OPNsense - Gerät blockieren - aber wie zum Teufel?

[Bob.Dig]

Wieso ist das so verdammt schwer zu relaisieren?

Hier kannst Du die Grundsätze lernen.

 

[riversource]

Das heißt, deine OpnSense läuft auf einer ESXi als VM, und du versuchst, die IP der ESXi in der VM zu sperren? Ich dachte, du wolltest eine konkrete VM sperren, und nicht den Host? Wo hängt denn der WAN Port der OpnSense dran, und welches Subnetz wird da verwendet?

 

[Pilatesjünger]

Also hat die pfsense ein eigene öffentliche ip oder wo ist der router dran?

 

[Harsiesis]

Das heißt, deine OpnSense läuft auf einer ESXi als VM, und du versuchst, die IP der ESXi in der VM zu sperren? Ich dachte, du wolltest eine konkrete VM sperren, und nicht den Host? Wo hängt denn der WAN Port der OpnSense dran, und welches Subnetz wird da verwendet?

Oh mann oh mann. Klar will nicht den ganzen ESXi blocken 🤦‍♂️ sondern 192.168.2.111 und NICHT 192.168.2.90


Nichts desto trotz.....

Traffic wird nicht geblockt.

Wo hängt denn der WAN Port der OpnSense dran, und welches Subnetz wird da verwendet?

WAN hängt am vmnic3. Alles /24

Also hat die pfsense ein eigene öffentliche ip oder wo ist der router dran?

Ja. Die die vom Kabelmodem kommt und direkt am WAN hängt.

 

[Pilatesjünger]

Ja dann ein Transfernetz erstellen. Zwischen intern und WAN.
Also intern->trans->wan net

 

[paokara]

Da der Traffic bei der allgemeinen Regel fuer deine VM nicht geblockt wird: deutet dies nicht darauf hin, dass die src-Adresse wohl nicht mit derjenigen aus der Regel uebereinstimmt? Oder aus einem anderen Netzbereich zu stammen scheint? Kannst du auf deiner opnsense ein capture file erstellen und dir dieses ggf. mit Wireshark mal anschauen?

Viele Gruesse

 

[Harsiesis]

Kannst du auf deiner opnsense ein capture file erstellen und dir dieses ggf. mit Wireshark mal anschauen?

Das weiss ich nicht wies geht. Muss schauen ob ich da ein Tutorial o.ä. finde wenn ich zuhause bin.

 

[Harsiesis]

Die Lösung:

Alias erstellen
Type: Network(s)
Add Networks: 10.0.0.0/8, 172.12.0.0/12, 192.168.0.0/16, 100.64.0.0/10, 127.0.0/8 aka rfc1918

Firewall Rules -> LAN
Action: Block
Interface: LAN
Direction: in
TCP/IP: IPv4+IPv6
Protocol: any
Source: Single Host or Network -> "IP des Hosts"
Destianation / Invert: Yes
Destination: Alias von oben
Destination port range: from any to any
Gateway: default

Regel an oberste Stelle verschieben.

Funktion: Regel blockt allen Traffic zu den nicht privaten (rfc1918) Netzen - ergo au www.