OPNsense - Gerät blockieren - aber wie zum Teufel?

[Harsiesis]

Entweder bin ich einfach zu dumm um OPNsense zu begreifen, oder es funktioniert einfach nicht.

Wie zum teufek blockiere ich den Internetzugriff eines Gerätes, aber so dass es weiterhin im LAN erreichbar ist? Auf dem ASUS Router gab es die Option "Parental Control", da hatte ich das Gerät eingetragen und dann hatte es kein Inet mehr. Aber auf der OPNsense bekomme ich das nicht hin..... das muss doch aber möglich sein?

Mein Verständnis sagt, Regel für LAN, Gerät 192.168.2.90 wird für WAN Net blockiert....

Aber google DNS ist weiter fröhlich pingbar und webseiten sind aufrufbar.

EDIT

Auch mit einem ALIAS und MAC Adresse klappt das nicht...

 

[Helge01]

Die Regeln werden von oben nach unten abgearbeitet, wenn erst alles erlaubt wird dann ist die Block Regel nutzlos. Verschiebe diese an die erste Stelle.

 

[riversource]

Die Regeln werden in der Reihenfolge ihrer Eintragung abgearbeitet. In deinem Fall kommt also zuerst die Regel, die den LAN Zugriff generell erlaubt, und erst dann die Regel, die den Rechner sperrt - also erst, wenn alles zu spät ist.

Übrigens halte ich die /24 für falsch, damit sperrst du vermutlich dein komplettes LAN aus. Da sollte /32 hin, wenn es um einen Host geht.

 

[Helge01]

Da sollte /32 hin, wenn es um einen Host geht.

So ist es.

Das Ziel "WAN net" ist auch falsch, da muss any rein. "WAN net" ist nicht das Internet sondern der Netzbereich deiner öffentlichen IP-Adresse.

 

[Harsiesis]

Das funktioniert auch nicht.... jetzte ist alles any und /32 aber... nö.

Und die Regel kann ich nicht hochschieben. Dazu gibt es keine Option

 

[Helge01]

Bei der pfSense kann man eine Regel festhalten und verschieben. Wenn das nicht geht dann gibt es dafür das kleine Kästchen. Haken rein und die Stelle anklicken wo die Regel hin soll.

 

[KillerCow]

Und die Regel kann ich nicht hochschieben. Dazu gibt es keine Option

Regel markieren (vorne das Kästchen) und dann bei der Regel vor die sie gesetzt werden soll rechts den Pfeil anklicken. Steht auch als Tooltip dran. Ist nicht sonderlich intuitiv, das stimmt

Für die Block-Regel: Bei Destination "LAN net" benutzen und invertieren.
Falls du mehrere LAN-Interfaces und/oder VLans hast, dann die alle in ein Alias zusammenfassen und das dann für die Regel benutzen.

Ist generell ne schicke Sache, alle lokalen Netze und Hosts jeweils in ein Alias zu gießen und dann jeweils das Alias zu nutzen, wo es geht. Man kann auch Aliasse in Aliassen verwenden.

 

[Redundanz]

nach oben schieben machst du mit dem pfeil der HINTER der beschreibung kommt.

die default routen hast du eingerichtet korrekt? du machst also ein allow all und alles was du blocken willst musst du drüber schieben.
alternativ und auch "better practice" wäre wenn du ips(-bereiche) whitelistest und dann ein block all ans ende der liste.

 

[Harsiesis]

Geht nicht.....

Ich will doch nur gewisse VM die auf dem ESXi laufen blocken. Die VMs die nicht ins Internet sollen, haben einen dedizierten vmnic bzw. einen eigenen vSwitch. und auch wenn ich in einem Alias sowohl die physische, wie auch die virtuelle MAC eintrage und als source auswähle, kann ich den Zugriff nicht blocken.

Ich muss die VMs unbedingt blockieren

Wieso ist das so verdammt schwer zu relaisieren?

 

[Redundanz]

also so müsste es jetzt schon stimmen. vielleicht mal testweise eine "block all" rule erstellen mit logging enabled und dann im log schauen wie die vm nach draußen spricht, nicht dass das via host ip läuft.

 

[riversource]

Und die Regeln sind auch aktiv, z.B. durch einen Neustart?

 

[KillerCow]

Es könnte jetzt ein State-table-Problem sein. Sprich, die firewall wendet die neuen Regeln nicht an, weil sie noch eine alte Verbindung in der state-table hat.
Unter Firewall -> Diagnostics -> states kannst du die anschauen und via "Actions" auch einmal komplett resetten.

Wäre aber wirklich spannend, ob die VM wirklich mit dieser IP bei der Firewall ankommt.

 

[Harsiesis]

also so müsste es jetzt schon stimmen. vielleicht mal testweise eine "block all" rule erstellen mit logging enabled und dann im log schauen wie die vm nach draußen spricht, nicht dass das via host ip läuft.

Ändere ich die beiden Default Rules, die im Screenshot zu sehen sind, und setzte die auf "Block", dann kommt mein Rechner mehr ins Netz - die VM jedoch schon.

Ergänzung (1. Juli 2023)

Unter Firewall -> Diagnostics -> states kannst du die anschauen und via "Actions" auch einmal komplett resetten.

Habe alle gedropt. VM kommt weiterhin ins Netz, trotz der Block Regel.


Heute habe ich eine Portweiterleitung des Ports 9987 auf den TS der in einer anderen VM läuft versucht einzurichten. Auch da bin ich gescheitert :/

Ergänzung (1. Juli 2023)

Wäre aber wirklich spannend, ob die VM wirklich mit dieser IP bei der Firewall ankommt.

Warum sollte die VM nicht mit der IP ankommen? Bzw. was im Netzwerk könnte die IP denn ändern?

 

[Helge01]

Bzw. was im Netzwerk könnte die IP denn ändern?

VM mit NAT wäre eine Möglichkeit.

 

[Redundanz]

Ändere ich die beiden Default Rules, die im Screenshot zu sehen sind, und setzte die auf "Block", dann kommt mein Rechner mehr ins Netz - die VM jedoch schon.

das ist dann natürlich äußerst interessant. mal gaaaaaaaaaaaanz blöd gefragt, der rechner mit der vm hat - physikalisch sozusagen - ausschließlich via opnsense einen weg nach draußen ?
ist denn 192.168.2.90 überhaupt teil des "lan net" am lan interface der opnsense? oder hast du da ein separates subnetz für die vm(s)?

 

[Mojo1987]

Wenn die VM wirklich die falsche IP hat, sollte das doch einfach im pfSense Log zu sehen sein.
Ich mein generell sollte doch alles Problemlos im Log nachvollziehbar sein.

Taucht von dem Client der nicht geblockt wird nichts im Log auf, dann hat er scheinbar eine andere Möglichkeit ins Internet zu kommen.

 

[Pilatesjünger]

Welche ip hat denn das Gateway?

 

[ms007]

Dein Post #9 liest sich so, als ob der ESXi die 192.168.2.90 hat. Oder liege ich da falsch?
Liste doch mal alle IPs auf, Host, VM1, VM2 ..., jeweils mit Subnetmaske.

 

[KillerCow]

Ändere ich die beiden Default Rules, die im Screenshot zu sehen sind, und setzte die auf "Block", dann kommt mein Rechner mehr ins Netz - die VM jedoch schon.

Dann nimmt die VM wohl nen anderen Weg. Erster Schritt jetzt ist zu prüfen, welchen Weg die VM nimmt. Offenbar nicht über die OPNsense, wie es scheint.

 

[Harsiesis]

Welche ip hat denn das Gateway?

192.168.2.1 - auch die IP der OPNsense

Dein Post #9 liest sich so, als ob der ESXi die 192.168.2.90 hat. Oder liege ich da falsch?
Liste doch mal alle IPs auf, Host, VM1, VM2 ..., jeweils mit Subnetmaske.

Das ist korrekt. .90

DHCP Range: 192.168.2.25 - 192.168.2.89

VMs:

OPNsense	192.168.2.1/24	255.255.255.0	Static
Server1	192.168.2.111/24	255.255.255.0	Static
Server1	192.168.2.23/24	255.255.255.0	Static
Test Windows 11	192.168.2.70/24	255.255.255.0	DHCP

PC:

PC

192.168.2.22/24

255.255.255.0

Static

ESXi:

ESXi

192.168.2.90/24

255.255.255.0

Static

OPNsense hat für LAN und WAN jeweils einen dedizierten NIC im ESXi. Ebenso haben die Server einen dedizierten NIC, sowie das Management. (Total 4x NICs).