OPNsense Regeln

OPNsense Regeln – Reihenfolge, Floating und Fehlerbilder

• Animation: OPNsense-Regeln richtig verstehen (einfach), mit Reihenfolge, Floating vs. Interface, Default-Regeln, Log/Hits und Fehlerbildern

Grundprinzip

• Jedes Interface (LAN, WAN, OPT1, …) hat einen eigenen Reiter unter Firewall → Rules
• Eine Regel gilt für Verkehr, der an genau diesem Interface ankommt
• Regeln werden von oben nach unten geprüft
• Die erste passende Regel entscheidet, danach wird nicht weiter geprüft (intern „quick“)

Aktionen

• Pass – lässt das Paket durch
• Block – verwirft ohne Antwort
• Reject – verwirft mit Antwort (TCP: RST, ICMP: unreachable)

Der Klassiker: falsche Reihenfolge

• Beispiel: eine Block-Regel für einen einzelnen PC steht unter der breiten „Default allow LAN to any“-Regel
• Die breite Regel passt zuerst → Pass → Stopp
• Die Block-Regel darunter wird nie erreicht (Hits bleibt bei 0)
• Lösung: spezifische Regeln vor allgemeine Regeln stellen

Floating Rules vs. Interface-Regeln

• Interface-Regeln: gelten nur für ein Interface, immer „quick“
• Floating Rules: gelten für mehrere Interfaces/Richtungen gleichzeitig
• Floating Rules zeigen die quick-Checkbox:
  • angehakt → erste passende Regel gewinnt
  • abgewählt → letzte passende Regel gewinnt (klassisches pf-Verhalten)
• Verarbeitungsreihenfolge: zuerst Floating Rules mit quick, danach die Regeln des passenden Interface-Reiters

Was von Anfang an da ist

• Anti-Lockout-Regel: unsichtbare automatische Regel, erlaubt Zugriff auf GUI/SSH am LAN-Interface (System → Settings → Administration zum Abschalten)
• Default allow LAN to any: wird beim Ersteinrichten angelegt, für den Produktivbetrieb meist zu großzügig
• WAN: keine „allow any“-Regel, zusätzlich Block private networks / Bogon networks als Voreinstellung

Fehlersuche: Live Log, Filter, Analyse

• Häkchen „Log“ pro Regel: Treffer erscheinen in Firewall → Log Files → Live View (standardmäßig aus, sonst bei viel Verkehr schnell unübersichtlich)
• Jede Zeile der Live View zeigt: Zeit, Interface, Richtung (in/out), Aktion, Quelle:Port, Ziel:Port und die Regel (Label), die gegriffen hat
• Filtern: oben links eine Bedingung bauen aus Feld (z. B. Label, Quelle, Ziel – host und port treffen dabei Quelle UND Ziel), Methode (contains, is, is not, does not contain) und Wert, mit dem Button [+] zur Ansicht hinzufügen
• Mehrere Bedingungen kombinierbar: Voreinstellung UND (alle müssen zutreffen), umschaltbar auf ODER (z. B. mehrere Hosts gleichzeitig im Blick behalten)
• Wichtig: die Live View zeigt nur Verkehr, der gegen eine Regel MIT Log-Häkchen lief, und bei einer neuen Verbindung nur das erste Paket, das den Zustand anlegt – nicht jedes einzelne Paket. Für jedes Paket: Interfaces → Diagnostics → Packet Capture
• Analyse: die Spalte „Regel“ zeigt, WELCHE Regel wirklich getroffen hat – im Beispiel von oben steht beim nicht gesperrten PC „Pass / allow (Default allow LAN to any)“ statt „Block“, das bestätigt sofort die Diagnose aus dem Abschnitt „Der Klassiker“
• Nach dem Korrigieren der Reihenfolge zeigt dieselbe Verbindung „Block / block (eigene Regel)“ – das Log bestätigt live, dass die Korrektur wirkt
• Firewall → Rules, Spalte Hits: zeigt, ob eine Regel überhaupt getroffen wird
• Diagnostics → States: zeigt laufende Zustände (Quelle, Ziel, Dauer)

Fehlerbilder

• Regel wirkt nicht, keine Fehlermeldung → allgemeinere Regel greift zuerst → spezifische Regel nach oben, Hits prüfen
• Pass-Regel wirkt gar nicht → falscher Interface-Reiter → Richtung/Interface prüfen
• Management-Zugriff plötzlich weg → Anti-Lockout deaktiviert, eigene Regel fehlerhaft → über die Konsole wieder herein
• Floating-Regel verhält sich unerwartet → quick abgewählt → quick anhaken
• Testlabor mit privaten Adressen am WAN ohne Verkehr → Block private networks/Bogon aktiv → gezielt abschalten

Links

• offizielle OPNsense-Dokumentation: Firewall