Wiki source for OPNsense
===== OPNsense firewall =====
== Tipps und Tricks zur Einrichtung ==
((1)) Wie einrichten als VM
Post unter https://forum.opnsense.org/index.php?topic=2364.0
//Assuming you don't have an Enterprise Plus licence then you're left with using the standard vSwitch. Create two of those and attach your NICs to them - if this is a home LAN then one NIC on each of the switches should do. Create the OPNsense VM with two NICs, connect one of those NICs to the 'WAN' vSwitch and the other to the 'LAN' vSwitch. Install OPNsense and configure it to your requirements, when it's up and running you should have a working firewall and LAN connection.
Nothing in my environment is directly connected to the internet (except the ESXi NICs) and everything (including the ESXi host) is routed throiugh OPNsense. Create any required VMs with single NICs (you don't really need more) and connect them to the LAN vSwitch and that should give you a quick and simple set-up, the beauty is you can rearrange things later should you desire to do so.//
((1)) Verbindung mit einem lokalen LAN __vor__ OPNsense
Szenario:
Internet <-> Fritzbox <- quasi-DMZ -> OPNsense <-> LAN
Verbindung zwischen LAN und quasi-DMZ wollte nicht funktionieren - insofern auch Zugriff auf Fritzbox sowie die Geräte zwischen FB und OPNsense war nicht möglich...
Es konnte aktiviert werden (nach mehreren Versuchen - letztlich ist die unten genannte Regel entscheidend):
- Firewall
- Rules
- LAN:
##=> neue anlegen mit folgenden Parametern:##
## - Protokol = IPv4 *##
## - Source = LAN net; Port = *##
## - Destination = WAN net; Port = *##
## - Gateway = *##
## - Schedule = * ##
- entscheidend ist allerdings, dass diese Regel vor anderen Regeln aus dem LAN gestellt wird - damit sie abgefangen wird, bevor die allgemeinen Regeln (zum Gateway) greifen. Also Reihenfolge beachten und ändern.
((1)) WireGuard mit OPNsense
[[WireGuard => siehe hier]], wo alle Hinweise zur Thema WireGuard gesammelt werden.
((1)) Probleme mit WAN und Gateway
Die Umstellung des WAN auf statische IP führte zur Unterbrechung der Verbindung aus dem LAN ins Internet. Auch pings in OPNsense zum **WAN network** konnten nicht geroutet werden. Nachdem WAN zurück auf DHCP umgestellt wurde, haben sich die Gateway komischerweise vermehrt. Dann ging die Verbindung wieder. Umstellung wieder auf statische IP löschte diese zusätzlichen Gateway und es funktionierte wieder nicht.
Folgendes hat geholfen:
- die Gateways komplett löschen
- WAN-Gateway (##System => Gateways => Single##) manuell erstellen
- in den Einstellungen des Interface WAN (##Interfaces => WAN##) unbedingt beachten:
- net Maske nicht 32 (Voreinstellung) sondern auf 24 stellen!
- IPv4 Upstream GW manuell auswählen - den zuvor eingerichteten
((1)) Verbindung per VPN zu einem anderen LAN
(per WireGuard)
In der Regel wird beschrieben, wie eine Site-to-Site-Verbindung eingerichtet wird. Es ist viel schwieriger, eine Beschreibung zu finden, wie OPNsense als WireGuard-Client agieren könnte und bei Bedarf eine Verbindung zu einem entfernten LAN (Beispiel: 192.168.0.0/24) für die hinter dem OPNsense-Router stehenden Geräte zur Verfügung stellt.
Folgende Schritte führen aber zum Erfolg:
((2)) VPN-Verbindung einrichten (WG)
Ganz normal Verbindung einrichten, wie es bei jedem Client funktioniert.
Dabei in den erweiterten Einstellungen auch ein spezielles Gateway einstellen, [[https://docs.opnsense.org/manual/how-tos/wireguard-selective-routing.html#step-2-configure-the-local-peer wie hier beschrieben]]. Dieses soll eine IP im WireGuard-Netzbereich haben, aber darf nicht identisch sein mit der IP des WG-Clients und auch nicht des entfernten Peer-s.
((2)) Diese Verbindung als Interface-Zuordnung einrichten
Unter
##Interfaces => Assignments##
Das Interface sollte aktiviert werden und für weitere Einstellungen zur Verfügung stehen.
((2)) Spezieller Gateway
Ein zusätzlicher Gateway für die VPN-Verbindung ist erforderlich. Einige [[https://docs.opnsense.org/manual/how-tos/wireguard-selective-routing.html#step-6-create-a-gateway Hinweise von hier sind zu beachten]]. Hier einrichten:
##System ‣ Gateways ‣ Single##
((2)) Outbound-NAT
Es wird auch eine Outbound-NAT-Regel benötigt. Diese wird erstellt unter:
##Firewall => NAT => Outbound##
und soll sich auf das entfernte LAN (z. B. 192.168.0.0/24) beziehen (vorher am besten als Alias festlegen)
((2)) Route erstellt zum LAN
Die Outbound-NAT-Regel reichte irgendwie nicht. Scheint aber nachvollziehbar zu sein, denn woher sollen die Clients wissen, bzw. die Firewall, wann dieser "Outbound" greifen soll... Also Route einrichten unter:
##System => Routes => Configuration##
Hier kann dann auch das entsprechende Netzwerk des entfernten LAN plausibel eingestellt werden.
((1)) Aktuelle Konfiguration step-by-step
Folgende Schritte wurden vorgenommen:
((2)) Interfaces
Unter "Assignment" sind sie zuzuordnen:
LAN = vmx0 => Virtual Network von ESXi mit Uplink auf LAN
WAN = igb0 => passthrough Intel 1 Gb zu Fritzbox
OPT = igb1 => passthrough Intel 1 Gb zu Lancom
((2)) Gateway
Bei Problemen - siehe oben "Probleme mit WAN und Gateway".
WAN-Interface statisch 10.9.0.2 im LAN der Fritzbox (10.9.0.0/**24**).
WAN_GW hat IP 10.9.0.1
((2)) Zweites WAN konfigurieren
Aus OPT1 => WAN2 und praktisch identisch vorgehen, wie bei WAN. Auch separates Gateway erstellen und zuweisen - und dem größere Zahl bei Priorität geben, damit es nicht aktiviert wird (wenn Internet über WAN laufen soll).
((2)) Die LAN-Route zu beiden WAN-Netzen erstellen
((2)) Route zur Lancom-Verbindung mit dem VPN der HS erstellen
----
CategoryNetzwerk
== Tipps und Tricks zur Einrichtung ==
((1)) Wie einrichten als VM
Post unter https://forum.opnsense.org/index.php?topic=2364.0
//Assuming you don't have an Enterprise Plus licence then you're left with using the standard vSwitch. Create two of those and attach your NICs to them - if this is a home LAN then one NIC on each of the switches should do. Create the OPNsense VM with two NICs, connect one of those NICs to the 'WAN' vSwitch and the other to the 'LAN' vSwitch. Install OPNsense and configure it to your requirements, when it's up and running you should have a working firewall and LAN connection.
Nothing in my environment is directly connected to the internet (except the ESXi NICs) and everything (including the ESXi host) is routed throiugh OPNsense. Create any required VMs with single NICs (you don't really need more) and connect them to the LAN vSwitch and that should give you a quick and simple set-up, the beauty is you can rearrange things later should you desire to do so.//
((1)) Verbindung mit einem lokalen LAN __vor__ OPNsense
Szenario:
Internet <-> Fritzbox <- quasi-DMZ -> OPNsense <-> LAN
Verbindung zwischen LAN und quasi-DMZ wollte nicht funktionieren - insofern auch Zugriff auf Fritzbox sowie die Geräte zwischen FB und OPNsense war nicht möglich...
Es konnte aktiviert werden (nach mehreren Versuchen - letztlich ist die unten genannte Regel entscheidend):
- Firewall
- Rules
- LAN:
##=> neue anlegen mit folgenden Parametern:##
## - Protokol = IPv4 *##
## - Source = LAN net; Port = *##
## - Destination = WAN net; Port = *##
## - Gateway = *##
## - Schedule = * ##
- entscheidend ist allerdings, dass diese Regel vor anderen Regeln aus dem LAN gestellt wird - damit sie abgefangen wird, bevor die allgemeinen Regeln (zum Gateway) greifen. Also Reihenfolge beachten und ändern.
((1)) WireGuard mit OPNsense
[[WireGuard => siehe hier]], wo alle Hinweise zur Thema WireGuard gesammelt werden.
((1)) Probleme mit WAN und Gateway
Die Umstellung des WAN auf statische IP führte zur Unterbrechung der Verbindung aus dem LAN ins Internet. Auch pings in OPNsense zum **WAN network** konnten nicht geroutet werden. Nachdem WAN zurück auf DHCP umgestellt wurde, haben sich die Gateway komischerweise vermehrt. Dann ging die Verbindung wieder. Umstellung wieder auf statische IP löschte diese zusätzlichen Gateway und es funktionierte wieder nicht.
Folgendes hat geholfen:
- die Gateways komplett löschen
- WAN-Gateway (##System => Gateways => Single##) manuell erstellen
- in den Einstellungen des Interface WAN (##Interfaces => WAN##) unbedingt beachten:
- net Maske nicht 32 (Voreinstellung) sondern auf 24 stellen!
- IPv4 Upstream GW manuell auswählen - den zuvor eingerichteten
((1)) Verbindung per VPN zu einem anderen LAN
(per WireGuard)
In der Regel wird beschrieben, wie eine Site-to-Site-Verbindung eingerichtet wird. Es ist viel schwieriger, eine Beschreibung zu finden, wie OPNsense als WireGuard-Client agieren könnte und bei Bedarf eine Verbindung zu einem entfernten LAN (Beispiel: 192.168.0.0/24) für die hinter dem OPNsense-Router stehenden Geräte zur Verfügung stellt.
Folgende Schritte führen aber zum Erfolg:
((2)) VPN-Verbindung einrichten (WG)
Ganz normal Verbindung einrichten, wie es bei jedem Client funktioniert.
Dabei in den erweiterten Einstellungen auch ein spezielles Gateway einstellen, [[https://docs.opnsense.org/manual/how-tos/wireguard-selective-routing.html#step-2-configure-the-local-peer wie hier beschrieben]]. Dieses soll eine IP im WireGuard-Netzbereich haben, aber darf nicht identisch sein mit der IP des WG-Clients und auch nicht des entfernten Peer-s.
((2)) Diese Verbindung als Interface-Zuordnung einrichten
Unter
##Interfaces => Assignments##
Das Interface sollte aktiviert werden und für weitere Einstellungen zur Verfügung stehen.
((2)) Spezieller Gateway
Ein zusätzlicher Gateway für die VPN-Verbindung ist erforderlich. Einige [[https://docs.opnsense.org/manual/how-tos/wireguard-selective-routing.html#step-6-create-a-gateway Hinweise von hier sind zu beachten]]. Hier einrichten:
##System ‣ Gateways ‣ Single##
((2)) Outbound-NAT
Es wird auch eine Outbound-NAT-Regel benötigt. Diese wird erstellt unter:
##Firewall => NAT => Outbound##
und soll sich auf das entfernte LAN (z. B. 192.168.0.0/24) beziehen (vorher am besten als Alias festlegen)
((2)) Route erstellt zum LAN
Die Outbound-NAT-Regel reichte irgendwie nicht. Scheint aber nachvollziehbar zu sein, denn woher sollen die Clients wissen, bzw. die Firewall, wann dieser "Outbound" greifen soll... Also Route einrichten unter:
##System => Routes => Configuration##
Hier kann dann auch das entsprechende Netzwerk des entfernten LAN plausibel eingestellt werden.
((1)) Aktuelle Konfiguration step-by-step
Folgende Schritte wurden vorgenommen:
((2)) Interfaces
Unter "Assignment" sind sie zuzuordnen:
LAN = vmx0 => Virtual Network von ESXi mit Uplink auf LAN
WAN = igb0 => passthrough Intel 1 Gb zu Fritzbox
OPT = igb1 => passthrough Intel 1 Gb zu Lancom
((2)) Gateway
Bei Problemen - siehe oben "Probleme mit WAN und Gateway".
WAN-Interface statisch 10.9.0.2 im LAN der Fritzbox (10.9.0.0/**24**).
WAN_GW hat IP 10.9.0.1
((2)) Zweites WAN konfigurieren
Aus OPT1 => WAN2 und praktisch identisch vorgehen, wie bei WAN. Auch separates Gateway erstellen und zuweisen - und dem größere Zahl bei Priorität geben, damit es nicht aktiviert wird (wenn Internet über WAN laufen soll).
((2)) Die LAN-Route zu beiden WAN-Netzen erstellen
((2)) Route zur Lancom-Verbindung mit dem VPN der HS erstellen
----
CategoryNetzwerk
