OPNsense Regeln
OPNsense Regeln – Reihenfolge, Floating und Fehlerbilder
- Animation: OPNsense-Regeln richtig verstehen (einfach), mit Reihenfolge, Floating vs. Interface, Default-Regeln, Log/Hits und Fehlerbildern
Grundprinzip
- Jedes Interface (LAN, WAN, OPT1, …) hat einen eigenen Reiter unter Firewall → Rules
- Eine Regel gilt für Verkehr, der an genau diesem Interface ankommt
- Regeln werden von oben nach unten geprüft
- Die erste passende Regel entscheidet, danach wird nicht weiter geprüft (intern „quick“)
Aktionen
- Pass – lässt das Paket durch
- Block – verwirft ohne Antwort
- Reject – verwirft mit Antwort (TCP: RST, ICMP: unreachable)
Der Klassiker: falsche Reihenfolge
- Beispiel: eine Block-Regel für einen einzelnen PC steht unter der breiten „Default allow LAN to any“-Regel
- Die breite Regel passt zuerst → Pass → Stopp
- Die Block-Regel darunter wird nie erreicht (Hits bleibt bei 0)
- Lösung: spezifische Regeln vor allgemeine Regeln stellen
Floating Rules vs. Interface-Regeln
- Interface-Regeln: gelten nur für ein Interface, immer „quick“
- Floating Rules: gelten für mehrere Interfaces/Richtungen gleichzeitig
- Floating Rules zeigen die quick-Checkbox:
- angehakt → erste passende Regel gewinnt
- abgewählt → letzte passende Regel gewinnt (klassisches pf-Verhalten)
- Verarbeitungsreihenfolge: zuerst Floating Rules mit quick, danach die Regeln des passenden Interface-Reiters
Was von Anfang an da ist
- Anti-Lockout-Regel: unsichtbare automatische Regel, erlaubt Zugriff auf GUI/SSH am LAN-Interface (System → Settings → Administration zum Abschalten)
- Default allow LAN to any: wird beim Ersteinrichten angelegt, für den Produktivbetrieb meist zu großzügig
- WAN: keine „allow any“-Regel, zusätzlich Block private networks / Bogon networks als Voreinstellung
Fehlersuche
- Firewall → Rules, Spalte Hits: zeigt, ob eine Regel überhaupt getroffen wird
- Häkchen „Log“ pro Regel: Treffer erscheinen in Firewall → Log Files → Live View
- Diagnostics → States: zeigt laufende Zustände (Quelle, Ziel, Dauer)
Fehlerbilder
- Regel wirkt nicht, keine Fehlermeldung → allgemeinere Regel greift zuerst → spezifische Regel nach oben, Hits prüfen
- Pass-Regel wirkt gar nicht → falscher Interface-Reiter → Richtung/Interface prüfen
- Management-Zugriff plötzlich weg → Anti-Lockout deaktiviert, eigene Regel fehlerhaft → über die Konsole wieder herein
- Floating-Regel verhält sich unerwartet → quick abgewählt → quick anhaken
- Testlabor mit privaten Adressen am WAN ohne Verkehr → Block private networks/Bogon aktiv → gezielt abschalten