@Trust9 mach doch einfach eine bridge.
wie du eine bridge erstellst ist in der Offiziellen doku erklärt.

@viragomann
Danke für den Tip! Das werde ich am Montag ausprobieren, wenn ich wieder zurück bin.

@sub2010 said in Pfsense HA Proxy Synology:

Ich habe 2x Host, diese möchte ich gerne beide Nutzen.

D.h. du möchtest Load Balancing realisieren?

Dann kannst du es mit einem TCP Frontend versuchen. Das sollte funktionieren, wenn es daran liegt, dass es kein HTTP Protokoll ist.
Allerdings kann das nicht auch auf Port 443 lauschen, das benötigt einen eigenen.

@Bob-Dig Haste natürlich recht.

Hallo,
vielen Dank für eure Antworten.
Ich habe gedacht, ich hätte alle Infos geschrieben, Sorry.

Ich führe es mal genauer aus.
Wir werden zu Events eingeladen und stellen verschiedene Dienste zur Verfügung.
Vor Ort ist meistens schon eine kleine Netzwerkstruktur vorhanden (komplett unbekannt wie aufgebaut).
In dieser Struktur gibt es einen Server, auf den wir unsere Daten erhalten, die auf unseren Systemen dann angezeigt werden.

In unserem Netzwerk ist ein LTE Router für die Internetverbindung, DHCP usw. also ganz einfach gehalten.
Mein Gedanke war nun (zugegeben sehr naiver Gedanke :-D), eine pfSense zu haben mit der wir uns da mit "rein hängen".

Das Problem an dem ganzen ist nur das alle Daten, die wir raus schicken über unser ISP laufen müssen und nicht über den ISP des Veranstalters laufen kann/darf.

Danke für die Infos, damit konnte ich mir schon einiges raussuchen und mein nicht vorhandenes Wissen aufbessern :-).
Zeichnung mache ich noch fertig.

VG

@tux84 said in IPv6 Prefix für PfSense nach Reboot der Fritzbox weg:

Scheint so als würde hier kein dringender Bedarf bestehen um das Problem zu lösen.

Absolut. Die meisten Businesses haben wohl eh feste IPs und in den USA vorrangig in der vierten Version.

Wirklich trivial scheint es aber auch nicht zu sein, sonst hätte die andere Sense doch längst eine Lösung parat haben müssen...

Meine 21er hatte 23.01 und 23.05. und den .1, ohne Probleme.

Nur habe ich halt eben bei den gesagten Problemen das Recovery gemacht, dauert 10 Minuten mit noch mal 10 Minuten Kaffee trinken weil man wartet bis alle Pakete wieder da sind.

Wir sprechen hier von einer Firewall die auch mal Dienste wie VPN oder anderes anbietet, da sollte die schon auf einem aktuellen Stand sein.
Ja das ist ein wenig Arbeit bei der Pflege, aber von dem zfs Bug beim Upgrade abgesehen, hatte ich mit den Kisten bisher keine Probleme, nutz man keine Dev Version.

Auch das Upgrade Problem wurde für die ARM Kisten bei zfs inzwischen gelöst, man kann die einfach gemütlich wieder per Klick auf Stand bringen.

Wobei ich bei so großen Versionssprüngen dann eher ein Recovery machen würde.

Eine gebrauchte Sophos 125/135 Rev3 tut es auch, die gibts mit ein wenig Glück bei eBay für schon mal unter 100€.

Das ist dann eine echte Firewall Appliance und wurde für diesen zwecke entworfen.
Mit dem C Atom hast du Intel QA und damit alles an Hardware Crypto was man so braucht, dazu einen Verbrauch von unter 20W.

Die Hardware muss schon rock solid sein, wenn man da eine Firewall drauf laufen lassen will, das Ding muss ja immer funktionieren, sonst ist halt gleich eine Störung da.
Und im Normalfall setzt man so was ja ein, wenn man mehrere VLANs betreibt und damit auf das Gateway angewiesen ist um über diese in die anderen Netzte hinein zu routen.

Lösung gefunden, es war eine falsche netmask in der /etc/network/interfaces bei der VM die nicht erreichbar war:

Falsch: netmask 255.255.255.255
Richtig: netmask 255.255.255.0

damit klappt es jetzt.

Danke!

@grantorino 1. warum kaufst du dir nicht einfach ein modem (z. b. Vigor 16x) leider hast du nicht zu geschrieben bei welchem provider du bist.
2. ich habe es bei mir auch so das die Fritzbox nur als VoIP telefonanlage dient. ich hänge mal mein netzwerkplan an.

┌──────────────────────────┐ │ │ │ WAN / Internet (PPPoE) │ │ Willy.tel │ │ 1000/250Mbit/s Glasfaser │ │ │ └─────────────┬────────────┘ ─ ─ ─ ─ ─ ─ ─ ─WAN─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ┼ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ WAN ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ ─ │ ┌────────────────┐ ┌────────────────┐ │ │ │ │ Switch │ ╔════════╩══════════════ pfSense+ 23.01 ══╗ Stand: ─ ─ ┐ │ TrueNAS ├───┤ USW-Flex-XG ├─────────╣ ║ │ │ │ │ │ ║ Intel NUC BNUC11TNHV50L00║ 29.03.2023 │ └────────────────┘ └───┬────┬───────┘ ║ LAN: 192.168.3.0/24║ │ ┌────────────────┐ │ │ ║ Gäste (W)LAN (VLAN33): 192.168.33.0/24║ ─ ─ ─ ─ ─ ─ ┘ │ UBNT │ │ │ ║ IoT WLAN (VLAN34): 192.168.34.0/24║ │UniFI AP AC Pro ├───────┘ │ ║ DynDNS über deSEC mit eigener Domain║ │ │ │ ║ VPN's:║ └────────────────┘ │ ║ 2 x Fritzbox (7490 & 6591) IPSec║ │ ║ 1 x OpenVPN Road Warrior (172.16.3.0/24)║ │ ║ 1 x WireGuard Road Warrior║ │ ║ (172.16.33.0/24)║ │ ╚═════════════════════════════════════════╝ │ ┌────────────────┐ ┌────────┴───────┐ ┌────────────────┐ ┌────────────────┐ │ Fritzbox 7490 │ │ Switch │ │ UBNT │ │ 1 x UBNT │ │ (Nur VoIP) ├───┤ USW-Flex-XG ├─┤USW-ENTERPRISE-8├─┤UniFi AP-Flex-HD│ │ │ │ │ │ -POE │ │ │ └────────────────┘ └────┬───────────┘ └──────┬─────────┘ └────────────────┘ ┌────────────────┐ │ │ │ UBNT │ │ │ ┌───────────┐ │UniFI AP AC Pro ├────────┘ │ │ │ │ │ └────┤ Clients │ └────────────────┘ │ │ └───────────┘ zu deinen APs kann ich dir nichts sagen, wie du in meinem netzwerkplan sehen kannst setze ich UBNT ein. ich denke die meisten hier im forum nutzen UBNT an der sense.

@michael-schumann said in Jede DNS Anfrage mit der gleichen IP beantworten:

Ich kenne die Clients nicht und kann denen kein Zertifikat einer CA unterjubeln

Ohne ein CA Zertifikat auf den betroffenen Clients installieren zu können, kannst du die Sache gleich bleiben lassen. Die Seite würde dann nicht angezeigt.

Du könntest ebenso gut die Zielports 80 und 443 der Clients auf einen eigenen Webserver umleiten. Da könntest du auch Ausnahmen fürs Intranet einbauen. Aber das Problem bleibt dasselbe, HTTPS-Aufrufe, die ein anderes SSL-Zertifikat erwarten lassen, werden nicht angezeigt.

Setze eine Reject-Regel, dann bekommt der User die Fehlermeldung, dass die Seite nicht angezeigt werden kann, sofort.

Grüße

@NOCling , ja da hast Du recht.

Danke.

Hallo zusammen.

Ich habe mich bisher mit Reverse Proxy noch so intensiv beschäftigt...

An Diensten sind das 2x vpn Server 4 web Services 2 Datei Sharing dazu kommt dass für HTTPS letsencrypt zum Einsatz und bei meinen letzten versuchen mit letsencrypt und Reverse Proxy bun ich immer auf die .. geflogen hab das aber aufgrund ausreichend vorhandener öffenrlicher ips dann immer sehr schnell gelassen ...

@viragomann said in Dynamic DNS aktualisiert die falsche IP Adresse:

Das Grün kannst du für das Nicht-Default-WAN mit den Standardeinstellungen vergessen. pfSense schickt einen Request auf http://checkip.dyndns.org und übernimmt die IP aus dem Respond. Diese ist jene, der der Server sieht. Also das Default-WAN.

Wenn du das nutzen möchtest, musst du eine statische Route für die IP von checkip.dyndns.org auf das VDSL Gateway setzen.

Das ist so nicht richtig. Bei MultiWAN kann absolut korrekt unterschieden werden zwischen den beiden Interfaces. Das klappt im Normalfall auch völlig OK. Ohne irgendwelches Routen-Geklüngel. Wichtig ist das korrekte Interface auszuwählen, dann sollte auch Custom die korrekte IP übermitteln. Klappt bei mir mit Custom Setup und DeSec als Empfänger bspw. völlig problemlos. Das klingt aber als würde noch was anderes mit reinspielen.

3ec8650f-4ae0-4240-ba09-7f6e3e4f20c6-image.png

Bei mir ist mein DSL Interface primary (1_WAN_DSL), daher geht der zweite Eintrag nur via forced interface settings im DynDNS Client. Mit den drei Settings wird das laut Log (und reel getestet) problemlos an desec übertragen und aufgelöst.

Wenn das aus irgendeinem Grund nicht klappt sollte man ggf. nochmal in den Regeln untersuchen ob man ggf. Traffic irgendwo über WAN1 geforced hat so dass der Update Job gar keine Chance hat über WAN2 zu gehen. Die Anzeige im Status ist dann dabei korrekt und spiegelt wieder, was das System via checkip.dyndns.org zurückbekommen hat:

8882c20f-0b15-4555-b3d6-9acdc1d76b7a-image.png

Das ist dann im Normalfall auch das was bei "Custom" via <ipaddr> Platzhalter denn in der URI verwendet werden kann. Den Platzhalter muss man dann aber auch nutzen, sonst klappt das Ganze natürlich nicht 😄

Cheers

@viragomann said in sub-domains on one IP:

Fürs TLS-Protokoll kann auch via SNI die Domain ermittelt werden, aber auch dafür ist HAproxy nötig.

Was @viragomann sagt, mit einer Ergänzung: das HAproxy Package hat einen Reiter "Templates" in welchem genau dieses Szenario exemplarisch vorbereitet ist (mit der Variante Unterscheidung der Domains im gleichen Frontend oder alternativ mit shared Frontend - geht beides, man sollte sich nur für eines von beidem entscheiden). Aber wie gesagt, da gibts ein Tempalte für, was einem die ersten Schritte etwas erleichtert.

Cheers

@chris-7e said in Now monitoring attacks:

Gibt's dafür eine Erklärung?

Ja, irgend eine Log-Datei wurde rotiert (da sie die eingestellte Größe erreicht hat) was zu einem Neustart von sshguard führt - also kein "Angriff" oder Sonstiges ...

@bosco Update ...

Offensichtlich waren hier plötzlich Firewall Regeln aktiv aus einem alten Paket was ich mal installiert hatte vor 2 Jahren. Diese habe ich und alle ist wieder ok. Es ist mir dennoch ein Rätzel warum die plötzlich aktiv waren...