OPNsense VLAN

[merseburger]

ich habe Probleme auf meinen Proxmox in Verbindung mit OPNsense VLANs einzurichten.

Ziel ist es z.B. für meinen Webserver und Gameserver jeweils ein eigenes VLAN zu erstellen um das ganze in der OPNsense besser verwalten zu können.

Ich habe eine Bridge mit VLAN aware erstellt, habe diese Bridge an OPNsense weitergereicht, auf einer VM (Debian12) einen VLAN Tag vergeben. Hab zur Sicherheit einen Reboot des Hosts durchgeführt. In der OPNsense wird mir das VLAN nicht unter den Interfaces ->Assignments angezeigt so habe ich das VLAN per Hand angelegt einen Neustart gemacht und auf das VLAN ist kein Zugriff.

Wie habe ich falsch gemacht oder bzw. wie soll ich vorgehen ?

 

[Bob.Dig]

In der OPNsense wird mir das VLAN nicht unter den Interfaces ->Assignments angezeigt

Normal, dort richtest Du es ja auch zuerst ein, das scheint mir zumindest dein Ziel zu sein.

Was verstehst Du unter weitergereicht, wie hast Du die VM und die Sense verbunden? Ist letztere ebenfalls virtuell?

 

[merseburger]

Also die OPNsense läuft als VM. Über eine seperate Brücke sind die VMs mit der OPNsense verbunden

 

[Bob.Dig]

Also die OPNsense läuft als VM. Über eine seperate Brücke sind die VMs mit der OPNsense verbunden

Hab ich auch so, das sollte es eigentlich gewesen sein. Kriegst Du keine DHCP Adressen im VLAN oder was ist da Problem?

 

[merseburger]

Es kommt einfach keine Kommunikation zustande. In der OPNsense Übersicht sehe ich das einfach kein Datenpaket rein und raus geht.

 

[Bob.Dig]

@merseburger Aber mit OPNsense kennst Du dich nicht wirklich aus oder?

 

[cwt]

Die bridge ist auch auf „vlan aware“ gesetzt? Regeln in der Sense für das VLAN subnet entsprechend konfiguriert? Wenn Du nur das VLAN interface erstellst, aber keine Allow/deny rules dafür konfigurierst, dropped die Sense default alles.

 

[torwag]

Wenn Du die ganze Bridge an die opnsense-VM weiterereichst und dort vlan getaggte packete durchkommen, musst Du in opnsense Dich um diese kümmern. Wie Du schon geschrieben hast, in opnsense vlans als network ports (interfaces->other types->vlan) einrichten und diese dann als network ports den interfaces zuordnen (interfaces->assignments). Dann kannst (musst) du anfangen DHCP, und Firewall regeln zu definieren.

Der andere Weg ist es, in proxmox selbst alle vlans in unterschiedliche bridges aufzudröseln (vmbr0.100, vmbr0. 200, etc.) und dann jede dieser VLAN-bridges einer virtuellen Netzwerkarte deiner opnsense-VM zuzuordnen. Für opnsense sieht es dann aus, als ob der Server N Netzwerkkarten besitzt, die alle an unterschiedlichen Netzwerken hängen.

Welche Methode besser ist versuche ich auch gerade herauszufinden

 

[torwag]

Habe das gerade in einem anderen thread auch noch mal bestätigt bekommen. Anstelle von vielen bridges unter proxmox, die jeweils einem VLAN zugeordnet sind, kann man auch eine bridge nehmen und in den virtuellen NICs der VM den entsprechenden VLAN Tag setzen.

 

[dMopp]

Da du ans OPNSENSE eine VLAN-Aware Bridge angelegt hast, musst du auch in OPNSENSE VLANs erstellen. Auf diese VLANs musst du dann Assigments erstellen. Und danach dann Regeln, Services und co.

 

[merseburger]

Ich bin zur Lösung des Problems gekommen. Ich habe erstmal ein Backup aus dem Archiv geholt. Ich habe auf dem Proxmox eine Bridge erstellt die nur zur Nutzung von VLANs vorgesehen ist. Den VMs habe ich das VLAN Tag zugewiesen. In der OPNsense habe ich die VLANs angelegt und zum testen eine Regel die alles erlaubt, angelegt. Da alles Funktionierte habe ich die Regel wieder entfernt.

Was mich irritiert ist das die OPNsense per Standard auf den VLANs alles eingehende wie z.B. SSH erlaubt aber aus der VM heraus nichts. Logischerweise wäre das ganze andersrum schöner, lässt sich aber festlegen.