OPNsense Regeln
OPNsense Regeln – Reihenfolge, Floating und Fehlerbilder
- Animation: OPNsense-Regeln richtig verstehen (einfach), mit Reihenfolge, Floating vs. Interface, Default-Regeln, Log/Hits und Fehlerbildern
Grundprinzip
- Jedes Interface (LAN, WAN, OPT1, …) hat einen eigenen Reiter unter Firewall → Rules
- Eine Regel gilt für Verkehr, der an genau diesem Interface ankommt
- Regeln werden von oben nach unten geprüft
- Die erste passende Regel entscheidet, danach wird nicht weiter geprüft (intern „quick“)
Aktionen
- Pass – lässt das Paket durch
- Block – verwirft ohne Antwort
- Reject – verwirft mit Antwort (TCP: RST, ICMP: unreachable)
Der Klassiker: falsche Reihenfolge
- Beispiel: eine Block-Regel für einen einzelnen PC steht unter der breiten „Default allow LAN to any“-Regel
- Die breite Regel passt zuerst → Pass → Stopp
- Die Block-Regel darunter wird nie erreicht (Hits bleibt bei 0)
- Lösung: spezifische Regeln vor allgemeine Regeln stellen
Floating Rules vs. Interface-Regeln
- Interface-Regeln: gelten nur für ein Interface, immer „quick“
- Floating Rules: gelten für mehrere Interfaces/Richtungen gleichzeitig
- Floating Rules zeigen die quick-Checkbox:
- angehakt → erste passende Regel gewinnt
- abgewählt → letzte passende Regel gewinnt (klassisches pf-Verhalten)
- Verarbeitungsreihenfolge: zuerst Floating Rules mit quick, danach die Regeln des passenden Interface-Reiters
Was von Anfang an da ist
- Anti-Lockout-Regel: unsichtbare automatische Regel, erlaubt Zugriff auf GUI/SSH am LAN-Interface (System → Settings → Administration zum Abschalten)
- Default allow LAN to any: wird beim Ersteinrichten angelegt, für den Produktivbetrieb meist zu großzügig
- WAN: keine „allow any“-Regel, zusätzlich Block private networks / Bogon networks als Voreinstellung
Fehlersuche: Live Log, Filter, Analyse
- Häkchen „Log“ pro Regel: Treffer erscheinen in Firewall → Log Files → Live View (standardmäßig aus, sonst bei viel Verkehr schnell unübersichtlich)
- Jede Zeile der Live View zeigt: Zeit, Interface, Richtung (in/out), Aktion, Quelle:Port, Ziel:Port und die Regel (Label), die gegriffen hat
- Filtern: oben links eine Bedingung bauen aus Feld (z. B. Label, Quelle, Ziel – host und port treffen dabei Quelle UND Ziel), Methode (contains, is, is not, does not contain) und Wert, mit dem Button [+] zur Ansicht hinzufügen
- Mehrere Bedingungen kombinierbar: Voreinstellung UND (alle müssen zutreffen), umschaltbar auf ODER (z. B. mehrere Hosts gleichzeitig im Blick behalten)
- Wichtig: die Live View zeigt nur Verkehr, der gegen eine Regel MIT Log-Häkchen lief, und bei einer neuen Verbindung nur das erste Paket, das den Zustand anlegt – nicht jedes einzelne Paket. Für jedes Paket: Interfaces → Diagnostics → Packet Capture
- Analyse: die Spalte „Regel“ zeigt, WELCHE Regel wirklich getroffen hat – im Beispiel von oben steht beim nicht gesperrten PC „Pass / allow (Default allow LAN to any)“ statt „Block“, das bestätigt sofort die Diagnose aus dem Abschnitt „Der Klassiker“
- Nach dem Korrigieren der Reihenfolge zeigt dieselbe Verbindung „Block / block (eigene Regel)“ – das Log bestätigt live, dass die Korrektur wirkt
- Firewall → Rules, Spalte Hits: zeigt, ob eine Regel überhaupt getroffen wird
- Diagnostics → States: zeigt laufende Zustände (Quelle, Ziel, Dauer)
Fehlerbilder
- Regel wirkt nicht, keine Fehlermeldung → allgemeinere Regel greift zuerst → spezifische Regel nach oben, Hits prüfen
- Pass-Regel wirkt gar nicht → falscher Interface-Reiter → Richtung/Interface prüfen
- Management-Zugriff plötzlich weg → Anti-Lockout deaktiviert, eigene Regel fehlerhaft → über die Konsole wieder herein
- Floating-Regel verhält sich unerwartet → quick abgewählt → quick anhaken
- Testlabor mit privaten Adressen am WAN ohne Verkehr → Block private networks/Bogon aktiv → gezielt abschalten