PfS Verständnis Allgemein

jumperid

Hallo zusammen :-)

Ich betreibe schon etwas länger Pf-/Opnsense und bin auf ein Verständnisproblem gestoßen.

Meine Konfig:

Fritzbox > Pfsense
Fritzbox > hat eine Statische IP 192.168.178.1

Pfsense hat 6 Lokale Netzwerkkarten
WAN ( ISP ) 192.168.178.100 und wird von der Fritzbox per DMZ versorgt
LAN1 ( Homenetz ) 10.10.10/24
LAN2 ( Gerätenetz ) 10.160.160/24
LAN3 ( Kindernetz ) 10.190.1/24
LAN4 ( Servernetz) 10.1.100/24
und so weiter

Gateway in der Pfsense ist die Fritzbox 192.168.178.1
DNS Server : 8.8.8.8,8.8.4.4,1.1.1.1

LAN1 bis LAN4 hat jeweils eigene Statische ip´s xx.xx.xx.1/24

Rules sind den jeweiligen Netze zugeordnet und funktionieren auch.

Als beispiel habe ich von Gerätenetz den Drucker 10.160.160.20 ( Drucker ) in der Regel der Homnetze erstellt.
Regel Homnetz:
IPv4 * * * 10.160.160.20 * * * #Druckerfreigabe

was auch funktioniert.

Jetzt komme ich aber zum problem.
Es existiert auch noch eine Synology Disk Station die im Servernetz hinterlegt ist.
IP der Synology 10.1.100.100/24

Hier habe ich in Homnetz eine Regel erstellt.
Homnetz Regel:
IPv4 * * * 10.1.100.100 * * * #Synology Freigabe Global

Die anfragen gehen in der Liveansicht auch normal durch, dennoch funktioniert der ping oder die Weboberfläche nicht.

Was mir aufgefallen ist, ist das wenn ich bei der Synology selbst " mehrere Gateway´s benutzen " aktiviere der Traffic funktioniert. Ohne mehrere Gateway´s jedoch ncht?

Meine Synology:

IP 10.1.100.100/24
Standard-Gateway: 10.1.100.1
DNS: 10.1.100.1

Muss ich für jedes Netz ( LAN1-LAN4 ) einen eigenen Gateway erstellen ?

Hoffe ich versteht was ich meine.

Vg. Jumper

kawaklx650

Kurz und bündig: Nein, musst du nicht. Du musst nur über die Regeln der pfSense definieren, welches Netz ins andere darf und dabei auf die üblichen Verdächtigen achten (Protokoll, Port usw).
Dabei ist auch wichtig zu beachten, dass die Antworten ebenfalls erlaubt sind. Wenn LAN4 zwar auf LAN1 zugreifen darf, LAN1 aber jeglichen Traffic zu LAN4 zu blockieren hat, wird sich das beißen.
Das Gateway ist auf der Synology richtig hinterlegt. Die pfSense routet alle Netze. Mehrere Gateways zu definieren ist deshalb nicht nötig.

viragomann

@kawaklx650 said in PfS Verständnis Allgemein:

Dabei ist auch wichtig zu beachten, dass die Antworten ebenfalls erlaubt sind. Wenn LAN4 zwar auf LAN1 zugreifen darf, LAN1 aber jeglichen Traffic zu LAN4 zu blockieren hat, wird sich das beißen.

Das ist Unsinn! Die Filterregeln der pfSense erlauben immer das Initiieren einer Verbindung. Für Antwortpakete ist der Weg dann automatisch offen.
Also es ist durchaus möglich, von LAN1 jeglichen Traffic, alle Zugriffe auf LAN4 zu erlauben, von LAN4 nach LAN1 aber alles zu blockieren. Ansonsten wäre das eine schlechte Firewall.

Was allerdings auf der Synology die Funktion "mehrere Gateway´s benutzen" macht, weiß ich nicht. Dass es damit funktioniert, würde für mich auf asymmetrisches Routing hindeuten. Um das zu untersuchen bräuchte es aber mehr Informationen.

Grüße