Új hozzászólás Aktív témák
-
tobi''
tag
Pár éve én is sokat szenvedtem vele (ez leginkább a digi hibája), nem is akartam vele foglalkozni míg nem írtad le a gondod, de telekom nettel rendben működik opnsense alatt, illetve a “DHCPv6 server on LAN interface” is adja, beállítva a 2db IPv6 cím mellé egy harmadik is kiosztásra kerül, csak azon a címen át a ping nem olyan jó valamiért, ennek okát majd még kutatom. De itthagyok egy [link] , van egy plusz beállítás azzal, hogy a megfelelő IPv6-kommunikáció érdekében engedélyeznie kell bizonyos típusú ICMPv6-forgalmat, a cikkben megtalálod ezeket, ha netán majd egyszer újra belefogsz.
-
tobi''
tag
Tailscale (wireguard alapú) megy port nyitás nélkül (akár úgy is hogy csak el tudd érni és a net nem azon megy át), én még nem raktam fel, de valamikor lehet rápróbálok, és ha megy akkor nem kell IPv6-al szenvedned, ha jól gondolom.
OPNsense alatt csak az RA-t kellett bekapcsolni, ha rossz címek vannak kiosztva lehet jobb ha újraindítod a rendszert. Illetve nekem a switchen nem kellett semmit állítani, viszont anno a digi ipv6-al szenvedtem (/64 csak) és ott egy tp-linkes switchen is állítgatni kellett, de nem működött stabilan, telekomé (/56) azonnal pár kattintás után már működött is. -
tobi''
tag
Teszteltem kicsit a DNS-t, az “Allow DNS server list to be overridden by DHCP/PPP on WAN” résznél a link által javasolt helyett kivettem a pipát. Nálam van egy NAT Port Forward rule DNS Redirect végett, hogy a google eszközök ne menjenek ki a 8.8.8.8 címre [link] , ehhez még unbound alatt be van pipálva a “Use NameServers”. Most érzékeltem, hogy valami elkezdett kimenni IPv6-on át is, ezért csináltam egy IPv6-local névvel ellátott Aliast, content ::1 ,amivel aztán csináltam egy IPv6 DNS redirect rule-t is. Ezt a “Default allow LAN IPv6 to any rule” elé húzva, már vissza is irányítja a kéréseket, mint IPv4 esetén is.
-
tobi''
tag
Nem foglalkoztam vele eddig, de ránéztem neked OPNsense alatt, [link] ezt a leírást követtem, prefix size /56 raktam, majd RA alatt “unmanaged” (mással nem próbáltam), dns szervernek beírtam 2001:4c48:1::1 (nem teszteltem nélküle, ezt beraktam egyébként a System/Settings/General alatt is). Illetve Firewall Lan Rules engedni kell az IPv6-ot.
Wifin át tesztelve adja iOS és gugli eszközön is. -
tobi''
tag
Én az alábbi cikk alapján döntöttem el mit szeretnék használni, szerintem gyorsan meg lehet érteni: https://homenetworkguy.com/how-to/install-and-configure-crowdsec-on-opnsense/
Az országokat célszerű külön aliasokba szedni, pl. nálam drop_russia, drop_china, és az említett network group aliassal hozol egy fő aliast ami alatt ki tudod venni is a pipát azon ország alias alól, amit valamiért engedned kell, pl. az aliespress kezdő oldalát nem tiltja, viszont utána boltokra szűrve vannak akadások már, ilyenkor vagy átmenetileg kiveszed a pipát drop_china alól, vagy van egy böngészős proxyd vagy vpn-ed amire ráállsz ilyenkor. Nekem bár dual optikám van, de sosem torrenteznék itthoni címmel, ultra.cc van előfizum (legolcsóbb aminél már Plex is van), ahhoz van proxy is, openvpn is, de wireguard is amit pofon egyszerű beállít és nem lassú, mértem is egyet gyorsan vpn-en: [link] -
tobi''
tag
Okés, csak én most nem blocklistát adtam neked, hanem full államokat, amiket megtalálsz https://github.com/herrbischoff/country-ip-blocks
ipv4 mappa alatt, persze ettől lehet tiltani ezeket még, aztán ha floating alatt is tiltod, akkor onnantól pingelni se tudod majd egyiket sem.
De ha pl. felteszed a Maltrailt, az is csinál egy blocklistát, amire neked vagy külön tűzfalszabályt kell hoznod, vagy van egy Network Group Aliasod, korábban meghoztad rá a tűzfalszabályt és csak bepipálod az általa generált Aliast, mint tiltandó.
Nálam még CrowdSec van telepítve, Zenarmor, illetve vannak Unbound alatt Blocklisták, pl. az adguardé is, ha nem fontos a felület, nem kell külön telepítgetni, csak kiválasztod Services-Unbound DNS-Blocklist szekció alatt, amelyik lista neked szimpi.
Zenarmor-ra én elő is fizettem mert hasznosnak találom, vannak érdekes szűrései mobiloknál mind xiaomi mind apple irányba is, de ehhez erősebbb gép kell. Egy ryzen 5800-as procival szerelt mini pc-t rendeltem aliról 190e körüli áron, de végül valahogy annyiba se került.Proxmox szervert raktam rá, azon át fut az OPNsense, eleinte elég meleg vót a kisgép, de biosba ki tudtam kapcsolni a turbos részét, így elég hűvős és halk is, így tudja nálam 1600-1900Mbit körül lefele (az ezres netem.. olyan jól sikerült a NAT alól kivétel, hogy azóta 2000/1000 net van
).
De amiért le is írtam mindezt, hogy sokkal kevesebb próbálkozást látok a tűzfalon, amióta ezeket beállítottam/használom, persze nálad is azért fogni fogja a dolgokat, csak tudom azért idegesítő lehet, ha teletojja a logot valami. -
tobi''
tag
Ha támadásnak érzékeled akkor bár nem jutottak be én akkor is tiltanám, egyrészt Firewall-Rules-Wan alatt egy blocking rule, hogy beírod az IP címet a Source alá, másrészt nálam van egy Floating Rules is any direction-al, ott a Destination alá beírva a címet.
Amennyiben tele vagy listákkal érdemes Aliasban gondolkodni, mint pl. URL Table https://raw.githubusercontent.com/herrbischoff/country-ip-blocks/master/ipv4/cn.cidr amivel pl. teljes Kínát blokollod folyamatosan frissített listával, vagy teljes Russia https://raw.githubusercontent.com/herrbischoff/country-ip-blocks/master/ipv4/ru.cidr ,és ezeket betudod vonni egy csoport alá is ha Network Group választod Aliason belül és az új blokkalandó Aliasokat mindig csak ezen belül bepipálod, ilyenkor nyilván elég egy szabályt hoznod WAN és Floating Rules alatt és ott a Network Group Aliasod nevét megadnod, én így használom. De lehet Aliast arra is használ, ha pl. kinyitsz egy portot VPN miatt, és csinálsz egy szabályt rá, hogy csak magyar IP-ről lehessen elérni. (block invert source https://raw.githubusercontent.com/herrbischoff/country-ip-blocks/master/ipv4/hu.cidr és a VPN destination port)[ Szerkesztve ]
-
tobi''
tag
válasz
csinturi #1050 üzenetére
Üdv!
Én elértem mindent mivel a kliens gépem egyszerre tudott csatlakozni (két hálókártya végett) a thome eszközéhez és a tűzfalhoz is (nyilván a thome és a pfsense külön hálón, külön címmel kell hogy legyen). Ha thome hálóval raktad fel, akkor proxmox alatt a PVE-NETWORK résznél a VMBR0 alatt a thome által kiosztott címet látod. Ennek a mac címét meg tudod nézni a thome eszköze alatt, majd átdugva a pfsense tűzfal hálójára tudsz kiosztani a mac címnek egy fix címet, amit aztán (egy újabb átdugás után) átírsz VMBR0 alatt (cím/cidr, a gateway pedig a pfsense elérhetősége), katt apply configuration, majd (megint átdugva a kábelt) böngészőben megadod ezt az új címet a portjával és ezután el kellene érned a proxmox és a pfsense felületét is.
Én is átírtam így, hogy minden a tűzfal után legyen, majd a thome eszközén lezártam a tűzfalat minden irányban. A telekom nálam PPPoE és bekapcsoltam a PPPoE passthru-t, ha netre van szükségem a thome hálóján át, hamar rá tudok állni. -
tobi''
tag
válasz
csinturi #948 üzenetére
Nyitva kell lenni, viszont ha rules-wan alatt engedve van adott porton a forgalom, azt egy aliasba szedett networks gyűjteménnyel lehet szűkíteni (source alá aliasod), pl. hogy csak magyar IP címről lehessen elérni [link] , OPNsense alatt olyan 200-al adagoltam be copy-paste. Talán pfSense pfBlockerNG-vel is lehet szűrni, aki azt használja az majd megmondja, esetleg.
-
tobi''
tag
Szerintem próbáld ki azt is, anno én maradtam is mert sűrűbben kapta a frissítéseket, javításokat, illetve áltláthatóbb, alapon majd minden leírás offon van, adott lapon be lehet kapcsolni egyenként, vagy egyszerre az összest, amennyiben szükséged van extra infora, gondolkodni is egyszerűbb mellette.
GEOIP csak regisztrálós “ingyenes” van, de inkább csak Aliasokat használok, pl. pár perc alatt bevittem a full hun cidr-t és akkor mondjuk az adatokat ellopva se tudna külföldi IP csatizni VPN-en át, portra szűrve. Illetve van Suricata, CrowdSec, Sensei, Adguard (azt én kliensenként használom).
Szerintem első kör klónoznám ugyanarra a vasra, illetve lenne kéznél egy rendszer backup is, ha aztán mégis pfSense maradsz. -
tobi''
tag
válasz
noorbertt #858 üzenetére
Kicsit átfogalmazom akkor. Ha van cast eszközöd, akkor az a 8888-on megy ki, hiába használsz nextdns-t. Ha holnap a mozilla lefrissíti a szoftverét hardcoded dns-re, akkor az is kizárólag a sajátján fog kimenni, ha utána az apple tesz így, akkor az is sajáton, végül aztán azt veszed észre mennyire jól beleférsz next-nél az ingyenes kvótádba.
-
tobi''
tag
válasz
jameshun02 #818 üzenetére
Szia!
Nálam opnsense van, de belefutottam én is, hogy telekom mobilnetről elértem, digis mobilról nem. Vedd ki a pipát Interface WAN alatt a 'Block private networks' mellől, majd ha úgy adja, csinálj rá egy floating szabályt.
[link] -
tobi''
tag
Bár ha nincs AP mód mert mondjuk régi a router akkor gondolom nem értetted mi volt a gondja:
Ha az Asus wifi router címét nem a pfSense osztja, hanem fix címen hagytad a protokolt (tehát beírtál egy címet és tiltottad a dhcp-t ahelyett hogy csak a protokolt átraktad volna dhcp-re Asus wifi LAN résznél), akkor Asus wifi nem ismeri az átjárót, tehát ott ahol fix címet kapott a gateway részen be kell írni a saját átjáróját (két átjáró is van ugye, ajánlott a sajátját beírni ha már elszeparáltad, nem pedig a fő routerét).[ Szerkesztve ]
-
tobi''
tag
Destination legyen !LAN NET, tehát invert használod. Akinél több háló is van LAN, VLAN stb. ott meg alap hogy létre kell hozni egy Aliast, Networks kell választani és beadni a címeket mint pl. 192.168.1.0/24, 192.168.2.0/24, majd rules alatt !LAN NET helyett !Local_NET, tehát VLAN is engedted.
-
tobi''
tag
Rátesztelve sikerült elérnem a WAN címemről (80.0.X.X:9091) a belső hálón lévő transmissiont:
NAT-Outbound átraktam "Manual outbound NAT rule generation", SAVE, ezután kézzel beadtam a szabályokat, amik auton voltak és a végén adtam egy szabályt, hogy
Interface=WAN, Source=LAN TCP, Destination=WAN address, Translation / target (NAT address)= 192.168.0.2/32...talán segít valamit. -
tobi''
tag
Szia!
Interfaces-WAN pipát kivetted a 'Block private networks' alól?