OPNsense: Netzwerkisolation mit OPNsense auf Proxmox

Anleitungen Netzwerke Proxmox VE Sicherheit Virtualisierung
speefak

OPNsense: Netzwerkisolation mit OPNsense auf Proxmox

Sicherheit durch Isolation

In modernen IT-Umgebungen ist die konsequente Trennung vertrauenswürdiger und potenziell unsicherer Systeme ein wesentlicher Bestandteil der Netzwerksicherheit. Dies gilt insbesondere für KI-Agenten, Testumgebungen, IoT-Geräte und sensible Entwicklungsumgebungen, die auf externe Datenquellen oder das Internet zugreifen, gleichzeitig jedoch keinen unkontrollierten Zugriff auf persönliche oder kritische Netzwerkressourcen erhalten sollen.

Eine geeignete Lösung besteht in der Einrichtung eines isolierten Netzwerks (IsoLAN), das strikt vom geschützten Heimnetzwerk (HomeLAN) getrennt ist. Systeme innerhalb des IsoLAN können bei Bedarf auf das Internet zugreifen, während Zugriffe auf das HomeLAN unterbunden werden. Gleichzeitig kann ein kontrollierter Zugriff vom HomeLAN auf ausgewählte Systeme im IsoLAN für Administration, Wartung und Überwachung ermöglicht werden.

Die Kombination aus Proxmox VE als Virtualisierungsplattform und OPNsense als Open-Source-Firewall ermöglicht eine flexible, klar strukturierte und zentral kontrollierbare Trennung der Netzwerkbereiche. Dadurch lassen sich auch potenziell kompromittierbare Systeme betreiben, ohne die Sicherheit des vertrauenswürdigen HomeLAN unnötig zu gefährden.

Ausgangslage und Zielarchitektur

Aufbau einer OPNsense-Firewall auf Proxmox, die ein isoliertes Netzwerk, bespielsweise für KI Agenten (IsoLAN, 192.168.10.0/24), vom geschützten Heimnetz (HomeLAN, 192.168.1.0/24) trennt.

Netzwerkarchitektur:

Anforderungen:

  • Zugriff auf HomeLAN darf unter keinen Umständen aus isoLAN erfolgen.
  • isoLAN erhält Internetzugriff über den Router (192.168.1.1) im HomeLAN.
  • isoLAN erhält Zugriff auf OPNSense DNS- und DHCP-Server
  • HomeLAN bezieht seine IP-Adressen weiterhin vom Router, nicht von OPNsense.
  • HomeLAN darf auf Clients in isoLAN zugreifen.
  • Aus isoLAN sind ausschließlich Internetzugriff sowie DNS- und DHCP-Dienste der Firewall selbst erreichbar, kein Zugriff auf die Firewall-WebUI oder sonstige Dienste.

Soll-Zustand nach der Konfiguration

Die Tabelle beschreibt den beabsichtigten Sicherheitszustand. Die einzelnen Regeln, Routen und Ausnahmen werden in den folgenden Abschnitten eingerichtet.

Verbindung Ergebnis
HomeLAN → OPNsense WebUI ✅ Erlaubt
HomeLAN → isoLAN ✅ Erlaubt
IsoLAN → OPNsense DNS ✅ Erlaubt
IsoLAN → OPNsense DHCP ✅ Erlaubt
isoLAN → OPNsense (SSH, WebUI etc.) ❌ Blockiert
isoLAN → HomeLAN ❌ Blockiert
isoLAN → HomeLAN 2 (VPN) ❌ Blockiert
isoLAN → Alle anderen IPv4 Netze (Internet) ✅ Erlaubt
isoLAN → Alle anderen IPv6 Netze (Internet) ✅ Erlaubt

 

1. Netzwerkkonfiguration in Proxmox: zweite Bridge für isoLAN erstellen

Für das isolierte Netz wird eine eigene, rein interne Linux-Bridge ohne Anbindung an eine physische Netzwerkkarte benötigt.

  1. In der Proxmox-Weboberfläche in der linken Baumstruktur den betreffenden Node auswählen (nicht “Datacenter”).
  2. Menüpunkt System → Network öffnen.
  3. Oben auf Erstellen → Linux Bridge klicken.
  4. Im Dialog:
    • Name: isoLAN (bzw. den nächsten freien vmbrX-Namen, falls die Proxmox-Version keine frei wählbaren Bridge-Namen erlaubt).
    • IPv4/CIDR, Gateway: leer lassen – die Bridge selbst benötigt keine IP-Adresse, da nur OPNsense und die VMs darauf kommunizieren.
    • Bridge ports: leer lassen. Das ist der entscheidende Punkt: Ohne eingetragenen physischen Port ist die Bridge komplett vom restlichen Netzwerk isoliert und existiert nur virtuell innerhalb des Proxmox-Hosts.
    • Häkchen bei VLAN aware ist nicht erforderlich, kann deaktiviert bleiben.
    • Erstellen klicken, danach oben den Button Konfiguration anwenden anklicken, damit die Bridge tatsächlich aktiv geschaltet wird.
    • Kontrolle: Die neue Bridge erscheint in der Liste unter System → Network mit dem Status “Active”, aber ohne zugeordnete physische Schnittstelle.

Tipp: Da diese Bridge keinen Bridge-Port besitzt, kann später ausschließlich über das OPNsense-LAN-Interface auf dieses Netz zugegriffen werden – das ist gewünscht und Grundlage der Isolation.

2. Proxmox-VM für OPNsense einrichten

  1. Oben rechts Erstelle VM klicken.
  2. Allgemein: Name und VM ID vergeben, z. B. OPN-GW-isoLAN.
  3. OS: OPNsense-ISO als Installationsmedium auswählen (vorher per Upload oder Download from URL unter local (Node) → ISO Images bereitgestellt), Typ: Linux / 7.x – 2.6 Kernel.
  4. System: Standardwerte übernehmen, BIOS kann bei OVMF/UEFI oder SeaBIOS bleiben (SeaBIOS reicht für OPNsense).
  5. Disks: mindestens 6 GB (Systempartition sollte mindestens 4 GB groß sein, da sonst für spätere Updates zu wenig Speicherplatz zur Verfügung steht), Standard-Controller (VirtIO SCSI) beibehalten.
  6. CPU: mindestens 2 Kerne, Typ: Host
  7. Speicher: mindestens 4096 MB, Ballooning Gerät: Haken entfernen (deaktivieren)
  8. Netzwerk: erste Netzwerkkarte konfigurieren:
    • Bridge: vmbr0 (HomeLAN)
    • Model: VirtIO (paravirtualized)
    • Firewall: Haken entfernen (deaktivieren)
  9. VM mit Bestätigen anlegen, aber noch nicht starten.
  10. Nach dem Anlegen: VM auswählen → Hardware → Hinzufügen → Netzwerkkarte, zweite NIC hinzufügen:
    • Bridge: isoLAN
    • Model: VirtIO (paravirtualized)
    • Firewall: Haken entfernen (deaktivieren)

Wichtig: HomeLan-NIC vor dem ersten Start vom Netz trennen

OPNsense installiert das LAN-Interface standardmäßig mit der IP 192.168.1.1/24 und aktivem DHCP-Server. Bliebe die HomeLan-NIC während der Installation und Erstkonfiguration mit vmbr0 verbunden, könnte der OPNSense eigene DHCP-Server kurzzeitig parallel zum Router DHCP Server im HomeLAN aktiv werden und dort IP-Konflikte verursachen.

Vorgehen:

  1. VM auswählen → Hardware.
  2. Die Netzwerkkarte, die an vmbr0 hängt, per Doppelklick öffnen.
  3. Haken bei “Erweitert” (neben dem OK Button) um erweiterte Optionen anzuzeigen.
  4. Option “Trennen” aktivieren (trennt die virtuelle NIC logisch vom Netzwerk, ohne sie zu entfernen) und mit OK bestätigen.
  5. Die NIC an isoLAN kann verbunden bleiben, da diese Bridge ohnehin isoliert ist und keine Konfliktgefahr besteht.
  6. Diese Trennung bleibt bestehen, bis die Basiskonfiguration über die Konsole (Abschnitt 4) abgeschlossen ist.

3. Installation von OPNsense

  1. VM starten, Console öffnen (noVNC oder xterm.js).
  2. Der Installer bootet automatisch ins Live-System.
  3. Login an der Konsole: installer / opnsense
  4. Installations-Assistenten durchklicken:
    • Tastaturlayout bestätigen bzw. auswählen.
    • Other Modes >> Extended Installation auswählen
    • Auto (ZFS) auswählen (Voraussetzung für den Growfs-Mechanismus weiter unten sowie für automatische Boot-Environments bei künftigen Updates).
    • Optionen ggf. anpassen und mit >>> Install fortfahren
    • Select Virtual Device type: stripe
    • Virtuelle Disk auswählen: (da0 – QEMU QEMU Harddisk)
    • Folgenden Dialog mit YES bestätigen und Installation starten
    • Nach Abschluss: Root-Passwort ändern
    • Complete Install – Confirm and exit auswählen.
    • Vor dem erneuten Hochfahren die ISO-Datei aus der VM aushängen (Hardware → CD/DVD Drive → Do not use any media), sonst startet der Installer erneut.

Exkurs: Festplatte nachträglich vergrößern (Growfs)

Falls die virtuelle Festplatte zu knapp bemessen wurde (z. B. für ein späteres Firmware-Update zu wenig freier Speicher), lässt sich das bei einer OPNsense-Installation mit ZFS über den eingebauten automatischen “Growfs”-Mechanismus nachträglich beheben, ohne Neuinstallation:

  1. VM in Proxmox herunterfahren.
  2. VM auswählen → Hardware → die virtuelle Festplatte auswählen → Disk Aktion → Größe anpassen → Wert um die Disk vergrößert werden soll eintragen, nicht Zielgröße.
  3. VM wieder starten, per Konsole oder SSH verbinden.
  4. In der OPNsense-Shell folgenden Befehl ausführen, um eine “magische” Datei anzulegen, die den Mechanismus beim nächsten Boot auslöst:

    VM neu starten. Beim Boot erkennt OPNsense die Datei, vergrößert automatisch die ZFS-Partition und den Pool und löscht die Datei anschließend selbstständig.
  5. Kontrolle nach dem Neustart:

    Der verfügbare Speicherplatz für / sollte jetzt der neuen, größeren Festplattengröße entsprechen.

4. Basiskonfiguration über die Proxmox-Konsole (Shell)

Nach dem Neustart bzw. Login (root/opnsense bzw. vergebenes Passwort) landet man automatisch im textbasierten OPNsense-Hauptmenü. Da LAN und WAN für das oben beschriebene Szenario zu diesem Zeitpunkt noch nicht sinnvoll konfiguriert sind, erfolgt die gesamte Grundkonfiguration zunächst ausschließlich über die Konsole.

4.1 Interfaces zuweisen

Menüpunkt 1) Assign interfaces wählen:

  • “Do you want to configure LAGGs now?”: n (Link Aggregation wird in den meisten Fällen nicht benötigt)
  • “Do you want to configure VLANs now?”: n (Virtuelle LANs werden nicht benötigt)
  • “Enter the WAN interface name or ‘a’ for auto-detection”: vtnet0 (HomeLan-NIC)
  • “Enter the LAN interface name…”: vtnet1 (isoLAN-Nic)
  • “Enter the Optional interface 1 name…”: leer lassen (Enter)
  • “Do you want to proceed? [y/N]”: y

Hinweis: Welche NIC als vtnet0 bzw. vtnet1 erscheint, hängt von der Reihenfolge beim Anlegen in Proxmox ab. Im Zweifel beide MAC-Adressen unter Hardware in Proxmox mit der Anzeige an der Konsole abgleichen.

4.2 LAN-Interface (isoLAN) konfigurieren

Menüpunkt 2) Set interface IP address → Interface 1 (LAN) wählen.

  • “Configure IPv4 address LAN interface via DHCP? [y/N]”: n
    Bei Auswahl von DHCP würde OPNsense versuchen, selbst eine IP von einem DHCP-Server innerhalb des isoLAN-Netzes zu beziehen; da OPNsense hier aber selbst als DHCP-Server fungieren soll, erscheint bei versehentlicher DHCP-Auswahl anschließend auch keine DHCP-Server-Konfigurationsabfrage.
  • IPv4-Adresse: 192.168.10.1
  • Subnetz-Bitcount: 24
  • Upstream-Gateway: leer lassen (Enter) – LAN-Interfaces besitzen kein Gateway.
  • Configure IPv6 address LAN interface via WAN tracking: n
  • Configure IPv6 address LAN interface via DHCP6?: n
  • IPv6-Adresse: leer lassen (Enter)
  • Do you want to enable the DHCP server on LAN? [y/N]: y (nur nach o.g. Eingabe von fester IPv4-Adresse)
    • Start-Adresse: 192.168.10.10
    • End-Adresse: 192.168.10.200
  • Do you want to change the web GUI protocol from HTTPS to HTTP? [y/N]: n
  • Do you want to generate a new self-signed web Gui certificate? [y/N]: y
  • Restore web GUI access defaults [y/N]: y

4.3 WAN-Interface (HomeLAN) konfigurieren

Menüpunkt 2) Set interface IP address → Interface 2 (WAN) wählen.

Für dieses Tutorial wird eine feste WAN-Adresse verwendet. Dadurch bleibt die OPNsense-WebUI, die spätere Route und die gesamte Dokumentation unter derselben Adresse erreichbar.

  • “Configure IPv4 address WAN interface via DHCP? [y/N]”: n
  • IPv4-Adresse: 192.168.1.91
  • Subnetz-Bitcount: 24
  • Upstream-Gateway: 192.168.1.1
  • “Do you want to use the gateway as the IPv4 name server, too?”: y
  • IPv6 via DHCP6: n
  • Für WAN erscheint keine DHCP-Server-Abfrage – OPNsense bietet auf WAN-Interfaces grundsätzlich keinen DHCP-Server an. Die Anforderung “DHCP von OPNsense für HomeLAN darf nicht aktiv sein” ist damit strukturell automatisch erfüllt.
  • “Change web GUI protocol HTTPS→HTTP?”: n
  • “Generate new self-signed web GUI certificate?”: y
  • “Restore web GUI access defaults?”: y

Alternative: Statt einer festen Adresse kann das WAN-Interface auch per DHCP eine Adresse vom Router beziehen. Für die weiteren Schritte muss dann überall die tatsächlich vom Router vergebene WAN-Adresse verwendet werden. Eine feste Adresse wie 192.168.1.91 ist für dieses Tutorial jedoch übersichtlicher.

4.4 HomeLan-NIC wieder verbinden

Erst jetzt, nach abgeschlossener Basiskonfiguration, die zuvor getrennte NIC wieder aktivieren:

  1. In Proxmox: VM → Hardware → die HomeLan-NIC öffnen.
  2. Option “Trennen” wieder deaktivieren, mit OK bestätigen.

Die Konsole zeigt danach die finale Übersicht:

  • LAN (vtnet1) -> v4: 192.168.10.1/24
  • WAN (vtnet0) -> v4: 192.168.1.91/24 (oder falls DHCP gewählt, IP aus HomeLAN Adressbereich)

5. Management-VM (Linux-Live-Image) für die weitere WebUI-Konfiguration

Die OPNsense-WebUI ist nach der Grundkonfiguration ausschließlich über das LAN-Interface (IsoLAN) erreichbar, da nur dort eine Default-Allow-Regel existiert, die auch Zugriff auf die Firewall selbst einschließt. Auf dem WAN-Interface (HomeLAN) existiert dafür zunächst keine Regel.

5.1 Temporäre Management-VM starten

  • In Proxmox eine neue, schlanke VM anlegen (z. B. mit einem Linux-Live-Image mit Desktopumgebung und Browser, etwa einer gängigen Live-Distribution).
  • Netzwerkkarte dieser VM an die Bridge isoLAN anbinden.
  • VM starten, Live-System bootet direkt in eine grafische Desktopumgebung, ohne Installation.
  • Netzwerkverbindung prüfen: Die VM sollte automatisch über DHCP eine Adresse aus dem Bereich 192.168.10.10–192.168.10.200 erhalten (bezogen vom OPNsense-DHCP-Server).
  • Browser öffnen und http://192.168.10.1 (oder https, wenn konfiguriert)  aufrufen.
  • Zertifikatswarnung bestätigen, wenn https konfiguriert (selbstsigniertes Zertifikat).
  • Login mit root und dem zuvor an der Konsole vergebenen Passwort.

5.2 WebUI-Zugriff aus dem WAN (HomeLAN) einrichten

Um den Traffic aus dem HomeLAN (WAN-Interface von OPNsense) bis zur Firewall weiterzuleiten, muss unter Schnittstellen → WAN (HomeLAN) die Option „Private Netzwerke blockieren“ deaktiviert werden. Da es sich bei 192.168.1.0/24 um ein privates RFC1918-Netz handelt, würde OPNsense diesen Traffic andernfalls bereits durch eine automatisch generierte Regel vor der Verarbeitung der eigenen Firewall-Regeln verwerfen. „Bogon-Netzwerke blockieren“ kann hingegen aktiviert bleiben.

Damit die WebUI künftig auch direkt aus dem HomeLAN über das WAN-Interface erreichbar ist und die temporäre Management-VM nicht mehr benötigt wird, wird anschließend eine entsprechende Firewall-Regel für das HomeLAN-Interface angelegt.

Die Firewall-Regeln werden zentral unter Firewall → Regeln verwaltet. Eine neue Regel wird über das rote “+”-Symbol unten rechts in der Liste angelegt, Der Bearbeiten-Dialog lässt sich über den Schalter “Erweiterter Modus” oben links um zusätzliche Felder erweitern.

Menü: Firewall → Regeln, über “+” neue Regel:

  • Aktiviert: Häkchen gesetzt
  • Beschreibung: “Allow HomeLAN -> OPN Webui”
  • Schnittstelle: WAN (HomeLAN)
  • Schnell: Haken setzen
  • Aktion: Erlauben
  • Richtung: Eingehend
  • Version: IPv4
  • Protokoll: beliebig – damit ist der vollständige Zugriff vom HomeLAN auf die Firewall erlaubt.

Hinweis: Der vollständige Zugriff ist für dieses Tutorial ausdrücklich gewünscht. Wenn stattdessen nur einzelne Dienste freigegeben werden sollen, kann die Regel gezielt auf das benötigte Protokoll und den jeweiligen Zielport eingeschränkt werden, z. B. TCP auf den konfigurierten WebUI-Port.

  • Quelle: WAN network (HomeLAN)
  • Ziel: Diese Firewall

Eingabe Speichern und sicherstellen, dass Regel an erster Stelle in der Regelliste steht, dann mit Anwenden Änderungen laden. Ab diesem Zeitpunkt ist die WebUI unter https://192.168.1.91 auch direkt aus dem HomeLAN erreichbar, die Management-VM wird nicht mehr benötigt.

6. Abschließende Konfiguration über die WebUI

6.1 Outbound-NAT für isoLAN → Internet

Für den Internetzugriff des IsoLAN ist Network Address Translation (NAT) erforderlich. OPNsense übersetzt dabei die privaten IP-Adressen des IsoLAN (192.168.10.0/24) auf die WAN-IP der Firewall (192.168.1.91). Dadurch kann der Router im HomeLAN den Datenverkehr als normalen Internetverkehr weiterleiten, ohne das IsoLAN kennen zu müssen.

Menü: Firewall → NAT → Quell-NAT

  • Modus Automatic Source NAT rule generation (oder Hybrid outbound NAT rule generation) auswählen und speichern.
  • OPNsense erzeugt automatisch eine Regel, die den gesamten Traffic aus 192.168.10.0/24 beim Verlassen über WAN auf die WAN-Adresse (192.168.1.91) maskiert (Masquerading). Der Router im HomeLAN sieht dadurch nur Traffic von 192.168.1.91 und leitet ihn regulär ins Internet weiter.

6.2 Routing und Firewall-Regeln für HomeLAN → isoLAN

Damit HomeLAN-Clients auf Geräte im isoLAN zugreifen können, sind zwei getrennte Voraussetzungen notwendig:

  1. Der HomeLAN-Client bzw. dessen Router muss wissen, dass 192.168.10.0/24 über OPNsense erreichbar ist.
  2. OPNsense muss den anschließend eintreffenden Traffic per Firewall-Regel erlauben.

Die Firewall-Regel allein reicht nicht aus. Welchen Weg ein Paket nimmt, entscheidet zunächst der sendende Client anhand seiner eigenen Routing-Tabelle.

6.2.1 Route im HomeLAN einrichten

Da 192.168.10.0/24 ein für HomeLAN-Clients fremdes Subnetz ist, schicken sie Pakete dorthin standardmäßig an ihr Default-Gateway, in diesem Beispiel die FRITZ!Box 192.168.1.1. Kennt der Router das Netz 192.168.10.0/24 nicht, kommt das Paket bei OPNsense nie an.

Dazu muss eine der folgenden Varianten eingerichtet werden:

Option A – zentral im Router (empfohlen):

Statische Route im HomeLAN-Router (192.168.1.1) eintragen. Sie gilt anschließend für alle HomeLAN-Clients.

  • Netzwerk: 192.168.10.0
  • Subnetzmaske: 255.255.255.0
  • Gateway: WAN-Adresse der OPNsense, 192.168.1.91

Option B – auf jedem Client:

Route auf jedem einzelnen HomeLAN-Client einrichten:

Diese Route ist bei ip route add standardmäßig nicht persistent und muss ggf. dauerhaft über die jeweilige Netzwerkverwaltung eingerichtet werden.

Ohne diese Route ist der Zugriff von HomeLAN auf isoLAN trotz korrekter OPNsense-Firewall-Regel nicht möglich.

6.2.2 Firewall-Regeln für WAN (HomeLAN) → LAN (isoLAN)

Menü: Firewall → Regeln, jeweils neue Regel über “+” mit Schnittstelle: HomeLAN:

# Aktion Version Protokoll Quelle Ziel Zielport Zweck
1 Erlauben IPv4 beliebig WAN network (HomeLAN) Diese Firewall beliebig / 443 WebUI-Zugriff aus HomeLAN erlauben (Regel aus 5.2)
2 Erlauben IPv4 beliebig beliebig LAN network (isoLAN) beliebig Zugriff auf isoLAN Netzwerk erlauben

Menü: Firewall → Regeln, über “+” neue Regel:

  • Aktiviert: Häkchen gesetzt
  • Beschreibung: “ALLOW | HomeLAN => isoLAN”
  • Schnittstelle: WAN (HomeLAN)
  • Schnell: Haken setzen
  • Aktion: Erlauben
  • Richtung: Eingehend
  • Version: IPv4
  • Protokoll: beliebig – vollständiger Zugriff aller Protokolle von WAN (HomeLAN) nach LAN (isoLAN)
  • Quelle: beliebig – vollständiger Zugriff von allen IP Adressen von WAN (HomeLAN) nach LAN (isoLAN)
  • Ziel: LAN network (isoLAN)

OPNsense nutzt standardmäßig die auf dem HomeLAN-Interface hinterlegte Gateway-Adresse als festen Rückweg für Antworten („Reply-to“). Falls der Zugriff von HomeLAN auf isoLAN trotz korrekt konfigurierter Routen und Firewall-Regeln nicht funktioniert, kann dies an der Standardverarbeitung der Antwortpakete liegen. Antwortpakete aus isoLAN erreichen zwar OPNsense, werden jedoch beim Verlassen Richtung HomeLAN nicht direkt an den anfragenden Client gesendet, sondern an die MAC-Adresse des Standardgateways (z. B. 192.168.1.1) adressiert. Dadurch geht die Antwort verloren, obwohl alle Routing- und Firewall-Einstellungen korrekt sind. Um dies zu beheben, sollte in Regel 2 die Option „Antwort an“ deaktiviert werden. Dadurch wird sichergestellt, dass Antwortpakete direkt an den anfragenden Client zurückgesendet werden.

  • Regel 2 öffnen (Stift-Icon).
  • Oben links den Schalter „Erweiterter Modus“ aktivieren, um zusätzliche Felder einzublenden, und ganz unten im Dialog auf „Quellrouting“ bzw. die entsprechende erweiterte Sektion achten.
  • Feld „Antwort an“ von „Standard“ auf „Deaktivieren“ stellen.
  • Speichern, „Änderungen übernehmen“ bestätigen.

Damit werden Pakete aus isoLAN korrekt anhand der normalen Routing-Tabelle an die tatsächlichen HomeLAN-Clients zugestellt.

6.3 Firewall-Regeln für LAN (isoLAN) → WAN (HomeLAN)

Die in den Punkten 5.2 und 6.2.2 erstellten Regeln und Routen (1/2) steuern die Kommunikation zwischen dem WAN-Netzwerk (HomeLAN) und der Firewall sowie dem LAN-Netzwerk (isoLAN). Standardmäßig hat das LAN-Netzwerk uneingeschränkten Zugriff auf das WAN-Netzwerk. In diesem Fall ist dies jedoch nicht gewünscht, da das WAN-Netzwerk (HomeLAN) das sichere Netz darstellt, während das LAN-Netzwerk (isoLAN) als unsicher eingestuft wird. Da der Zugriff vom WAN-Netzwerk auf die Dienste der Firewall standardmäßig gesperrt ist, sind für den Betrieb des OPNsense-DHCP- und DNS-Servers drei zusätzliche Regeln erforderlich.

  • Regel 3 und 4 gewähren dem WAN-Netzwerk Zugriff auf den OPNsense DHCP- und DNS-Server.
  • Regel 5 sperrt den Zugriff auf alle anderen Dienste, sodass nur der DNS- und DHCP-Server von OPNsense im WAN-Netzwerk erreichbar sind.
  • Regel 6 und 8 sperren den WAN-Netzwerk Zugriff auf geschützte Netze.
  • Regel 9 und 10 gewähren dem WAN-Netzwerk Zugriff auf das Internet.

Regel 6 sperrt den Zugriff des LAN Netzwerks (IsoLAN) auf das WAN Netzwerk (HomeLAN). Diese Regel ist für jedes zu sichernde Netzwerk separat erforderlich, da das LAN Netzwerk standardmäßig Zugriff auf alle WAN-Netzwerke besitzt.

Menü: Firewall → Regeln, jeweils neue Regel über “+” mit Schnittstelle: isoLAN. Reihenfolge von oben nach unten:

# Aktion Version Protokoll Quelle Ziel Zielport Zweck
1 Erlauben IPv4 beliebig WAN network (HomeLAN) Diese Firewall beliebig / 443 WebUI-Zugriff aus HomeLAN erlauben (Regel aus 5.2)
2 Erlauben IPv4 beliebig beliebig LAN network (isoLAN) beliebig Zugriff auf isoLAN Netzwerk erlauben
3 Erlauben IPv4 TCP/UDP isoLAN network Diese Firewall 53 DNS-Auflösung über OPNsense-Resolver
4 Erlauben IPv4 UDP isoLAN network Diese Firewall 67 DHCP-Anfragen an OPNsense
5 Blockieren IPv4 beliebig isoLAN network Diese Firewall beliebig Rest des Zugriffs auf die Firewall selbst sperren (WebUI, SSH, Ping etc.)
6 Blockieren IPv4 beliebig isoLAN network HomeLAN network beliebig HomeLAN komplett sperren
8 Blockieren IPv4 beliebig isoLAN network Einzelner Host oder Netzwerk: 192.168.2.0/24 beliebig Beispiel für ein weiteres, mit HomeLAN verbundenes Netz (z. B. VPN)
9 Erlauben IPv4 beliebig isoLAN network beliebig beliebig restlicher IPv4-Traffic = Internetzugriff (automatisch angelegt)
10 Erlauben IPv6 beliebig isoLAN network beliebig beliebig restlicher IPv6-Traffic = Internetzugriff (automatisch angelegt)

Wichtig zur Richtung: Bei allen Regeln muss die Richtung auf “Eingehend” stehen (Traffic, der auf dem isoLAN-Interface ankommt), nicht “Ausgehend”. Eine versehentlich auf “Ausgehend” gestellte Regel matcht praktisch nie und wird von der darunterliegenden Allow-Regel überdeckt.

Wichtig zur Reihenfolge: Die Blockierungsregeln (3–5) müssen vor den Erlauben-Regeln für den Internetzugriff (9–10) stehen, da nach dem Prinzip “erste Übereinstimmung gewinnt” ausgewertet wird. Die Reihenfolge kann in der Übersicht bei Bedarf angepasst werden.

Hinweis bei mehreren Netzen innerhalb des HomeLAN (z. B. VPN): Existieren neben 192.168.1.0/24 weitere, mit dem HomeLAN verbundene Netze (z. B. ein VPN-Netz wie 192.168.2.0/24), sind diese von der Sperrung in Abschnitt 6.3, Regel 4 (“Blockieren, isoLAN → HomeLAN network”) nicht automatisch mit erfasst – es gibt keine automatische Sperre für “alles, was mit HomeLAN verbunden ist”. Für jedes weitere Netz muss auf dem isoLAN-Interface eine eigene, zusätzliche Blockierungsregel angelegt werden; ein konkretes Beispiel dafür ist bereits als Regel 5 in der Tabelle in Abschnitt 6.2 enthalten (Blockieren, Ziel: Einzelner Host oder Netzwerk 192.168.2.0/24, Beschreibung “Deny isoLAN => VPNLAN”).

CC_BY_NC_SAby Speefak

Website https://speefak.spdns.de/oss_lifestyle

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Related Posts

Back To Top