DNS używasz jakie pasują administratorowi. Nie ma obowiązku korzystanie z DNS dostawcy. Chociaż jak operator filtruje domeny pod względem bezpieczeństwa i odsiewa adresy szkodliwe wskazane przez NASK to warto skorzystać z ich DNS-ów.

@Przemyslaw85 Instalacja była czysta, wszystko ręcznie klikałem 1 do 1 jak na innym bliźniaczym sprzęcie.

@Marcin-S said in OpenVPN - wychodzenie na konkretny adres bramką serwera OpenVPN:

Próbowałem ta opcję wcześniej, bez rezultatu.
Zaznaczenie tej opcji wycina cały ruch na zewnątrz i do sieci lokalnej (VPN).

zrobiłem test na pfsense 2.3.5 i zadziałało, myip pokazuje że wychodzę ip serwera oVPN, patrzyłeś co dostajesz na interfejsie? (ipconfig /all) bo pewnie nie dostajesz adresów DNS i poprawnej bramy

@Gangrena ntopng pozwoli zidentyfikowac Ci flowy w tym np Netflix czy Youtube.
To o czym piszesz (blokowanie) mozna zalatwic na 3 sposoby:

wziac jakies listy adresow IP z github (lepsze/gorsze; pytanie o zaufanie do tych list) sprobowac blokowac rozwiazywanie DNS (ale musisz sie upewnic ze klienci moga korzystac tylko z Twojego DNSa) zrobic tzw. Deep Packet Inspection ale to tez trywialne nie jest (ntopng ma ndpi z ktorego funkcjonalnosci mozna skorzystac).
Pakiety typu Suricata/Snort rowniez potrafia identyfikowac aplikacje. Niestety obawiam sie ze nie mam dla Ciebie gotowego i sprawdzonego rozwiazania. Ja zyczylbym sobie zablokowac torrenty ale przyznam szczerze nie wiem do konca jak to zrobic przy uzyciu pfSense :-(

@tomashk
Aktualnie mam Proxmox @ HP 630, postawione na nim Unifi, UISP, HA, PiHole, Uptime Kuma.
Wszystko śmiga.

@pitterski
Dwie uwagi. Inteface "WireGuard" to interfejs zbiorczy do:

wszystkich tuneli WG (Interface Group Membership = All Tunnels)
lub tuneli WG, którym nie przypisano dedykowanego interfejsu (Interface Group Membership = Only Unassigend Tunnels)
lub żadnych (Interface Group Membership = Żadnych).
Tym czym jest intefejs "WireGuard" zarządza się w VPN / WireGuard / Settings - ustawienie Interface Group Membership.
Osobiście preferuję do każdego tunelu WG przypisywać dedykowany interfejs i użytkować Interface Group Membership = Only Unassigend Tunnels.

@misiek91 Jakie jeszcze używasz pakiety? Rozumiem że w SNORT na zablokowanej liście adresów Twojego nie ma?
Czy nie utworzyłeś jakiejś reguły w firewall która ma blokować ruch z jakiejś większej puli adresowej np 172.10.1.2/8 ?

Jeśli nie znajdzie się coś wymagającego mniej pracy/gotowego, to najwyraźniej openwrt pozwala zainstalować tailscale. Można więc poszukać najtańsze urządzenie, które to obsłuży. Od razu dodam, że niestety nie testowałem czegoś takiego i nie potrafię powiedzieć, czy ma to sens 🙂

@wojciechwww

https://docs.netgate.com/pfsense/en/latest/multiwan/policy-route.html

@kamil-0 opcjach serwera OpenVPN odchacz opcję "Inter-client communication". Komunikacja między klientami nie powinna działać. Ale jak wrócę do domu to sprawdzę.

@przemyslaw85 dzięki za odpowiedź. Jedynie zacząłem używać czasami wireguarda na komórce. Do stronki www mam wykupiony hosting. Póki co mam zintegrowaną kartę intela + tplinka ale chcę kupić właśnie jakąś intela. pfBlocker jeszcze nie konfigurowałem (używam snorta) Mój PC (router) to dell optiplex 7010 i5-3570 16GB ram i SSD 256GB

Pozdrawiam

@przemyslaw85
Diagram jest troche misleading. Twoje wytlumaczenie ma sense. Ja uzywam pfsense na custom made router zrobionego z starego PC w prywatnym, wolno stojacym domu. Firmy, tutaj, znajdujace sie w jednym budynku maja swoje oddzielne Internet connection. Moze to stad moje niezrozumienie sytuacji. Dziekuje za wyjasnienie.

@frond Jak wrzucasz regułę to otwarte połączenia dalej działają. Musisz je odszukać w Diagnostics/States i pozamykać ręcznie lub zamknąć wszystkie połączenia https://docs.netgate.com/pfsense/en/latest/monitoring/status/firewall-states-reset.html.
Po tej operacji nowo otwierane połączenia będą już uwzględniane w regułach firewalla.
W takich przypadkach spróbuj identyfikować na jakich portach lecą te połączenia, może wtedy domyślisz się co to może być.

@rajdzen
Takie rzeczy to tylko etherwerx potrafi, pfsense bardzo kiepsko to robi i efekty są mizerne.