3
PFSense 2.2.4 - Konfiguration von zwei WAN Ports die unterschiedliche VLANs bedienen. (Schulnetz , Verwaltungsnetz)
Hallo,
könnt Ihr mir bitte helfen meine Konfiguration zu überprüfen ob dies so richtig ist für die zwei WAN Lösung.
Grundsätzliches Infrastruktur:
Es handelt sich um eine Realschule mit ca 70-80 Clients, 50-200 WLAN Clients,
5 Server, 7 Level3 Switches (Netear GS-748T), 4 Level2 Switches(Netgear ProSave GS108E)
VLAN Struktur/PFSense Einbindung:
Netzwerkaufbau:
PFSense soll folgendes machen:
VLAN 4,5,6,7,8 werden über VLAN9 --> WAN1 mit dem Internet verbunden (Schulnetz)
VLAN 16 wird über VLAN15 --> WAN2 mit dem Internet verbunden (Verwaltungsnetz)
Alles muss über die PFSense laufen, um eine Durchlässigkeit der Drucker zu gewährleisten
(Siehe auch Mit PFSense Drucker in einem per VLAN getrennten WLAN Netz verfügbar machen)
Ich habe folgende Firewallregeln eingestellt und es funktioniert auch soweit.
Gibt es da aber nicht günstigere Varianten wie man für VLAN16 standardmäßig WAN2 zuweist?
VLAN4 Vertretungspläne:
VLAN5 Schulnetz
VLAN6 WLAN Schüler
VLAN7 WLAN Lehrer
VLAN8 WLAN Schulgeräte
VLAN9 BELWUE Schulnetz (Internetzugang)
VLAN 15 Verwaltung (Internetzugang)
VLAN 16 Verwaltung intern
Ich freue mich auf eure hilfreichen Tipps.
könnt Ihr mir bitte helfen meine Konfiguration zu überprüfen ob dies so richtig ist für die zwei WAN Lösung.
Grundsätzliches Infrastruktur:
Es handelt sich um eine Realschule mit ca 70-80 Clients, 50-200 WLAN Clients,
5 Server, 7 Level3 Switches (Netear GS-748T), 4 Level2 Switches(Netgear ProSave GS108E)
VLAN Struktur/PFSense Einbindung:
Netzwerkaufbau:
PFSense soll folgendes machen:
VLAN 4,5,6,7,8 werden über VLAN9 --> WAN1 mit dem Internet verbunden (Schulnetz)
VLAN 16 wird über VLAN15 --> WAN2 mit dem Internet verbunden (Verwaltungsnetz)
Alles muss über die PFSense laufen, um eine Durchlässigkeit der Drucker zu gewährleisten
(Siehe auch Mit PFSense Drucker in einem per VLAN getrennten WLAN Netz verfügbar machen)
Ich habe folgende Firewallregeln eingestellt und es funktioniert auch soweit.
Gibt es da aber nicht günstigere Varianten wie man für VLAN16 standardmäßig WAN2 zuweist?
VLAN4 Vertretungspläne:
Ich freue mich auf eure hilfreichen Tipps.
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 288906
Url: https://administrator.de/contentid/288906
Printed on: April 24, 2024 at 00:04 o'clock
3 Comments
Latest comment
Moin,
du willst einfach VLANs über bestimmte WAN Ausgänge routen?
Dann passt das doch mit dem Gateway-Eintrag in den Firewall Regeln, wo siehst du Probleme?
Man spricht übrigens von Netzwerklayern und nicht von Leveln
VG
Val
du willst einfach VLANs über bestimmte WAN Ausgänge routen?
Dann passt das doch mit dem Gateway-Eintrag in den Firewall Regeln, wo siehst du Probleme?
Man spricht übrigens von Netzwerklayern und nicht von Leveln
VG
Val
Danke für deine Layerkorrektur-Hilfe 
.
Ich möchte wissen ob man einfacher Routen kann als ich es getan habe
und ob ich evtl. Firewalleinträge vergessen habe, die ungewollten Zugriff in andere VLANs ermöglichen.
Gruß
Stefan
.Ich möchte wissen ob man einfacher Routen kann als ich es getan habe
und ob ich evtl. Firewalleinträge vergessen habe, die ungewollten Zugriff in andere VLANs ermöglichen.
Gruß
Stefan
Ich möchte wissen ob man einfacher Routen kann als ich es getan habe
Für die Wahl der WAN Verbindung ist dies der richtige Weg. Überall wo du es auf "*" stehen hast wird der Default Ausgang verwendet.und ob ich evtl. Firewalleinträge vergessen habe, die ungewollten Zugriff in andere VLANs ermöglichen.
Hab ich jetzt nicht genau geschaut aber ich würde dir empfehlen einen Alias zu erstellen (RFC1918 mit den Netzen192.168.0.0/16, 172.16.0.0/12 und 10.0.0.0/8).Diesen Alias setzt du als "Block" Regel an den Anfang der Firewall Regeln und blockst somit den Zugriff auf alle anderen Subnetze.
Danach setzt du einfach "Allow" Regeln für die Netze welche erreichbar sein sollen oben drüber und musst somit nicht jedes Subnetz explizit verbieten sondern gibst du diese frei welche erreichbar sein sollen.
Den Tipp hatte ich mir damals von hier abgeschaut:
https://doc.pfsense.org/index.php/Example_basic_configuration
VG
Val
