[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

*Inhalt gelöscht*

 

[toscdesign]

Aber das musst Du ja mit Community Listen füttern. Hatte da wie gesagt erst mal abuseipdb.com genommen.

läuft bei mir direkt ohne große Konfiguration:

Crowdsec bringt eher wenig im free tier.

Besser als gar nichts ist es auf jeden Fall

 

[AliManali]

Ja, für gewisse Angriffsvektoren gehen die IPs ins Jail. Wenn z.B. jemand 7x erfolglos anklopft. Mit den Community Listen werden die gleich von Anfang an geblockt. Beim Honeypot auch.

Schau mal ins CrowdSec: Decisions, ob da schon wer drin steht. Bei mir hat es immer so 1500-3000 IP Adressen drin aus den letzten 72h.

 

[toscdesign]

@toscdesign Q-Feeds kannst Du dir angucken und firehol_level1. Crowdsec bringt eher wenig im free tier.

Die gibts gar nicht im Portal, wird mit zumindest nicht angezeigt.
Hab jetzt erstmal die hier genommen:

Ja, für gewisse Angriffsvektoren gehen die IPs ins Jail. Wenn z.B. jemand 7x erfolglos anklopft. Mit den Community Listen werden die gleich von Anfang an geblockt. Beim Honeypot auch.

muss ich mir mal anschauen.

Schau mal ins CrowdSec: Decisions, ob da schon wer drin steht. Bei mir hat es immer so 1500-3000 IP Adressen drin aus den letzten 72h.

Sind so 15k Einträge aus der Cummunity List. Die ist nur per SSH abrufbar:


In der GUI selbst ist noch nix.

 

[AliManali]

Ja, bei mir stehen die direkt in der GUI. Die Community Liste musstest Du aber händisch eintragen in Crowdsec? Finde es nicht mehr gerade, wie ich das eingerichtet hatte damals. Ist schon eine Weile her. Musste aber für die Community Liste einen Account bei abuseip machen. Da bekommt man einen Token, den man in Crowdsec eintragen muss. So weit ich noch in Errinerung habe.

Die Liste in CrowdSec: Decisions sollte sich dann füllen:

 

[toscdesign]

Die Community Liste ist automatisch gesetzt und wird nicht in der GUI angezeigt, steht sogar direkt bei dir im Screenshot als "Note:" 😅

 

[AliManali]

Ja, wie gesagt, ist schon eine Weile her. Ich musste die händisch eintragen, mit einem Drittanbieter Token. Wenn man da die komplette Liste will, muss man Münzen einwerfen. Aber die funktioniert bei mir leider gar nicht mehr, wegen meinem SSH Gebastel. Kümmere ich mich dann darum, wenn ich Netzwerk umgebaut habe im Herbst.

Bin noch auf OPNsense 25.7.11_9-amd64, vielleicht liegts daran. Kein Bock auf Update, wegen den neuen FW Regeln. Die muss noch durchhalten bis im Herbst.

 

[toscdesign]

Ich bin schon auf der neusten OpnSense 26.1.11_6, das alte Regelsystem läuft immer noch. Zum neuen muss man erst beim nächsten größeren Update wechseln.

 

[BobbyD]

Hab jetzt erstmal die hier genommen:

Keine Ahnung was das ist.

 

[toscdesign]

@BobbyD
Ich setze deine auch mal rein.
Einfach diesen Alias anlegen und als Block Rule auf dem WAN Interface?


Nebenbei, der Netbird Server läuft und ist erreichbar.
Ich hoffe doch ich habe die NAT Regeln und die entsprechenden WAN Regeln dazu richtig gesetzt?

NAT:


WAN:



IPv6 ist bei mir komplett deaktiviert und geblockt. Nur falls jemand fragt 😅

 

[BobbyD]

Einfach diesen Alias anlegen und als Block Rule auf dem WAN Interface?

Genau. Man kann auch eine solche Regel auf nem LAN machen, um Kontakte zu auf der Liste zu unterbinden, kann aber auch false positives geben...

Ich hoffe doch ich habe die NAT Regeln und die entsprechenden WAN Regeln dazu richtig gesetzt?

Wenn Netbrid nicht auf der OPNsense läuft, dann sieht das grundsätzlich richtig aus. Wobei ich es selbst nicht nutze und daher nicht mehr sagen kann, als dass Du eine Portweiterleitung eingerichtet hast, drei um genau zu sein.

 

[toscdesign]

Wenn Netbrid nicht auf der OPNsense läuft, dann sieht das grundsätzlich richtig aus.

Ja das läuft eif einer eigenen Debain VM in der DMZ.

daher nicht mehr sagen kann, als dass Du eine Portweiterleitung eingerichtet hast,

Genau das wollte ich auch nur wissen 😅

 

[AliManali]

Habe die firehol Regel auch eingerichtet, aber bisschen weniger restriktiv. Und den Honeypot auch noch bisschen schärfer eingestellt. Ja comme ruhig!

 

[toscdesign]

Bei mir blockt gerade CrowdSec massenweise aufrufe.
Quasi im Sekundentakt. Würde fast behaupten das es Portscans sind, von den Ports her.

 

[AliManali]

Bei mir auch ^^

 

[BobbyD]

Ich hoffe doch ich habe die NAT Regeln und die entsprechenden WAN Regeln dazu richtig gesetzt?

Moin, wenn ich jetzt noch mal drauf gucke, dann fällt doch das unterschiedliche Protokoll bei der letzten Regel auf.

Ich würde mir ja unter DNAT die Firewall-Regeln mit Register rule automatisch erstellen lassen. Interessant, dass die OPNSense das nicht mehr empfiehlt.

By default, firewall rules need to be created manually, which is also the advised option. Alternatively you can use Pass, which passes traffic on the nat rule (not visible in the rules tab) or register automatic interface rules which can be overruled via rules with a higher priority...

Würde ich also dennoch machen, damit erledigen sich dann hoffentlich solche Flüchtigkeitsfehler.
Wichtig ist noch, nicht pass zu verwenden, es sei denn, man hat die docs dazu vollständig gelesen und verstanden.

Wenn Du möchtest, teil doch mal ein vollständiges Bild von den WAN Rules, inkl. dem Auge-Button (statistics).

Spoiler: WAN

 

[toscdesign]

Moin, wenn ich jetzt noch mal drauf gucke, dann fällt doch das unterschiedliche Protokoll bei der letzten Regel auf.

Oh man, das steht noch auf TCP

Ich würde mir ja die Firewall-Regel mit Register rule automatisch erstellen lassen. Interessant, dass die OPNSense das nicht mehr empfiehlt.

Genau deshalb habe ich es auch nicht gemacht, weil Opnsense es so empfohlen hat.

Wichtig ist noch, nicht pass zu verwenden, es sei denn, man hat die docs dazu vollständig gelesen und verstanden.

So steht es in den Guides. Warum das wieder nicht?


Edit gerade gesehen, das Opnsense hier ganz schön viele Regeln automatisch anlegt.
(Die Portweiterleitung sowie die Pass Regeln für Netbrid sind aktuell sowieso abgschaltet, nach meinen Experimenten gestern):

Spoiler

Edit:
Gerade interesant zu sehen wie eine O2 (Telefonica) IP die ganze Zeit versucht auf den Port 443 zuzugreifen, der aktuell geblockt wird.
Lt. logs geht das schon seit Stunden so, alle paar Sekunden. Immer vom gleichen Source Port auf diesen Port.
Die scheinen da einen internen Sicherheitsscan laufen zu haben? Ich bin O2 Kunde beim DSL.
Upps, das bin ich selbst
Da versucht Netbird wohl die Verbindung zu testen 😅

Beitrag automatisch zusammengeführt: 05.07.2026

Ich sollte mir erstmal nen Kaffee holen

 

[BobbyD]

So steht es in den Guides. Warum das wieder nicht?

Das bezog sich nur auf die Auswahl bei DNAT, nicht auf die Regels.
Das Auge hattest Du jetzt nicht aktiv.

Was auch immer mikrotik forward genau ist, wenn dieser nur von ganz bestimmten Hosts aus dem Internet erreichbar sein soll, könntest Du hierfür einen Alias als Source verwenden, ggf. auch mit DynDNS-Einträgen. Sieht aber soweit alles gut aus, war ja auch nicht anders zu erwarten. 😉

 

[toscdesign]

Das bezog sich nur auf die Auswahl bei DNAT, nicht auf die Regels.
Hattest Du das Auge aktiv?

Verstehe nicht worauf du hinaus willst

Wobei Du ja alles deaktiviert hast, wäre also eh nix zu sehen gewesen.

Was wäre zu sehen gewesen?

Und die oberen automatischen Regeln brauchte es jetzt nicht.

Wieso? Für mich klingen die Sinnvoll. Die werden von OpnSense bei der Grundinstallation angelegt, bis auf die Crowdsec Regeln, die legt CrowdSec an.

Was auch immer mikrotik forward genau ist, wenn dieser nur von ganz bestimmten Hosts aus dem Internet erreichbar sein soll, könntest Du hierfür einen Alias als Source verwenden, ggf. auch mit DynDNS-Einträgen.

Das war ein altes Überbleibsel, ist schon lange deaktiviert. Die NAT Regel dazu auch.

 

[BobbyD]

Verstehe nicht worauf du hinaus willst

Hab es etwas präzisiert. Es geht dabei nur darum, was Du unter DNAT bezüglich der Firewall-Regeln auswählen kannst. Meine Empfehlung: register rule.

Was wäre zu sehen gewesen?

Mach es doch einfach mal an. Auf meinem Screenshot sieht man da was.

Für mich klingen die Sinnvoll.

Ich wollte sie nur nicht sehen.

 

[toscdesign]

Hab es etwas präzisiert. Es geht dabei nur darum, was Du unter DNAT bezüglich der Firewall-Regeln auswählen kannst. Meine Empfehlung: register rule.

Achso, dann hatte ich das falsch verstanden 😅

Mach es doch einfach mal an. Auf meinem Screenshot sieht man da was.

Ja hab ich gesehen, bei dir sind die NAT Regel als automatische Regeln angelegt. Das sagtest du bereits.
Ich hatte das so verstanden, das ein externer was sieht und das ich das falsch konfiguriert hätte 😅

Ich wollte sie nur nicht sehen.

Ich habe das so verstanden das du alle sehen willst, hast du ja geschrieben:
"Wenn Du möchtest, teil doch mal ein vollständiges Bild von den WAN Rules"

 

[BobbyD]

Ja hab ich gesehen

Es ging um das Auge, das hattest Du nicht an, s. mein Screenshot. Wenn beim Auge nichts erscheint, dann kann das ein Hinweis auf eine falsche Regel sein: Eine Regel, die nie greift. So wäre z.B. deine Regel mit dem falschen Protokoll wahrscheinlich aufgefallen, weil es überhaupt keine Treffer dazu gegeben hätte. Auch auf dem LAN kann das Auge wertvolle Hinweise geben.

Spoiler: WAN

Bei mir sieht es inzwischen so aus:

 

[toscdesign]

Ah ok, jetzt kapiere ich was du von mir willst 😅

Beitrag automatisch zusammengeführt: 05.07.2026

Edit:
Die Ansicht über das Auge gibt es bei mir noch nicht, da ich noch die alten Regeln verwende.
Ich kann das nur im Livelog sehen.

 

[BobbyD]

Die Ansicht über das Auge gibt es bei mir noch nicht, da ich noch die alten Regeln verwende.

Inspect gibt es auch bei den alten Regeln, aber die Ansicht ist weniger schön.
Zu den Regeln [new] würde ich jetzt migrieren, denn bevor dem Release von 26.7 sollte das abgeschlossen sein und die kommt in weniger als zwei Wochen.
Zu SNAT muss man dagegen noch nicht migrieren, das sieht noch nicht final aus.

 

[toscdesign]

@BobbyD
Also irgendwas macht die OpnSense gerade wieder verkehrt, oder ich bin zu blöd.

Hab das jetzt wie von dir beschrieben beim NAT als "registred rule" eingestellt. Die Regel wird auch erstellt:


Trotzdem blockt es die Firewall weg


Und Netbird meckert zu recht:

 

[BobbyD]

Trotzdem blockt es die Firewall weg

Was sagt denn Inspect (das Auge), gibt es Treffer auf dieser Regel?
Ansonsten nochmal komplette Bilder von DNAT und den Regeln hier einstellen, aber ohne die oberen, automatischen Regeln. Da aber manches (zu recht) geschwärzt ist, anderes sich hinter Aliases versteckt, ist es natürlich schwer, was definitives zu sagen.

 

[toscdesign]

Wie gesagt das Auge gibt es bei mir nicht

 

[BobbyD]

Wie gesagt das Auge gibt es bei mir nicht

Sollte es geben (OPNsense 26.1.11_6).
So oder so dann noch die neuen Bildchen hier einstellen, und ich kann versuchen, etwas auszumachen.

Beitrag automatisch zusammengeführt: 05.07.2026

Bei mir geht es jedenfalls, also kein OPNsense Bug. 😉

 

[toscdesign]

Ja hab den Fehler gefunden, die automatischen Regeln funktionierten nicht.
Habe das wieder auf Manuel gestellt und exakt die selbe Regel manuell auf dem WAN Interface gesetzt und es funktioniert sofort!



Ergo hat OpnSense recht, das man hier nicht die automatischen Regeln verwenden soll!

 

[toscdesign]

@BobbyD
Immerhin funktionieren die automatischen Regeln von Crowdsec:

 

[toscdesign]

Jupp, die ganzen "Port Scans" sind auch im Crowdsec Portal drin. Scheint also alles zu funktionieren 👍