OPNsense firewall

Tipps und Tricks zur Einrichtung

A. Wie einrichten als VM

Post unter https://forum.opnsense.org/index.php?topic=2364.0

Assuming you don't have an Enterprise Plus licence then you're left with using the standard vSwitch. Create two of those and attach your NICs to them - if this is a home LAN then one NIC on each of the switches should do. Create the OPNsense VM with two NICs, connect one of those NICs to the 'WAN' vSwitch and the other to the 'LAN' vSwitch. Install OPNsense and configure it to your requirements, when it's up and running you should have a working firewall and LAN connection.

Nothing in my environment is directly connected to the internet (except the ESXi NICs) and everything (including the ESXi host) is routed throiugh OPNsense. Create any required VMs with single NICs (you don't really need more) and connect them to the LAN vSwitch and that should give you a quick and simple set-up, the beauty is you can rearrange things later should you desire to do so.


B. Verbindung mit einem lokalen LAN vor OPNsense
Szenario:
Internet <-> Fritzbox <- quasi-DMZ -> OPNsense <-> LAN

Verbindung zwischen LAN und quasi-DMZ wollte nicht funktionieren - insofern auch Zugriff auf Fritzbox sowie die Geräte zwischen FB und OPNsense war nicht möglich...
Es konnte aktiviert werden (nach mehreren Versuchen - letztlich ist die unten genannte Regel entscheidend):

• Firewall
• Rules
• LAN:
=> neue anlegen mit folgenden Parametern:
- Protokol = IPv4 *
- Source = LAN net; Port = *
- Destination = WAN net; Port = *
- Gateway = *
- Schedule = *

• entscheidend ist allerdings, dass diese Regel vor anderen Regeln aus dem LAN gestellt wird - damit sie abgefangen wird, bevor die allgemeinen Regeln (zum Gateway) greifen. Also Reihenfolge beachten und ändern.

C. WireGuard mit OPNsense
=> siehe hier, wo alle Hinweise zur Thema WireGuard gesammelt werden.


D. Probleme mit WAN und Gateway
Die Umstellung des WAN auf statische IP führte zur Unterbrechung der Verbindung aus dem LAN ins Internet. Auch pings in OPNsense zum WAN network konnten nicht geroutet werden. Nachdem WAN zurück auf DHCP umgestellt wurde, haben sich die Gateway komischerweise vermehrt. Dann ging die Verbindung wieder. Umstellung wieder auf statische IP löschte diese zusätzlichen Gateway und es funktionierte wieder nicht.

Folgendes hat geholfen:

• die Gateways komplett löschen
• WAN-Gateway (System => Gateways => Single) manuell erstellen
• in den Einstellungen des Interface WAN (Interfaces => WAN) unbedingt beachten:
• net Maske nicht 32 (Voreinstellung) sondern auf 24 stellen!
• IPv4 Upstream GW manuell auswählen - den zuvor eingerichteten

E. Verbindung per VPN zu einem anderen LAN
(per WireGuard)
In der Regel wird beschrieben, wie eine Site-to-Site-Verbindung eingerichtet wird. Es ist viel schwieriger, eine Beschreibung zu finden, wie OPNsense als WireGuard-Client agieren könnte und bei Bedarf eine Verbindung zu einem entfernten LAN (Beispiel: 192.168.0.0/24) für die hinter dem OPNsense-Router stehenden Geräte zur Verfügung stellt.

Folgende Schritte führen aber zum Erfolg:

• Outbound-NAT
• Route erstellt zum LAN

F. Aktuelle Konfiguration step-by-step
Folgende Schritte wurden vorgenommen:

---

CategoryNetzwerk