Fritzbox im eigenem Netz durch PFSense erreichen

[orcape]

Hi Huppsy,

Ahnung habe ich schon etwas aber im Netzwerkbereich mit den ganzen Sub Netzen usw. bin ich noch nicht so fit.

@magicteddy hat Dir hier schon den richtigen Tipp gegeben.
Das lässt sich alles per Firewall-Rules auf der pfSense klären.
Ein VPN-Tunnel dafür wäre da wohl etwas übertrieben.
Wenn Du die pf schon hast vorkonfigurieren lassen, dann lass den Rest von Ihm auch noch erledigen.
Es sei denn Du willst Dich mit Netzwerktechnik, Firewall und pfSense intensiver beschäftigen.
Dann fang mal schön an zu lesen und arbeite Dich in das Thema ein, dann verstehen wir auch Deine Fragestellung etwas besser. ;)
Gruß orcape

[Huppsy]

Sorry wenn ich mich nicht fachlicher ausdrücken kann wobei es eigentlich meiner Meinung verständlich erklärt sein dürfte.

@magicteddy:

Wenn die Reihenfolge so aussieht:
DSL –> Fritte -->  pfSense WAN-Port [pfSense] pfSense LAN Port –> Clients
Brauchst Du doch nichts umzustöpseln, einfach die IP der Fritte eingeben und drauf, auch aus dem Netz der pfSense.

Müßte eigentlich so passen die Reihenfolge, so ist alles angeschlossen bloß komme ich nicht auf die FB

Die PFSense wurde vorkonfiguriert geliefert den Rest muß ich mir selbst beibringen. Da gibt es leider keinen mehr den ich Fragen kann außer hier jemanden im Forum.

Intensiver will ich mich eigentlich nicht beschäftigen da ich noch andere Sachen mache und kein gelernter Netzwerktechniker bin aber ich denke das meine Frage bezüglich des erreichens der Fritzbox im eigenem Netz bei einer vorkonfigurierten gelieferten PFSense( die ihre Aufgabe ja bereits erfüllt) in der jetzigen Installation doch für einen Speziallisten kein Problem sein sollte.
Scheinbar ist das aber doch komplizierter als ich glaubte.

gerne kann ich eine Skizze anfertige die lieber eine Skizze sehen möchten, jedoch glaube ich das die nicht aussagekräftiger ist als meine Beschreibung aber ich mache mal eine


[hornetx11]

Moin,

nach deiner Beschreibung / Zeichnung ist die Fritte das Gateway zum WEB.
Wenn dann auch die pf eine IP via DHCP von der Fritte bekommt, solltes Du auf diese normal über das default GW (172.20.0.1) zugreifen können.

Wenn nicht kontrollier einmal die LAN Regeln. Firewall -> Rules -> LAN
Hier achte bitte auf Einträge/Regeln welche  als Destination IP die 192.168.0.254 oder das WAN Netz (192.168.0.0/24) enthalten.
Block private networks sollte auch abgeschaltet sein. Interfaces -> WAN.

Auch ein tracert 192.168.0.254 kann nix schaden.
Da sollte man erkennen wo die Pakete verworfen werden.

Wenn Du (und die Kollegen auch) dann auf die FB ohne jeglichen Schnickschnack zugreifen kannst, ist es möglich diesen Zugriff via LAN Regel einzuschränken.

Frei nach magicteddy:

Mach ne Firewall Regel:
Block  IPv4 TCP    nicht [ClientIP]    *    [FritteIP]      80 (HTTP)    *    none

(Block  IPv4 TCP nicht (!) 172.20.1.10 * 192.168.0.254 80 * none)

Alles was nicht Deine IP hat kommt nicht auf die Fritte.

Hornetx11

[Huppsy]

Super jetzt funktioniert es genau so wie ich es wollte

Danke

[Huppsy]

Habe noch eine Frage

Habe jetzt eine Regel erstellt die den zugriff auf die Fritzbox jedem Client im netz verbietet

block        IPv4 TCP * * 192.168.0.254(FB IP) 80 (HTTP) * none

Dann habe ich eine Regel erstellt die den Zugriff für mich erlaubt

pass IPv4 * 172.20.1.10 * 172.20.0.1 * * none

Diese Funktioniert wunderbar.
Jetzt wollte ich eine ähnliche Regel erstellen die den Zugriff auf die PFSense für alle Clients verbietet.
Die PFSense hat die IP 172.20.0.1

block IPv4 TCP * * 172.20.0.1 443 (HTTPS) * none

Leider funktioniert das nicht. Trotzdem kommen alle Clients auf die PFSense

Es ist jetzt nicht dringend notwendig und ich weiß das man den Zugriff mit einem Passwort natürlich verhindern kann aber mich interessiert trotzdem woran das liegt

[magicteddy]

Moin,

wie sind die Regeln vor Deiner Blockregel?
Ist das die erste Regel auf dem Interface?

-teddy

[Huppsy]

So wäre aktuell meine Reihenfolge bis zur ersten Blockregel

1      * * * LAN Address 443  80 7632                *             *   Anti-Lockout Rule

2      IPv4 TCP 172.20.1.10 * 172.20.0.1 443 (HTTPS) * none    (wäre eine Pass Regel für meinen Client zur PF)

3      IPv4 TCP 172.20.1.10/31 * 192.168.0.254    80 (HTTP) * none    (Pass regel für Zugriff auf Fritzbox für mich)

4      IPv4 TCP * * 172.20.0.1 443 (HTTPS) * none            (Block Regel für alle Clients auf PFSense)

5      IPv4 TCP * * 192.168.0.254 80 (HTTP) * none  (Block regel für alle Clients auf Fritzbox)

Danke schonmal

[jahonix]

Die "Anti-Lockout Rule" vermasselt Dir die Show.

[Huppsy]

OK und welche Lösung gibts dann?

[hornetx11]

Abschalten

System > Advanced > Admin Access > Anti-lockout

"Tu dir selber einen Gefallen" und mach VORHER ein Backup!
Du wärest  nicht der erste der sich versehentlich aussperrt.

Hornetx11

[Huppsy]

Danke Ihr seit die Besten. Es funktioniert

Jetzt habe ich vorerst noch eine Frage dann gebe ich Ruhe

Kann man wenn man eine Regel erstellt im Feld wo man z.B. die IP Adresse des Clients einträgt mit einem Sonderzeichen mehrer IP`s eintragen wenn mann z.B. eine Pass Regel erstellt für 3 Clients oder muß man immer eine eigene Regel erstellen

Danke

[SimonBu]

Ja kann man…

schau dir mal den Menüpunk ALIASES an... hier kannst du gruppen erstellen, welche du dann später in den Regeln verwenden kannst.

In den Regeln dann Host oder Alias wählen und den Namen des zuvor erstellten Aliases eintragen.

Fertig

[hornetx11]

Moin,

Alias unter Firewall > Alias > IP | Port … definieren.
In den Regeln nutzen.

Da das hier alles einfachste Grundlagen waren, würde ich auf Dauer zu einem externen Support raten. Oder zumindest zur pfSense Gold Member Mitgliedschaft. Hier gibt es das aktuelle Buch zur pfSense (in englisch) zum Download. Dies beschreibt nicht nur die vielfältigen Funktionen sondern bügelt auch die ein oder andere Wissenslücke aus.

Hornetx11

[Huppsy]

Danke hat alles funktioniert
jetzt lasse ich euch wieder in Frieden