IPBan in OpnSense mit CrowdSec einrichten?

[FabiChan99]

Hallo! Ich bins mal mit einer kleinen frage.

Ich bin aktuell dabei unseren Projektserver neu aufzusetzen.
Ich nutze als firewall eine OpnSense. Ich möchte gern das die config seite auf WAN erreichbar ist (Ich weiß, nicht die best practice), das geht auch soweit. Jetzt kommt der Punkt: Die oberfläche sitzt hinter einem reverse proxy (damit dies an eine subdomain kann und aus cert. gründen) Das klappt auch.
Aber dadurch klappt kein CroudSec oder andere fail2bans, da er nur die IP vom Reverseproxy bekommt. Header wird mitgeschickt (X-Forwarded-For) aber juckt die oberfläche nicht.

hat jemand damit erfahrung in die richtung?

Nehme auch gerne andere Vorschläge für den IP-Ban an

Danke im vorraus

 

[gaym0r]

@FabiChan99
Ich finde dieses Konstrukt mit dem Reverse-Proxy, der VOR der Firewall sitzt höchst fragwürdig und das wird dir mehr Probleme als Vorteile bereiten. Den Grund dafür versteh ich auch nicht wirklich.
Normal wäre bei deiner Anforderung: Mgmt der OPNsense ist direkt erreichbar via Public IP* und einem definierten High-Port. Anderer Traffic (oder nur HTTP(S)) wird an den Load-Balancer, der HINTER der Firewall sitzt, von der OPNsense weitergeleitet (NAT). Dann kannst du da beliebig mit Subdomains und Zertifikaten arbeiten und hast keine Probleme an der Firewall.
(OPNsense selbst kann auch Reverse Proxy spielen)

*Dass es nicht gut ist, dass das Mgmt überhaupt öffentlich erreichbar ist, hast du ja schon selbst gemerkt.

 

[blackraven]

Warum möchtest du das die Configseite über WAN erreichbar ist?
Warum kein VPN einrichten?

 

[FabiChan99]

@FabiChan99
Ich finde dieses Konstrukt mit dem Reverse-Proxy, der VOR der Firewall sitzt höchst fragwürdig

Gut ich habe das jetzt mal in die richtung neu gemacht, sitze aber nun vor einem anderen problem.
Ich veranschauliche mal mein vorhaben per bild

Das problem ist da, sobald ich das 2. WAN interface für das 2. LAN interface eingerichtet habe, kann absolut kein DNS mehr resolved werden. Unten ist ne kleine veranschaulichung

 

[gaym0r]

Wer kann kein DNS mehr machen? Die Clients? Wen nutzen sie als DHCP-Server?

 

[FabiChan99]

Generell geht die Auflösung nicht mehr dann, bspw Ping 1.1.1.1 geht, also liegt Internet an

DHCP ist da jeweils für die beiden Netze die OPNsense selbst. Diese hat selbst auch keine DNS Auflösung mehr nach dem hinzufügen der Interfaces. Genutzt wird auf der Sense unbound DNS