[wiregate] wiregate hinter pfSense - fehlende Portfreigabe in Firewall?

[alexbeer]

Hallo zusammen,

ich habe am Wochenende den Schritt gewagt und meine FritzBox als Router in Rente geschickt und diese gegen eine pfSense-Firewall ausgetauscht.
Die pfSense fungiert dabei auch als Router. Bei diesem Schritt habe ich auch den Adressbereich meines kompletten Netzwerkes angepasst.
Das wiregate kommuniziert bei mir generell per KNX-Schnittstelle mit dem Bus.

Das wiregate läuft für sich auch wunderbar in dem neuen Netzwerk. Die neue IP-Adresse der KNX-Schnittstelle ist im wiregate hinterlegt.
Leider funktioniert die Kommunikation zum KNX-Bus noch nicht. So einiges anderes funktioniert auch noch nicht. Die Ursache liegt also definitiv nicht am wiregate - sondern an meinem internen Netzwerk bzw meinen Firewall-Einstellungen!

Ich bin blutiger Anfänger was die pfSense angeht - und die Lernkurve ist doch noch steiler als befürchtet ;-)

Generell läuft die pfSense quasi im Auslieferungszustand.
Als zusätzliche Pakete sind:

• pfBlockerNG und
• suricata

installiert.
Suricata hat mich jedoch einige Nerven gekostet und wirft derzeit "nur" noch Alerts aus und blockt keinen Traffic mehr. Wahnsinn, was da täglich so an die Türen klopft!

Nutzt jemand von euch sein wiregate hinter einer pfSense?
Ich vermute, dass ich noch irgendwelche Ports freigeben muss - nur welche?
Exkurs: auch die Sonos - Lautsprecher hatten "Anlaufschwierigkeiten". Nach dem ich die Ports aus diesem Post freigegeben habe, funktionieren die Lautsprecher wieder.


By the way:
Leider funktioniert auch der openVPN Zugriff aus der Ferne nicht mehr.
Bislang habe ich in der pfSense folgendes versucht:
1. Services >>> Dynamic DNS - meinen DDNS Anbieter hinterlegt - IP-Adresse ist grün
2. Portfreigabe 1194 auf interne Adresse von wiregate
3. im Wiregate in den openVPN Server Einstellungen den neuen Netzwerk-Bereich hinterlegt
4. Auf der Fritze hatte ich noch eine "Static Route" hinterlegt - das ist bei der pfSense (nach meinem Verständnis) nicht förderlich, s, https://doc.pfsense.org/index.php/Static_Routes

Never add static routes for networks reachable via OpenVPN. Such routes are managed by OpenVPN itself using Remote Network definitions, not static routes.

Vielen Dank für jegliche Tipps.

VG

[DerStandart]

Wenn sich Wiregate und KNX-Schnittstelle im gleichen Subnetz befinden, dann liegt es nicht an der pfSense, dass die beiden nicht miteinander kommunizieren können.

Was Deinen VPN-Zugriff angeht, so würde ich empfehlen, das komplett über die pfSense zu erledigen. Falls da irgendwas gegen spricht, dann fehlt Dir für Deine jetzige Konstellation noch die Freigabe in der Firewall. Dein Zitat bezieht sich darauf, wenn Du die pfSense das openVPN machen lässt. Dann darfst Du auf keinen Fall eine Route setzen. In Deinem Fall, wenn Du es über das WireGate machen möchtest, ist die Route wahrscheinlich erforderlich.

Meine Empfehlung wäre, das openVPN auf die pfSense umzuziehen.

Grüße

[alexbeer]

Hallo Christoph,
ja, wiregate und KNX-Schnittstelle befinden sich beide im gleichen Subnetz. Fernziel ist es, dass Netzwerk via VLANs zu separieren, aber zuvor muss erstmal wieder alles laufen.
Vom wiregate aus, kann ich die Schnittstelle auch anpingen.

Hast du sonst eine Idee, wo ich suchen kann, warum das wiregate (nach Routerwechsel) nicht mehr mit der KNX-Schnittstelle kommunizieren mag?
Neustart habe ich auch bereits durchgeführt.

Was Deinen VPN-Zugriff angeht, so würde ich empfehlen, das komplett über die pfSense zu erledigen.

Oh je, der openVPN Zugriff via wiregate lief jetzt 4 Jahre ohne ein Problem und das zertifikatsbasiert.

Das war einfach und bequem zu nutzen. Naja, sobald die internen Wehen überstanden sind, werde ich mich wohl dem Thema widmen.

VG Alex

Edit:
Warum auch immer, jetzt funktioniert es (wieder). Ich habe zunächst per ETS versucht mich zu verbinden - habe dann die Meldung erhalten, dass keine weiteren Verbindungen zur Schnittstelle zur Verfügung stehen.
Das wiregate habe ich dann temporär vom Netz genommen, mich mit der ETS auf die Schnittstelle verbunden, dann die ETS-Verbindung zur getrennt und das wiregate die Verbindung wieder übernehmen lassen.
ETS-Verbindung funktioniert nun wieder via eibd des wiregate und wiregate - KNX - Kommunikation funktioniert auch wieder.
Was jetzt "geheilt" wurde, verstehe ich jedoch nicht...

[DerStandart]

Moin,

nein, ich habe leider keine Idee, wo Du noch suchen kannst. Scheint sich aber auch erledigt zu haben.

VPN über openVPN auf der pfSense ist Zertifikats- und Benutzerbasiert, d.h. du benötigst pro Benutzer ein gültiges Zertifikat und eine gültige Kombination aus Username / Passwort. Client-seitig ist openVPN immer einfach und bequem zu nutzen, egal auf welchem Endgerät der Server läuft.

Grüße,
Christoph