[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

*Inhalt gelöscht*

 

[Weltherrscher]

---snip---
Generell nur noch mal der Punkt mit dem Management VLAN, hab da unterschiedliche Meinungen gehört, kann diese aber im Moment nicht reproduzieren, weil ich nicht mehr genau weiß, wo ich was aufgeschnappt habe. Sind Router, Switch und APs im 0er Subnet richtig aufgehoben?

Ich habe alle Webinterfaces im Management-VLAN.
Ist sauberer so.

---snip---
Musst Du nicht, das macht alles nur noch komplizierter.
---snip---

Gerade Canon-Drucker mit WLAN spacken richtig rum, sobald du VLANs am Start hast.
Es ist richtig, das Drucken geht dann NUR im selben VLAN.

Habe das Problem so am Glotzofon, das ist im IoT-Netz, weils ein Ding ist.
Allerdings sieht die Glotze dann den DLNA aus dem Service-VLAN nicht, wo das NAS und die VMs drin hängen.
Momentan behelfe ich mir mit dem VLC, damit die Frau wenigstens Downton Abbey gucken kann...
Finde den Vorschlag von Shihatsu ganz gut, werde ich mal probieren.

 

[hs_warez]

Ich habe alle Webinterfaces im Management-VLAN.
Ist sauberer so.

Gerade Canon-Drucker mit WLAN spacken richtig rum, sobald du VLANs am Start hast.
Es ist richtig, das Drucken geht dann NUR im selben VLAN.

Habe das Problem so am Glotzofon, das ist im IoT-Netz, weils ein Ding ist.
Allerdings sieht die Glotze dann den DLNA aus dem Service-VLAN nicht, wo das NAS und die VMs drin hängen.
Momentan behelfe ich mir mit dem VLC, damit die Frau wenigstens Downton Abbey gucken kann...
Finde den Vorschlag von Shihatsu ganz gut, werde ich mal probieren.

Warum sollte das Drucken nur aus dem gleichen VLAN gehen?

Ich habe ein eigenes VLAN für Drucker und drucke aus 2 anderen VLAN's problemlos darauf aus.

LG

 

[Luckysh0t]

Warum sollte das Drucken nur aus dem gleichen VLAN gehen?

Kommt darauf wie du den Drucker ansprichst, zB mit AirPrint etc.

 

[p4n0]

Wollte nur mal kurz allgemein erwaehnen dass mir die PFSense immer mehr ans Herz waechst. Nutze sie seit ca einem Jahr ernsthafter und freue mich wie gut das Ding funktioniert.

//edit:
Mittlerweile laufen auf dem Ding auch Sachen wie Site2Site mit nem VTI IPSEC und FRR und so spaeßchen. Hatte davor recht wenig Ahnung von dem Kram aber mit dem Teil
laeuft das super und die Lernkurve war nice

 

[AliManali]

Wollen die nicht jetzt Geld? Bezahlst Du dafür?

 

[p4n0]

Noe, alles kostenfrei bisher. Wuesste nicht wo ich etwas zu bezahlen haette.

 

[BobbyD]

Die Plus-Version auf nicht von Netgate stammender Hardware kostet inzwischen Geld. Die alten noch kostenfreien Installationen der Plus wurden bis jetzt nicht aufgekündigt. Die CE ist nach wie vor kostenfrei und gerade mit pfBlockerNG immer einen Blick wert.

Ich hab mir jüngst auch eine OPNsense installiert. Es gibt feine Unterschiede, selbst im Basispaket, aber wer die eine kann, kann auch die andere.

 

[AliManali]

Okay. Bin noch am evaluieren. Bin erst gerade erst von Sophos auf OPNsense gewechselt. Dann gebe ich der pfsense noch mal eine Chance, die war auf dem ESXi auch deutlich performanter als die OPNsense. So wird mir nicht langweilig.

 

[toscdesign]

Hat schonmal jemand eine OpnSense auf nem VServer bei nem Hoster installiert?
Bzw. hat Erfahrungen damit?

Mir geht es im Grunde darum, wenn man mal einen Internetanbieter erwischt, welcher nur noch IPv6 mit CGNAT unterstützt, würde ich diese OpnSense mit einer Wireguard Verbindung als IPV4 Gateway nutzen um die häufig überlasteten AFTRs zu umgehen.

Oder um schlechtes Peering zu umschiffen.


So zu sagen einen Site to Site von zu Hause zum VServer und diesen als Eintrittspunkt ins Internet nutzen.

Ist jetzt erstmal nur ne Idee.
Das gleiche wird ja oft mit ner nackten Linux Distro + Wireguard gemacht, was ich aber nicht so toll finde.

 

[What9000]

Reicht dafür nicht einfach nur Wireguard ohne OPNSense?

 

[toscdesign]

Das ist ja das was ich nicht so "sauber" finde.
Einfach ein Linux auf den VServer installieren und Wireguard einrichten.

Da muss man eben die ganze Absicherung des Servers von 0 händisch machen.

Bei Opensense wäre quasi das Grundsetup schon erledigt

 

[BobbyD]

Netgate Releases pfSense Plus Software Version 24.03

We are excited to announce the release of pfSense Plus software version 24.03.

www.netgate.com

Und für die CE gibt es wichtige Security Fixes via System Patches.

 

[Weltherrscher]

Warum sollte das Drucken nur aus dem gleichen VLAN gehen?

Ich habe ein eigenes VLAN für Drucker und drucke aus 2 anderen VLAN's problemlos darauf aus.

LG

mit mDNS?
Wie soll das ohne Repeater gehen?

//Edith:
Ich hab auch nen CUPS-Server am Laufen und einen nativen Netzwerkdrucker (mit Kabel, von OKI).
Die funktionieren auch ohne mDNS VLAN-übergreifend, aber das "Consumer-Glump" was PnP fluppen soll, macht dauernd Sperenzchen mit etwas fortgeschritteneren Netzwerkstrukturen (aka >1 VLAN)...

Beitrag automatisch zusammengeführt: 27.04.2024

mDNS lässt sich in der OPNsense recht komfortable nutzen. Brauchst den mDNS repeater als plugin und die entsprechenden ports in der firewall, dann läufts ganz gut. Einziger Nachteil: Das mDNS repeater plugin ist nicht CARP bzw. HA fähig, was mich persönlich hart annervt.

Auch seit 1.1 nicht?

 

[AliManali]

Hi

Bin letzthin von Sophos auf pfsense geschwenkt. Nun kann ich bei einem Flugsimulator nicht mehr auf andere Sessions connecten, und andere Piloten nicht bei mir. Muss da immer über VPN (NordVPN vom Client aus) gehen, dann klappt es. Für die Sessions ist im Normalfall kein NAT notwendig. Wenn ich über die alte Firewall (Zywall 110) gehe, klappt die Verbindung. Habe eine fixe IPv4.

Die pfsense ist sozusagen noch im Defaultzustand. Hat da wer einen Plan, an was das liegen könnte?

 

[Supaman]

Das ist ja das was ich nicht so "sauber" finde.
Einfach ein Linux auf den VServer installieren und Wireguard einrichten.

Da muss man eben die ganze Absicherung des Servers von 0 händisch machen.

Bei Opensense wäre quasi das Grundsetup schon erledigt

Das würde ich mit OpenWRT erledigen. Weniger unnötig komplex, deutlich weniger Ressourcen (150 mb Disk, 250 MB Ram ist schon reichlich), und hat alles an Board, was Du brauchst.

 

[p4n0]

Die pfsense ist sozusagen noch im Defaultzustand. Hat da wer einen Plan, an was das liegen könnte?

Du kommst aus dem internen Netz?
Dann mal hier schauen:

Ansonsten koennte ich mir noch vorstellen, dass du evtl aehnlich wie bei SIP statisches PortMapping brauchst beim NAT:

Das waeren meine 2 Punkte an denen ich suchen wuerde.

Tracert sollte dir dabei helfen nachvollziehen zu koennen welchen Weg deine Pakete nehmen und wo sie evtl. falsch abbiegen.

 

[maxblank]

Während das passiert im Live-Log schauen, was wohin geblockt wird.

 

[p4n0]

Kann mir jemand dabei helfen meinem Problem auf die Schliche zu kommen?
Folgender Aufbau:

SiteA:
ESX @ Zen4, genug Cores, Leistung satt.
(VM) PFsense - mit durchgereichter X550 NIC.
(VM) FreeNas ZFS Appliance

SiteB:
ESX @ Xeon 2224G, auch genug Power.
(VM) PFsense - mit durchgereichter Intel Server NIC, welche genau, kp.

Zwischen beiden Sensen besteht ein IPSEC Tunnel.

Wenn ich von SiteB per SMB auf das NAS zugreife bekomme ich maximal ~16mbit durch den Tunnel.
Wenn ich von SiteB gegen die Sense auf SiteA mit iperf fahre, kommen ~109 mbit (DSL Maximum SiteB) durch den Tunnel.

Auch mehrere Uebertragungen per SMB vom NAS erhoehen die Bandbreite nicht.


Was ich schon getestet habe:
MSS auf beiden Sensen auf ~1000 gestellt. An den IPSEC Parametern habe ich auch schon herumgespielt und testweise die Algos auf AES only umgestellt.
Aenderte genau nichts am Throughput. Wobei das komische ja ist, dass per IPERF ja das DSL Maximum erreicht wird. Also grundsaetzlich scheint der Tunnel ja performant zu sein.

Habe testweise auf SiteA einen public share erstellt und durchs www von Site A nen testfile gedownloaded.
Das ging komischerweise auch nur relativ lahm. Vllt. 20-30mbit.
Ein Freund aus dem gleichem Anschlussgebiet hat ebenfalls einen DSL Anschluss von der Telekom. Er kann das File mit fullspeed ~250mbit von mir herunterladen.
Daher kann man wohl auch irgendwelche Peering-Probleme oder so ausschließen.

Wie und wo suche ich am besten?
Danke fuer eure Unterstuetzung!

 

[Steggi]

Wenn ich von SiteB per SMB auf das NAS zugreife bekomme ich maximal ~16mbit durch den Tunnel.

Wie siehts mit der TCP Windows Size aus?

Wenn ich von SiteB gegen die Sense auf SiteA mit iperf fahre, kommen ~109 mbit (DSL Maximum SiteB) durch den Tunnel.

Hast du mit IPERF TCP oder UDP gemessen?

Habe testweise auf SiteA einen public share erstellt und durchs www von Site A nen testfile gedownloaded.
Das ging komischerweise auch nur relativ lahm. Vllt. 20-30mbit.

Lässt die Latenz zwischen den beiden Sites die Bandbreite per TCP überhaupt zu?

Ggf. mal nachrechnen --> https://network.switch.ch/pub/tools/tcp-throughput/

 

[p4n0]

Hast du mit IPERF TCP oder UDP gemessen?

iperf3.exe -c 10.254.1.254 -R -P 8 -t 10000

Also TCP. Damit geht die DSL Leitung voll (109 mbit).

Wie siehts mit der TCP Windows Size aus?

Soll das die MTU sein oder was ist damit genau gemeint?

Lässt die Latenz zwischen den beiden Sites die Bandbreite per TCP überhaupt zu?

Ja, da liegen nur ca 12ms dazwischen.

//edit gerade getestet:
Jeder Thread bei IPERF macht ca ~25mbit.
Bei -P 1 = ~25mbit
- P 2 = ~50mbit
[...] etc...

 

[asche77]

Dumme Frage: vergleichst Du evtl Download mit Upload? DSL ist ja typischerweise asymmetrisch...

Beitrag automatisch zusammengeführt: 10.05.2024

iperf3.exe -c 10.254.1.254 -R -P 8 -t 10000

Edit: "-R" testet ja den upstream von SiteA, also in der Tat ein eklatanter mismatch zur SMB Performance.

Versehentlich MByte bei SMB mit MBit bei iperf3 verwechselt hast Du ja wohl auch nicht?

 

[p4n0]

@asche77 Verwechslungen sollten keine Vorliegen. Site A haengt mit 500mbit Upload am Internet. Auf Site B wird mein NAS per SMB gesichert. Und das dauert elend lang wenn die Daten nur mit ca 16mbit durch den Tunnel troepfeln.

 

[p4n0]

Gibt ne kleine Planänderung,
die virtuelle PFSense fliegt raus und wird gegen Hardware + OPNSense ersetzt.
Das Teil frisst auf dem ESX zuviel Leistung, darum wird es ausgelagert.


Basis wird ein MINISFORUM MS-01, ist ein kleiner mini-computer mit ner 13900h CPU und 2xSFP+ onboard.
( https://store.minisforum.de/products/ms-01 )
Dazu kommt noch ne Quadport SFP+ NIC in den PCI-E Slot.

Wird zwar etwas oversized aber ich finde ne ziemlich geile Kiste, Basteltrieb wird definitiv befriedigt

 

[AliManali]

Ja, ist für eine Sense total überdimensioniert. Bin gespannt, ob Du geroutet die 8 Gbit/s knackst. Das scheint irgend so eine magische Grenze zu sein, zumindest bei Speedtests. Wobei die gehen ja mit mehreren Streams raus, standardmässig afaik per UDP. Bin dann gespannt, wie es mit einem einzelnen TCP Stream aussieht, noch nicht getestet.

Mein Modem/Router liefert 8 Gbit/s, meine Firewall macht bei 8 Gbit/s zu, letzthin hat einer an der Swisscom Leitung gemessen 8 Git/s, ein User hier hat mit einer Ubiquiti UDM Pro 8 Gbit/s gemessen.

Und ich nutze die asbach uralt E3 v3 Xeon mit 1333 DDR3, wo mir prophezeit wurde, dass die eh zu langsam sei für 10 Gbit/s.

 

[i-B4se]

Evtl. könnt ihr mir weiterhelfen.
Ich wollte mal WireGuard auf meiner Opnsense testen, aber leider bekomme ich keine Verbindung hin und das Netz spuckt auch nichts passendes raus.

Auf meinem iPhone mit Congstar (Telekom) bekomme ich immer die Fehlermeldung:
"Handshake did not complete after 5 seconds"

Ich poste mal ein paar Screens inkl. mit geschwärztem Inhalt. Wir nehmen mal als Beispiel
Post: 51820
IP: 192.168.178.1/24
Meine Internet IP: 1.1.1.1
Peer: iPhone

Instance:

Peer:
Wurde mit dem Generator erzeugt. Aber auch von Hand gab es das gleiche Ergebnis.

Rules WAN:

Rules VPN:

Das Interface ist ebenfalls aktiviert und wurde beim Unbound DNS hinzugefügt.

Die Keys stimmen auch und wurden mehrfach kontrolliert. Ich finde da einfach keine Lösung.

 

[BobbyD]

Nächstes mal schwärze weniger und ziehe das Fenster etwas kleiner...
Wie sieht die Config auf dem Phone aus? Den IP-Bereich der Fritzbox zu nehmen halte ich für eine schlechte Idee.

 

[i-B4se]

Was hat der IP-Bereich damit zu tun?
Es ändert sich nichts, auch wenn ich 10.0.10.1/24 nehme.
Ich nutze keine Fritzbox.
Die IPs dienen als Beispiel.

Die letzten Bilder habe ich verkleinert, habe ich vergessen.

 

[BobbyD]

Ich nutze keine Fritzbox.

Jetzt fehlt immer noch die Konfiguration des Phones.
Und hast Du überhaupt eine öffentliche IPv4-Adresse? Schon etwas anderes erfolgreich nach draußen freigegeben?

 

[andrer250282]

Was sagt die Live Ansicht auf DST Port 51820? Kommt da überhaupt was an? (Ggf Protokollierung der Regel aktivieren)

 

[i-B4se]

Irgendwas stimmt mit meinem iPhone nicht.
Ich habe die Netzwerkeinstellungen zurückgesetzt und dann fluppte es direkt.
Keine Ahnung, wo es Konflikte gab.