OPNsense VLANs Tagging mit nur einer NIC

[Eugen S.]

Hallo, ich bin neu hier und allgemein in der Linux und Proxmox - Welt, aber auch allgemein in der IT.
Es fehlt mir sowohl an Netzwerk Kenntnissen, als auch Proxmox.

Dennoch würde ich gerne meine Konfiguration zu zeigen und nach einem Rat fragen.

Mein Setup ist ein PC mit nur einem physischen NIC, Internet kommt aus einer Fritzbox.

Mein Vorhaben:
Ich möchte alle meine VMs in verschiedene Netze unterteilen, den VM-Traffic und Zugriffe soll die OPNsense(als VM installiert) übernehmen.

Mein Ziel habe ich auch verschiedenen Wegen erreicht. Diese würde ich gerne vorstellen und aber auch fragen, welcher davon am sinnvollsten, aus der Sicht von Performance und Sicherheit, ist...

Erste Variante:
vmbr0(WAN) der OPNsense 192.168.178.XXX im Fritzbox-Netz
vmbr0.100 (LAN) der OPNsense 192.168.0.1
vmbr0.10 VLAN1 192.168.10.1
vmbr0.20 VLAN2 192.168.20.1
vmbr0.30 VLAN3 192.168.30.1
Hier bekommt hier bekommt jede einzelne VM nur diejenige vmbr, abhängig davon in welches Netz die soll. Hierbei sollte erwähnt werden(so wie ich das verstehe), dass die Definition vmbr0.X von Proxmox/Linux sofort schon als VLAN Tag deklariert wird.

Zweite Variante:
vmbr0 als WAN 192.168.178.XXX
vmbr1 als LAN 192.168.0.1
und in der OPNsense werden nach dem Assignment von vmbr1 neue VLANs erstellt und als Slaves mit Tagging an die vmbr1 angehängt mit
VLAN1 192.168.10.1
VLAN2 192.168.20.1 usw...
Jede VM bekommt dann die vmbr1 mit entsprechendem Tag 10, 20 oder 30 und landet dann im dementsprechendem VLAN1, 2 oder 3...

Das selbe Prinzip funktioniert auch mit vmbr0, wenn ich mich nicht täusche...
Somit würde sich eine dritte Variante ergeben:
vmbr0 als WAN
vmbr1 als LAN, nur aus dem Grund erstellen, weil man sonst nach der frischen Installation von OPNsense nicht ins Webinterface kommt...
Danach in der OPNsense die einzelnen VLANs als Slaves an die vmbr0 ranhängen und als VLANs mit Tagging definieren. Am Ende bei der Netzwerkkartenzuweisung der VMs, wie bei der zweiten Variante ganz normal die vmbr0 zuweisen, nur durch Tag 10, 20 oder 30 ins entsprechende VLAN durchreichen..

Soooooo....
Die ersten beiden Varianten habe ich bereits getestet und diese funktionieren auch, genau so wie ich es mir wünsche!!! Ich gehe mal davon aus, dass die dritte Variante auch funktionieren wird...

Da mir aber viele Grundkenntnisse fehlen, sowohl im Netzwerk als auch Proxmox, würde ich gerne eure Meinung dazu erfahren.

Welche von den oben beschriebenen Varianten ist aus Sicht der Sicherheit und Performance am sinnvollsten???
Bzw. vllt gibt es noch eine Variante, von der ich nichts weiß?

Nochmal zur Erinnerung. Hier geht es um einen Proxmox host, der sein Internet aus einer Fritzbox bezieht und nur EINE einzige Netzwerkkarte hat und OPNsense als eine netzwerkregulierende VM fungieren soll, mit Zugriffen und Portweiterleitungen...

Vielen lieben Dank im voraus!!!

Grüße und Frohes Neues!

Eugen

 

[Eugen S.]

Desweiteren Frage ich mich, ob noch irgendwelche Regeln für die vmbr0 bei /network/interfaces definiert werden müssen. Sowas wie MASQUERADE oder forwarding... Davon habe ich nämlich auch nicht so viel Ahnung.

Vielen Dank nochmal

 

[aaron]

Hast du andere Maschinen im Netz die auch in den gleichen Netzwerken sein sollen oder sind das wirklich nur interne Netze auf dem PVE Host? Wenn letzteres dann kannst du dir die VLANs sparen und wirklich einfach nur interne Netze am PVE Host erstellen. Pro Netz eine eigene vmbrX ist eine Variante.

Die Firewall VM hat dann mehrere NICs mit jeweils einem der vmbrX konfiguriert. Eine NIC der Firewall VM geht auch auf vmbr0 (physisches Netz) wo diese auch eine IP Adresse im physischen (Fritzbox) Netz bekommt.

Wenn du auf der Fritxbox noch extra Routen eintragen kannst, könntest du auf der Firewall VM auch die ganzen NAT/Masqueraring und Portweiterleitungen sparen.
Du musst auf der Fritzbox für die internen Netze nur die IP der Firewall VM eintragen. Die spielt dann Router und du kannst mit Firewall Regeln kontrollieren wer wohin darf.

In dem Fall, wenn ein Client in deinem physischen Netz eine Verbindung zu einer VM in einem internen Netz aufbauen will, werden die Pakete an den Default Gateway (Fritzbox) geschickt. Da diese die speziellen Routen konfiguriert hat, weiß diese, dass die Pakete nicht an den upstream Gateway geschickt werden, sondern an die Firewall VM.


Wenn du mit VLANs spielen willst, um mit VLANs Erfahrung zu sammeln, dann kannst du das ganze auch anders aufziehen, ohne Firewall VM, sofern die Fritzbox das unterstützt (hab keine Erfahrung mit Fritzboxen).

Konfiguriere die VLANs auf der Fritzbox. Diese ist nun Dreh- und Angelpunkt zwischen den verschiedenen Netzen. Du kannst die VMs in die VLANs packen. Dafür gibt es einige Möglichkeiten:

• VLAN Tag in den Einstellungen der VM NIC setzen
• Bridge mit VLAN als bridge port (dot notation, VLAN Device, ...)
• SDN VLAN Zone

Da hier alle VLANs und das physische Netz in der Fritzbox zusammenlaufen, kann diese zwischen den Netzen direkt routen und evtl. Firewallregeln anwenden.

Sollte zwischen den physisch beteiligten Maschinen (PVE Host, clients) und Fritzbox ein Switch sein, muss dieser "Managed" sein, sprich mit VLANs umgehen können. Dann kannst du konfigurieren auf welchen Ports am Switch welche VLANs erlaubt sind. Getagged oder Untagged.