Subcategories

  • 102 Topics
    1k Posts
    F
    Nachtrag: der Tunnel ist jetzt seit Tagen stabil. Allerdings wird wohl Providerseitig (1&1) alle 24h eine Zwangstrennung vorgenommen. In der Fritz ist "Dauerhaft halten" eingestellt. Wenigstens kann man den Zeitraum der providerseitigen Zwangstrennung in die Nachtstunden verlegen. Der Tunnel baut sich dann nach rund 4 Minuten wieder auf. Gruss
  • 80 Topics
    433 Posts
    JeGrJ
    Heute spontan OpenHouse im NSFW.pub. Gern einfach mal reinschauen, kann allerdings sein dass zwischendurch mal gerade keiner am "virtuellen Tresen" ist oder ich Getränke hole/wegbringe. Cheers :)
  • zwei Nachbarn: bündeln der WAN Verbindung, eigene Netzwerke?

    4
    0 Votes
    4 Posts
    584 Views
    JeGrJ
    @benjsing said in zwei Nachbarn: bündeln der WAN Verbindung, eigene Netzwerke?: Haushalt B: Fritzbox, openWRT Meh @benjsing said in zwei Nachbarn: bündeln der WAN Verbindung, eigene Netzwerke?: Bündeln der WAN Verbindung @benjsing said in zwei Nachbarn: bündeln der WAN Verbindung, eigene Netzwerke?: nehmen wir an, beide Leitungen haben einen Download Speed von 200 Mbit/s; könnte man einstellen, dass jeder Haushalt theoretisch also 400 Mbit/s benutzen kann, es sei denn, der andere Haushalt benötigt seinen "Eigenanteil"? Also Haushalt A nutzt gerade kaum Bandwith, daher darf Haushalt B mit 400 Mbit/s arbeiten. Nun beansprucht Haushalt A aber selbst 160/180/200 Mbit/s, also wird Haushalt B auf maximal 200 Mbit/s gedrosselt. Das Vorhaben geht hier schon den Bach runter, weil eine Bündelung technisch nicht möglich ist. 200+200 werden nicht einfach magisch zu 400Mbps. So funktioniert IP nicht. Das Einzige was sowas leisten kann ist TCP Multipath wenn vom ISP unterstützt und zwei gleiche Leitungen vorhanden sind etc. etc. - also Vollmond an der großen Eiche mit drei Mal links und einmal rechts rum bis man nach Narnia kommt Aber Spaß beiseite - Bündelung gibt's nicht einfach wie bei ISDN Kanalbündelung. So läuft das nicht. Und selbst wenn man mit diversen Techniken die Leitungen zusammenknotet, würde das nur funktionieren, wenn man entweder teure Hardware auf beiden Seiten nutzt oder wenn man es auf die einfache Tour macht würdest du nur was davon merken, wenn man einen Client nutzt, der beim DL bspw. dediziert multiple Teildatenströme zu einem zusammenfassen kann und daher mehrere Downloads gleichzeitig laufen lässt. Und selbst dann wäre es in den Größenordnungen nur begrenzt ein Speedup, da die Leitungen gegeneinander aufeinander warten müssen. Den 2) Block verstehe ich leider nicht wirklich. Liest sich aber ein wenig wie Core Routing hinter der Firewall. Kommt dann drauf an, was die mehreren Netze dann noch bringen sollen wenn sie nirgends mit Regeln aufgelegt werden. Daher ein "?" wenn die Netze verbunden sind (irgendwie) und beide Netzsegmente (Haus1 / 2) sauber voneinander getrennte IP Ranges nutzen, ja. Kommt dann natürlich auf die Rulesets an aber ist auch nicht anders als ein großes Gebäude mit mehreren Teilnetzen. Somit #1: Fällt eher in "Vergiss es". Macht auch wenig Sinn. Das Einzige, was bislang IMHO Sinn macht bei Nachbarhäusern, was ich auch schon eingerichtet habe, ist bspw. ein Failover. 2 getrennte Netze, jedes Haus eigenständig was das Netz angeht mit einer Crossline zwischen den beiden Firewalls. Über die Line kann dann (wenn auf jeder Seite ne gescheite Firewall/Router Instanz hängt) bspw. beim Ausfall von a) auf b) gewechselt werden und umgekehrt. Das kann ganz nützlich sein. Oder man kann auch mal testweise nen Clients über b) schicken wenn man was testen möchte. Aber Kanalbündelung - nope. Sobald wir da in zu hohe Geschwindigkeiten kommen, kommst man ohne Multipath Vectoring nicht mehr aus und das wird a) komplex und b) wirds aktuell noch nicht vollständig von der Sense untersützt, da es bis FBSD 13 nicht sauber im Kernel zum Laufen zu bekommen war (OSPF etc. notwendig). #2: Unklar was gemeint ist, aber für das was ich verstehe: Jein. Kommt auf Wunsch und Technik an. #3: Klingt möglich, ja.
  • Paketverlust mit HE-Tunnel

    5
    0 Votes
    5 Posts
    658 Views
    JeGrJ
    @m0nji said in Paketverlust mit HE-Tunnel: klar, mit einen GIF Tunnel zu einer eigenen pfSense Hetzner Instanz z.B. ;) Lustig gemeint, brächte aber 0,0 gar nichts, denn der Witz ist ja gerade, dass HE.net einer der wenigen Tunnelbroker ist, die ordentliche RIPE/ARIN Richtlinien umsetzen und dir auf Anfrage ein /56er v6 Space zuwerfen und auf deinen Namen routen. Das bekommt man bei nem 50c Hetzner VPS nicht. Leider.
  • default deny rule blockt trotz any any Regel

    16
    0 Votes
    16 Posts
    2k Views
    R
    Das Problem ist gelöst! Ich hatte versehentlich das NAT auf der pfsense eingeschaltet. Ausgeschaltet und alles funktioniert wie es soll. Danke für Eure Mühe und Unterstützung! Viele Grüsse, ralhue
  • Hetzner Cloud pfSense Wireguard kein HTTP/HTTPS möglich

    1
    0 Votes
    1 Posts
    143 Views
    No one has replied
  • LAGG aus einem vorhandenen Interface bilden

    8
    0 Votes
    8 Posts
    1k Views
    JeGrJ
    @thundergate said in LAGG aus einem vorhandenen Interface bilden: Wollte den eigentlich direkt an einen der Ports der pfSense hängen, aber dann müsste ich bridgen, was ja auch wiederum Probleme und "Dinge" mit sich bringt. Müsste man sich in der neuen Version 23.01/2.7 mal ansehen, das Bridging im Stack ist in FBSD13/14 wesentlich besser geworden. Könnte sein, dass sich das dann durchaus rentiert, das einfach direkt anzuschließen, wenn man schon Geräte mit 2.5 hat. Aber warum glaubst du denn dass das sinnvoll wäre für dich? Bist du mit so viel "power" Unterwegs, dass du allen ernstes 125MB/s vom Gigabit auf Dauer ausmaxen kannst und mehr brauchst? Für wie viele Clients? Nur wegen Nextcloud und OMV?
  • DVB-C (Fritz!Box 6490 Cable) an Geräte hinter pfSense durchreichen

    46
    0 Votes
    46 Posts
    14k Views
    B
    @elv Die Route wird auf der Fritzbox eingetragen mit dem Ziel deines LAN Netzes hinter der pfsense. Also bspw.: FB |.1 (192.168.178.0/24) |.2 pfSense |.1 (192.168.1.0/24) Hier bekommt die Fritzbox eine Route die ihr eben mitteilt, dass man das Netz 192.168.1.0/24 über die IP der Sense (192.168.178.2) erreicht. Firewallregeln auf dem WAn Interface der Sense kannst du entsprechend lassen bzw. anpassen. An der Fritzbox melden sich dann DVB Clients mit der IP aus dem 192.168.1.0/24 Netz (gleiches Analog auch für ein Client in einem anderen Subnetz falls du ein eigenes Netz hast für deine WiFi Clients.
  • OpenVPN scheitert an Portweiterlietung 1194

    Moved
    8
    0 Votes
    8 Posts
    1k Views
    A
    @viragomann so ist es! Die Portweiterleitung raus und schon geht es weiter. Wenn auch nun mit einer anderen Baustelle: TLS Error: tls-crypt unwrapping failed from [AF_INET]80.187.99.111:27914 Da muss ich mich jetzt durchwühlen, aber Deine Analyse zum unnötigen NAT scheint das Problem gelöst zu haben. Die Verschlüsselung ist hoffentlich nun lösbar für mich. V i e l e n Dank!
  • Kompletten Traffic über eigenen DNS oder Proxy zwingen

    3
    0 Votes
    3 Posts
    771 Views
    JeGrJ
    @tutanchamun Um @viragomann da kurz zu ergänzen: [image: 1677510195715-502a5dc0-e81f-4b52-84da-b386e664e8af-grafik.png] Die orangenen Punkte wird wahrscheinlich deine AdGuard Home Installation schon abfangen? Eventuell nachschauen wäre da vielleicht nicht schlecht, wenn man ohnehin "diverse Seiten" für Kinder filtert, wäre SafeSearch auch noch ein Punkt. Anyway im DNSBL Part von pfBlockerNG dann DNSBL SafeSearch anklicken, im unteren Bereich ist dann der Block mit DoH/DoT/DoQ beheimatet, der hier dann die bekannteren (alle natürlich nicht, wie auch) DNS Services listet. Dort kann man dann diese wegblocken. Allerdings müsste der AdGuardHome dann auch die pfSense als Upstream DNS verwenden, damit das funktioniert. Wenn AGH das schon selbst kann und übernimmt, nevermind, dann muss man hier an der Stelle nichts ergänzen. Wichtig wäre dann ausgehend noch TCP 853 wie gesagt zu blocken, DoH/DoQ kann man sonst nur via DNS Blocking abfangen, das das via TCP/UDP 443 läuft und sich als Web Traffic tarnt. Ansonsten was den Redirect angeht: [image: 1677510701484-6d136adc-2ef4-4f3b-a7db-a9d47fd6ac85-grafik.png] Beispiel: LAN mit 192.168.1.0/24 und AdGuardHome (AGH) mit 192.168.1.23 Port Forwarding erstellen auf dem LAN (wir wollen ja internen Traffic umschreiben) zu "any" DNS Server (also egal welchem public DNS) soll umgeschrieben werden auf die IP des AGH aber nur wenn der Traffic nicht vom AGH selbst kommt. Also alles außer AGH DNS Traffic bitte auf den AGH schicken. Das erzeugt dann auch eine Regel auf dem LAN, die man mit einigen anderen noch ergänzt um die Sache abzurunden: [image: 1677510845230-6b9cb85c-4ab6-42d5-ab6f-fb335cdaa17b-grafik.png] So was passiert da? erlaube den AGH auf jeden DNS (im Falle, dass der AGH als Resolver agiert und die DNS Anfragen sauber via ROOT Zone etc. auflöst - wäre SEHR zu empfehlen!). erlaube den AGH auf jeden DNS via DoT (DNS over TLS, TCP Port 853 - hat aber zur Folge, dass jeder DNS Traffic an einen einzelnen Forwarder geschickt wird. Das ist zwar verschlüsselt, aber aus mehreren Gründen eigentlich nicht zu empfehlen). das ist die Regel, die vom Port Forwarding angelegt wird. An dieser Stelle theoretisch "nutzlos", da LAN->LAN Kommunikation nicht über die pfSense läuft und daher hier gar nicht aufschlägt, wir behalten sie aber hier für den Fall, dass hinter dem LAN bspw. noch weitere Netze über einen internen Switch/Core Router angeschlossen sind. Wir blocken via Reject (intern ist reject block vorzuziehen, da schneller) alle Anfragen nach draußen via Port 53 - sicherheitshalber. Sollte jemand an unserer Port Forward Regel herumspielen und sie versehentlich ausschalten geht dann kein DNS mehr für die Clients aber das ist dann reparierbar. Ansonsten könnten Sie währenddessen wieder frei auf jeden DNS zugreifen Dito für DoT - interne Clients sollen kein DoT benutzen, daher hier blocken via reject. Hier würden jetzt sonstige Regeln kommen, in unserem Beispiel ist nur noch die default "allow any" Regel jetzt übrig. Das sollte das Szenario eigentlich ganz gut abdecken, wenn mir kein Fehler reingerutscht ist. Cheers
  • Warum „nur“ Google stun Server?

    14
    0 Votes
    14 Posts
    2k Views
    altmetallerA
    @jegr Japp, wir reden über genau den. Vielleicht wurde der Port irgendwo "hardcodiert"? Wenn ich z.B. ein Binary aus einer älteren pfSense Version nehme und drüberkopiere, funktioniert es. Ebenso mit einem selbstcompilierten Binary.
  • PFSense und Telekom Netphone Cloud

    13
    0 Votes
    13 Posts
    2k Views
    JeGrJ
    @mercyful So ein ähnliches Ding habe ich mit einem Firmenkunden auch, der da einen Telekom Cloud PBX Dienst nutzt aber noch in alter Version. Da debuggt die Telekom auch schon ewig rum und macht keine Fortschritte außer "ja da müssen sie in den CloudService 2.0 migrieren, der arbeitet dann gar nicht mehr mit SIP/VoIP sondern basiert wohl auf irgendwas Cisco WebEx SaaS mäßigem..." - ja cool, wenn meine Cloud PBX nicht geht, einfach das Telefon abschaffen (und durch ne hosted Videokonferenz Lösung ersetzen). Klingt nach nem Plan
  • Hardware für selbstbau

    6
    0 Votes
    6 Posts
    794 Views
    Dobby_D
    Hallo, Dein Budget wäre auch gut zu wissen, ich habe einmal alles quer "durch die Bank" nachgeschaut, was bei anderen Leuten gut rennt und keine Probleme macht. Budget 170 € all in mit Gehäuse Nichts zum basteln, aber fix und fertig Etwas teurer und nur Board, CPU und RAM Passt ganz gut zu Eurem nur Gehäuse denke ich Teuer, und falls Dein Gehäuse 4U hat aber damit geht alles VM, bare metal oder...... Supermicro: Intel Atom C3558, C3758, C3858 und 3958 gibt es gleich mit vielen extras und Ports. Intel QuickAssist AES-NI Slot für SSD Slot für WLAN Karte Slot für eine oder zwei PCIe Karte(n) 2x SFP+ Ports 2x 10 GBe Ports 4x 1 GBit/s Ports IPMI Port Intel Xeon D-2100 und Xeon D-2700 Falls Du solch ein System (Board) in Betracht ziehst würde ich immer darauf achten wollen das dort ein N oder NT im Namen der CPU mit dabei ist, das steht für Network und man weiß dann dass Intel QuickAssist mit an Board ist. Beispiel: Supermicro Xeon D-2146NT
  • Blacklist URL für SquidGuard

    2
    0 Votes
    2 Posts
    572 Views
    Dobby_D
    @intrabit http://dsi.ut-capitole.fr/blacklists/index_en.php In den Browser kopieren und dann schaust Du was Dir zusagt und "klickst" (Rechtsklick) auf den Link und wählst dann "Link kopieren aus und fügst Ihn in Deinen SquidGuard ein." ftp://ftp.ut-capitole.fr/pub/reseau/cache/squidguard_contrib/blacklists.tar.gz Oder einfach alle Listen zusammen (komplett) unter diesem Link hier.
  • "Exposed" Host möglich

    19
    0 Votes
    19 Posts
    2k Views
    Dobby_D
    Man kann auch hinter der pfSense einen kleinen MikroTik Router benutzen und der macht dann eben kein NAT. Oder gar einen kleinen Cisco GS300 oder SG350 Switch und der routet dann das LAN bzw. den Verkehr dort.
  • IGMP Proxy Bug in pfsense+ 23.01 RC

    2
    1 Votes
    2 Posts
    575 Views
    Dobby_D
    @beerman Danke hier ist die Antwort (Lösung) dazu; ---> Putty ---> Console ---> Shell Menüpunkt (8) Eingabe: fetch https://redmine.pfsense.org/attachments/download/4714/igmpproxy-0.3_1.pkg pkg add -f igmpproxy-0.3_1.pkg oder pkg upgrade igmpproxy Für ARM aarch64 basierende Geräte von Netgate; https://redmine.pfsense.org/attachments/download/4733/igmpproxy-aarch64-0.3,1.pkg Allgemein und Architektur übergreifend kann man auch folgendes eingeben; pkg upgrade igmpproxy Um zu prüfen ob man die alte Version aus Januar 2023 hat oder aber die neue von Februar 2023 kann man folgendes eingeben; pkg info igmpproxy
  • Ursache für Zertifikatfehler lokalisieren, Verbindungsabbruch?

    4
    0 Votes
    4 Posts
    546 Views
    P
    Hallo zusammen, hat etwas gedauert aber ich konnte das Problem finden bzw. beheben. Ein falscher Eintrag im HA-Proxy, den ich mal zum testen erzeugt hatte, war dafür verantwortlich. Ich habe es dadurch gemerkt das ich die Zertifikatswarnung am PC / Webbrowser genauer angeschaut habe. Somit war Eure Vermutung richtig :-) Beste Grüße
  • ACME Verify error

    acme verify failed
    9
    0 Votes
    9 Posts
    2k Views
    JeGrJ
    @decidable3195 Ich würde dir ja wirklich gerne helfen, aber ohne zu verstehen, was ihr da wo tut, kann ich es schlicht nicht. Du sprichst von ACME und dann von DNS, jetzt hast du irgendwo irgendwas umgestellt aber postest nicht was. Woher soll man denn wissen, was du jetzt wie verstellt hast? Dass die Seite nicht mehr geht wundert nicht, da viele entsprechend intern mit Umleitungen auf HTTPS etc. arbeiten, dann funktioniert der Login nicht mehr. Da ihr aber anscheinend keinen Proxy einsetzt kann es auch nicht wirklich was auf der Sense gewesen sein, was das Problem jetzt verursacht? Also wäre es schön wenn wir mal einen Schritt zurück gehen und wir mal komplett aufdröseln um hier überhaupt Sinn reinzubekommen: Um welche Dienste geht es hier konkret? Wo laufen diese und mit welcher internen IP? Wie greift man von wo darauf zu? Welche internen Netze (wenn mehrere) sind involviert? Was hat die Sense damit zu tun? Bei welchem Zugriff ist die überhaupt involviert? Am Einfachsten wäre natürlich ein kleiner Plan oder Skizze aber wenn dus mal etwas weitergehend niederschreiben würdest, wäre das auch schon eine große Hilfe. So verstehe ich wie gesagt überhaupt nicht was wo wie läuft und warum die Sense da involviert sein soll. Cheers \jens
  • System Patches 2.1 (recommended security patches)

    10
    0 Votes
    10 Posts
    1k Views
    JeGrJ
    @slu Nicht ganz: [image: 1676655141886-c5b0f7ed-c544-4957-b646-05a6b7541379-image.png] Es gibt eine eigene Security/Patch/Errata Kategorie. Wenn du noch eine alte Newsletter Mail hast, gibts unten ja den Link für die "Email preferences", dort kann man auch einzelne Listen/Kategorien einstellen und hinzufügen. [image: 1676655221561-dc1b3e92-b195-4126-bcfa-b79f7a2984e1-image.png] Cheers :)
  • Routing zwischen 2 Netzen über ein drittes Netzwerk

    5
    0 Votes
    5 Posts
    576 Views
    K
    Guter Tipp, Danke. Das funzt.
  • Probleme mit Wan2 Config

    16
    0 Votes
    16 Posts
    1k Views
    K
    @viragomann Danke das war die Lösung......
  • Fritz TV und IPTV Vodafone

    fritz tv iptv vodafone
    5
    0 Votes
    5 Posts
    994 Views
    M
    Ich sollte evtl noch eine Info dazu schreiben: Habe bei Vodafone ein 29er Subnetz wovon der Gateway die Fritzbox ist und (1. Nutzbare ip) und die pfSense auch eine Öffentliche hat. Die fritzbox hat ja eine private ip bei mir 10.0.0.0/24er netz und die frotzbox hat die 10.0.0.1 worauf die Fritz tv Geschichte über dem fritzb8x wlan ohne Probleme läuft. Kann evtl auch daran liegen weil die Netze getrennt sind. Wäre super wenn mir jemand dabei helfen könnte. Möchte nicht extra ein 2. WAN port vom 10.0.0.0/24 er netz an die pfSense anlegen. Vielen dank
Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.