Scheitere schon an der Firewall

[pointde]

Ich habe hinter einer Fritz! Box 7590 als Exposed Host eine opnsense Firewall stehen. Hier habe ich die empfohlenen Freigaben, bzw. Forwardings eingerichtet. Den SIP-Port der 3CX habe ich bereits bei der Installation auf 5065 gelegt, damit hier kein Konflikt mit der Fritz! Box entsteht. Leider liefert der Firewall-Checker trotzdem nur Fehler. Ich hänge ein paar Screenshots an.

 

[bitn2]

Du musst die ganzen Ports trotz Exposed Host in der Fritzbox freigeben. Exposed Host funktioniert so gar nicht gut in der Fritzbox.

 

[pointde]

Ja, aber bei einem Exposed Host wird ja alles ungefiltert auf die opnsense Firewall durchgelassen...

 

[bitn2]

Eben nicht, funktioniert wie gesagt nicht besonders gut bei der Fritzbox. Probier das mal und guck mal ob es dann geht.

 

[sysHH]

Empfehlenswert ist es, vor einer OPNsense (und eigentlich jeder anderen Firewall auch) anstelle eines NAT Routers (FritzBox), stattdessen ein Bridge Modem zu verwenden. Dadurch hält man sich gleich mehrere Probleme vom Hals und man hat die öffentliche(n) IP-Adresse(n) auch direkt auf dem WAN-Interface der Firewall. Die PPPoE Zugangsdaten (bei DSL) werden dann in der OPNsense und nicht im Modem eingetragen, bei den meisten Providern ist außerdem ein VLAN-Tag nötig (Telekom z.B. VLAN 7).

Edit: Bridge Modems z.B. Vigor 130/165, Zyxel VMG1312-B30A oder VMG3006-D70A

 

[bitn2]

Empfehlenswert ist es vor einer OPNsense (und eigentlich jeder anderen Firewall auch) anstelle eines NAT Routers (FritzBox) stattdessen ein Bridge Modem zu verwenden. Dadurch hält man sich gleich mehrere Probleme vom Hals und man hat die öffentliche(n) IP-Adresse(n) auch direkt auf dem WAN-Interface der Firewall. Die PPPoE Zugangsdaten (bei DSL) werden dann in der OPNsense und nicht im Modem eingetragen, bei den meisten Providern ist außerdem ein VLAN-Tag nötig (Telekom z.B. VLAN 7).

Das wäre optimal und sicherlich die bessere Lösung.

 

[pointde]

Die Fritz! Box hat seine Berechtigung in meinem Netzwerk. Ich weiß, dass dies um einiges besser wäre. Bisher habe ich aber noch alles einwandfrei hinbekommen... bis auf die 3CX

 

[bitn2]

Bei der OPNSense hast Du auch Static Port angehakt bei der NAT Regel?

 

[pointde]

Eigentlich gemacht wie immer. Siehe Screenshot

 

[sysHH]

Die Fritz! Box hat seine Berechtigung in meinem Netzwerk. Ich weiß, dass dies um einiges besser wäre. Bisher habe ich aber noch alles einwandfrei hinbekommen... bis auf die 3CX

Wäre es nicht möglich die FritzBox derart zu konfigurieren dass diese selbst hinter der OPNsense hängt? ("Vorhandenen Internetzugang über LAN1 benutzen" oder so)

Ist natürlich oknonomisch jetzt wahrscheinlich für ein Heimlabor nicht so die Offenbarung aber wenn das produktiv genutzt werden soll würde ich das je nach Anforderungen wahrscheinlich so empfehlen.

 

[pointde]

Das wäre möglich. Wie gesagt, ich brauche das genau so wie es ist. Es muss ja mehr Leute mit meiner Konstellation geben.

 

[sysHH]

Eigentlich gemacht wie immer. Siehe Screenshot

Bei den Aliasen für Ports gab es in der OPNsense mal Probleme früher, hattest Du das schonmal auf direktem Wege ohne Aliase getestet?

 

[pointde]

Gerade nochmal so getestet. Keine Änderung. Hätte mich auch gewundert.

 

[fxbastler]

Ich sehe in den Screenshots nur Regeln für TCP. Zudem das Thema Static Port in Outbound NAT eingestellt wird.

 

[fxbastler]

AdminConsolePort ist ein Alias auf alle Ports die so eine 3CX so braucht?

 

[pointde]

Nein, im Eröffnungspost unter dem Screenshot Alias steht unter Content jeweils der Port. Hier ist auch meines Erachtens immer richtig TCP und/oder UDP dabei. Genau nach 3CX Vorgabe

 

[fxbastler]

Nein, im Eröffnungspost unter dem Screenshot Alias steht unter Content jeweils der Port. Hier ist auch meines Erachtens immer richtig TCP und/oder UDP dabei. Genau nach 3CX Vorgabe

Sorry, mein Fehler, war zu groß

Aber das sieht absolut nach dem typischen Problem static Port aus: hier zu finden unter Outbound. @bitn2 hatte es schon geschrieben.

Beispiel:

 

[pointde]

Habs so angepasst. Ist besser, aber der Firewall-Check läuft immer noch nicht komplett durch (SIP...)
Über https://XXX.3cx.bayern:5001/ komme ich ebenfalls von außen nicht drauf.

 

[fxbastler]

Wenn das wirklich von aussen ist dann liegt es an der Fritte. Die kann auch kein Split DNS, sprich: aus dem LAN Netz der Fritte kommt man evtl. nicht per FQDN an die 3CX. Danke AVM.

edit: so ein Fauxpas, ich hatte einen eklatanten Tippfehler, da stand ein statt kein ...

 

[fxbastler]

Ich kann dir sagen: wir benutzen vor allen installierten 3CX fast ausschließlich pfSense und das geht immer auf Anhieb. Das wird auch mit einer opnSense funktionieren. Ich habe noch ein Relikt (danke Vodafone für die zeitnahe Portierung! </sarkasmus>) wo zwangsweise eine Kabelfritte vor der pfSense vor der 3CX steht - aber auch das funktioniert.