Hatte das so verstanden, dass be1001 mehrere (pfSense) APs darüber managen will. Microtik in pfSense einzubinden ist schon aufgrund der unterschiedlichen Plattformen (Linux und FreeBSD) weniger als unwahrscheinlich.

@musk Prinzipiell ist das keine blöde Idee, entsprechend komplexe Begriffe vllt. nochmal kurz auf deutsch zu erklären. Aber bitte nicht erwarten, dass das hier Übersetzungs-Ausmaße bekommt, denn dann bekommst du ein ganz anderes Problem: die meisten Netzwerker Begriffe sind nunmal englisch und werden somit immer gleich heißen. Was dann aber passiert, wenn jemand anfängt zu übersetzen oder sonst welchen Kram zu machen, sieht man dann in den WebGUIs diverser Hersteller, wenn Begriffe wie DMZ von demilitarisierter Zone über stillgelegter Bereich bis hin zu exponiertes Netz alles heißen können. :/

Hi Sven :) Ich meinte Hetzner fragen, ob Sie ein Subnetz aus dem /64 Netz auf die pfSense routen können, also z.b. /72. Das wäre kontraproduktiv (leider), da die meisten v6 Features ja auf einem /64er aufbauen, weshalb wir von der RIPE ja auch explizit gesagt bekamen (beim Hosting bspw.) dass dem Kunden mind. ein /60 angedacht werden sollte, damit er ggf. intern wieder sauber ein /64 nutzen kann, selbst wenn wir es ihm am Anfang nicht direkt zuweisen. Warum sich Hetzner nicht an diese Vergaberichtlinien oder "best practices" hält, ist mir leider immer noch schleierhaft, auch wenn ich erst vor 3 Wochen noch persönlich bei den Jungs vor Ort in Nürnberg war. Aber leider können die Kollegen aus dem Netzwerk Team dort auch nur das machen, was sie vorgegeben bekommen :/ Klar wäre es einen Versuch wert, allerdings wird das dann vom Setup her ziemlich bastelig, da sämtliche autodiscovery dann wegfällt. Und viel Erfolgswahrscheinlichkeit sehe ich leider auch nicht :/ Viele Grüße Jens

SOLVED: To solve the issue it is necessary to understand the SIP/RTP principles and how to config fritzbox by config files. For everyone having SIP problems: All ports being used are defined by the client - in my case the fitzbox which sits behind pfsense. It is no problem at all to use multiple SIP accounts / providers on the fritzbox, even behind pfsense. The main difference to most NATed apps like http or mail is that the connection details are included in the data layer which are not touched by pfsense. Since the IP numbers send to the SIP servers are internal ones not accessable from outside, the SIP server takes IP and port from the initial request (coming from pfsense). It is important to understand that pfsense is changing the ports on outgoing NAT by default. BUT: this port has no route back / SIP NAT is configured on port 5060! So it is very important to deactivate port translation on outgoing NAT by defining a new outgoing NAT roule: –> Firewall: NAT: Outbound check: "Hybrid Outbound NAT rule generation (Automatic Outbound NAT + rules below)" create roule: Interface: WAN Source: any Source Port: tcp/udp/5060 Destination: * Destination Port: tcp/udp/5060 NAT Address: WAN address NAT Port: * Static Port: YES second issue was: The O2 fritzbox had non default RTP ports defined (50000 instead of 7078) but when switching vom internal DSL modem to PPPoE the fritzbox used firewall rules based on default port 7078. So I switched RTP port back to default by backup / restore of the fritzbox config: rtpport_start = 7078 now everything works as expected

Meine Idee wäre mal die Dev-Version von LCDProc zu installieren. Sry aber ich hab auch eine Frage an dich: Wie funktionieren diese crystalfonz-displays? Wie verbindet man die mit pfSense? Noch nie davon gehört. MfG Musk ;)

Ich kann dir nicht sagen, welche Optionen dein Kabelrouter genau hat. Wichtig ist, dass alle eingehenden Verbindungen an die pfsense geleitet werden. Ob das jetzt DMZ host, exposed host oder wie auch immer heißt. Oder du leitest die nötigen Ports einzeln um. Zusätzlich ist das nicht nötig. Gruß

Zu früh gefreud. Leider ist das Problem doch nicht mit dem Wechsel der Netzwerkkarte behoben. Es dauert zwar in der Regel länger aber es passiert weiterhin. Das Problem konnte ich aber weiter eingrenzen. In dem Moment, wo ich nicht mehr die volle Performance der Leitung nutzen kann, sind auch die Gateway Antwortzeiten (Apinger) utopisch gering (ca 2-4 ms). Sobald ich den Apinger durchstarte, kann ich die Leitung wieder voll nutzen. Ich weiß zwar nicht, warum das anderen Leuten nicht so auffällt, aber mir ist Apinger ein Dorn im Auge. Der Dienst funktioniert vorne und hinten nicht zuverlässig. Sobald man keine 100% stabile Leitung hat, zickt dieser Dienst nur rum und gerade im Multiwan Umfeld bereitet mir dieser Sch**ß volle Postfächer und graue Haare. Ich hoffe, dass DPinger unter 2.3 besser wird. Gruß Rubinho

@givayt: Irgendeine Idee, was das Problem sein könnte? Nicht ohne weitere Informationen. Du schreibst ja null komma nichts über Dein Setup …

Danke für die Info. Diese Regel war nur für ICMP gedacht und wurde testweise umgestellt, habs grade wieder umgestellt.

Da du leider nicht schreibst was du eigentlich vor hast und der Rest dazu noch etwas schwer zu verstehen ist, wäre es sinnvoll, wenn du erst einmal klarstellen könntest, was genau du erreichen möchtest und was du zur Verfügung hast. Irgendwelche Namen in den Raum zu kugeln, hilft da leider beim Hellsehen nicht viel weiter ;)

Derelict hat dieses Tutorial diesbezüglich verfasst. Kann bestimmt dem ein oder anderen helfen. https://www.infotechwerx.com/blog/Policy-Routing-Certain-Traffic-Through-OpenVPN-Client-Connection

Hätte da jetzt noch eine Frage zu. Habe ich es nun richtig verstanden, dass dieser "Bug" nur dann auftritt wenn man OVPN o.Ä. auf dem PC laufen hat und die VPN Connection nicht am Router terminiert? Weil UPNP anscheinend den Port für das WAN und nicht für das VPN Interface öffnet? Gruß

Fehler gefunden - wie so oft Layer8! @fork: Nun habe ich die Option 'Enable authentication of TLS packets.' aktiviert und den Inhalt des Felds mit dem Schlüssel als Datei innerhalb von ~/.openvpn auf den Clients abgelegt und im Network-Manager (KDE) referenziert. Der Fehler war, dass ich den von der pfsense vorangestellten Block: # # 2048 bit OpenVPN static key # mit in die Datei auf dem Client kopiert hatte. Damit kommt openvpn nicht zurecht, diese Datei darf keine Kommentare enthalten und muss so beginnen: -----BEGIN OpenVPN Static key V1----- @viragomann: Schlüsselrichtung 'Client (1)' war korrekt. TNX

Nein, die Einstellungen stimmen nicht. Er noch viel lernen muss, junger Padawan. ::) Habe es nach deinen Angaben so konfiguriert und den IP Bereich mit 192.168.10.8/29 eingeschränkt. Nett von Sony, dass es den Port für XBox Live gleich mit öffnet. :) Es läuft geschmeidiger, kein NAT Type von strict oder modarate, alles offen. Werde mal sehen, was passiert, wenn beide XBoxen ins Net wollen. Danke für die Hilfe Edit: Beide XBOXen gehen nicht gleichzeitig online. :-\

und wenn Du schon SIP direkt ins Internet hängst, nimm einen anderen Port als 5060, z.B. 6060. In Zeiten, in denen NMap und ZMap durch bessere Algorithmen locker in Sekunden ganze IPs komplett abgescannt haben, bringt dieses Portverbiegen à la "Security through Obscurity" auch nichts mehr. Wenn jemand ernsthaft nach SIP scannt, scannt er nicht nur stumpf IP/Port sondern schaut sich ggf. IP Header und Paketheader an. Natürlich hilft das erstmal gegen total stumpfe Bots oder Kiddies, nur sich damit sicher(er) zu fühlen ist komplett falsch. Zudem gibt es leider genug Hardware/Gegenstellen, die SIP auf einem anderen Port gar nicht erst aushandeln wollen.

ja klar ist ja auch logisch  8) vielen Dank

Tja das mit dem Regelwerk habe ich auch schon vorher praktiziert. Aber als mein Ältester (12), in einem Moment der Unachtsamkeit, mir über die Schulter sah als ich das Passwort in die Pfsense eingetragen habe, hatte er als ich auf Dienstreise war einfach das Regelwerk zu seinen Gunsten angepasst. :o Folge: Stärkeres Passwort in der Pfsense und ein HDD-Hotswapschacht im PC meines Sohnes :D Wobei es mich mehr ärgerte, dass er sich dabei erwischen ließ. Er hätte einfach das Regelwerk nochmal zurücksetzen müssen als ich wieder zuhause war.