@BeTZe
Any/any/any bedeutet jede Quelle(Netz), jeder Port, jedes Ziel(Netz). Also ist ausgehend aus dem internen Netz alles erlaubt.
Zumal du im vLAN93 einen öffentlichen Netzbereich hast der nicht im RFC1918 ist.
Das mag ja unter IPCOP in einem VPN funktioniert haben, nur bist du nicht mehr in einem VPN und öffentliche Netzbereiche sind für die interne Kommunikation nicht erlaubt.
The RFC1918 address space includes the following networks:
- 10.0.0.0 – 10.255.255.255 (10/8 prefix)
- 172.16.0.0 – 172.31.255.255 (172.16/12 prefix)
- 192.168.0.0 – 192.168.255.255 (192.168/16 prefix)
Diese Netze sind für die interne Kommunikation in deinem LAN / vLANs erlaubt.
Die OPNSense blockt auch alle Netze im RFC1918 auf dem WAN Interface.
Dein öffentlicher Netzbereich wird dir auch bei den Firewall Regeln auf die Füße fallen, da man any/any/any Regeln, auch für die Kommunikation mit dem Internet, nicht anwendet.
Du willst 3 vLANs haben, wenn ich das richtig verstehe. Also auf ein neues.
OPNSense physisches LAN Interface auf z.B. 192.168.100.1 setzen. DHCP erstellen und aktivieren.
OPNSense Uplink an Port 49 an Switch1.
Dann Switch 2 und 3 anhängen. Keine Ahnung ob die direkt an Switch1 sind oder ob du eine Kaskade hast.
Jeder Switch der auf DHCP steht, sollte dann erstmal eine IP aus dem Netz 192.168.100.0 haben und die OPNSense sowie jeder Switch ist erstmal im default vLAN1, genauso wie jeder Port am jeweiligen Switch, wenn keine anderen vLANs(PVIDs/VIDs) zugeordnet sind.
Hängt dein Client, mit dem du auf die OPNSense und den jeweiligen Switch zugreifen willst, jetzt an einem Port, dann bekommt dieser ebenfalls eine IP/Gateway/DNS aus dem 192.168.100.0 Netz, ist im vLAN1 und hat Zugriff.
In der OPNSense, unter Services->ISC DHCPv4 LAN Interface sollte jeder Switch unter leases zu sehen sein, hier kann man direkt dem DHCP sagen, das die IPs statisch sein sollen. Oder es wird an jedem Switch eine statische IP eingerichtet und dann manuell mittels MAC Adresse im LAN DHCP der OPNSense hinzugefügt.
Hängt dein Admin Client später in einem anderen vLAN, z.B. vLAN2, dann muss eine FW Regeln auf dem vLAN2 Interface erstellt werden, die den Zugriff auf z.B. 192.168.100.1(OPNSense) 192.168.100.2(Switch1) usw. erlaubt.
Unter Firewall->Alias kannst du das ganze als Host Alias für die OPNSense, jeden Switch und den Client, sofern nicht das ganze vLAN2 Netz Zugriff haben soll, einrichten und dann in den Regeln verwenden.
Du erstellst auf der OPNSense, wie bereits beschrieben deine vLANs inkl. DHCP. Diese müssen einem physischen Interface(LAN) zugeordnet und aktiviert werden.
vLAN2 Interface: 10.0.0.1
vLAN5 Interface: 172.25.31.1
vLAN93 Interface: 10.93.93.1
Am Ende hast du:
LAN, physisch, default vLAN1: Netz 192.168.100.0/24(OPNSense/jeder Switch,AP whatever)
vLAN2: Netz 10.0.0.0/24 (auf dem physischen LAN Interface)
vLAN5: Netz 172.25.31.0/24 (auf dem physischen LAN Interface)
vLAN93: Netz 10.93.93.0 /24(auf dem physischen LAN Interface)
Außer du hast ein anderen CIDR-Suffix als /24 genutzt, dann hast du andere Netzadressen.
Schau mal in die Switch Bedienungsanleitung , unter 802.1Q VLAN Configuration kann man die Ports in den Trunk oder Access Modus setzten und den jeweiligen vLANs(PVID/VID) zuordnen. Seite 153.
OPNSense UPLink Switch1 Port 49
Port 49 in Trunk Modus stellen, somit kann der Port mehrere vLANs haben.
PVID 1 untagged, VID 2,5,93 als tagged
Damit liegen deine vLANs 2,5 und 93 an und die OPNSense verteilt hier jeweils per DHCP das Gateway/DNS im jeweiligen vLAN. Diese vLANs haben
keinen Zugriff auf vLAN1 und auch nicht untereinander.
Port 1-20 sollen jetzt vLAN2 für die clients abbilden.
Port 1-20 auf Access stellen
PVID 2 untagged zuordnen
Damit sind Ports 1-20 im vLAN2 und bekommen von der OPNSense per DHCP eine IP sowie Gateway/DNS die im vLAN2 auf der OPNSense eingerichtet sind.
Was die Regeln angeht, hier nochmal:
https://homenetworkguy.com/how-to/firewall-rules-cheat-sheet/
Hier wird auch ICMP also PING für die
internen Netze beschrieben, sowie Zugriffe unter den vLANs oder einzelne clients/server whatever aus vLAN A ins vLAN B.
Und damit Anfragen ans Internet auch tatsächlich ins Internet gehen und nicht in jegliches Netz, also auch die internen Netze, arbeitet man mit dem RFC1918.
Unter Firewall-> Alias ein RFC1918 Networks Alias erstellen.
Dort kommt dann als Wert die oben, im RFC1918 angegebenen Netzbereiche, rein.
Name: RFC1918 Internetz
Typ: Networks
Content:
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
Beschreibung: Web only Zugriff
vLAN2 HTTPS Zugriff ins Internet:
Interface vLAN2:
Action: PASS
Interface: vLAN2
Protocol: TCP/UDP
Source: vLAN2 net(gesamtes vLAN2 Netz)
Source Port: any
Destination: RFC1918 Alias
Destination invert: yes oder haken rein.
Destination Port: HTTPS
Damit werden alle HTTPS anfragen aus dem vLAN2 in alle Netze,
nur nicht in die im RFC1918 definierten Netze, zugelassen.
Jetzt willst du aber aus dem vLAN2 auf die OPNSense(192.168.100.1) oder einen Switch(192.168.100.2) per HTTPS zugreifen.
Firewall->Alias
Name: OPNSense_LAN_IP
Typ Host
IP: 192.168.100.1
Beschreibung: OPNSense whatever
Name: Switch1_LAN_IP
Typ: Host
IP:192.168.100.2
Beschreibung: Switch1 OG1 Raum5 whatever.
Kannst hier auch eine Gruppe anlegen und dort alles reinpacken.
Interface vLAN2:
Action: PASS
Interface: vLAN2
Protocol: TCP/UDP
Source: vLAN2 net(gesamtes vLAN2) oder Client/Host Alias den der Admin verwendet
Source Port: any
Destination: OPNSense_LAN_IP oder Switch1_LAN_IP Alias / Gruppe
Destination Port: HTTPS
Damit kann dann entweder das gesamte vLAN2 Netz oder der definierte Client im vLAN2 auf die OPNSense oder den Switch per HTTPS zugreifen.
Du solltest auch ein DNS und NTP redirect für alle Schnittstellen einrichten, so können die Clients die von dir definierten DNS/NTP Server in der OPNSense nicht umgehen und eine entsprechende FW Regeln erstellen die nur DNS/NTP im jeweiligen Netz zulässt.
So werden DNS/NTP Anfragen nicht in alle internen Netze geschickt und direkt auf die OPNSense umgeleitet die dann alles weitere übernimmt.
Damit kann man auch simpel DNS over TLS unter unbound DNS für alle Clients einrichten.
