OPNsense 2 Provider - Versionsgeschichte

Thomas.will: Link zur Animation ergänzt

2026-10-28T17:15:44Z

Link zur Animation ergänzt

← Nächstältere Version		Version vom 28. Oktober 2026, 17:15 Uhr
Zeile 23:		Zeile 23:
	Interfaces angelegt werden. Sie müssen nicht fortlaufend zu den Gerätenamen passen – wichtig ist		Interfaces angelegt werden. Sie müssen nicht fortlaufend zu den Gerätenamen passen – wichtig ist
	nur, dass sie in Gateways, DNS und Regeln konsistent referenziert werden.''		nur, dass sie in Gateways, DNS und Regeln konsistent referenziert werden.''

			* Animation: [https://xinux.org/opnsense-multiwan.html OPNsense Multi-WAN: zwei Provider] ([https://xinux.org/opnsense-multiwan-einfach.html einfach])

	== Was müssen wir tun? ==		== Was müssen wir tun? ==

Thomas.will: Ausgangspunkt: frischer Klon aus dem Template

2026-10-28T17:09:58Z

Ausgangspunkt: frischer Klon aus dem Template

← Nächstältere Version		Version vom 28. Oktober 2026, 17:09 Uhr
Zeile 1:		Zeile 1:
			== Ausgangspunkt ==
			* Diese Übung beginnt auf einer '''frisch aus dem ausgegebenen OPNsense-Template geklonten Firewall''', ohne Reste aus früheren Übungen (NAT, Regeln, Bridges, VPN).
			* Beim Klonen '''neue MAC-Adressen für alle Netzwerkkarten''' erzeugen.
			* HA und Multi-WAN werden nicht kombiniert: jede Übung bekommt ihre eigene frische Firewall.

	== Plan ==		== Plan ==

Thomas.will: /* Szenarien testen */

2026-09-04T03:36:14Z

Szenarien testen

← Nächstältere Version		Version vom 4. September 2026, 03:36 Uhr
Zeile 264:		Zeile 264:
	== Szenarien testen ==		== Szenarien testen ==

	*curl -4 --interface em1 ifconfig.co		* curl -4 --interface em1 ifconfig.co
	~~62.159.72.206~~		* curl -4 --interface em4 ifconfig.co
	*curl -4 --interface em4 ifconfig.co
	~~194.59.156.244~~



	{\| class="wikitable"		{\| class="wikitable"
	! Szenario !! Vorgehen !! Erwartetes Ergebnis		! Szenario !! Vorgehen !! Erwartetes Ergebnis
	\|-		\|-
	\| Normalbetrieb \|\| <code>traceroute 9.9.9.9</code> vom Client \|\| erster Hop 10.88.1.1 (~~GW1~~)		\| Normalbetrieb \|\| <code>traceroute 9.9.9.9</code> vom Client \|\| erster Hop 192.168.HS.254 (WAN1GW)
	\|-		\|-
	\| Ausfall WAN1 \|\| Kabel in VirtualBox trennen \|\| Dashboard zeigt ~~GW1~~ offline, Verkehr läuft über 10.99.99.1		\| Ausfall WAN1 \|\| Kabel in VirtualBox trennen \|\| Dashboard zeigt WAN1GW offline, Verkehr läuft über 172.30.34.254
	\|-		\|-
	\| Rückkehr WAN1 \|\| Kabel wieder verbinden \|\| ~~GW1~~ wieder online, neue Verbindungen laufen über ~~GW1~~		\| Rückkehr WAN1 \|\| Kabel wieder verbinden \|\| WAN1GW wieder online, neue Verbindungen laufen über WAN1GW
	\|-		\|-
	\| DNS-Test \|\| <code>dig @9.9.9.9</code> und <code>dig @1.0.0.1</code> \|\| beide antworten, jeder über seine Leitung		\| DNS-Test \|\| <code>dig @8.8.8.8</code> und <code>dig @1.1.1.1</code> \|\| beide antworten, jeder über seine Leitung
	\|-		\|-
	\| Zugriff ~~intern~~ \|\| Ping ~~in DMZ~~ bei totem WAN1 \|\| funktioniert weiter (Regel 2 ohne Gateway)		\| Zugriff Firewall \|\| Ping auf die LAN-Adresse der Firewall bei totem WAN1 \|\| funktioniert weiter (Regel 1 ohne Gateway)
	\|}		\|}

Thomas.will: /* Firewallregeln mit Gateway-Gruppe */

2026-09-04T03:35:23Z

Firewallregeln mit Gateway-Gruppe

← Nächstältere Version		Version vom 4. September 2026, 03:35 Uhr
Zeile 208:		Zeile 208:

	{\| class="wikitable"		{\| class="wikitable"
	! # !! Action !! Source !! Destination !! Gateway !! ~~Descrition~~		! # !! Action !! Source !! Destination !! Gateway !! Description
	\|-		\|-
	\| 1 \|\| Pass \|\| LAN net \|\| This Firewall \|\| ''leer (default)'' \|\| Ziel Firewall		\| 1 \|\| Pass \|\| LAN net \|\| This Firewall \|\| ''leer (default)'' \|\| Ziel Firewall
Zeile 245:		Zeile 245:
	'''Der klassische Fehler:''' Nur die eine Regel mit Gateway GW_GROUP anlegen. Eine Gateway-Angabe		'''Der klassische Fehler:''' Nur die eine Regel mit Gateway GW_GROUP anlegen. Eine Gateway-Angabe
	erzwingt Policy Routing für ''alles'', was auf die Regel passt – auch für Pakete an die Firewall		erzwingt Policy Routing für ''alles'', was auf die Regel passt – auch für Pakete an die Firewall
	selbst. Diese Pakete werden dann in Richtung Internet geschickt und verschwinden. Deshalb ~~muss~~		selbst. Diese Pakete werden dann in Richtung Internet geschickt und verschwinden. Deshalb müssen
	~~Regel~~ 1 ''ohne'' Gateway-Angabe darüber stehen.		die Regeln 1 und 2 ''ohne'' Gateway-Angabe darüber stehen.

	''Bei mehreren internen Netzen (DMZ, VLANs, VPN) legt man dafür einen Alias''		''Bei mehreren internen Netzen (DMZ, VLANs, VPN) legt man dafür einen Alias''

Thomas.will: /* Firewallregeln mit Gateway-Gruppe */

2026-09-04T03:33:40Z

Firewallregeln mit Gateway-Gruppe

← Nächstältere Version		Version vom 4. September 2026, 03:33 Uhr
Zeile 243:		Zeile 243:
	\|}		\|}

	'''Der klassische Fehler:''' Nur eine ~~einzige~~ Regel mit Gateway GW_GROUP. Eine Gateway-Angabe		'''Der klassische Fehler:''' Nur die eine Regel mit Gateway GW_GROUP anlegen. Eine Gateway-Angabe
	erzwingt Policy Routing für ''alles'', was auf die Regel passt – auch für Pakete an die ~~DMZ, an~~		erzwingt Policy Routing für ''alles'', was auf die Regel passt – auch für Pakete an die Firewall
	~~VPN-Gegenstellen und an die Firewall~~ selbst. Diese Pakete werden dann in Richtung Internet		selbst. Diese Pakete werden dann in Richtung Internet geschickt und verschwinden. Deshalb muss
	geschickt und verschwinden. Deshalb ~~müssen die Regeln~~ 1 ~~und 2~~ ''ohne'' Gateway-Angabe darüber		Regel 1 ''ohne'' Gateway-Angabe darüber stehen.
	stehen.

	~~Der~~ Alias <code>LOKALE_NETZE</code> (''~~Firewall: Aliases'', Typ Network) enthält alle eigenen~~		''Bei mehreren internen Netzen (DMZ, VLANs, VPN) legt man dafür einen Alias''
	~~Netze, z. B. die LAN~~-~~, DMZ- und VPN~~-~~Bereiche~~.		<code>LOKALE_NETZE</code> ''an und verwendet ihn auf jedem internen Interface in einer Regel
			ohne Gateway-Angabe oberhalb der Internet-Regel.''

	=== Firewall: Settings: Advanced ===		=== Firewall: Settings: Advanced ===

Thomas.will: /* Firewallregeln mit Gateway-Gruppe */

2026-09-04T03:11:12Z

Firewallregeln mit Gateway-Gruppe

← Nächstältere Version		Version vom 4. September 2026, 03:11 Uhr
Zeile 208:		Zeile 208:

	{\| class="wikitable"		{\| class="wikitable"
	! # !! Action !! Source !! Destination !! Gateway !! ~~Zweck~~		! # !! Action !! Source !! Destination !! Gateway !! Descrition
	\|-		\|-
	\| 1 \|\| Pass \|\| LAN net \|\| This Firewall \|\| ''leer (default)'' \|\| ~~DNS, NTP, Web-GUI~~		\| 1 \|\| Pass \|\| LAN net \|\| This Firewall \|\| ''leer (default)'' \|\| Ziel Firewall
	\|-		\|-
	\| 2 \|\| Pass \|\| LAN net \|\| ~~Alias LOKALE_NETZE~~ \|\| ''leer (default)'' \|\| ~~interne Netze, DMZ, VPN~~		\| 2 \|\| Pass \|\| LAN net \|\| LAN net \|\| ''leer (default)'' \|\| Ziel LAN
	\|-		\|-
	\| 3 \|\| Pass \|\| LAN net \|\| any \|\| '''GW_GROUP''' \|\| ~~Internetverkehr über die Gruppe~~		\| 3 \|\| Pass \|\| LAN net \|\| any \|\| '''GW_GROUP''' \|\| Ziel Internet
	\|}		\|}

Thomas.will: /* NAT auf beiden WAN-Interfaces */

2026-09-04T03:05:56Z

NAT auf beiden WAN-Interfaces

← Nächstältere Version		Version vom 4. September 2026, 03:05 Uhr
Zeile 191:		Zeile 191:
	\| 1 \|\| WAN1 \|\| LAN network \|\| * \|\| Interface address \|\| LAN ins Internet		\| 1 \|\| WAN1 \|\| LAN network \|\| * \|\| Interface address \|\| LAN ins Internet
	\|-		\|-
	\| 2 ~~\|\| WAN1 \|\| SERVER network \|\| * \|\| Interface address \|\| SERVER ins Internet~~		\| 2 \|\| WAN2 \|\| LAN network \|\| * \|\| Interface address \|\| LAN ins Internet
	\|-
	~~\| 3 \|\| WAN1 \|\| DMZ network \|\| <code>! 10.88.0.0/16</code> \|\| Interface address \|\| DMZ ins Internet – kein NAT zu den anderen DMZs~~
	\|-
	~~\| 4~~ \|\| WAN2 \|\| LAN network \|\| * \|\| Interface address \|\| LAN ins Internet
	\|-
	~~\| 5 \|\| WAN2 \|\| SERVER network \|\| * \|\| Interface address \|\| SERVER ins Internet~~
	\|-
	~~\| 6 \|\| WAN2 \|\| DMZ network \|\| <code>! 10.88.0.0/16</code> \|\| Interface address \|\| DMZ ins Internet – kein NAT zu den anderen DMZs~~
	\|}		\|}

Thomas.will: /* Nun zuordnen der Gateway in den Interface Sektionen */

2026-09-04T03:02:59Z

Nun zuordnen der Gateway in den Interface Sektionen

← Nächstältere Version		Version vom 4. September 2026, 03:02 Uhr
Zeile 136:		Zeile 136:
	\| WAN2 \|\| WAN2GW		\| WAN2 \|\| WAN2GW
	\|}		\|}
			===Wichtig===
			'''Die Gateways erscheinen in den Gateway Gruppen erstnach einem Neustart der opnsense'''

	=== Einstellen der Gatewaygruppe ===		=== Einstellen der Gatewaygruppe ===

Thomas.will: /* Nun zuordnen der Gateway in den Interface Sektionen */

2026-09-04T03:00:45Z

Nun zuordnen der Gateway in den Interface Sektionen

← Nächstältere Version		Version vom 4. September 2026, 03:00 Uhr
Zeile 130:		Zeile 130:

	{\| class="wikitable"		{\| class="wikitable"
	! Interface !! IPv4 gateway rules		! Interface !! IPv4 gateway rules
	\|-		\|-
	\| WAN1 \|\| WAN1GW		\| WAN1 \|\| WAN1GW
	\|		\|-
	\| WAN2 \|\| WAN2GW		\| WAN2 \|\| WAN2GW
	\|}		\|}

Thomas.will: /* Nun zuordnen der Gateway in den Interface Sektionen */

2026-09-04T02:57:55Z

Nun zuordnen der Gateway in den Interface Sektionen

← Nächstältere Version		Version vom 4. September 2026, 02:57 Uhr
Zeile 128:		Zeile 128:

	=== Nun zuordnen der Gateway in den Interface Sektionen ===		=== Nun zuordnen der Gateway in den Interface Sektionen ===
	~~''Interfaces:~~
	{\| class="wikitable"		{\| class="wikitable"
	! Interface !! IPv4 gateway rules		! Interface !! IPv4 gateway rules