22.01.2019, aktualisiert um 19:03:04 Uhr

7921

Probleme mit opnsense

Mir sind mehrere Probleme aufgefallen, hauptsächlich nachdem ich openvpn server
eingerichtet habe und meine opnsense als Exposed Host in der Fritzbox eingerichtet habe,
und ich habe IPv6 in der Fritzbox aktiviert, im LAN selbst brauche ich es eigentlich nicht.
Natürlich weiß ich jetzt nicht, welche Probleme mit was genau Zusammenhängen. Deswegen fangen
wir doch einfach mal mit dem an was ich sehe:

1. oben Rechts erhalte ich plötlzich Nachrichten:
ungelesene Mitteilungen
Der Nachrichteninhalt ist im Bild zu sehen. (siehe unten Bild 1)

2. Manche Dienste laufen nicht, bzw. ich muss die immer wieder manuel starten
Siehe Bild2. DHCP6 Server lässt sich z.B. garnicht starten.

3. Das WAN Interface wird immer wieder deaktivert, wenn ich das richtig verstehe (Siehe Bild3)

4. Kann ich die opnsense über die WebGUI auf Werkseinstellungen zurück setzen, oder geht das nur per Konsole.
Und zur Konsole: Kann ich die Serielle Verbindung während dem Betrieb einstecken und mich verbinden, oder muss die opnsense
booten. Bis vor der opnvpn Konfiguration habe ich ein Konfigurationsdatei gespeichert. Ich würde diese dann nach der Werksteinstellung
laden, oder ist es besser diese direkt zu laden?

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 399020

Url: https://administrator.de/contentid/399020

Ausgedruckt am: 23.11.2024 um 01:11 Uhr

33 Kommentare

Neuester Kommentar

Besser pfSense verwenden !
https://www.pfsense.org/download/
Damit passiert sowas nicht !

Moin,

Zitat von @aqui:

Besser pfSense verwenden !
https://www.pfsense.org/download/
Damit passiert sowas nicht !

Auch die pfSense hat einige Bugs.

Außerdem basiert OPNSense auf der selben FreeBSD Version wie pfSense.
Die eingesetzten Dienste sind ebenso gleich.

Der Hauptunterschied liegt daher vor allem bei der GUI und von den Release Zyklen bzw. Support.

@Balivorinsky
Welche Version von OPNSense setzt du ein und auf welcher Hardware läuft die?
Kann jedenfalls bei mir deine Probleme nicht nachvollziehen. (18.7)

Was sagt das System Log?

Danke für den Tipp, hatte das 3 Bild vegessen, bitte auch anschauen.
Lass uns aber bitte erst mal bei opnsense bleiben, danach kann ich eventuell immer noch wechseln.

Hallo,
allgemein: auch opnsense hat logfiles die über das Webinterface einsehbar sind
zu 1: welches Interface ist igb0 ? wo hast du das Netzwerk 192.168.49.0/24 ?
welche Regeln sind auf dem Interface ?
siehe ausführliches log.
zu 2: schau in den Logs
zu 3: schau in den Logs

zu 4. Wichtig: Werkseinstellungen gibt es nicht wirklich bei opnsense (wie auch bei pfsense); es wird nur eine leere config.xml geschrieben.
Es können im System immer noch Konfigurationsleichen verbleiben die auch nach einem Zurücksetzen auf Werkseinstellungen Probleme bereiten werden. Oft ist eine Neuinstallation die bessere Wahl.
Zurücksetzen über die WebUI ist (glaube ich) nicht möglich, ich habe keine Installation mehr zur Verfügung und in der Dokumentation steht auch nichts.
Du kannst dich auch im Betrieb mit der seriellen Schnittstelle verbinden.
Du mußt nicht zuerst die Werkseinstellungen laden, das bringt nichts.
Wenn dein letztes Backup von einem stabilen System gemacht wurde: Restore und reboot.
Wenn das System dann immer noch instabil ist: Neuinstallation und das Backup einspielen.

Ich kann dir auch nur raten auf pfSense zu wechseln: Hat zwar auch seine Macken, aber wird von viel mehr Leuten (auch in diesem Forum) verwendet.

CH

@Balivorinsky
Welche Version von OPNSense setzt du ein und auf welcher Hardware läuft die?
Kann jedenfalls bei mir deine Probleme nicht nachvollziehen. (18.7)

Was sagt das System Log?

Hardware ist eine APU Board APU mit 3 NICs, AMD Prozessor, 4GB RAM. Opnsense, vor 2 Wochen geladen, also auch 18.7 sollte es sein.
System Log, finde ich wo genau? System-> Verwaltung?

Ich habe es ja an die Fritzbox angeschlossen, es kann sein, das von dort aus die Probleme kommen, aber wie kann ich das genau prüfen. WAN wird ständig unterbrochen, also das Intenet.

Hiho,

das Problem sollte an IPv6 liegen.

Entweder deaktivierst du IPv6 auf dem Interface:

oder du musst dir folgenden fix einbauen:

https://github.com/opnsense/core/pull/1395/commits/1c6919d19ab06d5b93337 ...

Gefunden über: https://github.com/opnsense/core/issues/1375

Beste Grüße
Somebody

Zitat von @SomebodyToLove:

Hiho,

das Problem sollte an IPv6 liegen.

Entweder deaktivierst du IPv6 auf dem Interface:

Habe ich deaktiviert, auf beiden LANs

allgemein: auch opnsense hat logfiles die über das Webinterface einsehbar sind
zu 1: welches Interface ist igb0 ? wo hast du das Netzwerk 192.168.49.0/24 ?

Hallo,
igb0 und 192.168.49.0/24 ist das WAN, ja

siehe ausführliches log.
zu 2: schau in den Logs
zu 3: schau in den Logs

Ja aber welche Logs genau?

Zitat von @Balivorinsky:

Habe ich deaktiviert, auf beiden LANs

Auch auf dem WAN Interface?

Kannst du eventuell einen Screenshot deiner WAN Konfiguration und deiner Gateway Konfiguration machen?

Ja unten.

Aber jetzt geht es, ich habe nun folgendes gemacht, und würde gerne eure Meinung dazu wissen.
Es geht nun, nach dem ich folgendes gemacht habe. Wie schon erwähnt, IP6 in der Fritzbox deaktiviert, dann habe ich den DHCP Server in der Fritzbox deaktivert. Die FB hat ja dem Gerät eine feste IP zugewiesen, daher dachte ich sollte es auch ohne DHCP Server gehen.
WAN Interface in der opnsense ist auf DHCP. So läuft das nun. Ich wollte eigentlich im WAN Interface Static auswählen, aber dann muss ich im DHCP Server (Diensten-> DHCPv4) auch einen IP Bereich für WAN angeben, was doch keinen Sinn macht, weil die opnsense soll keine IPs vergeben, oder ich muss dann den DHCP Server aktiveiern, was genauso wenig Sinn macht (denke ich mal). Aus dem Grund habe ich WAN Interface auf DHCP gelassen. Nun leuchet auch das WAN Interface in der Opnsense. Hätte das nicht funktioniert, so hätte ich wie schon empfohlen wurde eine statische Route erstellt.

Dazu auch bitte folgendes:
2.
Wenn ich nun in der FB für das WAN in der opnsense nur einen Port frei gebe, fürs OpenVPN, dann sollte das doch reichen? ich muss doch nicht unbedingt "Exposed Host" wählen, oder?

Hallo,
Logs auf dem Webinterface findest du hier:
System -> Log Files -> General
Wenn es nicht ausreicht:
enable SSH auf der OPNsense, verbinde dich mit z.B. putty
8 -> ls -la /var/log |more
log anschauen dann z.B. mit less /var/log/dhcpd.log

CH

Zitat von @ChriBo:

System -> Log Files -> General

Ja leider zu früh gefreut. Nach dem es ca. ne Stunde ging, geht es jetzt wieder los. WAN ein, WAN aus siehe Bild oben.
Das Log sagt auch LinkUp und wieder Down. Langsam glaube ich das das Interface selber kaputt ist? Falls ja wie kann ich das sicher prüfen.

Welche IP Adresse hat den deine FritzBox? Also auf dem LAN.

Du kannst das Interface testen in dem du ihm eine statische IP gibst ein Notebook / PC anschließt im selben IP Bereich und dann das Interface pingst.

Was hast du denn als Gateway konfiguriert? Und kann es eventuell sein das deine FritzBox im selben IP Bereich liegt wie eine deiner LAN Verbindungen?

IP Bereich der Fritzbox sind die selben wie der WAN Bereich der opnsense. Habe die IP der FB geändert, ist also 192.168.49.1/24

@ChriBo Korrektur: 192.168.49.1 ist die IP der Fritzbox, igb1 das WAN Interface der, igb0 ist das LAN1. WAN interface hat die IP: 192.168.49.20.

Was hast du denn als Gateway konfiguriert? Und kann es eventuell sein das deine FritzBox im selben IP Bereich liegt wie eine deiner LAN Verbindungen?

Gateway habe ich keinen selber Konfiguriert, auf der FB ist es Standardmäßig 192.168.49.1, auf der opnsese habe ich keines zusätzlich konfiguriert, muss ich das machen? Weil ich habe ja DHCP ausewählt, dann sollte er sich die selber holen, oder nicht. Wo in der opnsense sehe ich welches Gateway WAN aktuell nutzt?
Nein, ich habe keine IP Bereiche doppelt

Du kannst das Interface testen in dem du ihm eine statische IP gibst ein Notebook / PC anschließt im selben IP Bereich und dann das Interface pingst.

Ist das dann zuverlässig, bzw. wieviel pings sollte man absetzen, um sicher zu sein das nicht irgendwie ein Wackelkontakt, also ein physikalische Problem vorliegt?
.

(mit dem Transparenten Proxy den ich eingerichet habe hat das ganze nichts zu tun?)

Du kannst einmal unter "Interfaces -> Overview -> Dein Interface" unter Gateway IPv4 nachsehen was als Gateway hinterlegt ist.

Und unter "System -> Gateways -> Single" solltest du ebenfalls checken ob alle Optionen passen.

Noch eine dumme Frage, Block private Networks auf dem WAN Interface hast du deaktiviert oder?

EDIT: Wenn du dich oben noch verschrieben hast, warum hast du DHCP auf der FritzBox deaktiviert und dein WAN aber auf DHCP konfiguriert? Das klingt ein wenig strange

Zitat von @SomebodyToLove:

Noch eine dumme Frage, Block private Networks auf dem WAN Interface hast du deaktiviert oder?

EDIT: Wenn du dich oben noch verschrieben hast, warum hast du DHCP auf der FritzBox deaktiviert und dein WAN aber auf DHCP konfiguriert? Das klingt ein wenig strange

Danke, es gibt keine Dummen Fragen. Ja private Networks habe ich deaktiviert. Werde die Einstellungen überprüfen.

Ja das ist auch was mich irretiert!
Ich wollte eigentlich im WAN Interface Static auswählen, aber dann muss ich im DHCP Server (Diensten-> DHCPv4) auch einen IP Bereich für WAN angeben, was doch keinen Sinn macht, weil die opnsense soll keine IPs vergeben, oder ich muss dann den DHCP Server aktiveiern, was genauso wenig Sinn macht (denke ich mal). Aus dem Grund habe ich WAN Interface auf DHCP gelassen.

D.h. ich will ja static, und nur eine IP dem WAN der opnsene angeben, geht aber wohl nur wenn ich auch eine IP Range angebe, ich schaue da noch mal genauer nach..

Zum DHCP nochmal...
Ich habe über die GUI inder FB DHCP deaktiveirt, ganz sicher! Dann habe ich mehrmals einen Laptop mit einem live System neu gestartet, an die FB angeschlossen, und erhalte trozdem eine IP per DHCP und kann dann normal surfen, wie kann das sein?

Das kann eigentlich gar nicht sein, außer du hast noch einen weiteren DHCP Server in deinem Netzwerk, aber das kann ich schwierig erraten.

Ich würde dir jetzt empfehlen:

Sattel das Pferd erstmal von hinten auf, setze deine OPNsense noch einmal auf Werkseinstellungen.
Verbinde deinen WAN Port mit der FritzBox
Konfiguriere den WAN Port deiner OPNsense mit einer statischen IP Adresse:

Füge dir ein Gateway hinzu (System -> Gateways -> Single:

Konfiguriere dir einen DNS Server (kann auch die FritzBox sein):

Wenn du das Konfiguriert hast, stecke ein Notebook auf einen LAN Port welchen du konfiguriert hast und auf welchem entweder DHCP läuft oder du deinem Notebook eine statische IP zuweist.

Dann versuche mit dem Notebook online zu gehen.

Erst wenn das klappt, danke über alles weitere nach

n die FB angeschlossen, und erhalte trozdem eine IP per DHCP und kann dann normal surfen, wie kann das sein?

Das kann nur sein wenn der DHCP Server der FB NICHT deaktiviert wurde !
Wenn das ein Winblows Test Rechner ist kannst du mit ipconfig -all sehen welcher der DHCP Server ist, der da antwortet.
Vermutlich ist er also NICHT aus auf der FB sondern weiter aktiv !
Wenn in der Kaskade die FB statisch die 192.168.49.1 /24 hat und die Firewall die 192.168.49.254 /24 dann stecke einen Testrechner mit DHCP Client in eins der LAN Ports der FB.
Dieser Rechner darf keine IP Adresse im 192.168.49.0 /24 Netzwerk mehr bekommen. Er sollte nach einer Timeout Zeit eine APIPA Adresse 169.254.x.y haben !
Das ist dann normal und zeigt das dort in dem Bereich bzw. im Koppelnetz FB zu Firewall dann KEIN DHCP Server mehr rennt !
Alles zu solchen Kaskaden findest du hier:
Kopplung von 2 Routern am DSL Port
und hier:
IPsec IKEv2 VPN für mobile Benutzer auf der pfSense oder OPNsense Firewall einrichten

Zitat von @SomebodyToLove:

Das kann eigentlich gar nicht sein, außer du hast noch einen weiteren DHCP Server in deinem Netzwerk, aber das kann ich schwierig erraten.

Ja habe das noch mal geprüft, Stimmt

war noch in der Fritzbox aktiv. DHCP in der FB danach sicher aus! Trotzdem das gleiche Problem...

Ich würde dir jetzt empfehlen:

Sattel das Pferd erstmal von hinten auf, setze deine OPNsense noch einmal auf Werkseinstellungen.

Gute Idee!

Habe ich genau so gemacht, und leider komme ich nicht raus, kein Ping nach 8.8.8.8 etc.

Siehe Bilder. Dazu zwei Sachen, im Log sieht man das ein script das Default Gateway auf wan setzen tut, aha. Wie kann ich das ändern?
Ich habe keine echte Neuinstallation gemacht, sondern die Werkseinstellungen der GUI genutzt. Liegt das Problem vielleicht daran,
das noch, wie schon jemand erwähnt hatte (danke), Konfigurationsleichen rumliegen, also Zombies

Kriege ich es noch hin ohne eine echte Neuinstallation?

Zitat von @aqui:

n die FB angeschlossen, und erhalte trozdem eine IP per DHCP und kann dann normal surfen, wie kann das sein?

Das kann nur sein wenn der DHCP Server der FB NICHT deaktiviert wurde !

Ja da hast du Recht, ich weiß auch nicht warum die FB den beim ersten mal nicht deaktiviert hatte. Porblem besteht weiter sieh oben

Hast du DHCP auf deiner OPNsense aktiviert oder hast du dem Notebook eine statische IP gegeben?

DHCP aktivieren:

Bitte öffne an deinem Notebook mal die CMD und schreib hier den Output von folgenden Befehlen:

ipconfig /all
nslookup
nslookup google.de 8.8.8.8
tracert google.de (Falls dieser Befehl immer nur "Zeitüberschreitung der Anforderung." schreibt reicht auch diese Information)

Außerdem kannst du mal direkt von der Firewall aus pingen.
Navigiere unter "Interfaces -> Diagnostics -> Ping" und Pinge mal von deinem WAN Interface z.B. 8.8.8.8
Das Ergebnis kannst du auch gerne hier posten.

Beste Grüße
Somebody

Zitat von @SomebodyToLove:

Hast du DHCP auf deiner OPNsense aktiviert oder hast du dem Notebook eine statische IP gegeben?

Ja mit klar mit DHCP, sonst könnte ich ja auch nicht mehr auf die opnsense GUI drauf.

Bitte öffne an deinem Notebook mal die CMD und schreib hier den Output von folgenden Befehlen:

Ifconfig(linux) zeigt mir nichts ungewöhnlices, tracert bzw. tracepath kommt nix raus, da ich ja gar keinen ping
nach außen erhalte, genau so wenig nslookup.

Außerdem kannst du mal direkt von der Firewall aus pingen.
Navigiere unter "Interfaces -> Diagnostics -> Ping" und Pinge mal von deinem WAN Interface z.B. 8.8.8.8

Das werde ich noch versuchen, und melde mich dann sofort wieder

So. Ich hatte gestern Abend nach dem es nicht ging, das selbe Kabel welches in den WAN Port der opnsense geht, in mein switch für LAN2 gesteckt, und dem PC eine IP gegeben, um zu surfen.
Heute habe ich das Kabel wieder in die sense gesteckt und gebootet. Und dann? Ja dann ging es plötzlich Hmm...
Ich habe NICHTS an der sense geändert, was war da los? Ping etc alles geht nun plötzlich...
Hat der switch vielleicht alte Tabellen gespeichert (bilig switch, kein managed switch)? Ich würde schon gern wissen warum es Gestern nicht ging und heute geht es, um beim nächsten mal das Problem richtig lösen zu können.

Vermutlich hat der Switch ein Problem mit MDI-X und das Autonegotiation nicht richtig durchgeführt.
Dann kommt es zu einem Speed und Duplex Mismatch mit diesen Symptomen.
Ist leider bei Billigswitches nicht selten

Was da hilft sind bessere Kabel, noch besser ein Crossover Kabel oder Adapter und wenn das beides nicht hilft eine statische Speed und Duplex Einstellung wenn möglich an beiden Enden. OK, bei solch ungemanagten Doof Switches geht dann nur eine Seite. Hilft aber auch...manchmal wenigstens.
So ein ungemanagter Billigswitch wie du ihn hast speichert nix. Dazu sind die zu doof.
Garantiert eine schrottige MDI-X Funktion. Besser tauschen die Gurke !

Zitat von @aqui:

Vermutlich hat der Switch ein Problem mit MDI-X und das Autonegotiation nicht richtig durchgeführt.
Dann kommt es zu einem Speed und Duplex Mismatch mit diesen Symptomen.
Ist leider bei Billigswitches nicht selten

sagt mir noch nicht viel. Bessere Kabel , zwischen allen Geräten die mit dem switch verbunden sind? Nur was sind bessere Kabel...
Crossover Kabel meinst du zwischen Switch und Router, bei 2 LANs bracuhe ich dann 2 Stück.

Speed und Duplex Einstellung kann ich wo und wie machen?

So ein ungemanagter Billigswitch wie du ihn hast speichert nix. Dazu sind die zu doof.
Garantiert eine schrottige MDI-X Funktion. Besser tauschen die Gurke !

Tauschen gegen was? Ich habe ein Zyxel switch GS-105BV3

Aber wieso ging es dann wieder? Hilft es da nicht einfach die switches auszuschalten und wieder ein?

sagt mir noch nicht viel.

Sollte dir aber als Netzwerker...!
Guckst du hier:
https://de.wikipedia.org/wiki/Medium_Dependent_Interface

Speed und Duplex Einstellung kann ich wo und wie machen?

Im Switch auf den Ports ! Guckst du hier (Screenshot Cisco SG):

Hilft es da nicht einfach die switches auszuschalten und wieder ein?

Nein, dann rennt die Negotiation ja wieder von Neuem ins Nirwana !

Hallo,

Zitat von @aqui:

Im Switch auf den Ports ! Guckst du hier (Screenshot Cisco SG)

Aber mein Switch (unmanaged) hat doch keine Einstellmöglichkeiten?

So muss mich leider wieder melden, da das Problem schon wieer aufgetreten ist. Gestern ca. 2h gesurft, und dann openvpn eingerichtet, hat alles funktioniert, Port in der FB aufgemacht, und heute Vormittag noch mal in mein LAN per VPN ohne Porbleme verbunden.

Heute wollte ich wieder in Internet einen Stram anschauen, und es geht wieder los, Seite ladet nur zur hälfte, dann gehtes mal für ne Minute gut, dann garnicht mehr. ping auf 1.1.1.1 das selbe.

Ich habe hier unter noch mal die systemlogs, und ein Bild vom Dashboard.

Hier die Syslogs

Auch die Lämpchen am Port vom WAN der Sense, wieder wie beim letzten mal, mal leuchten die mal garnicht. Ich habe den Verdacht das der WAN Port physisch defekt ist. Oder was sollen den die Fehler hier bedeuten:

Glaubt ihr wirklich es kann am switch liegen? Was soll ich jetzt machen?

Hiho,

hast du schon mal ein anderes Kabel probiert?

Du solltest ja keinen Switch zwischen deiner FritzBox und deiner OPNsense haben oder?

Probiere es eventuell mal mit einem anderen LAN Kabel und wenns nichts hilft dann einen anderen LAN Port bei deiner FritzBox.

Wenn das auch nichts hilft dann stelle das WAN Interface vielleicht mal auf eine andere Netzwerkkarte bspw. LAN 2 in deiner OPNsense.

Laut Log klingt es so als würde das Kabel ausgesteckt und wieder angesteckt werden, also würde ich mal auf abgebrochene Nasen beim Netzwerkkabel tippen

hi,

Zitat von @SomebodyToLove:

Hiho,

hast du schon mal ein anderes Kabel probiert?

Du solltest ja keinen Switch zwischen deiner FritzBox und deiner OPNsense haben oder?

Probiere es eventuell mal mit einem anderen LAN Kabel und wenns nichts hilft dann einen anderen LAN Port bei deiner FritzBox.

Laut Log klingt es so als würde das Kabel ausgesteckt und wieder angesteckt werden, also würde ich mal auf abgebrochene Nasen beim Netzwerkkabel tippen

Nein ich habe ein ca. 50 Meter langes Kabel, beide Enden sind mit Netzwerdosen verbunden, und dann an den Geräten. Kabel kann nicht defekt sein, weil sobald ich das WAN Kabel der sense in ein switch stecke, dem PC eine feste IP gebe, läuft es ganz normal, ohne Unterbrechungen.
Also Kabel ist es nicht, und auch nicht die Fritzbox!

> Wenn das auch nichts hilft dann stelle das WAN Interface vielleicht mal auf eine andere Netzwerkkarte bspw. LAN 2 in deiner OPNsense.

Eher vermute ich das es am Interface bzw. der opensense liegt. Das Probiere ich mal aus.

Also, so eben mal die Ports in de sense getauscht. igb1 und igb2 getauscht. Die Sense neu gestartet. Genau das selbe Problem wie vorher. Das vorherige WAN Port scheint also nicht defekt zu sein!. Syslog Dateien wie vorher. UP and DOWN...
Kurz wieder das WAN Kabel in einen switch und läuft ohne Unterbrechung.

Hmm, scheint also irgednwo an einer Einstellung an der Opnsense zu liegen. Was mir aufgefallen ist, glaube aber nicht das es damit zusammenhängt, nachdem ich den openvpn server gestern eingerichtet habe, und der lief ja ganz normal, sah ich bei den interfaces-> zuweisungen, das neue openvpn interface, aber daneben was noch der Pluspunkt um dieses wahrscheinlich hinzuzufügen? Das wurde ja automatisch beim erstellen von openvpn erstellt.

.. hmm noch etwas ganz spezielles.. (für Profis) .. ich erhalte auf dem PC immer wieder folgende Fehlermeldungen. Da es sich ja um das selbe Label handelt, kam mir der Gedanke, ob da eventuell Stromstörungen oder ähnliches im Spiel sind. Die Festplatte geht nämlich auch immer wider an und aus, und laut smart Werte ist die aber in Ordnung. Wollte das jetzt nicht Thematisiern, aber vielleicht könnte es da einen Zusammenhang geben?

Log vom PC:
[182278.777104] ata2.00: SATA link down (SStatus 0 SControl 300)
[182278.777116] ata2.01: SATA link down (SStatus 0 SControl 300)
[182278.923974] ata1.00: SATA link up 3.0 Gbps (SStatus 123 SControl 300)
[182278.923984] ata1.01: SATA link down (SStatus 0 SControl 300)

Also was soll ich jetzt machen, Vorschlag?

Nachtrag: Ich hatte überlegt ich probiere mal einen switch zwischen Fritzbox und WAN port der sense, und entweder ist das was ich gerade sehe Zufall, das es jetzt gerade ohne Probleme läuft, oder es ist eine Lösung? Kann das sein?