OPNsense WAN Internetzugang

Den Regeln nach darfst du von OPT1 zu OPT2 und umgekehrt - und von OPT1 an die WAN Adresse der Firewall.
Also funktioniert es so, wie du es eingestellt hast.
Damit du ins Internet darfst, brauchst du eine Regel, die dies auch erlaubt. Das lässt sich mit einer Nicht-RFC1918 Regel (vorher als Alias definieren) oder einer Kombination aus Deny- und Allow-All Regeln am Einfachsten lösen, z.B.:

Verbiete alles das, was du nicht möchtest und erlaube dann alles, was du möchtest.
Da die Firewall die Regeln von oben nach unten abarbeitet, kannst du danach surfen, aber nicht auf deine verbotenen Inhalte zugreifen.

VG

Per default dürfen die OPT-Netze nirgendwo hin. Es müssen also erst einmal Regeln erstellt werden.
Angenommen der Client in OPT1 soll Richtung Internet alles dürfen, dann sollte das mit einer Regel wie etwa

• Action: pass
• Interface: OPT1
• Direction: In
• Protocol: Any
• Source: OPT1 net
• Destination: any
• Destination Port: any

funktionieren. Allerdings ist das wenig sinnvoll sondern sollte auf den Anwendungsfall hin angepasst werden. Insbesondere bei den erlaubten Protokollen, Ports und ggf. Clients.

Manuel

Schonmal geprüft ob, zufällig noch das Netz auf dem Default /32 Präfix steht?

Destination Any meint bei der OpnSense "gesamtes Internet".
Das könntest du bspw. auf eine bestimmte IP beschränken (oder auch mehrere). Oder per GeoIP auf Ziele in Deutschland. In den meisten Fällen will man aber eher auf bestimmte Dienste/Ports beschränken. Das würde dann etwa mit Destination Port HTTPS gemacht.
Meiner Meinung nach am sinnvollsten ist es an der Stelle mit Aliasen zu arbeiten. Dazu erstellst du einen Alias OPT1ErlaubtePorts und gibst unter Content die einzelnen Ports an. Danach kannst du in der Regel unter Destination Port diesen Alias auswählen und damit das erlauben was im Alias angegeben wurde. Ansonsten müsste nämlich für jeden einzelnen Port eine Regel erstellt werden.
Mit Aliasen kannst du auch mehrere IPs zusammenfassen. Wenn also die Clients aus OPT1 nur mit drei IPs kommunizieren sollen, erstellst du einen Alias mit diesen drei IPs. Dieser Alias wird dann bei Destination angegeben.

Manuel

Wieso sollte es ein Routing-Problem geben? Die OpnSense kennt ihre eigenen Netzwerke und das WAN und kümmert sich damit hervorragend um das Routing in dieser einfachen Konstellation. Zumindest wenn die Clients ihre IP per DHCP bekommen. Sollte die IP statisch vergeben sein, dann müssen halt Gateway und DNS-Einträge passen.

Manuel

Dann fang doch mal bei den Basics an und mach eine "Alles erlauben" Regel in deinen Interfaces mit Ziel Any.
Damit darfst du dann von deinen Subnetz auf alles. Wenn du dann surfen kannst, taste dich mal ran.


Das wird dir nicht helfen, da das WAN net nicht gleichbedeutend mit "Ich kann surfen" ist.

VG