Einbindung pfsense mit Hardware Box

viragomann

Hallo,

du hast leider nicht viel erzählt, über das, was die pfSense genau versorgen soll.

@alex2173 said in Einbindung pfsense mit Hardware Box:

LAN2: DMZ

Möchtest du diese von extern zugängig haben?

Verwendest du auf dem Huawei den Hybrid-Modus oder nur XDSL?

alex2173

Hallo & guten Morgen!

viragomann:

Die Hardware-Box soll als Firewall dienen und damit in erster Linie Zugriffe von außen abschotten bzw. von innen nach außen zuerst auch alles blocken, Verkehr nach außen soll nach und nach freigeschaltet werden.

Der Huawei läuft im Hybrid-Modus, das hab ich tatsächlich vergessen zu erwähnen :)

Vielen Dank für die Hilfe!

JeGr

@alex2173 said in Einbindung pfsense mit Hardware Box:

HA3522

Soweit ich in kurzer Suche gefunden habe, hat das HA35-22 eine (dämlich benannte) DMZ Funktion, die der exposed Host Funktion von AVM Routern entspricht. Somit kannst du im Hybrid Modus folgendes tun:

Im Huawei schauen, ob und in welchem Bereich er DHCP macht. Bspw. 192.168.1.10-192.168.1.254
Wenn keine IP frei ist, dann den Bereich anpassen (wenn bspw. von .2 - .254 alles per DHCP vergeben wird, dann Bereich auf bspw. 100-199 anpassen um Konflikte zu vermeiden).
Ansonsten schauen welche Adresse frei ist - wir nehmen mal .2 an
pfSense Box auf WAN konfigurieren:
- statische IP Adresse (Beispiel!) 192.168.1.2 / 24 (muss natürlich das vom Huawei intern genutzte LAN/Netz sein)
- Gateway Adresse ist die des Huawei (bspw. 192.168.1.1 /24)
pfSense Box auf LAN konfigurieren:
- irgendein gewünschtes IP Netz auf dem LAN - bspw.: 10.11.12.0 / 24
pfSense Box sollte jetzt bereits ins Internet kommen (mit Diagnostics / Ping, DNS etc. testen)
Huawei DMZ konfigurieren auf die IP, die die pfSense auf dem WAN hat (im Beispiel 192.168.1.2)
- damit sollte jetzt alles vom Huawei an die pfSense weitergeleitet werden was reinkommt
pfSense LAN und DMZ wie gewünscht konfigurieren, ggf. noch NAT Einstellungen anpassen etc.

Grüße

viragomann

Hallo,

zur physikalischen Installation noch: die pfSense ist natürlich zwischen dem Huawei und den anderen Geräten zu schalten. Auf dem Huawei kannst du eben nur einen LAN Port nutzen. Wenn du am LAN der pfSense mehrere Geräte ankoppeln möchtest, musst du einen Switch ans LAN anhängen, der das Netz für die Geräte verteilt.
Falls du an ein getrenntes Gäste- oder IoT-WLAN denkst und auf der pfSense nicht mehr als die 3 NICs hast, sollte es ein VLAN-fähiger sein.

Falls deine LAN-Geräte nicht DHCP verwenden, sondern fest konfiguriert sind, wäre es ggf. weniger Aufwand, diese Netzwerkkonfigurationen zu belassen, der pfSense am LAN die Konfiguration zu verpassen, die zuvor das Huawei am LAN hatte, und am Huawei nun ein anderes Subnetz an dessen LAN einzurichten (wenn das möglich ist). Bspw. 10.0.0.138/24. Die pfSense bekommt dann die WAN-IP 10.0.0.100/24 und 10.0.0.138 als Gateway.
Die DMZ ist natürlich als eigenes Subnetz einzurichten.

Grüße

alex2173

Vielen, vielen Dank für die ganzen Hilfestellung!

Vorab wäre es ev. möglich, dass ich schon am Huawei hänge. Der Support von meinem ISP gibt die Auskunft, das die Funktion "Exposed Host" am Huawei HA3522 nicht zur Verfügung steht. Möglicherweise würde die Anschaffung einer Fritzbox das Thema vereinfachen.

viragomann

Und es gibt auch keine DMZ Funktion?

Eine Möglichkeit zur Port-Weiterleitung gibt es wohl doch? Kann man da einfach alles auf die pfSense weiterleiten?

JeGr

Laut der Doku zum HA35-22 die ich gesehen habe, nennt sich das "Feature" DMZ und macht genau das, was eigentlich ein exposed Host ist. Es sei denn es wurde in der Firmware irgendwie rausgeschrubbt, dann wäre das natürlich doof.

Wenn es nur um DSL geht ohne Telefonie und Co, wäre ggf. eher die Frage ob ein simples Modem an der pfSense Box nicht ausreichen würde?

alex2173

Hier schulde ich noch eine Antwort. Die DMZ-Funktion gibt es wirklich! Im Pulldown wähle ich mir die Mac der Hardware-Box aus und habe so meinen Exposed Host.

Richtig?

JeGr

MAC? Nein, normalerweise wählst du eine IP. Auf MAC Basis sollte da nichts passieren, das wäre ja der falsche Layer.

alex2173

Weiter mit der Config :)

DHCP-Bereich im Huawei: 10.0.0.1 - 10.0.0.254
"Wenn keine IP frei ist, dann den Bereich anpassen" und "Ansonsten schauen welche Adresse frei ist" - diesbezüglich sind keine Einstellungen zu tätigen, oder?
pfSense Box auf WAN, statische IP Adresse - ich trage zB. 10.0.0.10 als fixe IP unter Static IPv4 Configuration ein
IPv4 Upstream gateway ist 10.0.0.135 = die IP vom Huawei

Mit der Vergabe der IP-Adresse sind der Rechner von dem ich die Config mache und die Box im 10.0.0. Netz? Damit sollte die Box im Huawei für den Exposed Host auftauchen. Die Box habe ich bisher im Modem nicht gesehen, da die IP noch im 192.168er war.

Stimmt das so?

viragomann

@alex2173 said in Einbindung pfsense mit Hardware Box:

DHCP-Bereich im Huawei: 10.0.0.1 - 10.0.0.254

Damit nutzt der DHCP das gesamte Subnetz (ich gehe davon aus, dass es ein /24 ist und dass sich das nicht mal umstellen lässt.
Die pfSense sollte aber eine IP außerhalb des DHCP-Bereichs haben.
Wenn du, so wie ich es verstanden habe, keine weiteren Geräte an dem Huawei angeschlossen hast, kannst du den DHCP ganz abschalten, wenn möglich, ansonsten den Bereich einengen. Letzteres wir ja wohl möglich sein.

Der Rest sollte passen. Mir erscheint aber seltsam, dass die IP des Modem innerhalb des DHCP-Bereichs liegt. 10.0.0.135 ist zudem eher untypisch, 10.0.0.138 wird dagegen oft statisch als GW-IP verwendet.

@alex2173 said in Einbindung pfsense mit Hardware Box:

Mit der Vergabe der IP-Adresse sind der Rechner von dem ich die Config mache und die Box im 10.0.0. Netz?

Üblicherweise macht man die Konfiguration der pfSense am LAN Interface. Der Zugriff ist per Firewall-Regel standardmäßig auch nur da erlaubt. Und das LAN sollte in einem anderen Subnetz liegen. 10.0.0.0/24 ist da am WAN konfiguriert.
Also am LAN solltest du eine anderes Netz einrichten, wie 10.0.10.1/24 (als LAN-IP).

alex2173

viragomann & natürlich alle anderen: vielen Dank für die Geduld und die Hilfe! Ich hab leider nicht immer Zeit, Euren Input sofort umzusetzen.

Zwischenstand wie folgt:

DHCP Hybridbox: auf 10.0.0.100 eingeschränkt
IP Modem: 10.0.0.138
Vorgesehene IP für PF Box: 10.0.0.150

Fragen zum letzten Absatz von viragomann:

"Üblicherweise macht man die Konfiguration der pfSense am LAN Interface. Der Zugriff ist per Firewall-Regel standardmäßig auch nur da erlaubt."

Der Hybridbox ist mit aktuell mit dem WAN-Port der PFbox verbunden, über den Browser kann ich mich verbinden. Ist das so gemeint, dass ich für die Config auf den LAN-Port umstecke?

Danke für die Hilfe!