[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

*Inhalt gelöscht*

 

[p4n0]

Ich nutze die klassische installation ohne zfs. Hab auch nur eine nvme drinnen - diese musste ich gegen ne andere tauschen.

 

[BobbyD]

Nur nicht dieses

Hab meinen eigenen Rat ignoriert und upgegradet, läuft. Wobei ich die "neuen Regeln" noch nicht in Betrieb habe, bleibe erst mal bei den alten.

 

[hs_warez]

OPNSense wurde ja via Snapshot auf letzte funktionierende Version wiederhergestellt – dann habe ich ein Update von AdGuard gemacht und habe gleichzeitig die Blocklisten umgestellt.
Das „normale Surfen“ lief dann deutlich besser als mit meinen alten Blocklisten.


Einige Tage später wollte ich JDownloader nutzen – es wurde ein Update eingespielt und seither kam dann immer die Fehlermeldung „keine Internetverbindung“.
Dann mal kurz sämtliche Blocklisten in AdGuard deaktiviert – keine Änderung.
Kurz Hotspot mit dem Handy => JDownloader läuft wieder.

Jetzt muss ich mir mal das Protokoll in OPNSense ansehen.


Aber, wie kann das sein, wenn ich vorm OPNSense-Update einen Snapshot der funktionierenden Firewall mache und nach fehlgeschlagenem Update genau diesen Snapshot wiederherstelle!?
JDownloader hat ja vorher funktioniert.


LG

Hm, komme nicht weiter!

Bei JDownloader kommt immer "keine Internetverbindung", wenn ich z.B. von Ddownload laden möchte.

Bei nslooup ddownload.com werden aber ohne Probleme die Adressen aufgelistet!?

Habe ich da trotzdem ein DNS-Problem!?

 

[BobbyD]

Wobei ich die "neuen Regeln" noch nicht in Betrieb habe, bleibe erst mal bei den alten.

Nun auch das geändert.

Was mir bei der Einrichtung Nerven geraubt hat, dass oben der Filter immer auf Floating steht. Ich dachte einige Zeit lang, dass der Import gar nicht geklappt hätte...

OPNsense war und ist immer noch speziell, was das UI betrifft. Das wird sich wohl auch nicht ändern.

 

[Luckysh0t]

Nun auch das geändert.

Gut das es geklappt hat

OPNsense war und ist immer noch speziell, was das UI betrifft. Das wird sich wohl auch nicht ändern

Schöner kann man den Grund warum ich was neues Suche nicht in Worte fassen

 

[Fusseltuch]

@Luckysh0t
Wie erfolgreich bist du bisher mit der Suche? 😇

 

[p4n0]

Bringt mich nicht auf Ideen. Meine letzte Bastelstunde ist schon ein Jahr her.
UND ES HAT ALLES OHNE AERGER FUNKTIONIERT.

 

[Tundor]

Hab gerade erst auf opnSense gewechselt, gebt gerne Bescheid auf was ich als nächstes umbasteln muss. Ich brauch es ganz bestimmt

 

[Mac_leod]

Also wenn man im Arbeitsumfeld zB. mit Barracuda und Sophos unterwegs ist, dann ist doch die OPNsense ein Augenschmaus dagegen.
Außer die Meraki Welt, kann ich mir gerade nichts besseres als die sense vorstellen.

 

[Weltherrscher]

Braucht man Prefix Delegation noch, wenn man jedem VLAN bereits ein IPv6 Prefix zugewiesen hat?
Bin mir gerade unschlüssig.

//Edith:
Scheint nicht nötig zu sein, nach der Umstellung von Track Interface auf Identity Association geht IPv6 ganz normal ohne ISC.
Nebenbei auch mal die FW Rules umgezogen, gehen die legacy floating rules dann irgendwann weg oder muss ich die FW dafür neu starten?

 

[BobbyD]

gehen die legacy floating rules dann irgendwann weg

Wenn Du nicht die automatischen meinst, dann solltest Du die weg machen. Ich hab unter den alten Rules nur noch Automatically generated rules und Rules from Automation.

 

[Weltherrscher]

Nö, nur automatische.
Irritiert mich halt, dann trotzdem wieder auf zwei Tabs Rules zu haben...

 

[BobbyD]

Irritiert mich halt, dann trotzdem wieder auf zwei Tabs Rules zu haben

Wird wohl auch noch ne Weile so bleiben. Und demnächst kommt dann Outbound NAT dran... Ist halt ne Entwicklerversion, die OPNsense in der nicht Business Edition.

 

[Luckysh0t]

Wie erfolgreich bist du bisher mit der Suche? 😇

Najaaa......
Ob das nun sinnvoll ist, sei mal dahingestellt, aber aktuell habe ich UI und Draytek auf der Liste.

Allerdings bin ich auch dabei zu versuchen meinem Chef eine kleine Fortigate 70G für mich "privat" schmackhaft zu machen... wenn wir schon unsere FW Cluster auf FG umstellen und ich die u. a. administrieren werde, warum nicht versuchen hier eine Synergie zu schaffen. Da ich eigentlich gerne daheim Sachen zu nutzen, die ich in der Firma betreue, allerdings hat die FW als erstes wirklich auch ein gutes P/L dazu xDD

 

[Weltherrscher]

Was scheinbar nicht mit den neuen rules geht, ist scheduling.
Ich habe für meinen großen ne rule, die nur werktags von 0000..0700 aktiv sein soll, das ging in den "alten" rules prima.
In den neuen rules gehts nicht (ja, scheduling unter advanced gefunden und angeklickt, die rule blockt trotzdem außerhalb der Zeit).
Gab riesen Gemecker, weil die Glotze im Wohnzimmer nicht performt hat...

//Edith:
Bekannt:

Rules [new] Schedule not working · Issue #9690 · opnsense/core

Important notices Before you add a new report, we ask you kindly to acknowledge the following: I have read the contributing guide lines at https://github.com/opnsense/core/blob/master/CONTRIBUTING....

github.com

 

[Weltherrscher]

26.1.1 fixt das.

 

[TheTAZ]

Auf der Arbeit bin ich auf der Suche nach SFP Transceivern für unsere Netgate 1541 Appliances. Die Suche ist echt anstrengend, Bechtle und Voleatech konnten uns nicht helfen. Leider kann ich nur bei freigegeben Herstellern bestellen, und da die Appliances im RZ stehen kann man auch nichts "mal eben" ausprobieren.

Die Anforderungen sind eigentlich ein Witz: 1G, single-mode, duplex LC-Buchse.

Unsere Transceiver von 10Gtek (AXS13-192-10) erlauben leider keinen Link unter 1G, zumindest wird es nicht als Option angezeigt.
FS.com hat da ein richtig vielversprechendes Modul, aber bei denen dürfen wir nicht einkaufen...

Hat jemand ggf. einen Tipp welche Module kompatibel sind?

 

[sch4kal]

Für Enterprise: nur Flexoptix (oder vom Netzwerkhardwarehersteller selbst).

 

[toscdesign]

Boah, die ganze Umstellerei von OpnSense geht mir schon langsam auf den Zeiger.

Warum muss man dauernd alles umbauen?
Änderungen nur des Änderungswillen?
Ich verstehe ja, das man auch neue Funktionen einbauen muss und ggf. Software im Backend ändern muss.
Dann aber doch bitte so das der User keine Arbeit damit hat! Das mit dem DHCP Server war ja schon eine Zumutung!

Ich bin echt kurz davor auf ein Unifi UCG umzustellen oder Mikrotik, zumindest letzteres ist konsistent wenn auch bescheiden zu konfigurieren.

Gegenbeispiel zur OpnSense:
Der Mikrotik Hex bekommt auch regelmäßig Updates, dabei wird aber nicht die halbe GUI über den Haufen geworfen. Das Ding wird einmal konfiguriert und läuft dann.


Sorry das musste mal raus.
Was da an Lebenszeit für den Mist drauf geht.
Und nein eine Fritzbox ist keine Lösung, die kann zu wenig.

 

[Gen8 Runner]

Boah, die ganze Umstellerei von OpnSense geht mir schon langsam auf den Zeiger.

Warum muss man dauernd alles umbauen?
Änderungen nur des Änderungswillen?
Ich verstehe ja, das man auch neue Funktionen einbauen muss und ggf. Software im Backend ändern muss.
Dann aber doch bitte so das der User keine Arbeit damit hat! Das mit dem DHCP Server war ja schon eine Zumutung!

Ich bin echt kurz davor auf ein Unifi UCG umzustellen oder Mikrotik, zumindest letzteres ist konsistent wenn auch bescheiden zu konfigurieren.

Gegenbeispiel zur OpnSense:
Der Mikrotik Hex bekommt auch regelmäßig Updates, dabei wird aber nicht die halbe GUI über den Haufen geworfen. Das Ding wird einmal konfiguriert und läuft dann.


Sorry das musste mal raus.
Was da an Lebenszeit für den Mist drauf geht.
Und nein eine Fritzbox ist keine Lösung, die kann zu wenig.

Warum hast du nicht PFSense in Betrieb?

Ich weiß, PFSense Plus, Abo blabla, aber obwohl das jetzt schon länger ist, habe ich (bis auf meine eigenen Fehler) keinen Stress damit.

 

[BobbyD]

Aktuell scheint die OPNsense mit den neuen Rules kein reply-to mehr zu setzen. Das bedeutet, dass unaufgefordert eingehende Verbindungen bei anderen WANs als dem Default nicht mehr richtig zurück geroutet werden. Man muss das reply-to in einem solchen Fall also selber setzen. Das geht, indem man in der Regel ganz oben den "advanced mode" aktiviert und damit die entsprechenden Optionen sichtbar macht.

 

[sch4kal]

Wenn ich mir eure Probleme so durchlese, bin ich froh, wieder den "Schritt zurück" zu pfSense gemacht zu haben...

 

[Weltherrscher]

---snip---
Gegenbeispiel zur OpnSense:
Der Mikrotik Hex bekommt auch regelmäßig Updates, dabei wird aber nicht die halbe GUI über den Haufen geworfen. Das Ding wird einmal konfiguriert und läuft dann.
---snip---

Öhm.
Ja, aber: NEIN.
Alleine, dass man VLANs in 4 oder 5 verschiedenen Bereichen konfigurieren kann / muss / soll ist...zermürbend.
Dann WLAN: wo nu?
wireless oder wifi?

 

[toscdesign]

WLAN läuft bei mir wieder über Unifi, nachdem Omada so ein Reinfall war.

Clan musst du bei Opnsense auch an mehreren Stellen konfigurieren

 

[Weltherrscher]

Hö?
In der Sense konfiguriere ich ein VLAN einmalig unter Interfaces.
In ROS hast du: Bridge/Ports; Bridge/VLANs; Interfaces/VLAN; Switch/VLAN
Überall kannst zumindest ne PVID für nen Port hinterlegen.

Das Äquivalent zur Sense wäre m.E Interfaces/VLAN...
Für WLAN bin ich auch auf Unifi umgestiegen, einfach wegen dem so viel besseren Durchsatz.
Überlege mir auf die Zyxels umzusteigen, damit ich den Controller wieder los werde.
Wobei das auch nicht mehr einfach möglich ist, da ich am Desktop schon diesen 5-Port 2,5G mini-Switch von Unifi dran hab und VLANS...*tadaaa* nur mit dem Controller zu programmieren sind...

 

[toscdesign]

Hö?
In der Sense konfiguriere ich ein VLAN einmalig unter Interfaces.

Und unter "Interfaces -> Devices -> VLAN"

Überlege mir auf die Zyxels umzusteigen, damit ich den Controller wieder los werde.

Ich nutze den neuen Unifi Server, den läuft besser als der Controller und braucht lustigerweise weniger Ressourcen in Betrieb:

Ubiquiti: UniFi OS lässt sich auf eigener Hardware betreiben

Nachdem UniFi Network (der Netzwerkcontroller) schon länger als Self-Host-Lösung verfügbar ist, hat der Netzwerkspezialist Ubiquiti große ...

stadt-bremerhaven.de

Wobei das auch nicht mehr einfach möglich ist, da ich am Desktop schon diesen 5-Port 2,5G mini-Switch von Unifi dran hab und VLANS...*tadaaa* nur mit dem Controller zu programmieren sind...

Als Switch setze ich schon länger Zyxel ein, hier den GS1200-8 und -5 die haben ein klassisches Webinterface zum konfigurieren.

Den GS1200-5 hatte ich beim Firmware-Update gekillt, darauf hin Zyxel angeschrieben (Amazon wollte nicht helfen da älter als 2 Jahre) und die haben mir kostenlos einfach nen neuen geschickt, per UPS Express.

Da kann man nicht meckern, die Dinger haben glaub ich auch 10 Jahre Garantie, obwohl sehr günstig.