehreren Regeln immer die Reihenfolge beachten (von oben wird abgearbeitet, die erste treffende Regel gilt, nix mehr danach usw).

PS: für später gibt es hier auch ein paar Anleitungen auf heimnetz.de...

 

[the other]

Moinsen again,
das andere Thema (DNS) aus Beitrag #29): du kannst der pfsense (und auch hier: vermutlich ebenso gültig für die opnsense) unter System/ General settings zwar einen DNS Server mitteilen, das gilt dann für die pfsense selbst (und wird als default genutzt für die Interfaces).
Unter den jeweiligen Einstellungen der diversen Netzwerkinterfaces (also bei dir für LAN und LAN2 (igc2)) im Bereich des DHCP (Services > DHCP Server) kannst du bei Bedarf eigene DNS Server Adressen hinterlegen (zB anderes Gerät im eigenen Heimnetz oder auch die *sense selbst, etwa wenn dort Unbound als DNS Resolver läuft. Du kannst die *sense auch als DNS Forwarder nutzen (was aber eher nicht empfohlen wird allgemein).
Für den Anfang würde ich (was aber nicht allgemein geltend ist!): alles einfach halten, unter den generellen Einstellungen entweder die IP der Fritzbox angeben...oder aber vor allem anderen auch nur die Basics einrichten, aber gleich richtig. Bedeutet: nutz unbound auf der opnsense (Services / DNS Resolver). Damit steht dann DNS auf der opnsense. Dann aber auch daran denken, dass der Zugriff auf die opnsense für DNS (Port 53) erlaubt werden muss (überall außer LAN, da default...).
Du merkst ja so langsam...am Anfang leicht erdrückend. Mach langsam, denk dran....dein altes Netz geht ja. Nichts treibt dich, nur du selbst. Mach langsam, mach ne Dokumentation, mach ne Pause. Danach geht es immer leichter...lieber step by step und die basics mitnehmen als schnell schnell und später null Ahnung, was wie und warum verstellt wurde und "DAS INTERNET IST WEG!!"

 

[blurrrr]

Das "Problem" dürften wohl eher die "automatischen" Regeln sein. Wie @the other schon sagte, gibt es halt erstmal ein Default-Set. Ich persönlich finde es besser, wenn man auf solche Dinge verzichtet, sondern alles komplett händisch macht. Hat einfach den Vorteil, dass nicht einfach auf magische Art und Weise irgendwelche Dinge passieren (oder in Vergessenheit geraten). Hier mal als Beispiel, wie ich sowas aufbaue bzgl. der Regeln:

1) Anti-Lock-Out-Regel: Die wichtigste Regel von allen: Sperr Dich nicht selbst aus! Ist also oftmals etwas in die Richtung "Management-PC (oder LAN)" darf immer zur Firewall (Management). Das ist und bleibt die erste/oberste Regel.
2) Regeln für den "internen" Verkehr, z.B. Netz A darf in Netz B, Netz A und B dürfen in Netz C, Netz C darf nur in Netz B, usw. - i.d.R. noch granularer (beschränkt auf einzelne IP-Adressen und spezifische Dienste)
3) RFC1918 zu RFC1918 verbieten: RFC1918 beschreibt die privaten IPv4-Adressräume. Somit wird sämtlicher interner Traffic unter den internen Netzen unterbunden (also alles was nicht unter Punkt 2 erlaubt wurde)
4) Danach kann man es sich recht einfach machen: alle "internen" Netze -> Alle Ziele -> erlauben. Diese Regel sorgt dann dafür, dass alle internen Netze auch ins Internet dürfen.
5) Der Ordnung halber noch eine Clean-Up-Regel: Alle Quellen -> Alle Ziele -> Verbieten.

Wenn Du nun 2 Netze hast, das ganze nochmal in kürzerer Form, aber unter Berücksichtung Deines Fritz!Box-Netzwerkes:

Ich gehe mal von folgendem aus:

192.168.1.0/24 Fritz!Box-Netzwerk
192.168.2.0/24 OPNsense LAN
192.168.3.0/24 OPNsense WLAN

1) 192.168.2.0/24 -> SSH-/Web-Management-Port -> 192.168.2.1 -> Erlauben [Anti-Lock-Out] (Vermutlich schon eine Default-Regel)
2) LAN -> alle Dienste -> WLAN (je nachdem, ob Du da den Zugriff benötigst) -> Erlauben [interner Zugriff]
3) LAN -> HTTP+HTTPS -> 192.168.1.1 -> Erlauben [interner Zugriff] (Zugriff vom LAN auf das Webinterface der Fritz!Box)
4) RFC1918 -> Alle Dienste -> RFC1918 -> Verbieten [interner Zugriff]
5) RFC1918 -> Alle Dienste -> Alle Ziele (any) -> Erlauben (Internetzugriff für die internen Netze)
6) Exemplarisch: alle Quellen -> 5001/TCP (DSM) -> 192.168.1.2 (Syno) -> Erlauben (externer Zugriff auf DSM)
7) Alle Quellen -> Alle Dienste -> Alle Ziele -> Verbieten

Zu Regel 6 möchte ich an dieser Stelle allerdings noch anmerken, dass man sowas in der Form nicht machen sollte. Zumindestens sollte man Country-Blocking aktivieren, oder - wie es bei Dir scheint - bei so wenigen zugreifenden Personen direkt eine VPN-Lösung nutzen. Ansonsten kann man auch div. Dinge kombinieren, wie z.B. Blacklisten auf der OPNsense (welche die meisten bösen Quellen schon aussortiert) + Country-Blocking + Reverse-Proxy (ggf. noch mit Web-Application-Firewall), da ist "VPN" dann aber doch der einfachere Weg

Was Regel 2 angeht, kann man machen, muss man aber mitunter auch nicht, wenn man in diesem Netz nichts hat, worauf man zugreifen möchte. Bei mir persönlich darf niemand in die WLAN-Netze (ich selbst auch nicht, warum auch ). Ich erwähnte das jetzt nur mal am Rande, weil es ja durchaus Personen gibt, die irgendwas z.B. über einen Laptop laufen lassen und dann darauf zugreifen wollen.

Was die RFC1918-Geschichte angeht, da legt man sich am besten einfach einen Alias an (wie schon vor ein paar Posts verlinkt), dann kann man einfach direkt den RFC1918-Alias nutzen und kann sich so auch einiges an Arbeit sparen

 

[fmeyer84]

Guten Morgen zusammen,

eure Anregungen und Erklärungen sind mega hilfreich, vielen Dank!

Natürlich lag es einer passenden Regel für die WLAN Schnittstelle, nun komme ich erstmal aus dem WLAN Netz ins LAN und auch ins FritzBox Netz sowie Internet. Habe dazu testweise erstmal die Default Regel vom LAN geklont. Werde heute Nachmittag mal diese Regelgeschichte weiter vertiefen und dokumentieren.