Umbau FritzBox Netzwerk auf OpnSense

[fmeyer84]

Hello again,

am Donnerstag werde ich mit unserem Netzwerk/Infrastruktur-Menschen auf Arbeit zusammensitzen und ihn auch nochmal über den Plan gucken lassen - mal sehen was er meint.

Ich habe aber noch eine Frage zu Wireguard:

Ich habe (ja, mit Hilfe von Youtube) den Wireguard Zugang von unterwegs eingerichtet. Folgende Regel habe ich eingerichtet:


Mit dieser Regel komme ich überall hin (Internet, FB-Netz und alles was hinter der Sense ist). Für mich persönlich alles gut, möchte ich so.
Habe die Peers mit dem Gegenstellengenerator der OpnSense generiert.

Für meinen Neffen bräuchte ich aber einen anderen MTU Wert (Glasfaseranschluss) und er soll auch nur Zugriff auf die Synology haben (so läuft es auch bisher über meinen WG-EASY Container hinter der FB.

Ich habe bisher aber keine Möglichkeit, diese Dinge (vorallem MTU-Wert) für einen Peer zu ändern.

Daher meine Frage:

Sollte ich dann lieber für meinen Neffen ein neues WG Interface mit der speziellen MTU erstellen? Und wie kann ich mit o. g. Regel sagen, das er nur ein oder zwei bestimmte Host (Syno und dann den Passwortmanager zukünftig) erreicht? Sollte dann der Internetzugriff auch blockiert werden?

 

[blurrrr]

Was Du vermutlich "eigentlich" willst nennt sich "Split-Tunneling". Heisst nichts anderes als: Es geht "nur" in den Tunnel, was auch in den Tunnel "muss".

Erstell einfach eine neue WG-Instanz. Dort kannst Du dann ganz oben auf den "erweiterten Modus" umschalten, wo Du dann auch die MTU konfigurieren kannst:

Und wie kann ich mit o. g. Regel sagen, das er nur ein oder zwei bestimmte Host (Syno und dann den Passwortmanager zukünftig) erreicht? Sollte dann der Internetzugriff auch blockiert werden?

Einfach nicht "alles" in den Tunnel schicken reicht schon. Mit o.g. Regel funktioniert das so nicht, die Frage wäre erstmal nach den Ports und dann nach den Zielen. Entweder ist es ein:

Host1 Port 443
Host2 Port 8080

Dann werden es zwei Regeln. Alternativ ist es der gleiche Port (z.B. 443), dann könnte man die Regeln auch zusammenfassen im Sinne von: Ziel = "Host1 Host2" Port "443".

 

[fmeyer84]

Ja, das hatte ich ja schon gesehen - heißt aber auch, ich muss in der FB wieder einen zusätzlichen Port freigeben, richtig?

Und wie sage ich dann, das mein Neffe nur auf zB zwei bestimmte Hosts zugreifen darf?

 

[fmeyer84]

Einfach nicht "alles" in den Tunnel schicken reicht schon. Mit o.g. Regel funktioniert das so nicht, die Frage wäre erstmal nach den Ports und dann nach den Zielen. Entweder ist es ein:

Host1 Port 443
Host2 Port 8080

Dann werden es zwei Regeln. Alternativ ist es der gleiche Port (z.B. 443), dann könnte man die Regeln auch zusammenfassen im Sinne von: Ziel = "Host1 Host2" Port "443".

Host 1 wäre die Synology (192.168.1.2 vorläufig - da noch vor der Sense) mit SMB (Netzlaufwerke) Port
Zukünftig dann für die Syno hinter der Sense (192.168.50.2 - VLAN50) ebenfalls mit SMB-Port

 

[blurrrr]

Das mit dem Port auf der Fritz!Box ist soweit richtig. Du gibst doch bei der Erstellung einer Instanz ein Netz vor (ein Tunnel-Netz). Genau aus diesem Netz wird auch der Zugriff auf anderweitige Ressourcen in Deinem Netzwerk hergestellt. Greift der VPN-Teilnehmer von dieser Instanz auf eine Ressource in Deinem Netzwerk zu, wird er das mit der IP aus dem VPN-Tunnel machen (da darf natürlich kein NAT im Spiel sein). Die IP wird normalerweise dynamisch aus diesem Pool vergeben. Du kannst den Pool auch so klein machen, dass keine Chance besteht, eine andere zu bekommen, das wäre die Netzwerkmaske /30 (z.B. 10.255.255.0/30 =.0 Netz-ID, .1 Firewall, .2 Client, .3 Broadcast). Alternativ - bei mehreren Geräten, wie auch immer - kannst Du die Regeln auch einfach auf ein ganz normales /24er Netz setzen.

Heist für die Firewall-Regel dann: Bei der WG-Instanz angegebenes Netz (Quelle) darf über Protokolle/Ports (je nach Anwendung) auf entsprechende Ressourcen (Ziel) zugreifen. Um es nicht unnötig kompliziert zu machen, kannst Du auch hingehen und einfach kurzerhand 2 Regeln erstellen. Wichtig ist, dass Du weisst a) woher die Zugriffe kommen werden (WG-Instanz-Netz), b) auf welche Ports sie zugreifen wollen (je nach Applikation) und c) auf welche Ziele zugegriffen wird.

In Bezug auf Deinen grade noch nachgeschobenen Post bedeutet das für eine Firewall-Regel:

Quelle: Netzwerk der WG-Instanz
Port: 445/TCP
Ziel: 192.168.1.2

Allerdings gibt es hier jetzt etwas zu beachten. Findet ein Zugriff auf ein System "vor" der Firewall statt, muss das Routing auch entsprechend funktionieren. Hinter der Firewall ist es kein Problem, da die Firewall sowieso Standard-Gateway für alles ist. Lediglich die Geräte aus dem Fritz!Box-VPN kennen dann logischerweise die Route zum VPN-Netz nicht (kennt nur die Firewall).

Da kannst Du aber einfach auf der Syno eine statische Route eintragen:

 

[the other]

Moinsen,
keine Ahnung wie es bei opnsense implementiert ist...
Hier habe ich für die clients, die über wireguard (oder openVPN) zugreifen, direkt feste IPs reserviert.
So hat zB das smartphone beim Zugang via wireguard die 10.5.2.2. So in den wireguard Einstellungen hinterlegt (oder eben analog unter openVPN). Dann auf dem jeweiligen Interface Regeln angelegt, mit Source IP.vom.smart.phone und was eben erlaubt sein soll.
Funktioniert wie erwartet.

Ich selber schicke hier, wenn, dann auch alles durch den VPN Tunnel. Da damit auch direkt unterwegs die pihole Funktionen greifen ganz bewusst so entschieden...

 

[blurrrr]

Jo, das mit der Client-IP ist natürlich auch noch eine Möglichkeit. Allerdings dann auch ein bisschen umständlicher vom Handling her, wenn es mehrere Clients gibt (z.B. PC + Smartphone + Laptop, etc.). Von daher hatte ich das aus Gründen der Komplexität nicht erwähnt - einfach Netz-Definition und jut

Ich selber schicke hier, wenn, dann auch alles durch den VPN Tunnel.

So ist es beim TO ja auch eingerichtet, aber für seinen Neffen wäre da schon Split-Tunneling angesagt... Nur ins VPN, was auch explizit eine dort vorhandene Remote-Ressource ansprechen möchte.

Ich mache es für mich selbst eigentlich immer nur mittels Split-Tunneling (habe kein DNS-Filter laufen), aber wenn ich es machen würde, würde ich es auch nur für mich machen. Geht auch niemanden etwas an (und mich schon mal garnicht), was andere VPN-Teilnehmer so für Seiten ansurfen (Stichwort DNS-Filter)

 

[the other]

Moinsen,

Geht auch niemanden etwas an (und mich schon mal garnicht), was andere VPN-Teilnehmer so für Seiten ansurfen (Stichwort DNS-Filter)

Pah! Mein (VPN) Netz, meine Regeln...
Ganz davon ab: das wird aktuell eh nur von genau einer Person mit genau einem mobilen Gerät genutzt...moi.
Aber als Spielerei (so wie der ganze Rest des Fuhrparks)...