[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

*Inhalt gelöscht*

 

[mj1985]

Ich habe gestern, mehr oder minder erfolgreich versucht opnsense in der neuesten Version auf meinem Dell Wyse in Betrieb zu nehmen. Nachdem ich dann den Treiber für den zusätzlichen Lananschluss aktivieren konnte lief das System.

Nun hab ich früher über die Fritzbox zwei Portfreigaben für 80 & 443 gehabt und das ganze über den Nginx Proxy Manager der in Proxmox als LXC lief abgefrühstückt. Die Domain liegt bei Netcup und ist dann aber bei Cloudflare hinterlegt.

Bei opnsense habe ich mich am Caddy Plugin versucht, nach der off. Anleitung - aber so richtig erfolgreich war es nicht. IP Aktualisierung in Cloudflare lief, aber die Weiterleitung an die LXC (Home Assistant & Vaultwarden) lief nicht (wobei ich nochmal verifizieren muss, ob es nicht vielleicht an Home Assistant selbst lag, denn als ich wieder auf die Fritzbox umgestellt hatte, lief erst auch nichts, erst als mir dann einfiel, dass ich in HA noch die Trusted Proxies anpassen muss ).
In der Anleitung steht auch, das man die Client Headers auf Cf-Connecting-Ip setzen soll, damit konnte ich nichts anfangen.

Was nutzt ihr als Reverse Proxy?

 

[AliManali]

nginx mit ACME Client, direkt auf der Sense. Cloudflare spielt NS.

 

[toscdesign]

Nutzt jemand von euch die Blocklisten von ipv64 ?
Die scheinen ja eine schöne Übersicht zu haben.

IPv64 Blocklists - First Level Protection

IPv64.net is a free DynDNS (DynDNS2), VPN Gateway & Healthcheck service. Special attention is paid to the availability and wide functionality.

ipv64.net

 

[BobbyD]

Fünf Monate alte Blocklisten, nein Danke. Q-Feeds ist schon sehr massiv, dann noch firehol level 1-4, GeoBlock und Suricata. Man kann das ewig so weitermachen, aber allzu viel bringt da eh nicht.
Besser selektiv erlauben, wenn möglich; nach Ländern, ISPs(ASN), DynDNS.

 

[Shihatsu]

Sodele, ich hab jetzt eine gangbare Lösung für mein OPNsense-Neuaufbauen-Problem gefunden:
Workstation hängt nach wie vor an der Produktivumgebung, auf der Workstation ist eine VM in Virtmanager, an den ist eine Netzwerkkarte durchgereicht, die hat sieselbe IP wie der Host und hängt direkt am 10g port der neuen Firewall. Basic Setup ist durch, jetzt gehts an das neue Zeug, dem ich bisher ausgewichen bin (und was der Motivator für den Neuaufbau war...).
Gleich das erste Problem was neu ist: DHCP macht jetzt DNSmasq (mit dem ich mich noch gar nicht beschäftigt habe) und ich hab jetzt 4 Stellen an denen ich einen DNS-Server einstellen bzw. pflegen bzw. kontrollieren muss (dazu gleich mehr).
Was ich will:

• Kein DNS Bleeding, alle meine Geräte nutzen NUR opnsense als DNS server -> Firewall
• Kein IPv6

Die 4 Stellen:

1. WAN settings
2. DNSmasq Einstellungen
3. Unbound einstellungen
4. Firewall Einstellungen

Wie setz ich das denn jetzt am besten um?

 

[toscdesign]

DHCP macht jetzt DNSmasq (mit dem ich mich noch gar nicht beschäftigt habe)

Ich muss mal das Video raussuchen, das ich damals zur Konfiguration verwendet habe. Bin damals vom alten DHCP auf den DNSmasq umgestiegen. War gar nicht so schlimm, wenn man einige Dinge beachtet.

Kein IPv6

Ich hatte auch kein Bock mich damit zu beschäftigen, daher ist das bei mir komplett geblockt.

Hab mir extra einen DSL Anbieter mit echtem DualStack und ordentlichen Peering gesucht (O2)

 

[AliManali]

Gleich das erste Problem was neu ist: DHCP macht jetzt DNSmasq (mit dem ich mich noch gar nicht beschäftigt habe) und ich hab jetzt 4 Stellen an denen ich einen DNS-Server einstellen bzw. pflegen bzw. kontrollieren muss (dazu gleich mehr).

Nutze zwar Kea, aber wird mit DNSmasq ähnlich sein. Eigentlich trägt man im DHCP gar nichts bezüglich NS ein. Das hatte ich auch lange so gemacht. Hier auf der Labsense läuft jetzt unbound, und es wird nirgends mehr überhaupt irgend ein externer DNS eingetragen.

 

[toscdesign]

Ja hab den Fehler gefunden, die automatischen Regeln funktionierten nicht.
Habe das wieder auf Manuel gestellt und exakt die selbe Regel manuell auf dem WAN Interface gesetzt und es funktioniert sofort!

Anhang anzeigen 1216218

Ergo hat OpnSense recht, das man hier nicht die automatischen Regeln verwenden soll!

Nochmal zum Thema "automatische Regeln", diese scheinen allgemein auf dem WAN Interface nicht richtig zu funktionieren.

Hatte jetzt schon mehrmals den Fall, das die Blockregel von Crowdsec auf dem WAN Interface eine IP durchgelassen hat (welche auf der Blockliste steht), diese vom DNAT dann in die DMZ geleitet wurde, dort dann glücklicherweise von der automatischen Crowdsec Regel (mit der gleichen Blickliste) der DMZ geblockt wurde.

 

[BobbyD]

Eher unwahrscheinlich. Dafür müsste man sich die Regeln noch genauer ansehen. Wenn Crowdsec die OPNsense als Bouncer benutzt, dann dürfte es keinen Unterschied machen.

 

[toscdesign]

Tut's aber, werde später mal Screenshots anhängen

 

[BobbyD]

werde später mal Screenshots anhängen

Tu das. Wobei Du auch ein Problem mit einer automatischen, registered NAT Rule hattest. Hast Du deine Rules schon migriert? Vielleicht gibt es da noch ein Problem bei dir.

 

[toscdesign]

@BobbyD
Du hattest recht, das ganze läuft Schrittweise ab, sehr vewirrend:

1. Er lässt den Zugriff der bösen IP zu mit der NAT Regel auf dem WAN Interface
2. Er erkennt dann das es eine böse IP ist und blockiert dann danach auf dem WAN Interface.

Hier der Screenshot dazu (von unten zu lesen):



Edit:
Ich habe eben echt den Livelogs für ne halbe Stunde zugeschaut, bis ich mal wieder so einen Fall hatte.
Crowdsec blockt bei mir gerade einfach alles weg 😅

 

[BobbyD]

Hier der Screenshot dazu (von unten zu lesen):

Ich hab das Logging bei mir angepasst, mir die NAT-Regeln etc. nicht mehr anzuzeigen, sondern nur noch das für mich relevante.

 

[BobbyD]

OPNsense 26.7 released

26.7, nicknamed "Xenial Xenops", features interface assignments and gateway groups via MVC/API, firewall rules now defaulting to MVC/API, outbound NAT to source NAT migration assistant, captive portal IPv6 support, Kea DDNS/custom options/dynamic prefix delegation, FreeBSD 15.1, OpenVPN 2.7, PHP 8.5, Python 3.13, plus much more.

Migration notes, known issues and limitations:

• The privileges "page-system-groupmanager" and "page-system-usermanager-addprivs" were merged into "page-system-groupmanager" and are no longer available separately. This was done to avoid the misconception that access to a user management page gives constrained rights to each page, but that is not the case. User management is a process involving all 3 pages.
• The static PHP pages for firewall rule management have been moved to the "os-firewall-legacy" plugin which can be manually installed before or after the upgrade. All rules will continue to work regardless of the plugin being installed or not and are easily migrated using the given assistant.
• Hyper-V guests may be producing panics on certain hosts with more than one virtual processor assigned. Make sure to snapshot beforehand and stay on 26.1.x until the situation is clear.
• Since this is a major OS upgrade and OpenSSL changes from 3.0 to 3.5 third party repositories may interfere with your upgrade experience. Removing offending repositories and plugins may help; or wait for affirmation from the respective repository owners.

Läuft

 

[Weltherrscher]

drauf, läuft.
Sogar NUT geht wieder.

 

[toscdesign]

Läuft

Gönne deiner Opnsense doch mal etwas mehr Arbeitsspeicher, die arme quält sich so

 

[Azrael_ct]

Läuft bislang alles gut - nur das gute, alte Mimugmail-Repo hat 26.7 noch verschlafen und klappt nicht.

 

[StarGeneral]

Bei mir steht immer noch die Migration der Floating Rules auf die neuen Regeln aus. Ich habe gelesen (bin mir nicht mehr sicher ob hier oder anderswo im Web), dass die aktuellen Updates das z.T. erzwingen, stimmt das? Dann müsste ich mich mit der Migration beschäftigen, bevor ich das nächste Mal Updates einspiele.

 

[BobbyD]

dass die aktuellen Updates das z.T. erzwingen, stimmt das?

Nope. Die Regeln sind weiter im System, können aber nicht mehr ohne ein zusätzliche PlugIn geändert werden. Was aber jederzeit geht ist sie zu migrieren. Und es betrifft nicht nur Floating Rules, sondern alle Regeln. Allerdings nur bei Floating gab es groß Veränderungen, nämlich dass es keine mehr gegen kann, die nur auf einem einzigen Interface sind.

 

[StarGeneral]

Danke dir für die Info! Gibt es schon Erfahrungen hinsichtlich der Migration, ob das soweit gut klappt, oder ob man sich da einen größeren Brocken an Arbeit ins Haus holt?

 

[BobbyD]

oder ob man sich da einen größeren Brocken an Arbeit ins Haus holt?

Im Idealfall exportiert man die Regeln, guckt mal drüber und importiert sie wieder. Außer bei Floating Regeln sehe ich da keine Probleme. Wobei man wohl auch Warnungen angezeigt bekommen soll bei bestimmten Konstellationen, kann mich selbst aber an keine erinnern.
Also exportieren, in Excel, OnlyOffice oder was auch immer csv kann (Semikolon getrennt) angucken und re-importieren. Bei Fragen zu einer Heim-Installation kannst Du mir auch ne PM schicken.

 

[StarGeneral]

Vielen Dank für die Infos und das Hilfsangebot! Ich schaue mir das mal an und komme ggf. auf dich zu

 

[StarGeneral]

Update: Hat alles bestens geklappt mit der Migration, komplett ohne manuelles Zutun meinerseits. Regeln sind portiert und Updates alle installiert. Noch mal besten Dank

 

[BobbyD]

OPNsense 26.7.2 (August 12, 2026)

This update addresses the WireGuard MAC authentication issue people have been talking about, 4 core security advisories and the usual volume of quality of life improvements and bug fixes.

We are currently improving the compatibility with the legacy pages in full privilege separation, working on feature parity between Outbound NAT and Source NAT and will also provide a road map in the next weeks for 27.1. Stay tuned.

 

[BobbyD]

Today, Netgate is releasing pfSense Plus software version 26.07. We strongly encourage all pfSense Plus customers to upgrade to the latest version. This release contains exciting new features exclusive to the Netgate Nexus controller: CoreDNS, Threatgate, and Snort version 3.

CoreDNS​

A high-performance, integrated DNS component that handles DNS-based tasks with exceptional speed and efficiency, powered by a new and exclusive Netgate plugin called rexdns.

Threatgate​

A powerful, high-performance component that manages bulk lists of addresses and domains for firewall rules, aliases, and CoreDNS groups. Administrators can block these lists outright or create custom rules based on their content.
Threatgate and CoreDNS were built to integrate tightly together, enabling rapid processing and utilization of even massive lists - all while maintaining excellent performance on small, resource-constrained devices.

Snort Version 3​

The updated version of the popular open-source intrusion prevention system (IPS), featuring multi-threading support, and a faster rule syntax, is now available exclusively via the new Netgate Nexus controller GUI.

In addition to the features listed above, this software release includes critical security updates for WireGuard (CVE-2026-58085), and other security enhancements.
Other fixes and enhancements were made to:

• DHCP
• DNS Resolver
• DynamicDNS
• Gateways and Monitoring
• IPsec
• VXLAN Interfaces
• OpenVPN
• Firewall Rules and NAT
• Traffic Shaper
• Wireless support

This release includes over 31 updates, bug fixes, and enhancements.

Using the New GUI​

For more than two decades, our legacy PHP-based GUI and backend have served us exceptionally well. They provided a familiar and reliable interface that helped establish pfSense and its many derivatives as trusted leaders in the networking industry.
However, as networking demands have evolved, that codebase has grown increasingly outdated. Its architectural limitations and accumulated technical debt no longer align with our vision of delivering the fast, responsive, and truly modern user experience our customers expect and deserve.
That's why we're excited to announce our transition to a completely rewritten system built on Go. This modern architecture, already powering the new UI in the Nexus Controller, delivers significant performance improvements, a powerful, full-featured API, and true cross-platform compatibility.
Whether you manage a single pfSense Plus firewall or an entire fleet, the Netgate Nexus controller delivers a modern, refreshed management experience built for the way you work today.
Getting started is simple:

1. Go to System > Advanced.
2. Switch to the Netgate Nexus tab and enable it.
3. Log in to Nexus on port 8443 of your firewall.

More detailed documentation can be found here. Start using it today and get immediate access to the new features and capabilities coming to pfSense Plus.
Note: Virtual machines as well as some third-party platforms may not support the new GUI due to missing machine information required to correctly run the software.

Netgate Releases pfSense Plus Software Version 26.07

pfSense Plus 26.07 is now available with CoreDNS, Threatgate, Snort 3, critical security updates, and over 31 fixes and enhancements.

www.netgate.com