Hallo. Vielen Dank für deine Videos! Kannst du bitte auch auf IPv6 eingehen ? Viele Tutorials funktionieren einfach nicht... Das wäre super! Vielen Dank!
Danke für dein Video. Ich habe eine Frage zur Konfiguration. Ich bekomme leider keinen Ping aus dem WAN auf 8.8.8.8 Zustande. Ich bin der verlinkten Anleitung "[Hetzner] OPNSense mit Zusätzlicher IP Installieren" gefolgt. Mein Server hat gesamt zwei ipv4 Adressen (eine war dabei, die andere habe ich bestellt). Aus lauter Verzweiflung habe ich sogar dein Code unter der verlinken Seite kopiert und auf meine IPs, Gateway und NIC angepasst. Gibt es etwas was ich übersehen habe, was du vielleicht in vorherigen Videos genannt hast?
@@netcubede Nein, wo muss das gemacht werden? Unter /etc/network/interfaces? Wenn ja unter network device - main ip oder server-ips - additional ips (vmbr0)?
@@netcubede Danke, das hat mir geholfen! Die OPNsense löst keine DNS Anfragen auf… über die Sense kann ich die 8.8.8.8 anpingen über die VMs dahinter auch aber Google.de lässt sich nicht auflösen. Kann nichtmal das update auf der sense starten. DNS Einstellungen sind wie aus deinem Video übernommen. Bei unbound kommt auch was an… bin wieder ratlos :(
Ich kann dir nicht genug für dieses Video danken! Ich habe bereites Tage (nicht Stunden) in anderen Tutorials verschwendet. Danke für alles, dank dir habe ich proxmox nicht aufgegeben und konnte jetzt meine gewünschte Infrastruktur aufbauen. Mach weiter so und einen schönen Tag!
Wenn die VMs nicht nach außen kommunizieren können, dann bitte einmal noch in den Netzwerkeinstellungen auf dem Host die folgende Zeile ergängen: post-up echo 1 > /proc/sys/net/ipv4/ip_forward also: post-up echo 1 > /proc/sys/net/ipv4/ip_forward post-up iptables -t nat -A PREROUTING -i enp6s0 -p tcp -m multiport ! --dport 22,8006 -j DNAT --to 10.10.1.1 post-up iptables -t nat -A PREROUTING -i enp6s0 -p udp -j DNAT --to 10.10.1.1
ich habe das soweit so konfiguiert wie im Video zusehen, aber dennoch kann meine OPNSense nicht raus sprich ich kann draußen nichts pingen. Intern ist dieses alles möglich aber ins Böse Intetnet komme ich nicht richtig. Hat da vielleicht jemand eine Idee btw ich hab kein Dedizierten Server und akutell auch nicht bei Hetzner.
Ich verstehe es von der IP Konfiguration nicht ganz! Wenn das Gateway die 10.17.0.1 ist, die OPNsense die 10.17.0.2 warum muss auf dem Server dahinter dann als Gateway die 10.17.0.1 angegeben werden. Läuft der Traffic dann nicht an der OPNsense dran vorbei?
Nein. Wir definieren explizit dass der gesamte Traffic aus dem vSwitch Network bei Hetzner zu 0.0.0.0 über die Sense routet. Du brauchst das 0.1 Gateway da sonst der Traffic nicht durchgeht. Die 0.1 ist immer dem Hetzner eigenen Gateway für das virtuelle Netzwerk zugewiesen. Cheers
Vielen Dank für das Video: Es ist für mich sehr nützlich Können Sie erklären, wie das Netzwerk und OPNsense so konfiguriert werden, dass die dritte externe IP (138.201.128.214) mit NAT für eine lokale IP-Adresse verwendet wird?
Sehr schönes Video, hat im Gegensatz zu dem von jemand anders auch auf anhieb funktioniert... Könntest du evtl. auch erklären, wie man mit internen v6 Adressen die Kommunikation von opnsense ins Internet herstellt? Leider habe ich bei meinem Hoster nur eine öffentliche zur Verfügung und da scheint das Tutorial was es von wem anders gibt, nicht zu funktionieren... Wäre dir sehr Dankbar :)
Der Autor ist in Eile, die Debian-Installation musste aus einem anderen Video übernommen werden, in dem die Erklärung ausführlicher und nicht so eilig ist.
@@netcubede Ich erhalte die folgenden Fehler bei der Installation von Debian: Network autokonfiguration failed. Your network is probably not using the DCHP protocol. Was habe ich falsch gemacht?
@@itaeleads Bitte hierfür vorher unbedingt das Video schauen wo ich Proxmox mit SIngle IP Eingerichtet habe, ansonsten fehlen dir die wichtigen Netzwerkeinstellungen damit das geht mit DHCP.
@@netcubede Ich habe zwei zusätzliche IPs. Die erste IP wird für einen Live-Server (mit Opnsense) und die zweite IP für einen Testserver (mit Opnsense) benötigt. 2 x Opnsense funktioniert. Windows10 funktioniert. Das Netzwerk für Debian ist fehlerhaft. Wie kann ich Opnsense auf Debian umleiten? nicht mit 172.18.0.5?
@@itaeleads wenn die Windows VM rennt und connectifity über die OPNSense hat, würde ich mal den Netzwerkadapter im Proxmox checken von der VM, ist der wirklich auf der richtigen vbridge?
Zuerst bekam ich eine Fehlermeldung (failed to start Boot0001). Dann habe ich Windows mit dem Windows-ISO und allen Standardeinstellungen installiert. Dann änderte ich die Treiber-ISO in Proxmox anstelle der Windows-ISO. Erst danach hat alles funktioniert. Was können wir mit dem aktivierten Qemu-Agenten erreichen?
Ich hatte ein Problem mit Windows-Browser bzw. keine Internetverbindung. Das Problem trat auf, weil ich nach dem vorherigen Video eine statische IP für Windows zugewiesen habe, bzw. ohne DCHP
Alles lief gut, bis der Browser aufrief. Das Problem lag in der Konfiguration der Windows-IP-Adresse. Es handelte sich um eine statische IP und DHCP war inaktiv.
Guten Abend, erstmal vielen Dank für dieses Video! Ich weiß nicht ob dies das richtige Video für meine Frage ist, aber da es hier schon grunsätzlich um DBs und Webseiten geht, frage ich einfach mal :D Wäre es ggf. möglich mal ein Video zu machen, wie man am besten eine MariaDB bzw. MySQL DB mit SSL absichern kann um phpmyadmin zu deaktivieren um sicher einen externen Zugriff über bspw. HeidiSQL zu gewährleisten? Das wäre sehr nett, ich bedanke mich schonmal im Vorraus :) Gruss Sun! :)
Ich habe 2 IPs von Hetzner. Meine Frage wäre nun ob es möglich ist das ich im Grunde die 2 Videos (dieses + 1 IP mit NAT) zu verbinden? Konkret wäre der Anwendungsfall das ich eine Mailcow VM hinter OPNsense verwenden möchte und diese hat eine dedizierte IP. Und dann die zweite IP die für die restlichen VMs verwendet. Mailcow hat selber einen ACME client welcher für die Zertifikate zuständig ist und der braucht zugriff auf Port 80 und 443. Jedoch will ich auch andere VMs über 80/443 erreichen. Ein Reverse Proxy wie NGINX wäre ein Lösung damit ich nur 1 IP brauche um mehrere Seiten anzusteuern, jedoch verwendet Mailcow ja auch das Zertifikat für postfix. Also konkret Mailcow braucht Port 80/443 und mein anderer reverse Proxy braucht auch 80/443. Multi WAN sollte ja mit OPNsense möglich sein, aber ich denke dazu würde ich 3 IPs brauchen. 1x Proxmox, 2x OPNsense und dann mit NAT one-to-one mappen. Wäre cool wenn das mit 2 IPS gehen würde oder hast du eine andere Idee wie man das umsetzen könnte?
Du brauchst dann zwei WAN Seiten an der Sense, eine weitere VBridge für die eine IP und dann sollte das gehen, insofern Regeln und Routing passen. Cheers
@@netcubede Wenn ich die vmbr1 an die Sense hänge dann kommt über vmbr0 gar kein traffic mehr da ja alles natted wird. vmbr0: public ip vmbr1: 10.10.1.1 Ich steh da leider komplett an.
@@netcubede habs jetzt btw hinbekommen. vmbr0 hat die public ip und vmbr1 hat ein internes nat netz. In der Sense hab ich dann noch ein 1:1 NAT eingereichtet so das meine mailcow VM immer über die vmbr1 WAN raus geht.
Leider ging nach der Konfiguration von vSwitch alles schief. Ist die vSwitch-Konfiguration nur für die Besitzer von mehrere Server relevant? Wie prüfe ich auf Fehler in den Konfigurationsdateien?
Hi, Danke für das Video. Ich habe OPNsense dank des Videos erfolgreich installiert und jetzt mit einer funktionierenden LAN- und WAN-Schnittstelle am laufen. Ich kann LAN und Internet innerhalb der Shell von OPNsense anpingen. Ich kann auch über einen Debian über einen Browser eine LAN- und WAN Verbindung zur OPNsense-GUI herstellen und alle Einstellungen vornehmen. Debian kommt aber nur auf die WAN und LAN IP auf OPNsense, ins Internet kommt dieses Debian nicht, was ja auch gut so ist! Jetzt habe ich aber Schwierigkeiten, eine Proxmox-VM so einzurichten, dass sie über OPNsense ins Internet gelangt. Also im Grunde hab ich Probleme mit der gesamten Einrichtung VLAN-Tags, Trunks, VLAN-aware, usw. Wie wäre es mit einem Video dazu als follow up? Also wie man dann eine VM oder einen LCX hinter OPNSense online bringt.
Hi, es gibt bereits einige Follow Ups, einfach mal den Kanal checken. WIr haben auch VM Konfiguration hinter Sense Setup schon behandelt, nur mit einem 1 IP Setup (das Thema ist aber identisch). Du müsstest auf deiner VM noch eine Route über die Sense fürs Internet angeben. Eventuell mal ins Video zum 1 IP Setup schauen, das ist etwas ausführlicher. Grüße
Wenn ich Plesk anstelle von ISPConfig hinter ner OPNsense betreibe und Let'sEncrypt Zertifikate ausstellen möchte, muss ich das wahrscheinlich in Plesk auch irgendwo einstellen, damit die Ausstellung der Zertifikate zwischen Internet, OPNsense und Plesk durchläuft und klappt?
@@netcubede Hab ein paar kommerzielle Kunden. Die wollen leider nichts anderes als Plesk. Zudem musst ich schon den ein oder anderen Webconten migrieren. Das geht mittels Plesk zu Plesk immer noch am einfachsten.
In Plesk müssen Sie nur eine Domain erstellen. Aktivieren Sie SSL für die Domain bzw. Subdomain. Und dann geben Sie den generierten Schlüssel (_acme-challenge) im Abschnitt Hoster DNS ein. Der Plesk-Hostname muss natürlich mit dem Namen der Subdomain übereinstimmen.
Genau das richtige Video zur richtigen Zeit entdeckt! Ich möchte mir auf meinem dedizierten Server bei einem anderen Hoster ein Plesk auf Debian installieren, um von dort ein Webhosting meiner Domains zu betreiben. Bisher hatte ich PVE und allen VMs (Debian, Wireguard und PMG) eigene öffentliche IPs zugewiesen. Das dürfte natürlich ne Verschwendung von wertvollen IPv4 sein. Zudem nicht die sicherste Variante. Ich installiere mir mal ne OPNsense und packe dann da alle VMs in das interne LAN der OPNsense. Wenn ich in Plesk dann meine Webseiten verwalten und denen IPv4 zuweise, dann dürften die doch von außen erreichbar sein, da sie in meinem IP Paket des Providers liegen, also im IP Bereich von Proxmox und OPNsense liegen und auch den selben Gateway nutzen. Oder muss ich die IPv4 Adressen dann auch in der OPNsense einzeln konfigurieren? Dürfte doch alles durchgereicht werden durch dir Proxmox-OPNsense Bridge? Würde OPNsense dann neben PVE ne eigene öffentliche IPv4 geben, da einfacher zu konfigurieren. Sinnvoll so? Danke für das Video! PS: Streamst du auch oder hast du nen Discord? Dort würd ich evt mal vorbei schauen. 👍
@@netcubede eigentlich ja, hab aber keinen Server aus der serverbörse, sondern einen ax Server (aktuell keine Setup gebührt) allenfalls ist es dort einfach anders.
@@FreshGlobe dann empfehle ich dir mit unserem Install Tutorial zu starten und dich langsam durch die Serie zu arbeiten. Wir gehen davon aus, dass du mit unserem Installvid startest. Ggf fehlt irgendwas triviales wie das IP Forwarding.
@@netcubede jetzt hat alles geklappt, danke auf jeden Fall. Woran es schlussendlich gelegen hat, weiss ich nicht. Trial-and-Error. Was noch spannend wäre, wenn man noch ins Thema Proxmox Host absichern und allenfalls ins Thema DMZ und entsprechend Netze anlegen auf der Opnsense eingehen würde :)
Hi @Netcube, ist Dir/Euch bekannt ob die Proxmox-ISO von 8.2 bereits für die ARM64-Technik zu eigenen Installation auf einem ARM-Server mit vorbereitet ist oder wird die ARM64-Technik bisher nur als Client unterstützt?
Hallo Daniel, ich versuche die Verbindung von ZorinOS (Ubuntu) aus durchzuführen. Klappt grundsätzlich, nur auf der lokalen Zorin - Maschine komme ich nach Verbindungsaufbau nicht mehr ins Internet (DNS). Meine Konfiguration (/etc/wireguard/wg.conf) schaut so aus: [Interface] Address = 10.10.10.11/32 PrivateKey = XXXXXXXXXXXXXXX DNS = 10.10.10.1 [Peer] PublicKey = YYYYYYYYY Endpoint = XXX.YYY.ZZZ.AAA:51820 AllowedIPs = 172.18.0.0/1 Hast Du evtl. eine Idee, was unter Linux anders ist, als Windows. Danke
@@netcubede hat leider nichts gebracht. Habe jetzt mal folgendes eingegeben: AllowedIPs = 0.0.0.0/0. Damit funktioniert der Internetzugriff grundsätzlich. Gehe aber davon aus, dass ich damit keinen Split-Tunnel mehr habe sondern der gesamte Trafic über Wireguard läuft?
Absolut super strukturiert und sauber aufgebaut (auch mit dem zugehörigen Wiki). Hat perfekt funktioniert. Habe das ganze auch mit einem anderen Tutorial durchexerziert (eines welches im 100.000ender Klickbereich liegt). Die Struktur dort unter Verwendung von VLANs ist meiner Meinung nach konzeptuell nicht so ausgereift wie Dein Aufbau und erfordert auch mehr Nacharbeit bei der Installation weiterer VM's. Danke Dir für diese tolle Videoreihe.
Kann man den erwähnten Livestream irgendwo nochmal nachschauen? Ich würde gerne nachvollziehen können, warum die Verbindung zwischen Cloud und Dedicated momentan nicht über den vSwitch funktioniert.
Hi, den Stream hab ich nicht mehr online. Problematik ist dass Hetzner die Verbindungen zwischen vSwitch im Dedi Bereich und ihm Cloud Bereich mit Layer3 Switches routet. In deiner eigenen Umgebung mit Sense und VMs auf Hetzner machst du aber Layer2 Wege. Diese Wege kann der Hetzner Switch dazwischen nicht routen, was als Ergebnis bringt, dass die Pakete nur in die Hinrichtung sauber geroutet werden, auf dem Rückweg verwirft diese der Hetzner Switch aber da sie sich nicht in seinem Layer befinden, wofür er zuständig ist. Daher ist es technisch schwierig Pakete zwischen vSwitch Cloud und Dedi vSwitch auszutauschen.
top Anleitung. Funktioniert bei mir bestens. Ich habe nur eine Einschränkung. Ich nutze eine Windows VM, die im LAN der Opnsense ist, als Remote Arbeitsplatz. Ich kann selbst gehostete Webseiten mit der WindowsVM via Domain nicht erreichen (IP funktioniert). Ich weiß, dass man dafür in der OPNsense in der Firewall unter Settings - Advanced Reflection für Port Forwarding und Automatic outbound NAT für reflection aktivieren kann. Mache ich dies, kann ich die Webseiten in meinem OPNsense LAN erreichen; aber ich kann dann keine externe Webseiten mehr aufrufen. Ich erhalte für externe Webseiten einen SSL_ERROR_UNRECOGNIZED_NAME_ALERT Ich befürchte, dass ich noch eine DNS Einstellung vornehmen muss. Unbound DNS ist aktiv mit Standardeinstellungen. Hast du eine Idee, woran das liegt?
@@sherman6620 im Besten Fall die weiteren Videos schauen. Wir betreiben auch einen Webserver dahinter in einem anderen Vid ohne weitere Externe IP. Das scheint bei dir aber noch ein DNS Problem zu sein, ggf die Seiten im Ubound noch eintragen zeigend auf die interne IP?
Jap. Ist so machbar wie angegeben und auch erreichbar. Man splittet quasi die Einzel IP mit ::2 / 128 für das Hostsystem ab und den Rest des /64 Netzes leitet man an die Bridge. Grüße
Interessante Geschichte. Aber wie machst du das, wenn du im Lab einen Cluster mit 3 Nodes hast? Und als Herausforderung: Wie bekomm ich WAN und LAN ueber den Cluster, wenn einer der Cluster nur eine Netzwerkkarte verbaut hat?
Ein Clustervideo hab ich ja bereits. Man kann ja dann den Traffic für die Cluster Nodes über deren eigenen vSwitch Intern weiter forwarden, wenn nötig. Oder die Sense mit in den Internen vSwitch hängen, je nachdem.
Danke für die Anleitung. 🎉 Dank dir, habe ich endlich meine OPNsense zum laufen gebracht und spare mir das Geld für zusätzliche IPs. Eine Frage oder Bitte: Könntest du auch ein Tutorial zu OpenWRT hinter OPNsense auf Hetzer Server machen? 🥹👍🙌
Kein Problem. Gibts dafür einen konkreten Anwendungsfall oder warum willst du OpenWRT hinter der Sense betreiben? Vor allem, weil OpenWRT viele Dinge ja identisch wie die Sense umsetzen kann.
Hey mega das du dir Kommentare hier ernst nimmst und sogar zeitnah antwortest. 🙌👍👍 vielen Dank dafür. Also was ich mir vorgestellt hatte: - WG oder OpenVPN Serve damit clients von außen zugreifen können UND damit diese Clients auf zwei oder drei verschiedenen VPNs geroutet werden. Im OpenWrt soll dann Domain/IP basiertes routing laufen, z.b. Netflix soll über nordvpn geroutet werden, BBC soll über ExpressVPN geroutet werden. Im OpenSense ist das sehr unübersichtlich aufgebaut und ich sah dort keine Möglichkeit von Domain oder IP basierten routing Regeln. Bei mir soll die Sense zusammen mit CrowdSec als totale Absicherung dienen.
@@teomangunes2776 Kein Problem. Grundsätzlich lässt sich das über Firewall Regeln in der OPNSense eig ganz gut abbilden, da du gewisse Ziele ausgehend aus dem LAN Bereich auch über gewisse VPN Strecken routen könntest. Würde eben OpenWRT wegsparen.
@@netcubede also wenn man sich die die WRT sparen kann, wäre das sogar aus Sicht der Performance und Resourcen sehr sparsam. Das wäre richtig cool von dir, wenn du das ein Video dazu machen könntest 🙌 Server und dann VPN von zwei Anbietern und wie man diese Routen kann 😍
@@teomangunes2776 Muss ich sehen, hab noch ein wenig was in der Pipeline. Aber sicherlich ein Anwendungsfall, den Traffic über mehrere VPN Anbieter ausgehend zu schicken für gewisse Anbieter, das sollte machbar sein. Danke für dein Feedback.
Ich habe im Proxmox und in diversen Admin Foren gelesen das die Threads bis max. 1:4 vergeben werden können, also max. 32 Threads bei einer Host CPU mit 8 Threads. Was hältst Du davon?
@@netcubede allgemeine Frage. Du hast im Video gesagt das Du 8 Threads verteilen kannst weil die CPU 8 hat. Meine Frage ist was Du davon hältst bis zu 4 mal mehr Threads zu verwenden als physikalisch vorhanden sind
Erstmal gute Videos helfen auf jeden Fall weiter und nächste Frage wann kommt das Video ungefähr mit dem HA Cluster, da mich das interessiert wie man da extern mit umgehen kann.
Für HA fehlt ja nur noch die "Replikation". Die VMs können ja schon im Cluster verschoben werden. Wenn man jetzt unter der VM unter "Replikation" diese aktiviert besteht ein aktiver Sync alle X Minuten zwischen den Nodes und wenn ein Node down ist, zieht es die VM auf dem anderen hoch. Voraussetzung nur, dass die Datenpunkte (also die Datenhaltungen) auf beiden Nodes gleich benannt sind. Dann läuft das schon Out-of-the-Box.
Sehe da weniger ein Anwendungsfall. Grundsätzlich ist das ja bereits so konfiguriert. In meinem Installvideo wird gezeigt wie du die IPv6 sauber auf den Host routest.
Vielen Herzlichen Dank !!! Endlich verstehe ich (ein wenig) wie das Ganze funktioniert. Könntest Du bitte ein oder mehrere Einführungsvideos machen, wie OPNsense grundsätzlich konfiguriert wird: z.B. über Firewalling, Wireguard usw.???
@@MrCKMartens da gibt's ein Layer2/Layer3 Problem sodass die Pakete teilweise durch Hetzners vSwitch Routing auf dem Rückweg verworfen werden. Ist nicht so ganz einfach das zu umschiffen. Einfacher geht's in die Cloud eine opnsense zu packen als VM und dann S2S VPN via Wireguard zu bauen zwischen beiden Einfallstoren zwischen Cloud und Bare Metal / Dedis
Da das schon einmal angefragt wurde, kann ich das gerne mal in ein Video packen. Ist allerdings recht aufwendig, schaffe ich vermutlich erst nächste Woche.
Ja, nicht so das Güldene. Zur Not kann man ja auch noch auf SFTP aufweichen via SSH. Durch das Natting davor ist es alles etwas schwieriger, ansonsten wäre die TLS Verschlüsselung aktiv. Aber man kann ja hier auch auf einen nicht bekannten öffentlichen Port ausweichen oder später per Wireguard einfach via VPN auf die Sense und von dort aus dann an den FTP Port, dann wäre es abgeschottet.
Habe mich lange gefragt, ob so etwas möglich ist. Was ich mich noch frage, wenn ich einen echten Netzwerk Adapter LAN seitig durchreiche, könnte ich auch mein komplettes Netzwerk über die Sense laufen lassen?
Erstmal sehr gutes Video! Ich Frage mich gerade nur wieso du für ISPConfig eine VM erstellst und kein LXC? VM ist doch viel Ressourcenhunriger als LXC? Bei OpnSense versteh ich das du eine VM nutzt, aber fürn Webserver? LG
Naja da ich gerne wirklich physisch virtualisiere. CT sind ja keine Kernel basierten Virtualisierungen sondern laufen direkt auf dem Host Kernel. Sog. KVMs haben einige Vorteile gegenüber CTs