Umbau FritzBox Netzwerk auf OpnSense
- Ersteller fmeyer84
- Erstellt am
blurrrr
Well-known member
1. Vermutung: Willkommen in der Welt von "NAT". Das ist genau das, was Du (rein intern) eben nicht willst. Sofern Du auf der Fritz!Box für alle Netze hinter der OPNsense eine entsprechende Route angelegt hast, brauchst Du kein NAT (das ist nur sinnvoll beim Übergang ins Internet, also macht die Fritz!Box das).
Das "Problem" was Du nun vermutlich hast: Du sagst, dass Du die IP vom PC eingetragen hast. Dies wäre z.B. die 192.168.2.100. Wenn NAT aktiviert ist, kommst Du bei Deiner Syno aber nicht mit der IP Deines PCs an, sondern mit der WAN-IP der Firewall. Stell das mal um auf manuell oder deaktiviert:
Man kann es auch auf manuell stellen, falls man doch mal die ein oder andere Regel braucht. Ich habe es bei mir immer auf manuell stehen und wenn nichts benötigt wird, dann ist halt auch nichts drin. Ein möglicher Grund könnte z.B. ein Gerät sein, welches kein Gateway hat und nur mit Teilnehmern im eigenen Netz sprechen kann. Wenn man dann aus einem anderen Netz kommt, können die beiden nicht miteinander kommunizieren, sowas könnte z.B. ein Grund für für ein manuelles NAT sein, aber da besteht derzeit für Dich kein Bedarf - also weg damit
blurrrr
Well-known member
Kleiner Nachtrag: Soviel über NAT geschrieben, aber garnicht erklärt, was es macht... sorry! 
Das holen wir nun kurz nach:
In seiner - bei SOHO-Netzwerken - am häufigsten auftretenden Art handelt es sich um ein SNAT (Source-NAT / Quell-NAT). Dabei geht es um folgendes: Ein Gerät (i.d.R. eine Firewall, oder eben ein Router) stellt interne Netzwerke aus einem "privaten" IP-Adressbereich für interne Geräte zur Verfügung. Hängt man seinen PC z.B. an eine standardmässig konfigurierte Fritz!Box, so erhält der PC eine IP aus dem Adressbereich 192.168.178.0/24. Dies ist ein privater Adressbereich und private Adressbereiche werden im Internet nicht weitergeleitet. Das kann auch nicht funktionieren, da (beispielhaft) jeder Besitzer einer Fritz!Box dann mit einer IP aus dem Netz 192.168.178.0/24 im Internet unterwegs wäre und "extern" nicht wüsste, wer jetzt eigentlich der richtige Empfänger wäre. Also private Netze im Internet, keine Chance. Da kommt nun NAT (Network Address Translation) ins Spiel, bzw. in diesem Fall etwas konkreter "SNAT" (Source-NAT/Quell-NAT). Es verändert die Quell-IP eines Paketes. Schickt man vom PC (z.B. hinter Deiner OPNsense) ein Paket los...
Quell-IP: 192.168.2.100
Ziel-IP: 8.8.8.8
Passiert - bei Deinem aktuellen Konstrukt nun folgendes:
Paket-Status PC:
Quell-IP: 192.168.2.100
Ziel-IP: 8.8.8.8
Paket-Status OPNsense:
Quell-IP: 192.168.1.254 (SNAT)
Ziel-IP: 8.8.8.8
Paket-Status Fritz!Box:
Quell-IP: <öffentliche IP der Fritz!Box> (SNAT)
Ziel-IP: 8.8.8.8
Heisst also für die OPNsense bei standardmässig aktiviertem (S)NAT, dass alle Pakete, welche von den internen Netzen der OPNsense ins Netz der Fritz!Box kommen, eben über das WAN-Interface der OPNsense mit der WAN-IP der OPNsense im Fritz!Box-Netzwerk auftauchen. Das kannst Du auch ganz leicht überprüfen: Melde Dich vom PC hinter der OPNsense bei der Fritz!Box an und schau dort mal in die Logs der Fritz!Box bzgl. Deines grade stattgefundenen Logins auf der Fritz!Box. Dort sollte die IP aufgelistet sein, von welcher Du Dich bei der Fritz!Box angemeldet hast. Sieht dann so aus:
Also in Deinem "privaten" Netzwerk ist NAT weder schön, noch förderlich, also will man sowas zwischen seinen internen Netzen auch garnicht haben.
Als kleiner - auch häufig auftretender - Gegenspieler dazu gäbe es noch das DNAT (Destination-NAT / Ziel-NAT). Es gibt noch mehr, aber die sind erstmal nicht relevant. DNAT hat Du bestimmt schon eingesetzt, sogar ziemlich sicher. Es geht also um die "Ziel"-IP in einem Paket.
Die Fritz!Box vereint "zwei" Dinge mit ihren "Portfreigaben". Zum einen eine DNAT-Regel, zum anderen auch eine Firewall-Regel (das ist wichtig zu wissen, wenn man sich nun mit Firewall-Systemen befasst), es sind also 2 Konfigurationen, welche zusammenpassen müssen.
Zum einen gehst Du hin und machst ein DNAT in Form von: Wenn ein Paket an der öffentlichen IP vom System und für Port 5678 ankommt, dann leite es weiter zur internen IP 192.168.178.100 (und verändere den Zielport ggf. noch auf 443). Das wäre halt so eine "typische" Portweiterleitung (in Form eines DNAT). Weil das nun nicht reicht, muss natürlich auch noch eine entsprechende Firewall-Regel erstellt werden, ansonsten ist zwar die Anweisung für die Transformation des Paket-Headers gegeben (IP und ggf. Port umschreiben), aber wenn die Firewall nein sagt, bleibt es halt beim nein.
Das nur mal als kleinen Ausflug in die NAT-Welt, mit welcher Du hoffentlich nur auf Deinem Internet-Router in Berührung kommst. Mit IPv6 fällt NAT eigentlich komplett weg, weil i.d.R. sowieso jedes System seine eigene öffentliche IP bekommt (bzw. bekommen sollte). Da gibt es dann also nur noch Firewall-Regeln. Ist nicht so, als gäbe es gar kein NAT mehr unter IPv6, aber die Notwendigkeit ist i.d.R. eben nicht mehr gegeben. Gibt sicherlich noch Fälle, wo sowas zum Einsatz kommt, aber im privaten Bereich denke ich eher nicht, da wird es primär beim ganz normalen Routing und entsprechenden Firewall-Regeln bleiben (ist also eigentlich sogar einfacher als IPv4, wenn man von der Hexadezimal-Schreibweise von IPv6 mal absieht
).
Das holen wir nun kurz nach:In seiner - bei SOHO-Netzwerken - am häufigsten auftretenden Art handelt es sich um ein SNAT (Source-NAT / Quell-NAT). Dabei geht es um folgendes: Ein Gerät (i.d.R. eine Firewall, oder eben ein Router) stellt interne Netzwerke aus einem "privaten" IP-Adressbereich für interne Geräte zur Verfügung. Hängt man seinen PC z.B. an eine standardmässig konfigurierte Fritz!Box, so erhält der PC eine IP aus dem Adressbereich 192.168.178.0/24. Dies ist ein privater Adressbereich und private Adressbereiche werden im Internet nicht weitergeleitet. Das kann auch nicht funktionieren, da (beispielhaft) jeder Besitzer einer Fritz!Box dann mit einer IP aus dem Netz 192.168.178.0/24 im Internet unterwegs wäre und "extern" nicht wüsste, wer jetzt eigentlich der richtige Empfänger wäre. Also private Netze im Internet, keine Chance. Da kommt nun NAT (Network Address Translation) ins Spiel, bzw. in diesem Fall etwas konkreter "SNAT" (Source-NAT/Quell-NAT). Es verändert die Quell-IP eines Paketes. Schickt man vom PC (z.B. hinter Deiner OPNsense) ein Paket los...
Quell-IP: 192.168.2.100
Ziel-IP: 8.8.8.8
Passiert - bei Deinem aktuellen Konstrukt nun folgendes:
Paket-Status PC:
Quell-IP: 192.168.2.100
Ziel-IP: 8.8.8.8
Paket-Status OPNsense:
Quell-IP: 192.168.1.254 (SNAT)
Ziel-IP: 8.8.8.8
Paket-Status Fritz!Box:
Quell-IP: <öffentliche IP der Fritz!Box> (SNAT)
Ziel-IP: 8.8.8.8
Heisst also für die OPNsense bei standardmässig aktiviertem (S)NAT, dass alle Pakete, welche von den internen Netzen der OPNsense ins Netz der Fritz!Box kommen, eben über das WAN-Interface der OPNsense mit der WAN-IP der OPNsense im Fritz!Box-Netzwerk auftauchen. Das kannst Du auch ganz leicht überprüfen: Melde Dich vom PC hinter der OPNsense bei der Fritz!Box an und schau dort mal in die Logs der Fritz!Box bzgl. Deines grade stattgefundenen Logins auf der Fritz!Box. Dort sollte die IP aufgelistet sein, von welcher Du Dich bei der Fritz!Box angemeldet hast. Sieht dann so aus:
Also in Deinem "privaten" Netzwerk ist NAT weder schön, noch förderlich, also will man sowas zwischen seinen internen Netzen auch garnicht haben.
Als kleiner - auch häufig auftretender - Gegenspieler dazu gäbe es noch das DNAT (Destination-NAT / Ziel-NAT). Es gibt noch mehr, aber die sind erstmal nicht relevant. DNAT hat Du bestimmt schon eingesetzt, sogar ziemlich sicher. Es geht also um die "Ziel"-IP in einem Paket.
Die Fritz!Box vereint "zwei" Dinge mit ihren "Portfreigaben". Zum einen eine DNAT-Regel, zum anderen auch eine Firewall-Regel (das ist wichtig zu wissen, wenn man sich nun mit Firewall-Systemen befasst), es sind also 2 Konfigurationen, welche zusammenpassen müssen.
Zum einen gehst Du hin und machst ein DNAT in Form von: Wenn ein Paket an der öffentlichen IP vom System und für Port 5678 ankommt, dann leite es weiter zur internen IP 192.168.178.100 (und verändere den Zielport ggf. noch auf 443). Das wäre halt so eine "typische" Portweiterleitung (in Form eines DNAT). Weil das nun nicht reicht, muss natürlich auch noch eine entsprechende Firewall-Regel erstellt werden, ansonsten ist zwar die Anweisung für die Transformation des Paket-Headers gegeben (IP und ggf. Port umschreiben), aber wenn die Firewall nein sagt, bleibt es halt beim nein.
Das nur mal als kleinen Ausflug in die NAT-Welt, mit welcher Du hoffentlich nur auf Deinem Internet-Router in Berührung kommst. Mit IPv6 fällt NAT eigentlich komplett weg, weil i.d.R. sowieso jedes System seine eigene öffentliche IP bekommt (bzw. bekommen sollte). Da gibt es dann also nur noch Firewall-Regeln. Ist nicht so, als gäbe es gar kein NAT mehr unter IPv6, aber die Notwendigkeit ist i.d.R. eben nicht mehr gegeben. Gibt sicherlich noch Fälle, wo sowas zum Einsatz kommt, aber im privaten Bereich denke ich eher nicht, da wird es primär beim ganz normalen Routing und entsprechenden Firewall-Regeln bleiben (ist also eigentlich sogar einfacher als IPv4, wenn man von der Hexadezimal-Schreibweise von IPv6 mal absieht
).Genau das war der Punkt, jetzt geht es. ich hatte ich mich in den Firewall-Live-Logs schon gewundert warum die 192.168.1.254 (WAN Sense) die Syno (192.168.1.2) auf dem Port 3493 will. Aber so macht das natürlich Sinn.
Was mich aber wundert: Ich habe jetzt mal die von mir in https://forum.heimnetz.de/threads/umbau-fritzbox-netzwerk-auf-opnsense.8568/page-2#post-84212 hinterlegte WAN Regel rausgenommen und die Verbindung klappt trotzdem noch...
Was mich aber wundert: Ich habe jetzt mal die von mir in https://forum.heimnetz.de/threads/umbau-fritzbox-netzwerk-auf-opnsense.8568/page-2#post-84212 hinterlegte WAN Regel rausgenommen und die Verbindung klappt trotzdem noch...
blurrrr
Well-known member
Naja, die Frage ist erstmal: Wie läuft der Verbindungsaufbau (Quelle -> Ziel)? Das ist ein Punkt, welchen man bei Firewall-Regeln "immer" berücksichtigen muss. "Antworten" dürfen i.d.R. immer zurück, die primäre Frage ist immer von wo nach wo der intiale Verbindungsaufbau stattfindet. Fragt der PC bzw. NUT-Client beim Server nach, oder schickt der Server einfach initial eine Nachricht an den Client? Um das jetzt mal abzukürzen: Hast Du irgendwo auf dem NUT-Server gesagt, welche Clients aktiv benachrichtigt werden sollen? Ich denke nicht (wäre mir jedenfalls nicht bekannt).
Insofern bleibt auch nur eine einzige Schlussfolgerung: Der Client nimmt eigenständig Kontakt mit dem Server auf, somit initiiert der Client die Verbindung, nicht der Server:
Somit sollte sich die Regel bzgl. der Verbindung "von" der Syno "zum" Client eigentlich sowieso erledigt haben, da die Syno nicht initial die Verbindung zum PC aufbaut.
Insofern bleibt auch nur eine einzige Schlussfolgerung: Der Client nimmt eigenständig Kontakt mit dem Server auf, somit initiiert der Client die Verbindung, nicht der Server:
(Quelle: https://networkupstools.org/docs/man/upsd.html)
(Quelle: https://networkupstools.org/docs/man/upsc.html)
Somit sollte sich die Regel bzgl. der Verbindung "von" der Syno "zum" Client eigentlich sowieso erledigt haben, da die Syno nicht initial die Verbindung zum PC aufbaut.
Ok verstanden, ich hab ja im USV Server in der Synology die erlaubten IP Adressen hinterlegt. Ich muss das mal testen, wenn die USV in den Akku Modus, ob dann alles sauber herunterfährt am PC, so war bisher immer im lokalen FritzBox Netz.
BTW: mit deaktivierten NAT kommen die Clients aus meinem WLAN (192.168.3.x) nicht mehr ins Internet. Aktiviere ich das wieder, geht Internet.
BTW: mit deaktivierten NAT kommen die Clients aus meinem WLAN (192.168.3.x) nicht mehr ins Internet. Aktiviere ich das wieder, geht Internet.
blurrrr
Well-known member
Das sieht sehr nach einem ganz bestimmten Szenario aus... Wenn man den Rückweg nicht kennt, sieht es auch eher mau aus, wenn man eine Antwort erhalten möchte:
Anfrage ausgehend: Client schickt Anfrage, OPNsense leitet weiter an Fritz!Box, Fritz!Box leitet weiter ins Internet.
Antwort eingehend: Anfrage kommt wieder an der Fritz!Box an, Fritz!Box hat keine Ahnung, wie sie die Ziel-IP erreichen kann und leitet das Paket weiter an Ihr Standard-Gateway (wieder Richtung Internet, wo das Paket dann verworfen wird).
Was fehlt?
(Tip: Hat vermutlich etwas mit der Fritz!Box zu tun)Ok, vmtl. die Route zu 192.168.3.0/24 via 192.168.1.254Was fehlt?
Dann nur noch die theoretische Frage:
Im Endstadium soll die FB5690Pro ja nur noch rein Internet bereitstellen und Telefonie. Muss ich dann trotzdem immer für jedes Netz (inkl. VLANS) hinter der Sense eine statische Route auf der FB eintragen?
blurrrr
Well-known member
Ja, bzw. gibt es verschiedene Möglichkeiten. Um das "sauber" zu haben, würde es schon Sinn machen. Alternativ kannst Du aber auch mittels Subnetting hingehen und mehrere Bereiche zusammenfassen (obwohl es theoretisch die Angabe eines "grösseren" Netzes ist).
Zum Beispiel:
192.168.0.0/24 = 192.168.0.0-192.168.0.255
Ein normales /24er Netz.
192.168.0.0/23 = 192.168.0.0-192.168.1.255
Hier wurde der Adressbereich quasi verdoppelt (in der Definition). Allerdings kann man diesen Netzbereich auch aufteilen in 2x24er: 192.168.0.0/24 + 192.168.1.0/24.
192.168.0.0/22 = z.B. 192.168.0.0/24 + 192.168.1.0/24 + 192.168.2.0/24 + 192.168.3.0/24
Es gilt die Regel: CIDR ("24") -1 = Netz verdoppelt, +1 = Netz halbiert. Die Netze "müssen" dann aber auch zusammenhängt sein, also 0,1,2,3 und nicht 5,29,85,223.
Aber ich sag mal so: Mach Dir doch erstmal Gedanken darum, wieviele Netze Du "ungefähr" brauchst bzw. haben möchtest und welche Netze Du konkret nutzen möchtest. Zusammenfassen lässt sich das alles, halt mit mehr oder weniger "Schwund". Ist alles zusammenhängt, dann ist es relativ einfach, nimmst Du aber z.B. die "5 + 29 + 85 + 223", würdest Du schon bei einem 192.168.0.0/16 landen, da Du im 3. Oktett (192.168.XXX.0) halt "alles brauchst". Logischerweise entstehen dann riesige Leerstände. Fasst Du es dann nicht zusammen, sondern gibst die Netze einfach einzeln an, ist das aber auch kein Problem. Ich habe bei mir privat meine Netze einfach einzeln bei der Routing-Tabelle angegeben. Ist ja auch eine einmalige Sache und kostet - wenn überhaupt - auch nur ein paar Minuten
Vielen Dank für diese echt wunderbaren Erklärungen, der Tag heute hat mich wieder extrem weitergebracht!
Habe zusätzlich jetzt einen Wireguard Tunnel hinzugefügt, sodass von unterwegs auf die Netze hinter der Sense zugreifen kann, funktioniert auch. Jetzt geht's erstmal wieder an die Dokumentation (das habe ich echt unterschätzt, wie wichtig das ist) und dann als nächstes mit passender Hardware ans Thema VLAN.
Vielen Dank nochmal an alle für die Anregungen, Hilfen und Gedankenanstöße!
Habe zusätzlich jetzt einen Wireguard Tunnel hinzugefügt, sodass von unterwegs auf die Netze hinter der Sense zugreifen kann, funktioniert auch. Jetzt geht's erstmal wieder an die Dokumentation (das habe ich echt unterschätzt, wie wichtig das ist) und dann als nächstes mit passender Hardware ans Thema VLAN.
Vielen Dank nochmal an alle für die Anregungen, Hilfen und Gedankenanstöße!
blurrrr
Well-known member
Hello again liebe Community,
ich habe heute mal nen bissel was zusammengeschrieben und einen - ENTWURF - des finalen Netzwerkes erstellt inkl. Zugriffen.
Ich würde mich über Anregungen und Verbesserungen sehr freuen! Gerne hätte ich es als ein PDF angehängt, aber das erlaubt das Forum nicht
Vielen lieben Dank nochmal an alle bisher!
ich habe heute mal nen bissel was zusammengeschrieben und einen - ENTWURF - des finalen Netzwerkes erstellt inkl. Zugriffen.
Ich würde mich über Anregungen und Verbesserungen sehr freuen! Gerne hätte ich es als ein PDF angehängt, aber das erlaubt das Forum nicht
Vielen lieben Dank nochmal an alle bisher!
Anhänge
blurrrr
Well-known member
Sieht doch schon mal so aus, als hättest Du Dir ordentlich Gedanken gemacht Eine Anmerkung hätte ich da allerdings noch was die Regeln angeht: Es ist immer die Kommunikationsrichtung zu beachten. Braucht das IoT-Netz wirklich Zugriff auf HomeAssistant, oder läuft es ggf. doch andersrum? Gleiches gilt für die Cams, welche i.d.R. nicht zum Host senden, sondern wo die Streams vom Host aus von den Cams geholt werden. Zugriff auf das VLAN der Cams sicherlich (von einem Management-Gerät, nicht unbedingt Handy oder so), aber sobald die Cams einmal im Netz sind, wird darauf ja sicherlich nur über die Surveillance-Station (also vom NAS) zugegriffen, während ein Client sich mit dem NAS verbindet (zwecks Zugriff auf die Cams).
Beim VLAN10 fehlt mir noch eine Kleinigkeit in Deiner Auflistung (hast Du vielleicht auf dem Schirm, nur nicht abgebildet). Dein Konstrukt sieht ja wie folgt aus:
VLAN XY -> OPNsense -> Fritz!Box-Netz -> Fritz!Box -> Internet
Bedeutet aber auch, dass "alles" was ins Internet darf (also WAN-Interface raus und dann ist's egal), somit auch Zugriff auf das Fritz!Box-Netzwerk und somit ebenfalls Zugriff auf das Fritz!Box-Webinterface hätte. Sowas wäre halt noch zu vermeiden - für alle Netzwerke - Dein VLAN10 z.B. mal ausgenommen (oder je nachdem, aus welchen Netzen Du gern Zugriff auf die Fritz!Box hättest). Das hatte ich aber in #33 schon angesprochen, wird nur gern mal vergessen
Eine Anmerkung hätte ich da allerdings noch was die Regeln angeht: Es ist immer die Kommunikationsrichtung zu beachten. Braucht das IoT-Netz wirklich Zugriff auf HomeAssistant, oder läuft es ggf. doch andersrum? Gleiches gilt für die Cams, welche i.d.R. nicht zum Host senden, sondern wo die Streams vom Host aus von den Cams geholt werden. Zugriff auf das VLAN der Cams sicherlich (von einem Management-Gerät, nicht unbedingt Handy oder so), aber sobald die Cams einmal im Netz sind, wird darauf ja sicherlich nur über die Surveillance-Station (also vom NAS) zugegriffen, während ein Client sich mit dem NAS verbindet (zwecks Zugriff auf die Cams).Beim VLAN10 fehlt mir noch eine Kleinigkeit in Deiner Auflistung (hast Du vielleicht auf dem Schirm, nur nicht abgebildet). Dein Konstrukt sieht ja wie folgt aus:
VLAN XY -> OPNsense -> Fritz!Box-Netz -> Fritz!Box -> Internet
Bedeutet aber auch, dass "alles" was ins Internet darf (also WAN-Interface raus und dann ist's egal), somit auch Zugriff auf das Fritz!Box-Netzwerk und somit ebenfalls Zugriff auf das Fritz!Box-Webinterface hätte. Sowas wäre halt noch zu vermeiden - für alle Netzwerke - Dein VLAN10 z.B. mal ausgenommen (oder je nachdem, aus welchen Netzen Du gern Zugriff auf die Fritz!Box hättest). Das hatte ich aber in #33 schon angesprochen, wird nur gern mal vergessen
Vielen Dank für deine Anmerkungen!
Die Cams habe ich manchmal über die Weboberfläche aufrufen müssen, z. B. für die Privatzonen-Markierung etc. Aber ja, das könnte man von einem PC lösen aus dem VLAN 10 (Laptops, PC).
Ich bin mir da momentan noch nicht sicher, bzw. nicht sattelfest was die Zugriffe angeht. Ich habe HomeAssistant als VM auf dem Proxmox Host und hole mir damit die Daten von diversen Shellys, WLAN Steckdosen, meiner Anker Solix PV etc. Ebenso habe ich aber über WLAN natürlich auch die diversen Apps (HomeAssistant, SmartLife für WLAN-Steckdosen & die Anker Solix App) zur "Steuerung".Sieht doch schon mal so aus, als hättest Du Dir ordentlich Gedanken gemacht
Die Cams habe ich manchmal über die Weboberfläche aufrufen müssen, z. B. für die Privatzonen-Markierung etc. Aber ja, das könnte man von einem PC lösen aus dem VLAN 10 (Laptops, PC).
Ja, ok - das soll natürlich nicht sein. Momentan habe ich 2 Geräte (Laptop und fester PC), von wo ich standardmäßig auf die FB komme. Schön wäre natürlich, wenn ich das auch weiterhin über mobile - private - Geräte aus dem VLAN20 machen könnte (z. B. Tablets, Handy, WLAN Laptops).Beim VLAN10 fehlt mir noch eine Kleinigkeit in Deiner Auflistung (hast Du vielleicht auf dem Schirm, nur nicht abgebildet). Dein Konstrukt sieht ja wie folgt aus:
VLAN XY -> OPNsense -> Fritz!Box-Netz -> Fritz!Box -> Internet
Bedeutet aber auch, dass "alles" was ins Internet darf (also WAN-Interface raus und dann ist's egal), somit auch Zugriff auf das Fritz!Box-Netzwerk und somit ebenfalls Zugriff auf das Fritz!Box-Webinterface hätte. Sowas wäre halt noch zu vermeiden - für alle Netzwerke - Dein VLAN10 z.B. mal ausgenommen (oder je nachdem, aus welchen Netzen Du gern Zugriff auf die Fritz!Box hättest). Das hatte ich aber in #33 schon angesprochen, wird nur gern mal vergessen
blurrrr
Well-known member
Naja, kannst Deine Regeln ja so gestalten, wie Du es für richtig befindest, da ist jeder seines eigenes Glückes Schmied 
Das Du unter Proxmox auch VLANs angeben kannst, hast Du sicherlich schon gesehen? Das nur mal im Hinblick darauf, dass ggf. auch VMs in bestimmte Netze sollen (DMZ wäre da so ein Beispiel, sofern Du sowas überhaupt brauchst).
Das Du unter Proxmox auch VLANs angeben kannst, hast Du sicherlich schon gesehen? Das nur mal im Hinblick darauf, dass ggf. auch VMs in bestimmte Netze sollen (DMZ wäre da so ein Beispiel, sofern Du sowas überhaupt brauchst).womit hast du denn diese feine Grafik (Netzplan) erstellt? Sieht gut aus und ich müsste meinen Kram auch mal .....
blurrrr
Well-known member
Gibt doch etliche Möglichkeiten... hier mal eine kleine Auswahl: forum.heimnetz.de - Software zum Erstellen von Netzwerk-Plänen/-Übersichten. Nebst denen hat man auch in div. Software die Möglichkeit, dass man eigene Bilder einbindet, dann bleibt schon garnicht mehr soviel übrig, was man vermisst. Für MacOS-Nutzer ggf. noch OmniGraffle. Ansonsten... wenn Du über Deinen Arbeitgeber dran kommst... Visio, aber für privat und "mal" sowas skizzieren, ist das dann doch ein "bisschen" teuer
MS Visio, hatte mir mal Version 2019 gekauft...
the other
Well-known member
Moinsen,
wow, da hast du dir aber echt einen vernünftig aussehenden Plan gemacht. Damit kann der Einsteig doch gelingen (später kommen Änderungen im Feinjustieren eh noch und immer wieder mal).
Ich habe noch eine Ergänzung für später (wenn die Netze dann alle stehen und es an die feineren Firewallregeln geht: für mein Gast Netz hier habe ich nicht spontan das Internet erlaubt, sondern nur bestimmte Ports. Damit kann zwar der Appstore von Android und Apple erreicht werden, auch die typischen Dinge wie email und surfen...was aber dadurch nicht geht ist zB filesharing. Fand ich für ne gewisse Zeit (als das Kind dann älter wurde) ganz nett.
wow, da hast du dir aber echt einen vernünftig aussehenden Plan gemacht. Damit kann der Einsteig doch gelingen (später kommen Änderungen im Feinjustieren eh noch und immer wieder mal).
Ich habe noch eine Ergänzung für später (wenn die Netze dann alle stehen und es an die feineren Firewallregeln geht: für mein Gast Netz hier habe ich nicht spontan das Internet erlaubt, sondern nur bestimmte Ports. Damit kann zwar der Appstore von Android und Apple erreicht werden, auch die typischen Dinge wie email und surfen...was aber dadurch nicht geht ist zB filesharing. Fand ich für ne gewisse Zeit (als das Kind dann älter wurde) ganz nett.
