OPNSense Router testen

[Nicodil]

Ok danke. Da ich es bald eh umstelle, ist das Portforwarding ja nicht mehr nötig oder? Zumindest nicht für Port 80 und 443, right?
Zum testen habe ich die Regel trotzdem mal gesetzt, funktioniert jedoch nicht wie gewünscht.

 

[qiller]

Ah, wir reden hier von IoT Dingen. Sicher dass du die nach außen hin öffnen willst? Mit der OPNSense bietet sich auch die Möglichkeit, dass per VPN abzusichern. Also so würde ich zumindest das machen.

Edit: Nichtsdestotrotz sieht mir deine Portforwarding-Regel nicht korrekt aus, bin allerdings nicht in OPNSense zu hause: "80-443" ist eigentlich die Syntax für eine Portrange, denke du willst da eher ein Komma haben. Und bei deinen Endgeräten müssen jetzt natürlich die Adressdaten der OPNSense rein, also eine IP-Adresse/Subnet aus einem der/dem LAN-Netz/e der OPNSense, das richtige Gateway und DNS-Einstellungen.

 

[Nicodil]

Ok, danke.

Dieser Zustand sollte aber erstmal in Ordnung sein, um es direkt an ein Modem anschließen zu können.
Jemand sagte mal, ich brauche 2 statische öffentliche IPs. Wieso?
Gibt es sonst noch etwas, auf das ich achten muss, bevor ich Vodafone umstellen lasse?

 

[qiller]

Jemand sagte mal, ich brauche 2 statische öffentliche IPs. Wieso?

Ka, frag ich mich auch. Mehrere öffentliche IPv4-Adressen braucht man eigentlich nur, wenn man auf denselben Ports mehrere Dienste über IPv4 bereitstellen will (bei IPv6 bekommt ja eh mehr als genug Adressen^^). Und selbst da gibt es z.B. für Webserver (was ja mit der häufigste Dienst ist) noch die Möglichkeit, mehrere Webdienste über Vhosts und DNS-Namen anzusteuern, ohne dass man mehrere IPv4-Adressen benötigt oder vom Standard abweichende Portnummern verwenden muss.

 

[Nicodil]

FYI Was ich rausgefunden habe:

Im Bridge-Modus benötigt ein Anschluss 2 IPv4 Adressen: eine für das docsis Modem (das gebietet die docsis Spezifikation, das ist nicht änderbar) und eine für den Router. Im Router-Modus eines all-in-one Routers hingegen nur eine, weil die Adresse für das Modem auch für den Router verwendet werden kann.

Ein anderer:

Fritzboxen ziehen sich im Bridgemode sogar drei IPs, einmal im Service Netz im Öffentlichen Netz für sich selbst und dann noch die IP die sie per Bridge weiterreichen.

 

[sikarr]

@Nicodil hä?
im Bridgemodus sollte die Box nur noch als Modem arbeiten und nicht mehr als Router. Soll heisen die WAN Seite muss wie vom Provider eingestellt sein und die LAN seite gibt einfach nur die IP an den Router der damit dann routet.
Wenn die Fritzbox sich im BridgeModus befindet brauchst du eh noch einen Router wie den OPNsense.

 

[wildfly]

Diese freien Endgeräte sind an einem Kabelanschluss von Vodafone derzeit einsetzbar.

https://helpdesk.vodafonekabelforum.de/wiki/Einsetzbare_freie_Endgeräte

 

[qiller]

FYI Was ich rausgefunden habe:

Also da ich ja einen Docsis Kabel-Anschluss mit gebridgtem Router habe:

• es gibt bei mir eine interne IP-Adresse (192.168.100.1), mit dem ich die Konfigurationsseite des Providerrouter erreiche. Im Bridge-Modus habe ich aber keinerlei Zugangsdaten dafür und brauche sie auch nicht.
• es muss zwangsläufig noch eine mindestens provider-interne IP-Adresse geben, die fürs VOIP zuständig ist, denn an meinem Providerrouter ist noch ein stinknormales Analogtelefon, was wunderbar funktioniert. Diese IP-Adresse ist mir aber ebenfalls vollkommen egal.
• die öffentlichen IP-Adressen für den eigentlichen Internet-Traffic bekommt NICHT der gebridgte Provider-Router. Das widerspricht ja schon der Funktionsweise einer Bridge (Layer 2, die kennt gar keine IP-Adressen). Die öffentlichen IP-Adressen für den Internettraffic bekommt die WAN-Schnittstelle deines dahinterliegenden Routers/Firewall. Daher will der Provider auch dann häufig die MAC-Adresse der WAN-Schnittstelle haben, wenn man eine statische IP-Adresszuordnung beantragt (so wie bei mir).

 

[norKoeri]

feste IP

Hast Du einen Business- oder Privatkunden-Tarif? Hast Du Dir wirklich eine statische IPv4-Adresse gebucht? Normal hat man eine dynamische IPv4-Adresse, die sich lediglich so selten ändert, dass man meinen könnte, man habe eine statische.

FYI

Du spielst auf lanbridges_gui_hidden = yes an. Was dabei im Hintergrund passiert, kann Dir herzlich egal sein. Allerdings solltest Du in Vodafone-Cable zentrierten Foren fragen, wie der Stand aktuell heute ist. Dazu dann unbedingt solche Angaben machen wie:

• Bundesland: Baden-Württemberg
• FRITZ!Box Cable gemietet oder eigene
• Privatkunden- oder Business-Tarif
• falls Privatkunde, ob noch DS-Lite-Tunnel oder bereits Dual-Stack

Gibt dazu wahnsinnig viele Blog-Posts wie diesen, aber das hilft alles nicht, weil sich die Situation bzw. der Ablauf immer wieder ändert und es so viele verschiedene Startpunkte gibt, also der Eine hat einen Miet-Router, der Andere einen Eigenen.

 

[GrillSgt]

Ka, frag ich mich auch. Mehrere öffentliche IPv4-Adressen braucht man eigentlich nur, wenn man auf denselben Ports

Ich habe es schon mal auf der Seite zuvor beschrieben.
Wer bei Vodafone (Kabel) eine feste IP bestellt bekommt, mit einem Business Tarif, ein /30 Netz (und noch ein IPv6 Netz, ist aber jetzt unerheblich). Bei DSL ist es anders, da bekommt man genau eine IPv4 Adresse.

Eine statische IP bekommt die Fritzbox, eine ist für den eigenen Router (hier OPNsense) dann frei verfügbar, genau wie @Nicodil geschrieben hat.

Muss man nicht verstehen, wird aber so gemacht. Und daher sage ich auch, die Fritzbox wird nicht in einen echten Bridge Modus - wo sie völlig transparent ist, gehen. Die Fritzbox bekommt eine Provisionierung, wo sie auf der LAN Seite das /30 Netz anliegen hat und per DHCP an den dahinterliegenden Client (OPNsense rausgibt) - an LAN Port 1. Die Erste Adresse hat die Fritzbox aus dem LAN heraus selbst, Ich habe viele Jahre einen solchen Kabelanschluss gehabt. Das war schon zu Unitymedia Zeiten so und warum sollte sich seit dem letzten Jahr geändert haben?!

@Nicodil, was diese Portweiterleitungen angeht, würde ich stattdessen empfehlen sinnvollerweise VPN einzurichten. Etwa mit WireGuard. Dann brauchst du all das nicht und hast einen sicheren Zugang zu deinem Netzwerk. 80 und 443 von außen erreichbar zu machen ist jedenfalls keine gute Idee. Das Webinterface der OPNsense hört selbst darauf.

Tatsache ist jedenfalls, dass an der OPNsense nichts mehr geändert werden muss wenn sie jetzt bereits auf DHCP am WAN Interface gestellt ist. Sie wird nach Umstellung durch Vodafone dann die statische, öffentliche IP von der Fritzbox beziehen - fertig.

 

[qiller]

mit einem Business Tarif

Wusste nicht, dass der TE von einem Business Tarif spricht, muss ich wohl überlesen haben. Aber: Es gibt auch Business Tarife ohne feste Netzzuteilung. Haben wir z.B. bei unserer Firma so. Feste, öffentliche IPv4 per stinknormaler IP/MAC-Bindung, aber keine Netzzuteilung (wozu auch, brauchen wir gar nicht).

Ergänzung (28. März 2025)

Die Fritzbox bekommt eine Provisionierung, wo sie auf der LAN Seite das /30 Netz anliegen hat und per DHCP an den dahinterliegenden Client (OPNsense rausgibt)

Kann ich schonmal spoilern, ist bei mir definitiv nicht so. Mein Lease für mein WAN-IF kommt vom Provider DHCP-Server, und nicht vom vorgeschalteten, gebridgten Providerrouter.

Und ich weiß zwar nicht, wie die Provider letztendlich den Bridge-Mode mit der VOIP-Funktionalität kombinieren, aber ich bezweifle, dass die heute noch ganze 4 öffentliche IPv4-Adresse für einen einzigen Anschluss verschwenden. Wenn ich raten würde: Die werden das einfach in 2 VLANs aufspalten, das eine bekommt irgendeine Provider-interne IP-Adresse (auf jeden Fall keine öffentliche, oder wenn, dann nur IPv6) für die VOIP-/TR069-Geschichten auf dem gebridgten Providerrouter und das andere VLAN wird auf die Ethernet-Ports gebridged, die man dann mit dem WAN-IF seines nachgeschalteten, eigntlichen Routers verbindet und letzendlich für das Bridging des eigentlichen Internetanschlusses zuständig ist. Der Providerrouter sieht von der öffentlichen IP-Adresse gar nichts, schon gar nicht verteilt der irgendwas per DHCP.

 

[wildfly]

FritzBox Cable Bridge-Modus erklärt.

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung