@Neliommiosch84

Gemäss zwei anderen Threads von Dir, hast Du ja über die letzten Monate in Deinem Netzwerkbereich an mehreren Speziallösungen experimentell gearbeitet.

Falls jemand nun aktuell bei den neuen Fragestellungen mitdiskutieren will, halte ich es für relevant vorgängig die bisherigen Threads durchzulesen, deshalb verlinke ich sie hier mal:

https://community.swisscom.ch/t5/Sicherheit-im-Internet/DMZ-Firewall-und-WLAN/td-p/791751

und auch noch:

https://community.swisscom.ch/t5/Internet-allgemein/DNS-Server-aus-anderem-Subnetz/m-p/815635#M71908

Selbst fühle ich mich im Moment nicht dazu in der Lage, da ich keine Ahnung habe, ob Du jetzt mit strikt getrennten Netzen oder mit hybridem Netz inklusiv einer statischen Route arbeitest, was für einem DNS-Konstrukt gerade aktiv ist, und in welchem Netz sich überhaupt die Clients befinden, welche aktuell Probleme machen

@Neliommiosch84

Wie bereits früher erwähnt, mein eigener Ansatz wäre in Netzwerken “Mischmasch” und die damit unnötig noch weitere steigende Komplexität immer möglichst schon per Design zu vermeiden.

Meine Lösung wäre also immer noch:

- alle Clients (ausser vielleicht die blue TV-Boxen) direkt ins Netz hinter die pfSense

- statische Route zwischen IB und kaskadiertem Netz zur klaren Netztrennung und Erhöhung der Sicherheit löschen

Damit hättest Du dann auch keine möglichen Seiteneffekte des kombinierten Betriebes mehr, denn DHCP und DNS wäre dann für alles klar auf der pfSense zentralisiert.

Zu Deinen aktuellen Problemen im hybriden Ansatz überlasse ich die Beurteilung übrigens gerne @r00t, denn anders als ich hat er aktuell auch ein pfSense-Netz tatsächlich in Betrieb.

---

@Neliommiosch84 schrieb:

[…] Leider habe ich aber etwa täglich komplett keinen Zugriff mehr auf alle http/https services im opnsense subnetz, die opnsense erscheint im router als online jedoch ist kein Zugriff mehr auf mein homelab möglich, direkter IP access funktioniert meistens vollsändig, lediglich http/https funktioniert garnicht.

Was genau meinst du mit “direkter IP access funktioniert meistens”? Ping? Und von wo aus geht http und https nicht; von extern aus (Internet) oder auch vom Heimnetz aus?

Weitere Frage zu deinem Servernetz: wie gross ist dieses? /24 oder /16 oder etwas zwischendrin?

Ich hab die anderen beiden (langen) Threads kurz quergelesen, das Wichtigste aus meiner Sicht zusammengefasst (korrigier mich wenn ich was falsch verstanden habe):

- Auf der opnsense (oder ist es nun eine pfsense gem. einigen deiner Beiträge?!?) ist NAT deaktiviert

- Auf der Internetbox ist die opnsense als DMZ-Host konfiguriert

- Auf der Internetbox ist eine statische Route fürs Servernetz via opnsense eingerichtet

- DHCP-Server im Heimnetz ist die IB, wobei du die Clients per Option 6 einen eigenen DNS-Resolver im Servernetz (oder läuft der doch im Clientnetz?) benutzen lässt

- Der DNS-Server befindet sich in deinem Servernetz, wobei die opnsense (pfsense?) als DNS-Proxy konfiguriert ist

- Clients (LAN/WLAN) laufen alle direkt an der IB und nicht im Servernetz, daher auch kein IGMP-Proxy mehr auf der opnsense

Die Bemerkung sei erlaubt, dass du dir da schon ein ganz schön komplexes Konstrukt potenzieller Fehlerquellen zusammengeklempnert hast…

@Neliommiosch84

Wieso müsstest Du die OpenSense-Appliance für ein echt separiertes Netz direkt neben die Internetbox stellen?

Da wo sie jetzt steht hängt sie ja sicher auch an einem LAN-Kabel und dieses kann ja bis 100 Meter lang sein.

Hast Du ev. auch noch ein zusätzliches physisches LAN-Verkabelungsproblem?

@Neliommiosch84

Und noch als Nachtrag generell zum Thema Anzahl möglicher Clients direkt im Netz einer Internetbox:

In der Vergangenheit gab es immer wiedermal Benutzerberichte über Probleme von Internetboxen im Umgang mit einer sehr grossen Anzahl von Clients im Heimnetz.

Wo da konkrete Grössenbegrenzungen liegen ist einigermassen unklar, aber es hat sich gemäss verschiedener Praxiserfahrungen ein wenig herauskristallisiert, dass alles was so ca. über 60-80 Clients liegt, durchaus wiederholt mal zicken kann.

Klarer sind übrigens die maximalen Limiten im WLAN-Bereich, denn bedingt durch die verwendeten WLAN-Treiber liegen die je nach konkretem Modell bei 32 oder 64 WLAN-Clients je WLAN-Band.

Langer Rede kurzer Sinn, Internetboxen sind reine SOHO-Geräte für 0815-Benutzer, und eine vom üblichen Nutzerprofil stark abweichende Nutzung stösst eigentlich immer in unerforschtes Gebiet vor, da diese auch ausserhalb jedes der üblicherweise verwendeten Testszenarien liegt.

---

@Neliommiosch84 schrieb:

[…] Ich würde daher gerne die anderen Probleme der aktuell Situation versuchen zu lösen.

---

Aus deinem Anfangspost erschliesst sich mir lediglich folgendes

• Sporadisch treten Probleme auf mit dem Zugriff auf http und https-Services in deinem per opnsense abgekoppelten Servernetzwerk
• Der Fehlerzustand verschwindet nach einem Reboot der Internetbox für ca. einen Tag

Um ein Problem zu lösen ist es immer hilfreich, es zuerst so genau wie möglich zu verstehen

Und um genau dies zu erreichen, solltest du den Fehlerzustand beim nächsten Mal möglichst so belassen und dann testen, was noch geht und was nicht. Also zum Beispiel:

• Geht Ping vom Usernetz ins Internet?
• Geht Ping vom Usernetz ins interne Servernetz?
• Geht Ping vom internen Servernetz ins Usernetz?
• Geht Ping vom internen Servernetz ins Internet?
• Geht DNS im Usernetz (ggf. nicht den eigenen DNS-Server verwenden, sondern den der IB)?
• Geht DNS im internen Servernetz?
• Geht http-/https-Zugriff vom Internet aus?
• Geht http-/https-Zugriff vom Usernetz aus?
• Geht http-/https-Zugriff von einem Client innerhalb des internen Servernetzes aus?
• Betrifft es wirklich nur http-/https-Services, oder auch andere?
• usw. usf.

Also beim nächsten Mal nicht gleich die IB neu starten, sondern systematisch eins nach dem anderen testen und so den Fehler eingrenzen. Divide and conquer.