WireGuard via AVM Fritz!Box

WireGuard via AVM Fritz!Box

Okt. 31, 2023 | Allgemein, OPNsense, Tips und Tricks, VPN, WireGuard

AVM

Internet in Deutschland ohne AVM Fritz!Box gibt es eigentlich nicht. Unserer Meinung nach völlig zu Recht handelt es sich bei den Routern der Berliner AVM um sehr beliebte Router im privaten Umfeld. Von daher ist es alles andere als verwunderlich, dass man diese Router oftmals im geschäftlichen Umfeld ebenfalls antrifft.

Viele Administratoren betrachten allerdings die Fähigkeiten einer Fritz!Box bei IpSec VPN als eher eingeschränkt. Mit WireGuard hat nun allerdings eine neue, weitere VPN Technik zuletzt in einigen Fritz!Box Modellen Einzug gehalten. Und die funktioniert selbst bei Site-to-Site wunderbar.

 

Eine Verbindung per VPN ist dank WireGuard zwischen einer Fritz!Box und einer OPNsense Firewall nun kein Problem mehr. Eingerichtet wird dies auf Seiten von der Fritz!Box genauso wie in OPNsense so wie in der jeweiligen Dokumentation beschrieben (Links Stand Oktober 2023):

https://avm.de/service/vpn/wireguard-vpn-zur-fritzbox-am-computer-einrichten/dok2/3687_WireGuard-VPN-zwischen-FRITZ-Box-und-anderem-Router-einrichten/

https://docs.opnsense.org/manual/how-tos/wireguard-s2s.html

Der Vollständigkeit wegen noch der Link zu WireGuard allgemein - falls unbekannt:

https://www.wireguard.com/

Fritz!Box

Allerdings gibt es eine Besonderheit auf Seiten der Fritz!Box. Wie in deren Dokumentation zu lesen ist, benötigt die Fritz!Box keine IP-Adresse in einem Transfernetz. Anstatt eines Transfernetzes trägt man an dieser Stelle die interne IP der Fritz!Box mit der zugehörigen Maske ein. Für OPNsense bedeutet dies im Umkehrschluss, dass die Tunnel-Adresse bei der Instanz leer gelassen werden kann. Diese ist, aufgrund des fehlenden Transportnetzes, unnötig. Der Rest wird so eingerichtet, wie dies bei WireGuard üblicherweise gemacht wird.

Zusammengefasst kann man sagen, dass WireGuard und Fritz!Box zusammen wunderbar funktionieren. Eine stabile Verbindung zu einer OPNsense Firewall ist somit in wenigen Minuten eingerichtet. Auch in dieser Kombination spielt WireGuard seine Vorteile wie einfache, schnelle aber sichere Konfiguration selbst bei wechselnden öffentlichen IP-Adressen vollends aus.

 

Quellen zu Bildern von Dritten

Sinnvolles „allow any“

Sinnvolles „allow any“

Okt. 25, 2023 | Allgemein, OPNsense, Tips und Tricks

Sofern ich einen eigenen E-Mail-Server betreibe, habe ich in meiner Firewall eine Regel stehen, die besagt, dass jeder da draußen an meinen E-Mail-Server eine Mail senden darf. Aber nur E-Mail. Das ist ja schließlich kein Webserver und auch kein Datenbankserver. So sind Firewallregeln nun mal, dies ist so allgemein üblich.

Aber warum eigentlich? Wirklich „jeder“ darf an mich E-Mails senden? Und das „jeder“ kann an vielen Stellen hinterfragt werden: Man betreibt einen Webshop ausschließlich für den deutschsprachigen oder vielleicht sogar den europäischen Markt. Warum sollte jemand am anderen Ende der Welt diesen Shop besuchen wollen? Und selbst wenn man für die zu betrachtende Webanwendung keine solchen Einschränkungen treffen kann, dann sollte man trotzdem „jeder“ kritisch hinterfragen.

Zum einen sollte man den Bereich der „Bogon“ Adressen ausschließen. Das sind Adressen, die im Internet an niemanden vergeben wurden und welche für Firewalls häufig um die Bereiche erweitert wurden, welche im Internet erst gar nicht vorkommen können. Neben den privaten A/B/C-Netzen gibt es da noch einiges mehr.

Ebenso gibt es DROP bzw. EDROP-Listen. Das sind IP-Adressen von gekaperten Netzbereichen, professionellen Spammern, Cybercrime-Organisationen usw. EDROP erweitert diese Liste um die noch freien IP-Bereiche. Also ein zusätzlicher Schutz – freie IPs könnten bereits von Dritten gekapert worden sein.

Das ist der Mindestschutz, den eine Firewall bei eingehenden Verbindungen bieten sollte. Was ist, falls man jetzt, wie oben bei einem Webservice gezeigt, den Besucherkreis noch weiter einschränken kann, zum Beispiel auf Deutschland? Selbst das kann eine moderne Firewall filtern: IP-Adress-Bereiche sind an Länder vergeben worden. Dank GeoIP kann eine Firewall nach diesen Länderlisten filtern und entsprechend den Zugang gewähren oder eben verweigern.

Das waren jetzt mal ein paar grundlegende Möglichkeiten, die man hat um „jeder“ zu optimieren. Hier ist noch viel mehr möglich als dieser kurze Artikel im Detail zeigen könnte.

Zusammengefasst: Bei eingehenden Verbindungen von extern sollte man wirklich einen kurzen Moment innehalten und überlegen, ob das wirklich „jeder“ heißen muss. Selbst falls keine Beschränkung via GeoIP möglich sein sollte, so kann man das direkt offensichtliche mit Bogon sowie DROP und EDROP sperren. Für mehr Schutz ihrer Webservices.

Nehmen Sie einfach unverbindlich Kontakt zu uns auf bei Fragen wie man dies mit einer OPNsense Firewall in wenigen Minuten wirkungsvoll umsetzen kann. Und was davon kann Ihre Firewall?

Quellen zu Bildern von Dritten

Wider der Zwangstrennung

Wider der Zwangstrennung

Okt. 18, 2023 | OPNsense, Tips und Tricks

Die Internetleitung steht, das Wetter sitzt - und dann ist alles kurzfristig vorbei: Alle VPNs weg, alle Datenübertragungen brechen ab. Des Rätsels Lösung: Die Zwangstrennung.

Bei DSL-Leitungen hat man sich daran gewöhnt: Zwangstrennung spätestens nach 24 Stunden. Früher hat man vor dem Netzteil des DSL-Modems eine Zeitschaltuhr gesteckt, welche das Modem irgendwann mitten in der Nacht per Zwangsreset zur Neueinwahl gezwungen hat. Heute ist das in der Regel viel eleganter gelöst: Jeder moderne Internetrouter bietet die Möglichkeit der automatischen Neueinwahl zu einer bestimmten Uhrzeit. In der Regel passiert dies mitten in der Nacht. Die Art und Weise mag sich gewandelt haben - der Wunsch, die Zwangstrennung der Neueinwahl auf einen Zeitpunkt zu legen, wo dieser nicht störend ist, blieb der Gleiche.

Und bei OPNsense? Die Einwahl per Glasfaser bzw. FTTH erfolgt wie bei DSL in der Regel über PPPoE. Bei den Einstellungen zu PPPoE sucht man eine steuerbare Zwangstrennung allerdings vergebens. Nicht, weil OPNsense das nicht könnte - ganz im Gegenteil: OPNsense kann deutlich mehr als nur die Zwangstrennung. OPNsense ist es letztendlich egal, warum man eine Netzwerkkarte neu initialisieren möchte. In unserem Fall ist es aber das, was wir haben wollte: Eine erneute Initialisierung der PPPoE Netzwerkkarte verbindet eben diese neu - und wählt somit neu ein.

Diese Einstellung findet sich unter System/Settings/Cron: Einfach einen neuen Cronjob anlegen vom Typ "Periodic interface reset" und als Parameter gibt man den Device-Namen an wie zum Beispiel "wan" oder "opt1". Auf die Uhrzeit gelegt, wo man dies haben möchte und das war es bereits. Einfach, oder?

Periodic Interface Reset

Noch mehr Infos zu geplanten Aufgaben wie cron oder dem "Periodic Interface Reset" gewünscht? Aber gerne doch, die gibt es im Handbuch: https://docs.opnsense.org/manual/settingsmenu.html#cron.

Quellen zu Bildern von Dritten

BGP für IpSec VPNs

BGP für IpSec VPNs

Aug. 22, 2023 | OPNsense, Routing, Tips und Tricks

Zu Zeiten von Cloud und Co. stellen sich immer mehr Unternehmen die Frage, was passiert, wenn die Firewall einmal ausfallen sollte. Kein Problem, die Lösung ist mittels OPNsene einfach: Ein HA-Cluster muss her. Und der ist bereits bei OPNsense enthalten. Das ist toll, die Firewall ist verfügbar. Oder auch nicht sollte die Internetleitung ausfallen. Aber auch hier: OPNsense kann Multi-WAN, kann also mehrere Internetleitungen verwalten. Nur was ist, wenn man auf dieser Grundlage zu einem entfernten Ziel nicht nur einen, sondern zwei VPN-Tunnel öffnen möchte? Also wenn Tunnel 1 über Leitung 1 ausfällt, dann wechsle automatisch auf den Backup-Tunnel 2 auf Leitung 2.

Dieses Szenario kann man inzwischen regelmäßig finden. Oftmals lautet die Lösung für dieses Problem, dass sich im Falle eines Ausfalls ein Admin auf die Firewall verbindet und den Tunnel auf der ausgefallenen Leitung 1 manuell deaktiviert und den bereits konfigurierten, aber inaktiven, Backup-Tunnel auf Leitung 2 aktiviert. Und sobald die Leitung 1 wieder da ist das gleiche Spiel nochmals. Nur andersherum.

Doch wozu? OPNsense bringt für solche Szenarien alles mit, um automatisch den VPN-Tunnel schwenken zu lassen. Alles, was man tun muss, ist unter System/Firmware/Plugins das Plugin os-frr installieren.

Zwischen Firewall und VPN erscheint nun im Menü der Punkt Routing. Und hier ist alles enthalten, was man für die Lösung dieses Problems benötigt: Routing Protokolle wie zum Beispiel RIP, OSPF und BGP.

Routing Protokolle helfen auf Routern alle verfügbaren Wege zum Ziel zu finden und den Besten als aktiven Weg zu verwenden. Und im Falle eines Ausfalls wird die Route ins Ziel automatisch auf die jetzt beste Alternative geschwenkt.

Oder konkret für unser Beispiel zum Textanfang: Mittels BGP wählt eine OPNsense Firewall automatisch immer den Besten IpSec Tunnel aus. Und im Falle eins Aufalls schwenkt es automatisch auf den Backup-Tunnel. Und zurück, sobald die Leitung wieder verfügbar ist.

Routing Plugin

Und dies war nur ein einfaches Beispiel, welches zeigen soll, wie man so etwas mit OPNsense lösen kann. Die Verfügbarkeit von Routing Protokollen eröffnen beinahe ungeahnte Möglichkeiten mit der die Firewall automatisch immer den Besten Weg zum Ziel findet. Auch dann, wenn gerade mal kein Admin erreichbar ist, welcher von Hand auf die Backupleitung schwenkt.

Quellen zu Bildern von Dritten

AirPrint, IPP und Co.

AirPrint, IPP und Co.

Juli 27, 2023 | OPNsense, Tips und Tricks

Sie haben ihr Netzwerk aufgeteilt? Der Drucker steht in einem anderen Netzwerk wie ihr gerade verwendetes Gerät? Und dennoch soll der Drucker via IPP, AirPrint, BonJour, ZeroConfig und Co. gefunden werden? Ihr SmartPhone oder Ihr PC findet den Drucker nicht mehr automatisch? Dieses Problem ist einfach zu lösen: Ihr Netzwerk benötigt einen Multicast Repeater!

OPNsense ist bereits bestens gerüstet für solche Aufgaben. Unter den verfügbaren Plugins finden sich sogar mehrere Tools, welche hier helfen können. Am einfachsten für diese Aufgabe ist allerdings der mDNS Repeater einzurichten.

mDNS-Anfragen funktionieren nur innerhalb des aktuell verwendeten Subnetzes. Unerkannt bleiben somit Geräte, welche sich außerhalb ihres Subnetzes befinden. Um dies zu lösen wiederholt ein mDNS Repeater alle Anfragen, welche auf einer Schnittstelle eingehen, auf allen anderen Schnittstellen erneut. Und schon ist die Grenze des lokalen Subnetzes übergangen.

Der mDNS Repeater kennt im Wesentlichen nur eine einzige Einstellung: Die Netzwerkkarten bzw. VLANs welche miteinander verbunden werden sollen. Für diese Schnittstellen muss nun lediglich noch die passende Regel in der Firewall eingetragen werden und schon werden wieder sämtliche Drucker, wie zum Beispiel im angefügten Screenshot gezeigt, gefunden.

 

SmartPhone Printer

Quellen zu Bildern von Dritten