VLANs und opnsense

[Sany]

Hallo Zusammen,

Habe ein merkwürdiges Problem, ich weiß aber nicht ob es hier her gehört, oder in das opnsense Forum.
Aber vielleicht kann mir jemand helfen...

Proxmox:
vmbr0 hat die IPv4 Einstellungen der Zusatz-IP von Hetzner inkl. Mac-Adresse und ist bei der opnsense VM (Mein WAN) (88.99.xx.xx)
vmbr1 ist mein LAN Interface für meine opnsense VM (X bei VLAN aware) und hat lediglich eine IPv6 Adresse.
vmbr2 ist mein VLAN Interface auf dem die VLANs liegen (VLAN5 172.16.5.0/24) (X bei VLAN Aware)

Opnsense:
vtnet0 (WAN, IP 88.99.xx.xx) -> vmbr0
vtnet1 (LAN, IP: 172.16.1.1) -> vmbr1 Kein VLAN Tag)
vtnet2 (Keine IP) -> vmbr2 (Keine IP, VLAN Tag 5)
VLAN5 (IP: 172.16.5.1/24) -> liegt auf vnet2

VM1
ist ein Debian Container mit einer Netzwerkkarte und ist in Proxmox mit 172.16.5.2 und VLAN Tag konfiguriert.

Da ich keine generelle Rules in der FW habe, habe ich in der opnsense für das Interface VLAN5 -> IPv4 from any to any with any proto und ports freigegeben.
Ein Ping nach draußen war möglich, zur FW auch...

Aber nun konnte ich aber auch in andere Subnetzte die auf der FW liegen Pingen inkl. anderen VLANs ?

Was habe ich falsch gemacht?
Eigentlich dürfte nur der Ping nach draußen gehen, aber nicht in die anderen VLANs ?

Meine Default Any DROP Rule ist aktiv...


vielen dank für die Hilfe.

 

[mow]

Da ich keine generelle Rules in der FW habe, habe ich in der opnsense für das Interface VLAN5 -> IPv4 from any to any with any proto und ports freigegeben.
Aber nun konnte ich aber auch in andere Subnetzte die auf der FW liegen Pingen inkl. anderen VLANs ?
Was habe ich falsch gemacht?
Eigentlich dürfte nur der Ping nach draußen gehen, aber nicht in die anderen VLANs ?

Wieso das? "to any" schließt natürlich auch die anderen VLANs mit ein, das mußt Du dann schon einschränken.