Bridge oder LAN? Vorteile und Nachteile?

Bob.Dig

@jegr said in Bridge oder LAN? Vorteile und Nachteile?:

Was die Telnets angeht, gute Frage. Kann aber trotzdem vom "Provider" kommen, wenn einer sich da direkt einwählt und ne interne IP bekommt. Oder es ist gespooft. Gibt schon nen Grund, warum man RFC1918 am WAN blockt :)

Aber Spoofing würde bedeuten, dass derjenige keinen Antwort bekommen kann, oder? Dann wäre doch der Nutzen gleich 0.

Ich habe hier auch meine manuelle Blockregel gemacht, da ja in den docs zu lesen ist, man solle mit einem privaten Netzwerk am WAN eben nicht RFC1918 blocken. Weiß jemand, ob das nur für den Fall gilt, dass man tatsächlich doch Traffic aus dem privaten "WAN-Net" bekommen will oder gilt das quasi immer?

Frage mich auch, ob nicht die Telekom dahinter steckt, warum auch immer...

JeGr

@bob-dig said in Bridge oder LAN? Vorteile und Nachteile?:

Aber Spoofing würde bedeuten, dass derjenige keinen Antwort bekommen kann, oder? Dann wäre doch der Nutzen gleich 0.

Wenn du spoofst, willst du ggf. auch gar keine Antwort.

NOCling

Ich glaube wir müssen hier erst mal sauber definieren was die Sense als WAN definiert.

Ich denke:
WAN ist ja für die Sense eher alles andere als RFC1918, denn sonst ist das ja kein echtes WAN mehr sondern eher ein MAN oder LAN Interface.

Ich habe den Filter bei mir drauf und komme trotzdem an mein Modem über die 192.168.100.1.
Die IP darf mir aber auf dem WAN per DHCP auch keine IP vergeben.

Bob.Dig

@nocling WAN-Net ist einfach das Netz am WAN Port für die pfSense. Ich habe einen Block sowohl eingehend als auch ausgehend für RFC1918, aber halt mit der Ausnahme des WAN-Net, welches bei mir ein privates ist. Brauch ich überhaupt die Ausnahme für irgendwas, was ich nicht weiß (DHCP, etc.) oder könnte ich RFC1918 in meinem Falle komplett blocken und ggf. Ausnahmen machen für DNS oder ähnlichem.

NOCling

Das ist doch soweit ich das verstehe ein eingehender Block wenn das aktiv ist.

Wie gesagt ich blocke das auf WAN weg, kann aber mit meinem Modem auf der 192.168.100.1 sprechen.

Bob.Dig

@nocling Ja, weil Du nur eingehend blockst. Aber ich frage aus einer anderen Perspektive, die des double-NAT.
Aber ich werde es wohl einfach ausprobieren.

NOCling

Achso, na dann ist die Sense aus dem WAN nicht mehr erreichbar, weil du ja hier mit einer aus der RFC1918 daher kommst.

An dieses Teufelszeugs habe ich nicht gedacht.

Bob.Dig

@nocling Wobei aus dem WAN ja vielleicht egal ist, wenn WAN das WAN-Net ist, da muss man dann halt genau auf die Wortwahl achten.

Edit: Trotz Aktivierung des eingebauten RFC1918 Block auf WAN und einem anschließenden Neustart ist mein Server aus dem Internet erreichbar.
Hab es ja befürchtet.

Bob.Dig

Hab mal etwas spezifiziert. Wenn ich was vergessen/falsch gemacht habe, lasst es mich wissen.

Die Fritte nervt jetzt aber im Log.

NOCling

Dann schalte halt mal UPnP aus, dann wirst schon mal einen los.
Aber warum die mit Port 80 auf deine Sense will ist mir ein Rätzel.

Oder ist das wegen exposed Host ein weitergeleiteter Zugriff aus dem Internet der von dir nicht erlaubt ist und daher im Log erscheint.

Bob.Dig

@nocling Letzteres ist es nicht, denn dann wäre die Quell-IP eine andere, es ist tatsächlich dir Fritzbox, warum auch immer. Hab versucht, alles was nach UPnP roch zu deaktivieren, hat aber anscheinend nicht viel gebracht. Bin immer noch fasziniert, wie schlecht ich Sachen in der Fritzbox finden kann.

Denke, ich werde die Fritzbox als Quelle einfach nicht mehr loggen, Problem gelöst.

Bob.Dig

Kann mir das jemand erklären?

Ich meine, dies müsste durch die markierte Regel eigentlich erlaubt sein (192.168.178.45 ist die pfSense).

Nun ist es zusätzlich so, dass ich die betreffende Wifi-Bridge, die eine Verbindung zu 192.168.178.0/24 und damit dem 1&1-Anschluss dahinter aufbaut, abgeschaltet habe. Ist das die Ursache?

JeGr

@bob-dig Ist das ne Floating Regel? Wofür? Ah weil du darunter die RFC outbound deny Regel hast?

Naja es kommt drauf an was _address genau ist. Wenn du ggf. mehrere IPs drauf hast, dann klappt das nicht. Die die Adresse auf dem DSL1U1 Interface denn überhaupt .45?

Ansonsten mal nach "1u1_Zugriff" in der /tmp/rules.debug suchen und davor/danach die Regeln anschauen.

Bob.Dig

@jegr said in Bridge oder LAN? Vorteile und Nachteile?:

die Adresse auf dem DSL1U1 Interface denn überhaupt .45?

Ja, per DHCP zugewiesen und so steht es zwischen den beiden Bildchen.

Ansonsten mal nach "1u1_Zugriff" in der /tmp/rules.debug suchen und davor/danach die Regeln anschauen.

Das geht dann aber nicht mehr im GUI? Auf jeden Fall verstehe ich es nicht, sollte doch so gehen [schmoll].

JeGr

@bob-dig said in Bridge oder LAN? Vorteile und Nachteile?:

Ja, per DHCP zugewiesen und so steht es zwischen den beiden Bildchen.

a) Niemals (IMHO) das WAN hinter einem anderen Router mit exposed Host mit DHCP betreiben! Genau wegen solcher Geschichten.

@bob-dig said in Bridge oder LAN? Vorteile und Nachteile?:

Das geht dann aber nicht mehr im GUI? Auf jeden Fall verstehe ich es nicht, sollte doch so gehen [schmoll].

Doch:

Diagnostics / Command Prompt:

grep -C3 <keyword> /tmp/rules.debug

In dem Fall dann als keyword dein 1u1_Zugriff aus der Description, da das in der Regel als "label" drinsteht.

Ansonsten kannst du auch statt grep -C3 <blah> auch einfach cat /tmp/rules.debug machen, dann hast du das ganze File auf dem Schirm und kannst mit Strg+F im Browser suchen.

Bob.Dig

@jegr said in Bridge oder LAN? Vorteile und Nachteile?:

@bob-dig said in Bridge oder LAN? Vorteile und Nachteile?:
a) Niemals (IMHO) das WAN hinter einem anderen Router mit exposed Host mit DHCP betreiben! Genau wegen solcher Geschichten.

Also exposed ist der nicht, aber ich vermute, das ist hier auch nebensächlich? Und static kann ich bei einem Gateway doch nicht auswählen oder bezog sich das alles nur auf den Router davor? Der ist in diesem Falle nicht unter meiner Kontrolle.

Doch:
Diagnostics / Command Prompt:

grep -C3 <keyword> /tmp/rules.debug 
In dem Fall dann als keyword dein 1u1_Zugriff aus der Description, da das in der Regel als "label" drinsteht.

Ansonsten kannst du auch statt grep -C3 <blah> auch einfach cat /tmp/rules.debug machen, dann hast du das ganze File auf dem Schirm und kannst mit Strg+F im Browser suchen.

Muss ich mir mal bei genug Muße geben. Danke Jens.

JeGr

@bob-dig said in Bridge oder LAN? Vorteile und Nachteile?:

Also exposed ist der nicht, aber ich vermute, das ist hier auch nebensächlich? Und static kann ich bei einem Gateway doch nicht auswählen oder bezog sich das alles nur auf den Router davor? Der ist in diesem Falle nicht unter meiner Kontrolle.

Ah, das hattest du nicht gesagt :) Ich vermutete da die typische Fritzbox Konstellation davor und dahinter dann nur DHCP zu haben ist eigentlich eher so semi-gut.

d.sanchez

hi karl, ich möchte auch eine die pfsense hinter der fritzbox(Router) hängen bekomme aber nicht hin hast du evtl, eine anleitung dafür habe telekom 100
Danke

Bob.Dig

Hatte übrigens wieder keine Konnektivität auf meiner Windows-Kiste und pfSense keine IPv6-Adresse auf dem LAN. Muss mir wohl ein bessere Script suchen.

Bob.Dig

@bob-dig said in Bridge oder LAN? Vorteile und Nachteile?:

Nun hatte ich leider den dyndns.update cron-job verstellt gehabt, kann mir jemand sagen, was da die defaults waren? Denn mein Problem konnte der nicht lösen und ich hätte gerne wieder den Standard.

No one?