Router-Kaskade, nächster Schritt Verbindung ins Internet klappt nicht

Moin,

du musst dir unter System -> Gateways ein GW erstellen (Ziel: deine Fritte). Das kannst du dann bei den VLAN Interfaces als Gateway eintragen.

lg,
Slainte

OK, aber dann ist das ja ein simpler Klassiker...

• IP Adresse auf das VLAN Interface setzen
• ⚠️ Bedenke das ein VLAN Interface der Firewall ein neues Interface ist was per Default ein DENY any any Regelwerk hat. Sprich ALLER Traffic aus diesem VLAN ist firewallüblich ohne Regelwerk geblockt! Stelle also sicher das du hier ein entsprechendes Regelwerk am Interface hast was den VLAN Traffic erlaubt! Eine übliche "Scheunentorregel" dafür ist PASS Protocol: IPv4+IPv6, Source: vlanx_net, Destination: any Damit darf dann Traffic aus diesem VLAN nach überallhin passieren. Dann...
• DHCP Server aktivieren und Pool Range setzen
• Fertisch

Mehr ist nicht zu tun!

Dann mit den Clients in diesem VLAN den üblichen simplen Ping Test machen:

• Wenn Winblows VLAN Client dann Check mit ipconfig ob korrekte IP, Gateway und DNS an den VLAN Client vergeben wurde.
• Ping der lokalen Firewall VLAN IP
• Ping der kaskadierten Fritzbox IP
• Ping einer öffentlichen Internet IP wie 8.8.8.8
• Ping eines Hostnamens z.B. www.administrator.de

Alle diese Schritte stehen haarklein im dir oben genannten Tutorial! Bzw. explizit für die OPNsense auch HIER Einmal in aller Ruhe lesen und verstehen hilft!

Wenn dies denn nun die Lösung war bitte dann nicht vergessen deinen Thread hier auf erledigt zu setzen!
Wie kann ich einen Beitrag als gelöst markieren?

Traurig und schade, denn das ist so ein banales wie einfaches Problem was eigentlich auch jeder Laie im Handumdrehen fixen kann. Aber nundenn, dann eben 2 Plaste Fritten...es ist wie es ist.

Oha, wenn es schon an den einfachsten Zutaten zum Kuchenbacken hapert...
Wo würdest du denn auf einer Firewall die Regeln für das Interface konfigurieren?? Regeln sind doch das A und O bzw. Eier und Salz und der tiefere Sinn einer Firewall wozu man sie überhaupt einsetzt. Da sollte man dann schon mal genau ins Kuchenrezept sehen und prüfen ob man diese Grundzutaten hat und wann man sie dem Teig hinzufügt! 😉

Das geht auf der OPNsense im Menü unter Firewall --> Rules --> <Interface> indem man am gewählten lokalen Interface auf das rote "+" klickt und das sollte dann entsprechend so aussehen wenn du als Beispiel eine "Scheuentor Regel" definierst die auf dem Interface erstmal ALLES erlaubt!


Ein Screenshot wie es diesbezüglich auf deiner FW aussieht hätte allen hier geholfen zum schnellen Troubleshooting!!

Nein, das ist natürlich Quatsch, da hast du Recht. Eine Firewall funktioniert bekanntlich immer nach dem Whitelisting Prinzip. Bedeutet das generell alles verboten ist was nicht explizit erlaubt wurde!

Normalerweise erstellt man also vorab eine eigene entsprechende Sicherheits Policy WAS man an einem Netzwerk Segment erlauben will und was nicht. Auf Basis dieser Policy erstellt man dann ein entsprechendes Regelwerk auf der FW. Solche allgemeinen Allerwelts Binsenweisheiten zur Security kennt aber auch ein Laie.

Die o.a. "Scheunentorregel" ist nur eine temporäre Hilfe um überhaupt erstmal Traffic durch die Firewall forwarden zu können um andere Funktionen wie Routing und Adress Translation etc. sauber zu testen. Man vermeidet so zusätzlich in die Fußfalle Regelwerk zu tappen bei einem grundsätzlichen Funktionstest.
Jeder Kuchenbäcker weiss ja das per Default der Rührer mit den Knethaken ausgeschaltet ist (Whitelist Blocking oben) und mit der "Scheunentorregel" drückt man quasi auf den Einschaltknopf. Mit welcher Drehzahl (Regelwerk) man den Rührer und die Knethaken dann später betreibt das legt man fest nachdem man sein erstelltes Rezept (Policy) gelesen hat.

Richtig! Das ist aber nicht nur dir wichtig sondern auch der Firewall bzw. deren sicherer Betrieb und damit genau das was du eigentlich von ihr erwartest nämlich Sicherheit hängt ja davon ab.
DU SELBER bist also immer derjenige mit DEINEM von dir vorher aufgestellten Sicherheitsvorgaben (wer darf was und wohin) der bestimmt was die Firewall machen soll und was nicht.
Sinnvoll ist es also, wie oben schon beschrieben, VORHER zu definieren wie diese Regeln lauten sollen um sie dann an der FW entsprechend umzusetzen.

Dabei gibt es ein paar sehr einfache Grundregeln zu beachten:

• Regeln gelten üblicherweise INBOUND, also VOM externen Netzwerkdraht (Switch etc.) IN das Firewall Interface hinein. Das ist wichtig für die Logik der Source (Quell) und Destination (Ziel) Adressen oder Netze sowie TCP und UDP Ports.
• Es gilt innerhalb des Regelwerkes: "First match wins!" Das bedeutet der erste positive Hit in einem Regelwerk bewirkt das der evtl. folgende Rest nicht mehr abgearbeitet wird. Bedeutet dann wieder das Reihenfolge innerhalb eines Regelwerkes mit mehreren Regeln sehr wichtig ist

Mit diesen 2 einfachen Grundwerkzeugen kannst du jetzt dein persönliches Regelwerk an deinen Netzwerk Interfaces nach DEINEN Vorgaben erstellen und umsetzen!
Nochmals: Dadurch das eine Firewall im Default allen Traffic blockiert (Whitelisting) dient die o.a. "Scheunentorregel" nur dazu erstmal grundsätzlich die Funktion der Firewall zu testen. Sie ist, wie oben schon erklärt, natürlich kein Ersatz für ein eigenes sinnvolles Regelwerk nach deinen persönlichen Sicherheits Vorgaben. Logisch, denn was nützt eine Firewall wenn man alle Schleusen öffnet?!
Immer gerne...