Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

(pfSense) Rechner im LAN nur Zugriff auf WAN erlauben

Frage Netzwerke Router & Routing

Mitglied: cantor

cantor (Level 1) - Jetzt verbinden

02.08.2014, aktualisiert 04.08.2014, 4002 Aufrufe, 15 Kommentare, 1 Danke

Ich finde für das folgende Problem keine Lösung und benötige mal einen Tipp bzw. Schubs in die richtige Richtung.

Am LAN-Interface meiner pfSense hängt ein Netgear WNDR3700, den ich als Switch und WLAN-Accesspoint nutze.
An der pfSense ist darüber hinaus ein DMZ-Interface konfiguriert, an dem üblicherweise Rechner A per Ethernet angebunden ist.
Gelegentlich möchte ich Rechner A aber per WLAN anbinden. Auch dann soll Rechner A keinen Zugriff auf das LAN (bzw. die übrigen darin befindlichen Rechner) erhalten, sondern ausschließlich auf das WAN (also das Internet) zugreifen dürfen.
Im LAN habe ich statische DHCP-Mappings definiert. Rechner A erhält die feste LAN-Adresse 192.168.2.xx.

In meiner Naivität bzw. Unkenntnis habe ich nun zwei Firewallregeln eingerichtet:

1. IP des Rechners A darf auf Gateway für DNS-Abfragen zugreifen (damit ich WAN-Adressen auflösen kann)
2. IP des Rechners A darf nicht auf LAN-net zugreifen
201c8e61d0a87cafd77cbcc924554785 - Klicke auf das Bild, um es zu vergrößern

Leider kann ich mit Rechner A noch immer auf alle anderen Rechner im LAN zugreifen. Ich muß also einen grundlegenden Denkfehler gemacht haben. Für Tipps, wie ich das gewünschte Ziel erreichen kann, wäre ich sehr dankbar. Am liebsten wäre es mir, wenn ich Rechner A, auch wenn er via WLAN ins LAN eingebunden ist, quasi in die DMZ "umbiegen" kann (als als ob er vieaEthernet direkt an das DMZ-Interface angeschlossen wäre).

Hezlichen dank im voraus für alle "sachdienlichen Hinweise".
Jürgen
Mitglied: orcape
LÖSUNG 02.08.2014, aktualisiert 04.08.2014
Hi,
wenn Du schon die pfSense nutzt, warum nicht noch einfach eine WLAN-Karte einbauen.
Logischerweise wenn das hardwaremäßig machbar ist.
Den Rest kannst Du mit Firewallregeln machen.
Besser wie mit der NETGEAR-Gurke herumexperimentieren.
Gruß orcape
Bitte warten ..
Mitglied: aqui
LÖSUNG 02.08.2014, aktualisiert 04.08.2014
Das mit der WLAN Karte ist ein berechtigter Einwand, zumal man sie mit Multi SSID betreiben kann ! Damit könnte man für den DMZ Port ein separates WLAN kreieren.... Aber OK erstmal haben wir das nicht...

2 Dinge sind unklar bei der obigen Schilderung:

1.) Wenn Rechner A in der DMZ ist und niemals Zugriff aufs LAN haben soll, dann kann und darf er auch niemals Zugriff auf das WLAN im LAN Segment haben !!!
Wir nehmen mal an das du die NetGear Gurke als reinen AP im Bridge Mode betreibst wie es hier in der Alternative 3 beschrieben ist:
http://www.administrator.de/wissen/kopplung-von-2-routern-am-dsl-port-4 ...
Damit verbietet sich generell der WLAN Zugang, denn damit wäre dieser Rechner ja automatisch im LAN Segment !
Dieser Punkt ist völlig unklar beschrieben oder missverständlich ?!
Oder ist der Rechner generell im DMZ und du hängst ihn nur ab und zu mal ins LAN/WLAN. Da fragt sich denn was dann der Sinn deiner FW sein soll ?! Also irgendwie ist das missverständlich.

Du müsstest sonst logischerweise auch einen AP mit entsprechender separater SSID (WLAN Name) im DMZ Segment haben damit du dich mit Rechner A per WLAN über dieses WLAN verbinden kannst und der Rechner so im DMZ Segment mit seinen Regeln verbleibt ! Natürlich sofern deine Security Policy wasserdicht sein soll das Rechner A generell nicht ins LAN Segment darf !!

2.) Die Firewall Regel Ist ziemlicher Murks und total unsinnig, kann auch deshalb so niemals funktionieren. Das ist aber erstmal vorsichtig nur geraten, da du uns ja leider nicht deine IP Adressierung an den FW Ports kundgetan hast die aber für eine zielführende Hilfe hier essentiell wichtig wäre

Nehmen wir als mal an das du folgende IP Netze eingestellt hast:
LAN Port : 192.168.1.0 /24
DMZ Port: 192.168.2.0 /24
Dann musst du vorab nochmal dringenst verinnerlichen das die Firewall Regeln:

a.) NUR Inbound greifen, also für allen Traffic gelten der ins FW Interface REINfliesst ! Und..
b.) Abhängig von der Reihenfolge der Regeln sind !!
Du kannst also nicht etwas verbieten was du hinterher wieder erlaubst.
Bei den Firewall Regeln gilt immer: "First Match wins !!"
Will heissen: Die erste Regel die in der Reihenfolge greift wird abgearbeitet aber alle Regeln die danach kommen NICHT mehr !!
Das also erstmal vorweg zur Regellogik an den Ports !!

Dein o.a. Regelwerk am LAN Port mit der IP 192.168.1.x macht also folgendes:
1.Regel:
Alles was mit einer Absender Adressen von 192.168.2.x hier reinkommt und eine Zieladresse von 192.168.2.x hat mit dem Port UDP 53 (DNS) ist erlaubt.
  • Woher sollen am LAN Port eingehende Pakete mit einer 192.168.2.x Absender IP Adresse kommen ?? Hier gibt es nur Endgeräte mit einer 192.168.1.x Adresse. Schon das ist also Unsinn !
  • Pakete mit einer Zieladresse im gleichen Segment erreichen die FW gar nicht da sie lokal im Netzwerk verbleiben. Also auch hier eine Zieladresse zu definieren die im gleichen IP Segment liegt ist Unsinn, da sie niemals am FW Port auftaucht weil die FW logischerweis enur routet !!
  • DNS benutzt die Ports TCP und UDP 53 !! Auch hier fehlt was.
Fazit: Erste Regel = Unsinn und nicht wirksam !
2.Regel:
Diese Regel blockt alles am LAN Port was eine Absender IP von 192.168.2.x hat und aufs LAN Segment mit 192.168.1.x geht .
  • Wieder gilt hier: Woher sollen am LAN Port eingehende Pakete mit einer 192.168.2.x Absender IP Adresse kommen ?? Hier gibt es nur Endgeräte mit einer 192.168.1.x Adresse. Schon das ist also wieder Unsinn !
Fazit: Zweite Regel = Auch Unsinn und nicht wirksam !
3.Regel:
Das letzte Drama im FW Regelwerk am LAN Port....
Hier wird alles am LAN Port mit der Absender IP 192.168.1.x (LAN Segment ?) ins Internet erlaubt.
  • OK, wenigstans das ist ausnahmsweise mal richtig....ächz

Wenn, dann also mitt die Regel am DMZ Port einrichten. Wo du zuerst alles blockierst was vom DMZ Net als Absender, Port Any als Zieladresse das LAN Net mit Port any hat !
Damit wird dann generell alles was vom DMZ Netz ins LAN Segment will geblockt.
Dann erlaubst du wieder mit any any den ganzen Rest dort...
Fertisch
So wird ein Schuh draus...jedenfalls was die Regeln anbetrifft.
Das WLAN Problem hast du damit nich nicht gelöst, das geht nur mit einem WLAN Zugang zum DMZ Port entweder mit einem WLAN Modul/Karte in der pfSense selber oder mit einem externen AP.... Ist deine Wahl.
Wie das geht kannst du in diesem Forumstutorial:
http://www.administrator.de/wissen/preiswerte-vpn-fähige-firewall- ...
bzw. hier
http://www.administrator.de/wissen/wlan-oder-lan-gastnetz-einrichten-mi ...
Im Kapitel "Erweiterung mit WLAN" genau nachlesen !
Bitte warten ..
Mitglied: cantor
02.08.2014 um 18:41 Uhr
warum nicht noch einfach eine WLAN-Karte einbauen
[...]
Besser wie mit der NETGEAR-Gurke herumexperimentieren

Na ja - bisher erledigte der AP das, was er sollte, zur vollen Zufriedenheit. Ich hoffe einfach, daß mein Ziel auch ohne Austausch von Hardware - nur mit Hilfe der pfSense - zu erreichen ist. Es liegt vielleicht an meinem (fortgeschrittenen) Alter, daß ich mich von einer gewissen Sparsamkeit und einer Sympathie für Nachhaltigkeit nicht vollständig befreien kann.
Bitte warten ..
Mitglied: aqui
02.08.2014 um 18:43 Uhr
Das kommt darauf an ob du es schaffst uns mal genau zu erklären WIE Rechner A WANN und WOHIN verbunden werden soll !!
Bitte warten ..
Mitglied: orcape
03.08.2014 um 09:04 Uhr
Es liegt vielleicht an meinem (fortgeschrittenen) Alter,
..das kann ich so nicht bestätigen, es sei denn Du bist schon weit jenseits von 60...
...Sympathie für Nachhaltigkeit...
.....das Wort wird mittlerweile derart mißbraucht...
...man sollte es dringend zum Unwort des Jahres erklären.
Du solltest Dich aber wirklich mal mit den von @aqui verlinkten Tutorials beschäftigen, das könnte in Deinem Fall einiges klären.
Gruß orcape
Bitte warten ..
Mitglied: cantor
03.08.2014 um 13:43 Uhr
Erst einmal Danke für Deine ausführliche Antwort.

Ich werde mich bemühen, meine Konfiguration und die Beweggründe für meine Anfrage genauer zu schildern. Da ich - wie ja aus meinem Eingangsposting klar erkennbar ist - mit Netzwerkdingen nicht vertraut bin, hoffe ich, daß mir hinsichtlich der Terminologie keine groben Schnitzer unterlaufen.

Der angesprochene Rechner A hängt 95% seiner Zeit per Ethernet am DMZ Interface der pfSense. DMZ deswegen, weil auf diesen Rechner gelegentlich per ThinRDP von extern zugegriffen wird. Die DMZ hat das Subnetz 192.168.3.1/24. Mein LAN hat das Subnetz 192.168.2.1/24.

Gelegentlich stelle ich den Rechner A jemandem - "erweiterte Verwandtschaft" - temporär fürs Surfen zur Verfügung. Das geht dann aufgrund der räumlichen Gegebenheiten nicht kabelgebunden, sondern der Rechner muß per WLAN angebunden sein. Der Accesspoint hängt im LAN-Netz, d.h. der Rechner A erhält dann eine - statische - IP aus dem LAN-Subnetz.

Ich möchte erreichen, daß, wenn Rechner A "verliehen" und über mein WLAN angebunden ist, sofern möglich, kein Zugriff auf die anderen Rechner im LAN (einschl. NAS) möglich und nur das WAN zum Surfen erreichbar ist.

Die einfachste Lösung wäre sicherlich, an das DMZ noch einen zweiten Accesspoint (für das DMZ-Netz) zu hängen oder, wie bereits angesprochen, in die pfSense noch ein WLAN-Modul zu integrieren. Aus Kostengründen und um meinen "Zoo" an Elektronik nicht noch weiter zu vergrößern, habe ich nach einer Lösung gesucht, wie ich das Ziel, Rechner A bei Anbindung über den im LAN befindlichen Accesspoit weitgehend von den anderen Rechnern zu "isolieren", erreichen kann.

Ich hoffe, daß meine Fragestellung jetzt etwas klarer geworden ist. Allerdings befürchte ich, daß ich das vermutlich ohne weitere Hardware nicht erreichen kann.

Viele Grüße Jürgen
Bitte warten ..
Mitglied: cantor
03.08.2014 um 13:50 Uhr
[Nachhaltigkeit]
.....das Wort wird mittlerweile derart mißbraucht...

Na komm, man kann es nennen, wie man möchte. Fakt ist, ich neige dazu, Anschaffungen und Geräte erst dann auszutauschen/wegzuwerfen, wenn sie *wirklich* nicht mehr zu gebrauchen oder irreparabel defekt sind. Meinen "Hauptrechner" daheim (ein T400) habe ich im Dezember 2008 angeschafft und hoffe, ihn - sofern die Hardware auch weiterhin fehlerfrei funktioniert - noch ein paar Jahre nutzen zu können.
Bitte warten ..
Mitglied: aqui
LÖSUNG 03.08.2014, aktualisiert 04.08.2014
Die DMZ hat das Subnetz 192.168.3.1/24. Mein LAN hat das Subnetz 192.168.2.1/24.
OK, dann stimmen die o.a. Angaben erst recht nicht. Wo kommen denn die .2.0er IPs her.
Grundlegend gelten dann aber auch die Grundlagen die oben geschildert sind zu den Firewall Regeln !!
In der DMZ muss eine Regel sein:
Deny Source:DMZ-Net any zu Destination: LAN-Net any
Permit Source:DMZ-Net any zu Destination: Any

Damit verbietest du generell Zugriffe vom DMZ Netz auf das LAN Netz

Was du mit dem Rechner A vorhast ist so in deiner Konstellation nicht möglich !
Ist ja auch ganz logisch, denn der AP arbeitet als WLAN Bridge ins LAN Netz. Wenn du dich also mit deinem WLAN Accesspoint verbindest bist du erstmal vollständiges Mitglied bzw. gleichwertiges Endgerät wie alle im LAN. Dein LAN und WLAN sind ja über eine Bridge also rein auf MAC Adress Basis verbunden.
Die Firewall ist darin gar nicht involviert !!
Sie "sieht" ja nur Pakete die über sie rübergehen und kann diese entsprechend behandeln. Bei deiner Konstellation mit dem Rechner A kommt es ja gar nicht dazu, denn lokale Geräte im LAN Netz unterhalten sich logischerweise direkt, denn sie brauchen die Firewall nicht und abgesehen davon taucht deren direkt Traffic an der Firewall gar nicht auf.
Dadurch leuchtet es ein das du keinerlei Chance hast den Traffic des Rechners A zu beeinflussen mit der FW und auch mit keinem anderen Gerät. Es sei denn der Traffic von Rechner A geht über die Firewall natürlich. Du willst ja aber lokalen Zugriff stoppen was auch sinnvoll ist nur geht das nicht über die FW aus den o.a. Gründen.
Eine Filterung rein mit dem zum AP gemachten Router ist so auch nicht möglich, da er eben ja nur als Bridge arbeitet
Eine Lösung ist technisch also so nicht möglich.

Das Allereinfachste ist du besorgst dir für simple 20-30 Euro einen neuen, Multi SSID fähigen Accesspoint z.B. Edimax usw. statt der alten NetGear Möhre. (Die kannst du dann zusätzlich nutzen um dein LAN Netz zu erweitern in puncto WLAN Reichweite.)
Dann installierst du dir dein DMZ noch zusätzlich als VLAN (Tagged) Interface an der FW und strahlst über den neuen AP beide IP Segmente mit einer separaten SSID (WLAN Name) aus.
Damit hast du eine sehr elegante Lösung da du beide FW Segmente mit einem und demselben WLAN Accesspoint bedienst und preiswert ist das auch noch !

Wie du das genau einrichtest erklärt dir das Praxisbeispiel in diesem Forums Tutorial Schritt für Schritt:
http://www.administrator.de/wissen/vlan-installation-und-routing-mit-m0 ...
Bitte warten ..
Mitglied: orcape
LÖSUNG 03.08.2014, aktualisiert 04.08.2014
Fakt ist, ich neige dazu, Anschaffungen und Geräte erst dann auszutauschen/wegzuwerfen, wenn sie *wirklich* nicht mehr zu gebrauchen oder irreparabel defekt sind.
Mag sein, ist ja auch eine Frage Deines Budgets und darüber müssen wir ja hier nicht diskutieren.
Wenn Du uns mal verraten würdest, auf welcher Hardware Deine pfSense läuft, könnte man da vielleicht eine Empfehlung geben.
Eine WLAN-Karte, die nur für den Rechner zuständig ist und den Rest so belassen, würde Dir sicher entgegenkommen.
Die entsprechenden Firewall-Rules auf der pfSense gesetzt und schon ist Dein Problem "Geschichte".
Der Rechner hat Internetanschluss per WLAN und ist vom LAN komplett getrennt. Logischerweise solltest Du das dann so konfigurieren, das sich die beiden WLAN's nicht ins "Gehege" kommen.
Gruß orcape
Bitte warten ..
Mitglied: the-buccaneer
LÖSUNG 04.08.2014, aktualisiert um 21:02 Uhr
Noch eine Alternative meinerseits, obwohl das Thema ja bereits eigentlich erschöpfend diskutiert und gelöst ist:

Wenn du einen alten WLAN USB-Stick rumfliegen hast und noch einen freien USB Port auf deiner Firewall, kannst Du probieren, ob der kompatibel ist. Siehe: http://www.freebsd.org/relnotes/CURRENT/hardware/support.html

Damit hast du dann wieder ein eigenständiges Interface und kannst das konfigurieren, wie du es brauchst.

Käme der Idee der Nachhaltigkeit entgegen, bei mir kommt auch nix weg, was seinen Dienst noch anständig verrichten kann.
Gruss
Buc
Bitte warten ..
Mitglied: cantor
04.08.2014 um 20:54 Uhr
Danke für Deine Geduld.

In der DMZ muss eine Regel sein:
Deny Source:DMZ-Net any zu Destination: LAN-Net any
Permit Source:DMZ-Net any zu Destination: Any

Die DMZ-Regeln müßten (hoffentlich) passen (in #4 ist natürlich Redundanz zu #1)
e0f827408222a06f6742fc31e3d5620d - Klicke auf das Bild, um es zu vergrößern

Das Allereinfachste ist du besorgst dir für simple 20-30 Euro einen neuen,
Multi SSID fähigen Accesspoint z.B. Edimax usw.

Ich werde mir wohl einen TP-Link TL-WR841N besorgen (gibt's für weniger als 20 EUR).

Dann installierst du dir dein DMZ noch zusätzlich als VLAN (Tagged) Interface
an der FW und strahlst über den neuen AP beide IP Segmente mit einer separaten
SSID (WLAN Name) aus.

Aufgrund meiner doch sehr rudimentären Kenntnisse tendiere ich kurzfristig eher zur uneleganten (aber schnellen) Lösung, nämlich den neuen Accesspoint *bei Bedarf* einfach an das DMZ-Interface der pfSense anzuschließen. Unabhängig davon, werde ich mich allerdings mit dem von Dir verlinkten Praxisbeispiel zu VLANs auseinandersetzen.
Bitte warten ..
Mitglied: cantor
04.08.2014 um 21:01 Uhr
Wenn Du uns mal verraten würdest, auf welcher Hardware Deine pfSense läuft
Auf einem Alix 2D13

Eine WLAN-Karte
Die pfSense steht auf dem Boden, direkt zwischen Schreibtisch und Wand. Also keine optimale Position.
Die passenden Mini PCI Karte gibt es bei varia-store ja wohl für ca. 20 - 30 EUR (zzgl. der Kosten für die Antenne). Die Lösung mit einem externen AP (TL-WR841N) ist sicherlich deutlich uneleganter, aber preiswerter.
Bitte warten ..
Mitglied: aqui
05.08.2014 um 08:54 Uhr
Nein deine DMZ Rule ist schon wieder falsch. Müsste dir aber auch schon selber aufgefallen sein !
Die letzte Regel ist natürlich Blödsinn !! Deshalb auch das Ausrufezeichen "!"
Du willst ja zum Schluss dem DMZ Segment erlauben ins Internet zu kommen....der tiefere Sinn einer DMZ.
Stattdessen erlaubst du aber nur den Zugang mal wieder zum "LAN Netzwerk" den du oben in der ersten Regel schon verboten hast..
Das ist natürlich Blödsinn, denn diese Regel greift ja niemals !
Wird oben schon ein Zugriff auf das LAN Netz versucht greift die erste Regel und alle anderen werden gar nicht mehr ausgeführt !!
Erinner dich an die grundlegende Regel oben:: First match wins !
Als Destination muss hier also ein ANY hin !!
Normal solltest du so mit diesem regelwerk am DMZ Port nicht ins Internet kommen ?!
Ich werde mir wohl einen TP-Link TL-WR841N besorgen (gibt's für weniger als 20 EUR).
Klappt zwar.... Wäre aber eigentlich blöd, denn so hast du wieder Gefrickel mit 2 APs.
Warum nicht einen Multi SSID AP für popelige 10 Euro mehr der dir beide Segmente in einem Gerät bedient ?? Siehe VLAN Tutorial oben ?!
Aber OK, deine rudimentären Kenntnisse hindern dich an einer technisch sinnvollen Lösung trotz Anfängertutorial wo man nur abtippen müsste... Schade, aber haben wir verstanden hier.
Deine "Quick and Dirty" Lösung klappt aber auch !
Denke an den 4er Kanalabstand bei der Konfiguration der WLANs !!!
Die Lösung mit einem externen AP (TL-WR841N) ist sicherlich deutlich uneleganter, aber preiswerter.
Na ja wenn man schon bei popeligen 5 bis 10 Euro Unterschied einknickt, dann stimmt das....ansatzweise.
Bitte warten ..
Mitglied: cantor
05.08.2014 um 19:16 Uhr
Nein deine DMZ Rule ist schon wieder falsch. Müsste dir aber auch
schon selber aufgefallen sein !
Die letzte Regel ist natürlich Blödsinn !!
Deshalb auch das Ausrufezeichen "!"
[...]
Normal solltest du so mit diesem regelwerk am DMZ Port nicht ins Internet kommen ?!

Jetzt scheint Dir aber ein Versehen unterlaufen. Die letzte Regel sagt "Erlaube alles außer Lan net". Das wird aus dem Bearbeiten-Dialog klar:
1eb407711897369028fe4ed06284dde3 - Klicke auf das Bild, um es zu vergrößern
Das Ausrufezeichen negiert also das Ziel "Lan net". Deswegen komme ich damit ja auch ins Internet.

Warum nicht einen Multi SSID AP für popelige 10 Euro mehr der dir beide Segmente
in einem Gerät bedient ?? Siehe VLAN Tutorial oben ?!

Ich greife gelegentlich auch über openVPN auf mein LAN zu. Bevor ich mich nicht mit VLANs auf der pfSense richtig auskenne, will ich daran also nicht schrauben. Das VLAN anhand des (guten !) Tutorials einzurichten ist eine Sache, aber parallel muß ich ja auch Änderungen an meiner openVPN-Konfiguration vornehmen (oder sehe ich das falsch?). Da fühle ich mich im Moment noch zu unsicher, solange ich VLANs noch nicht richtig verstehe. Für jemanden, der sich viel mit Netzwerken beschäftigt, ist das natürlich ein "Klacks" - mich selbst bringt das allerdings gehörig ins Schwitzen. Das hat also nichts mit "Bequemlichkeit" zu tun sondern eher mit "Unwissen" bzw. "Unsicherheit".

Deswegen weiß ich auch die Geduld bei der Hilfestellung für mich sehr zu schätzen.

Viele Grüße
Jürgen
Bitte warten ..
Mitglied: aqui
06.08.2014 um 10:03 Uhr
Die letzte Regel sagt "Erlaube alles außer Lan net".
Ja das ist schon richtig aber die Regel hast du ja dadrüber schon eingestellt das du das LAN Net dort blockst. In so fern ist sie nicht falsch aber syntaktisch etwas unlogisch da doppelt...
OK, mit deinem separaten AP. Wenn du damit besser arbeiten kannst mach das so.... Es funktioniert natürlich auch, keine Frage !
Bitte warten ..
Neuester Wissensbeitrag
CPU, RAM, Mainboards

Angetestet: PC Engines APU 3a2 im Rack-Gehäuse

Erfahrungsbericht von ashnod zum Thema CPU, RAM, Mainboards ...

Ähnliche Inhalte
Router & Routing
PfSense mit 2x WAN - Zugriff von WAN1 auf WAN2 (4)

Frage von endy66 zum Thema Router & Routing ...

LAN, WAN, Wireless
gelöst Fritzbox 7490 - WLAN Geräte zugriff auf LAN Kamera hinter SONICWALL (25)

Frage von GoriBoy zum Thema LAN, WAN, Wireless ...

Router & Routing
Zugriff auf pfsense mit IPsec im WLAN (1)

Frage von maddig zum Thema Router & Routing ...

Heiß diskutierte Inhalte
Grafikkarten & Monitore
Win 10 Grafikkarte Crash von Software? (13)

Frage von Marabunta zum Thema Grafikkarten & Monitore ...

DSL, VDSL
DSL-Signal bewerten (12)

Frage von SarekHL zum Thema DSL, VDSL ...

Windows Server
Mailserver auf Windows Server 2012 (8)

Frage von StefanT81 zum Thema Windows Server ...

Backup
Clients als Server missbrauchen? (8)

Frage von 1410640014 zum Thema Backup ...