[Sammelthread] pfSense & OPNsense (Firewall- und Routing-Appliance)

*Inhalt gelöscht*

 

[Tundor]

Das WAN Interface an der Sense hab ich auf DHCP

Die Fritzbox weißt diese Adresse zu

Dann hab ich:

LAN

PROD10

IOT20

GUEST30

Die Clients + Truenas hängt im PROD10. Im IOT hängen so Sachen wie Shield TV, Konsolen etc...

 

[andrer250282]

Okay das würde asymmetrisches Routen erstmal ausschließen.
Wie sieht denn ein Speedtest direkt auf der Sense aus?

 

[Tundor]

Wie mach ich das direkt auf der Sense? 😅

 

[andrer250282]

How to install speedtest cli?

How to install speedtest cli?

forum.opnsense.org

Letzter Beitrag.
Das ganze ist dann auf der Kommandozeile zu bedienen, das müsste man mal googeln, ich hab's gerade nicht im Kopf

 

[BobbyD]

Läuft prinzipiell also auch, aber dann ist mir eingefallen, dass ich ja im gleichen VLAN 10 bin und die Sense da eigentlich gar nix zu tun hat weil es direkt über den Switch geht.

Erklär mal den Aufbau genauer, warum sollte die OPNsense hier nicht involviert sein.

Edit:

- Ich hatte keine WAN block all rule eingerichtet, hab ich jetzt gemacht, jetzt ist ruhe

Unnötig, da eh alles geblockt wird, was nicht erlaubt ist. Möglicherweise wird nur die Log-Ansicht dadurch verändert.

- Ich hatte auf dem WAN-Interface "Block Private Networks" aktiv, das sollte aber deaktiviert werden wenn ich die Fritzbox davor habe die in ner privaten Range liegt?

Nur, wenn Du der Fritzbox nicht erlauben möchtest, eingehende Verbindungen auf/hinter deine Sense aufzubauen.

 

[andrer250282]

Erklär mal den Aufbau genauer, warum sollte die OPNsense hier nicht involviert sein.

Stimmt, ist mir auf den ersten Blick gar nicht aufgefallen. Die Sense ist doch der Router für vlan 10?

 

[Tundor]

Unnötig, da eh alles geblockt wird, was nicht erlaubt ist. Möglicherweise wird nur die Log-Ansicht dadurch verändert.

Gut zu wissen, dachte mir schon dass die sowieso verworfen werden aber so ist jetzt im Log Ruhe.

Nur, wenn Du der Fritzbox nicht erlauben möchtest, eingehende Verbindungen auf/hinter deine Sense aufzubauen.

Ok also war das auch egal. Die einzige eingehende erlaubte eingehende Verbindung is Wireguard UDP.

Erklär mal den Aufbau genauer, warum sollte die OPNsense hier nicht involviert sein.

Die Sense ist doch der Router für vlan 10?

Vlt hab ich da nen Denkfehler oder einfach nur falsches Wissen, ich versuche es daher mal nochmal anders zu erklären und dann könnt ihr mich gerne aufklären:

Meine Clients mit denen ich produktiv arbeite sind alle im PROD10 VLAN, also sprich in dem Fall z.B. mein PC und meine Truenas auf der der Speedtest im Container läuft. Bei diesem Test, lief der Speedtest mit vollen 2,5Gbit durch. Ich dachte jetzt, wenn ich vom PC auf die Truenas zugreife wird die Sense quasi umgangen da der Switch das erledigt (Layer2), sprich es findet kein Routing statt weil selbes Netz.
Die Sense wird doch fürs Routing nur benötigt wenn zwischen unterschiedlichen Netzwerken kommuniziert wird? Und eben bei diesem Fall (also sprich wenn irgendwas ins Internet geroutet wird oder aus unterschiedlichen Netzen intern) ist sie total lahm. Das war gestern tagsüber übrigens besser und hat erst gestern Abend angefangen, ich hab sie jetzt extra noch nicht neugestartet da ich zum Arbeiten mich einfach direkt auf das WiFi der FB hänge.

Ich hab noch schnell ein Meisterwerk für euch gezeichnet zur Visualisierung:
Die beiden Zyxel Switche sind XMG1915-10E

Beitrag automatisch zusammengeführt: Heute um 12:56

Letzter Beitrag.
Das ganze ist dann auf der Kommandozeile zu bedienen, das müsste man mal googeln, ich hab's gerade nicht im Kopf

Danke, finde ich dann raus, notfalls hilft Perplexity Dazu komme ich aber erst heute Abend nach der Arbeit.

 

[p4n0]

Wie kommen die ganzen VLANs an die unterschiedlichen Switche?
Nutzt du dafuer nen Trunkport, der an alle Switches geht ?

Switch 1 <> Switch 2 ebenfalls Trunkport ?
Wie sind AP1 und AP2 miteinander verbunden? Gepunktete Linie = Wireless-Uplink?
Ist vielleicht irgendwo ein Kabel beschaedigt, wenn der Speed an der Fritte direkt voll da ist ?


Sieht vom Aufbau her erstmal nachvollziehbar und in Ordnung aus.

 

[Tundor]

Switch 1 an der Sense

Und Switch im Arbeitszimmer ist auch gleich eingestellt, also Trunk mit VLANs All. Ebenso für die Ports wo die WiFi APs angeschlossen sind.

Bei dem LAN Port für die Truenas und für PC hab ich es auf Access mit ID 10 gestellt:

Gepunktete Linie = Wireless-Uplink?

Genau, der Wifi AP2 steht im Wohnzimmer, daher ist nur WiFi Uplink möglich, die Geräte dahinter hab ich dann wieder über LAN dran.

 

[BobbyD]

Ich dachte jetzt, wenn ich vom PC auf die Truenas zugreife wird die Sense quasi umgangen da der Switch das erledigt (Layer2), sprich es findet kein Routing statt weil selbes Netz.

Jau, dann passt das und hat tatsächlich keine Aussagekraft. Wenn es dir möglich ist, pack doch mal deinen Speedtest in ein separates VLAN und wenn damit die gleichen Probleme auftreten, kann man schon mal WAN ausschließen.

Edit: Da du keine offensichtlichen Fehler gemacht hast, tippe ich aktuell auf ein Hardware- oder Treiber-Problem. Kannst Du irgendwie die Temperaturen auslesen, wenn es Probleme gibt? Sind das Realtek-NICs? Deren Treiber-Support ist ja oft nicht recht gegeben.

 

[Tundor]

pack doch mal deinen Speedtest in ein separates VLAN

Das hab ich gestern schon gemacht, waren diese Screenshots:

Der Screenshot unten war vom Trunk Port aus gemacht, aber ich hab mich auf über WiFi ins IOT Lan gehängt und hatte da ähnlich schlecht Ergebnisse.

Beitrag automatisch zusammengeführt: Heute um 13:53

Ich hab so viel umgestellt die letzten Tage, vlt. sollte ich mal nochmal ne Version von vor 2 Tagen oder so einspielen

 

[p4n0]

Ich hab so viel umgestellt die letzten Tage, vlt. sollte ich mal nochmal ne Version von vor 2 Tagen oder so einspielen

Kenne das
Am besten immer wieder mal ne Config ziehen und nen sauberen Stand bzw. ausgangslage haben.
An mehreren Stellen gleichzeitig herumdoktorn macht die Sache nur komplizierter und nicht nachvollziehbar.

Schuss ins Blaue: Spiel mal an den HardwareOffloading Settings bei deiner NIC in der Sense herum.
Braucht leider jedes mal nen Neustart, ist daher etwas Zeitraubend.

 

[Tundor]

Hardware Offloading ist alles deaktivert, also sprich die Haken sind gesetzt. Das hatte ich gestern geprüft nachdem Perplexity mir das als häufiges Problem genannt hatte (also wenn das aktiviert ist).

Beitrag automatisch zusammengeführt: Heute um 14:29

Hab gerade mal ne 2 Tage alte Config eingespielt, (geil wie einfach das geht sich die verbastelte Bude wieder zurückzusetzen )

Nun läuft auch der Speedtest wieder

Und hab nochmal den PC auf Trunk umgesteckt, d.h. ID1 wird zu 10 geroutet, geht jetzt auch mit max Speed.

Was ich noch gemacht habe (bevor ich mir offensichtlich die Bude verbastelt habe) ist im BIOS mal alles auf Default zu setzen. Ich hatte am Anfang als ich das Teil bekommen hatte, mal diverse C-State Einstellungen gemacht die ich in irgend nem Forum zu dem Gerät gefunden hatte eingestellt, nicht dass das noch irgendwie lustige Auswirkungen auf das Verhalten von dem LAN NIC hatte, was meint ihr dazu? Dass mein Provider nicht wirklich das Problem ist konnte ich inzwischen auch halbwegs sichern, da ich jetzt mehrere Tage direkt auf der FB hing zum Arbeiten und quasi keine relevanten Aussetzer mehr da waren.

*edit*
Und Generell frage ich mich ob das Aliexpress Teil vlt. mit Verursacher der Probleme ist, meistens sind die ja nicht gerade bekannt für die beste Firmware und Treibersupport.

 

[p4n0]

Denke nicht, dass die Ali-Kiste was mit dem Problem zu tun hat - Ich nutze selbst auch ne Minisforum Kiste aus Fernost. (Am ehesten noch die Netzwerkkarten/Treiber.)
Hat mehr als genug Leistung, sofern kein IPS/IDS/VPN etc verwendet wird. Doch selbst dann wuerden mehr als die paar lausigen Megabits raustroepfeln.
So ne OPNSense ist leider ein wenig 'Frickelei' und kann immer zu komischem Verhalten fuehren. GRAD wenn man gerne mal dran rumspielt/herumprobiert.

Versuch in Zukunft einfach immer nen Configbackup zu machen, dann herumzudoktorn. Somit haste alles getracked und kansnt auch besser nachvollziehen wieso dein Setup
bei gewissen Settings klemmt.

 

[Tundor]

Das ursprüngliche Problem ist ja leider noch nicht gelöst (ist schon ein paar Posts zurück, dann hatte ich das Performance Problem von gestern nach dem Basteln ). Aber jetzt hab ich ja zurückgesetzt auf vor 2 Tage + BIOS Reset, ich beobachte mal ob sich jetzt was bessert. Die Performance fühlt sich aktuell gut an, aber das war schon öfters und plötzlich klemmt's dann wieder.

Beitrag automatisch zusammengeführt: Heute um 15:21

Minisforum Kiste

Minisforum ist aber auch der Ferrari unter den Ali Kisten

 

[p4n0]

Minisforum ist aber auch der Ferrari unter den Ali Kisten

Bei dem Ding scheint manchmal ploetzlich der BSOD einzutreten wenn man's abschaelt. Von Ferrari kenne ich sowas nicht dass die einfach verrecken und nie wieder starten, obwohl sie nicht kaltverformt wurden

Was mir bei der ganzen Bastelei @ Home immer wieder geholfen hat:
Extrem strukturiertes Vorgehen und den Fehler so gut es geht eingrenzen. Sei es jetzt Freiluftverkabelungen, nen 'unbefleckter' Client etc...
Das ganze OpenSource Zeug ist schoen und gut, leider nie so richtig bulletproof getestet. Machste 4 Aehnliche Setups, haste 4 unterschiedliche Baustellen und Probleme

 

[Tundor]

Eigentlich macht es ja spaß, aber wenn es dann so dreckig läuft wie bei mir nervt es einfach irgendwann nur noch

Bei dem Ding scheint manchmal ploetzlich der BSOD einzutreten wenn man's abschaelt.

Ja stimmt, die Teile sollen ja auch gerne mal überhitzen. Schade, dass es kaum gute Lösungen im Low Energy Bereich gibt. Die N100 Boards sind ja völlig ausreichend aber dann basteln die immer die billigsten Chips drauf und sparen an vernünftiger Firmware (updates bekommt man meistens auch kein) Als ich mich hier am Anfang mal habe beraten lassen was ich kaufen soll, hat jemand sein Setup mit diesen Lenovo Mini PCs wo man mit Riser zusätzliche Karten einbauen kann in den Ring geworfen. Bereue ein bisschen nicht sowas genommen zu haben, weil ich damals zu faul war mich da einzulesen.

Das MS01 ist halt komplette Overkill für das was ich mache und scheinbar braucht der im Idle ja 25-30W, das wäre deutlich mehr als mein N100.

 

[p4n0]

Eigentlich macht es ja spaß, aber wenn es dann so dreckig läuft wie bei mir nervt es einfach irgendwann nur noch

Find ich auch. Man lernt auf jeden fall viel dazu und uebt auch sein Nervenkleid unter Kontrolle zu halten...

Was du sicher noch nachholen kannst bei deiner Sense Kiste: Nen Emergency LAN Port, wo du deinen Rechner/Laptop einafch direkt anstoepseln kannst damit du auf die Sense kommst falls mal dein Trunkport/Switch platt is und du ueber das 'normale' Netz nichtmehr auf die Sense GUI kommst...

Das MS01 ist halt komplette Overkill für das was ich mache und scheinbar braucht der im Idle ja 25-30W, das wäre deutlich mehr als mein N100.

Das Ding wuerde ich auch nur empfehlen wenn man viel mit VPN/Hosting/10G Kram etc macht. Ansonsten isses nur laut und frisst strom ^^

 

[Tundor]

Ich hab leider nur zwei LAN Ports, weil ich dachte, dass ich auf jeden Fall die zwei SFP+ Ports brauche weil mir beim Ausbau damals gesagt wurde, dass das noch auf 4-5Gbit hochgeht. Seitdem hab ich die 1,8Gbit Leitung und gehört hab ich nix mehr seitdem, d.h. die SFP+ Ports brauche ich nicht und stattdessen hätte ich viel lieber besagten Notfall Port

Man kann ja aber zum Glück auch in der Konsole nen vorherigen Snapshot laden wenn man mal wieder das Assignment verkackt hat

 

[p4n0]

Man kann ja aber zum Glück auch in der Konsole nen vorherigen Snapshot laden wenn man mal wieder das Assignment verkackt hat

🤡

Was die Kisten gar gar gar gar nicht moegen: Einfach Netzwerkkarten rausreißen/gegen andere tauschen. Da geht intern recht viel durcheinander ^^
So nen Notfallport kansnt doch im SFP+ Slot realisieren. Einfach nen SFP+ --> RJ45 Modul organisieren, alles vorkonfigurieren und bei Bedarf reinschieben. Je nachdem wie haeufig du das Ding plattfaehrst kann sich das schnell rentieren

 

[Tundor]

Was die Kisten gar gar gar gar nicht moegen: Einfach Netzwerkkarten rausreißen/gegen andere tauschen. Da geht intern recht viel durcheinander ^^

Aber wie macht man es dann vernünftig wenn man ein Assignment ändern möchte? Ich dachte wenn ich z.B. jetzt auf 10G gehe, würde ich LAN auf IX0 ändern und dann kurz alle VLANs durchklicken und das parent aktualisieren. Macht das auch schon Probleme?

 

[p4n0]

Ne das sollte passen. Komisch wirds immer dann wenn man die NICs
Physikalisch anpackt ohne sie komplett in den Assignments/Rules etc zu entfernen.

 

[Tundor]

Ich will nichts verschreien, aber seit ich heute Mittag den Reset auf vor 2 Tagen gemacht habe läuft es richtig super. Die einzige Änderung die jetzt noch aktiv ist, ist der BIOS Reset den ich gemacht habe um die ganzen von mir reingepfuschten Änderungen rauszunehmen. Wenn das morgen jetzt im Homeoffice noch ohne Lags durchläuft, dann lags wohl daran.
Es ist verrückt, momentan ist alles flüssig, auch die lokalen Anwendungen sind pfeilschnell, das hatte ich in der Performance schon lange nicht mehr. Ich geb dann morgen nach dem Arbeitstag nochmal ein Update (oder wenn ich vorher wieder enttäusch werde )

 

[BobbyD]

ist der BIOS Reset den ich gemacht habe um die ganzen von mir reingepfuschten Änderungen rauszunehmen.

Die N100-Büchen haben so Power-Profile, wenn Du an denen rumgespielt hast... kein Wunder. Absolut unbrauchbar die Profile.

 

[Tundor]

Auf was lasst ihr denn eure Sense laufen? Hatte damals überlegt mir was dickeres zu kaufen mit Proxmox aber wollte dann nicht gleich zwei Baustellen (und potentiell neue Probelem) auf einmal aufmachen wenn ich das erste mal ne Sense aufsetze. Und ehrlicherweise hab ich momentan auch sonst keinen Anwendungsfall für Virtualisierung und den höheren Stromvberbrauch.
Alles läuft so schnell gerade, ein Träumchen ...

Beitrag automatisch zusammengeführt: Heute um 21:53

Mal noch ne Frage zu Unbound.
Ich habe jetzt den Pihole wieder über Query Forwarding aktiviert (funktioniert jetzt auch alles problemlos )

Bezüglich Forward First

If a forwarded query is met with a SERVFAIL error, and this option is enabled, Unbound will fall back to normal recursive resolution for this query as if no query forwarding had been specified. The fallback will only occur after a delay, so consider refining any server timeouts as needed. Please note this setting applies to the domain, so when multiple forwarders are defined for the same domain, all are assumed to use this setting.

Was ist mit "normal recursive resolution" gemeint?
Ich kann ja Standardmäßig unter Systems -> Settings -> General DNS Server eintragen. Wenn ich z.B. Cloudflare eintrage, würde er den dann direkt nehmen wenn ich z.B. die NAS mal runtergefahren habe und pihole nicht erreichbar ist? Oder wie löst man das am besten?

Innerhalb der Queries scheint es ja keine Priorisierung zu geben, hab gelesen wenn ich hier mehrere DNS eintrage im Forwarding dann fragt er einfach alle gleichzeitig an und nimmt das was am schnellsten Antwortet. Das wäre dann ja nicht mein Ziel.