OPNsense Regeln - Versionsgeschichte

Thomas.will@claude: Filtern genauer erklärt: Feld/Methode/[+], UND/ODER, nur erstes Paket je Zustand

2026-10-31T08:27:38Z

Filtern genauer erklärt: Feld/Methode/[+], UND/ODER, nur erstes Paket je Zustand

← Nächstältere Version		Version vom 31. Oktober 2026, 08:27 Uhr
Zeile 42:		Zeile 42:
	* Häkchen „Log“ pro Regel: Treffer erscheinen in Firewall → Log Files → Live View (standardmäßig aus, sonst bei viel Verkehr schnell unübersichtlich)		* Häkchen „Log“ pro Regel: Treffer erscheinen in Firewall → Log Files → Live View (standardmäßig aus, sonst bei viel Verkehr schnell unübersichtlich)
	* Jede Zeile der Live View zeigt: Zeit, Interface, Richtung (in/out), Aktion, Quelle:Port, Ziel:Port und die Regel (Label), die gegriffen hat		* Jede Zeile der Live View zeigt: Zeit, Interface, Richtung (in/out), Aktion, Quelle:Port, Ziel:Port und die Regel (Label), die gegriffen hat
	* Filtern: ~~nach jedem dieser Felder möglich~~, ~~auch kombiniert~~ – ~~Interface~~, ~~Richtung~~, ~~IP-Version~~, ~~Protokoll~~, ~~Quelle~~, ~~Ziel~~, ~~Aktion~~		* Filtern: oben links eine Bedingung bauen aus Feld (z. B. Label, Quelle, Ziel – ''host'' und ''port'' treffen dabei Quelle UND Ziel), Methode (''contains'', ''is'', ''is not'', ''does not contain'') und Wert, mit dem Button '''[+]''' zur Ansicht hinzufügen
			* Mehrere Bedingungen kombinierbar: Voreinstellung UND (alle müssen zutreffen), umschaltbar auf ODER (z. B. mehrere Hosts gleichzeitig im Blick behalten)
			* Wichtig: die Live View zeigt nur Verkehr, der gegen eine Regel MIT Log-Häkchen lief, und bei einer neuen Verbindung nur das erste Paket, das den Zustand anlegt – nicht jedes einzelne Paket. Für jedes Paket: Interfaces → Diagnostics → Packet Capture
	* Analyse: die Spalte „Regel“ zeigt, WELCHE Regel wirklich getroffen hat – im Beispiel von oben steht beim nicht gesperrten PC „Pass / allow (Default allow LAN to any)“ statt „Block“, das bestätigt sofort die Diagnose aus dem Abschnitt „Der Klassiker“		* Analyse: die Spalte „Regel“ zeigt, WELCHE Regel wirklich getroffen hat – im Beispiel von oben steht beim nicht gesperrten PC „Pass / allow (Default allow LAN to any)“ statt „Block“, das bestätigt sofort die Diagnose aus dem Abschnitt „Der Klassiker“
	* Nach dem Korrigieren der Reihenfolge zeigt dieselbe Verbindung „Block / block (eigene Regel)“ – das Log bestätigt live, dass die Korrektur wirkt		* Nach dem Korrigieren der Reihenfolge zeigt dieselbe Verbindung „Block / block (eigene Regel)“ – das Log bestätigt live, dass die Korrektur wirkt

Thomas.will@claude: Live Log, Filter und Analyse ergänzt

2026-10-31T08:23:31Z

Live Log, Filter und Analyse ergänzt

← Nächstältere Version		Version vom 31. Oktober 2026, 08:23 Uhr
Zeile 38:		Zeile 38:
	* WAN: keine „allow any“-Regel, zusätzlich Block private networks / Bogon networks als Voreinstellung		* WAN: keine „allow any“-Regel, zusätzlich Block private networks / Bogon networks als Voreinstellung

	== Fehlersuche ==		== Fehlersuche: Live Log, Filter, Analyse ==

			* Häkchen „Log“ pro Regel: Treffer erscheinen in Firewall → Log Files → Live View (standardmäßig aus, sonst bei viel Verkehr schnell unübersichtlich)
			* Jede Zeile der Live View zeigt: Zeit, Interface, Richtung (in/out), Aktion, Quelle:Port, Ziel:Port und die Regel (Label), die gegriffen hat
			* Filtern: nach jedem dieser Felder möglich, auch kombiniert – Interface, Richtung, IP-Version, Protokoll, Quelle, Ziel, Aktion
			* Analyse: die Spalte „Regel“ zeigt, WELCHE Regel wirklich getroffen hat – im Beispiel von oben steht beim nicht gesperrten PC „Pass / allow (Default allow LAN to any)“ statt „Block“, das bestätigt sofort die Diagnose aus dem Abschnitt „Der Klassiker“
			* Nach dem Korrigieren der Reihenfolge zeigt dieselbe Verbindung „Block / block (eigene Regel)“ – das Log bestätigt live, dass die Korrektur wirkt
	* Firewall → Rules, Spalte Hits: zeigt, ob eine Regel überhaupt getroffen wird		* Firewall → Rules, Spalte Hits: zeigt, ob eine Regel überhaupt getroffen wird
	* Häkchen „Log“ pro Regel: Treffer erscheinen in Firewall → Log Files → Live View
	* Diagnostics → States: zeigt laufende Zustände (Quelle, Ziel, Dauer)		* Diagnostics → States: zeigt laufende Zustände (Quelle, Ziel, Dauer)

Thomas.will@claude: Neue Seite mit Animation: OPNsense-Regeln

2026-10-31T08:16:23Z

Neue Seite mit Animation: OPNsense-Regeln

Neue Seite

= OPNsense Regeln – Reihenfolge, Floating und Fehlerbilder =

* Animation: [https://xinux.org/opnsense-regeln.html OPNsense-Regeln richtig verstehen] ([https://xinux.org/opnsense-regeln-einfach.html einfach]), mit Reihenfolge, Floating vs. Interface, Default-Regeln, Log/Hits und Fehlerbildern

== Grundprinzip ==

* Jedes Interface (LAN, WAN, OPT1, …) hat einen eigenen Reiter unter Firewall → Rules
* Eine Regel gilt für Verkehr, der an genau diesem Interface ankommt
* Regeln werden von oben nach unten geprüft
* Die erste passende Regel entscheidet, danach wird nicht weiter geprüft (intern „quick“)

== Aktionen ==

* Pass – lässt das Paket durch
* Block – verwirft ohne Antwort
* Reject – verwirft mit Antwort (TCP: RST, ICMP: unreachable)

== Der Klassiker: falsche Reihenfolge ==

* Beispiel: eine Block-Regel für einen einzelnen PC steht unter der breiten „Default allow LAN to any“-Regel
* Die breite Regel passt zuerst → Pass → Stopp
* Die Block-Regel darunter wird nie erreicht (Hits bleibt bei 0)
* Lösung: spezifische Regeln vor allgemeine Regeln stellen

== Floating Rules vs. Interface-Regeln ==

* Interface-Regeln: gelten nur für ein Interface, immer „quick“
* Floating Rules: gelten für mehrere Interfaces/Richtungen gleichzeitig
* Floating Rules zeigen die quick-Checkbox:
** angehakt → erste passende Regel gewinnt
** abgewählt → letzte passende Regel gewinnt (klassisches pf-Verhalten)
* Verarbeitungsreihenfolge: zuerst Floating Rules mit quick, danach die Regeln des passenden Interface-Reiters

== Was von Anfang an da ist ==

* Anti-Lockout-Regel: unsichtbare automatische Regel, erlaubt Zugriff auf GUI/SSH am LAN-Interface (System → Settings → Administration zum Abschalten)
* Default allow LAN to any: wird beim Ersteinrichten angelegt, für den Produktivbetrieb meist zu großzügig
* WAN: keine „allow any“-Regel, zusätzlich Block private networks / Bogon networks als Voreinstellung

== Fehlersuche ==

* Firewall → Rules, Spalte Hits: zeigt, ob eine Regel überhaupt getroffen wird
* Häkchen „Log“ pro Regel: Treffer erscheinen in Firewall → Log Files → Live View
* Diagnostics → States: zeigt laufende Zustände (Quelle, Ziel, Dauer)

== Fehlerbilder ==

* Regel wirkt nicht, keine Fehlermeldung → allgemeinere Regel greift zuerst → spezifische Regel nach oben, Hits prüfen
* Pass-Regel wirkt gar nicht → falscher Interface-Reiter → Richtung/Interface prüfen
* Management-Zugriff plötzlich weg → Anti-Lockout deaktiviert, eigene Regel fehlerhaft → über die Konsole wieder herein
* Floating-Regel verhält sich unerwartet → quick abgewählt → quick anhaken
* Testlabor mit privaten Adressen am WAN ohne Verkehr → Block private networks/Bogon aktiv → gezielt abschalten

== Links ==

* [https://docs.opnsense.org/manual/firewall.html offizielle OPNsense-Dokumentation: Firewall]

[[Kategorie:OPNsense]]