# OpnSense Firewall für blau richtig konfigurieren **URL:** \ **Category:** v7-Betatest\ **Created:** [4. Oktober 2019 um 10:06 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258 "2019-10-04T10:06:16Z")\ **Posts on this page:** 20\ **Page:** 1
**Author:** ![schajor](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/schajor/32/3614_2.png) [@schajor](https://ask.linuxmuster.net/u/schajor)\ **Post date:** [4. Oktober 2019 um 10:06 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/1 "2019-10-04T10:06:16Z")
Hallo zusammen ich würde gerne die FW auf dem blauen Interface (für WLAN) sinnvoll konfigurieren. Dazu eine Verständnisfrage: Um den Verkehr von Blau ins Internet zu erlauben muss man beim Erstellen einer Regel 3 wesentliche Angaben machen: 1.) Richtung: IN oder OUT; Out ist richtig oder ? (aber braucht man nicht beides?) 2.) Quelle: blaues Netz 3.) Ziel: WAN-Netz? WAN-Adresse (IP des Routers?) oder ? Jetzt ist die FW im blauen Netz aber auch für DHCP zuständig (auch DNS ?) Also brauche ich auch Zugriff auf die FW oder ? Für Lichtblicke im Nebel wäre ich dankbar. Grüße Rainer ---
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [4. Oktober 2019 um 10:30 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/2 "2019-10-04T10:30:11Z")
Hallo Rainer, hier mal meine gerade laufende Einstellung von OPT1 (Blau) in der Schule. Die ersten beiden Regeln waren mal drin: erwiesen sich aber als unnötig -\> deswegen deaktiviert. Die dritte Regel hat Dominik so, weil er Probleme hatte: bei mir gab es die Regel nicht. Ich hab sie gerade nur testweise drin: sie wird wohl nächste Woche nach weiteren Tests wieder gelöscht werden. Alles was du brauchst, sind die letzten zwei: Traffic nach überall hin erlauben und DNS von überall (auf dem Device OPT1, also über diese Netzwerkkarte ankommend) direkt an den opnsense erlauben (UDP 53). ![OPT1-holger](https://ask.linuxmuster.net/uploads/default/original/2X/e/ec34d86ea1abc9881fcf68712716dd5c292a01fc.png) LG Holger ---
**Author:** ![schajor](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/schajor/32/3614_2.png) [@schajor](https://ask.linuxmuster.net/u/schajor)\ **Post date:** [4. Oktober 2019 um 13:51 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/3 "2019-10-04T13:51:48Z")
Hallo Holger 2 Fragen dazu: bei der Quelle steht bei dir ein Netz mit ip und Maske. Warum hast du das explizit angegeben und nicht den Namen des Netzes („blau“ o.ä.) ausgewählt. Wenn die zweit letzte Regel alles erlaubt wieso muss man dann noch DNS explizit erlauben? Ich dachte an eine Regel die von blau nach rot erlaubt und nicht auch noch pauschal auf grün … Grüße Rainer ---
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [4. Oktober 2019 um 14:33 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/4 "2019-10-04T14:33:38Z")
Hallo Rainer, > 2 Fragen dazu: bei der Quelle steht bei dir ein Netz mit ip und Maske. > Warum hast du das explizit angegeben und nicht den Namen des Netzes > („blau“ o.ä.) ausgewählt. das hatte ich vorher: weil bei mir aber die Windwosclients im WLAN rumspinnen, bin ich da gerade am rumschrauben: da versucht man schon mal komisches Zeug, wenn sowas irrationales passiert wie: alle könenn (MacOS; iOS, Android, Ubuntu Phone, Linux) nur Windwos nicht … > Wenn die zweit letzte Regel alles erlaubt wieso muss man dann noch DNS > explizit erlauben? DNS soll ja die opnsense sein: und die ist mit dem Ende, das in OPT1 ist, nicht im grünen Netz… … wahrscheinlich ist die Regel nicht nötig … > Ich dachte an eine Regel die von blau nach rot erlaubt und nicht auch > noch pauschal auf grün … zu der Einschränkung komme ich auch noch … mach ich am MOntag: vielelicht kommt es ja daher, dass Windwos plötzlich mit seiner IP aus BLAU am Grünen Netzwerkionterface der opnsense ankommt (und deswegen geblockt wird …). Mal sehen. LG Holger ---
**Author:** ![wilfried](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/wilfried/32/86_2.png) [@wilfried](https://ask.linuxmuster.net/u/wilfried)\ **Post date:** [24. September 2020 um 09:26 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/5 "2020-09-24T09:26:02Z")
Hallo Holger, nachdem der freeradius für schuleigene Geräte in grün klappt, habe ich noch ein paar Probleme mit dem blauen Netz. Ich habe die beiden Firewall-Regeln aus Beitrag 2 jeweils mit „out“ für OPT1 angelegt. Wenn ich von der Unifi-VM über blau einen ping zu OPT1 der Opnsense senden möchte, muss ich allerdings diese Verbindung mit einer weiteren Regel ausdrücklich erlauben. Fehlt da nicht noch DHCP für blau? Das lief früher bei mir auf dem IPFire. Sollte ich da unter Dienste \> DHCPv4 \> OPT1 aktivieren und Einträge (welche?) machen? Viele Grüße Wilfried ---
**Author:** ![wilfried](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/wilfried/32/86_2.png) [@wilfried](https://ask.linuxmuster.net/u/wilfried)\ **Post date:** [25. September 2020 um 13:47 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/6 "2020-09-25T13:47:39Z")
Hallo, bei mir funktioniert es, wenn die Regeln mit „in“ angelegt werden, wobei mir die Sinnhaftigkeit nicht klar ist: Es gehen ja Pakete rein und raus. Die Regel für die Verbindung zwischen Unifi-VM und Opnsense ist für das blaue Netz nicht nötig. Und der DHCP der Opnsense funktioniert samt Protokollierung. Nächste Baustelle: Die Steuerung des Zugangs zum blauen Netz. Momentan dürfen alle. Viele Grüße Wilfried ---
**Author:** ![Michael](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/michael/32/59_2.png) [@Michael](https://ask.linuxmuster.net/u/Michael)\ **Post date:** [25. September 2020 um 16:06 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/7 "2020-09-25T16:06:39Z")
> [@wilfried](#): > > Die Steuerung des Zugangs zum blauen Netz. Momentan dürfen alle. Hallo Wilfried. Kennst du diese Seite und insbesondere die Bemerkung, die dort steht? [https://docs.linuxmuster.net/de/latest/systemadministration/network/radius/index.html](https://docs.linuxmuster.net/de/latest/systemadministration/network/radius/index.html) Wir haben es nun so eingerichtet, dass per default nur Lehrer und Hausmeister rein kommen … alle anderen erst, wenn es in der WebUI erlaubt wurde … VG, Michael ---
**Author:** ![wilfried](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/wilfried/32/86_2.png) [@wilfried](https://ask.linuxmuster.net/u/wilfried)\ **Post date:** [28. September 2020 um 09:15 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/8 "2020-09-28T09:15:18Z")
Hallo Michael, danke, das habe ich jetzt per default ähnlich eingestellt. Zwei Fragen habe ich noch: 1. Welche Auswirkungen hat es, wenn Kollegen jetzt in einem Kurs Haken bei WLAN setzen? Bekommen die user dann WLAN, und wenn ja wie lange? 2. Kann man mit `sophomorix-managementgroup --wifi` oder `--nowifi` nur einzelne user oder auch Klassen hinzunehmen bzw. entfernen und ändert dies den default-Zustand? Viele Grüße Wilfried ---
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [28. September 2020 um 13:10 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/9 "2020-09-28T13:10:55Z")
Hallo Wilfried, > 1. > > ``` > Welche Auswirkungen hat es, wenn Kollegen jetzt in einem Kurs Haken > bei WLAN setzen? Bekommen die user dann WLAN, und wenn ja wie lange? > > ``` ja, die Schüler kommen dann ins WLAN (so funktioniert das bei mir seit einem Jahr). Wie lange? … ich denke, bis man sich in der Schuko abemldet? … oder bis die Rechte zurückgesetzt werden? … weiß nicht. Ich habe einen cronjob der in der Nacht folgenden Befehl ausführt: sophomorix-managementgroup --set-wifi default --school default-school der schmeißt dann alle die nicht in der /etc/linuxmuster/sophomorix/default-school/wifi-default.conf stehen wieder raus. Bisheriger Haken: wenn man NUtzer anlegt, dann ist erstmal WLAN bei denen gesetzt … bei mir eben bis zur ersten Nacht … damit komme ich zurecht 🙂 > 1. > > ``` > Kann man mit |sophomorix-managementgroup --wifi| oder |--nowifi| nur > einzelne user oder auch Klassen hinzunehmen bzw. entfernen und > ändert dies den default-Zustand? > > ``` du kannst in die oben genannte Datei Nutzergruppen und auch einzelnutzer hinzufügen. Setzt du den default mit obigem Befehl hat niemand mehr WLAN außer denen, die in der Datei genannt werden (direkt oder indirekt: also als member oder als Gruppenzugehörige wie 8a). LG Holger ---
**Author:** ![wilfried](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/wilfried/32/86_2.png) [@wilfried](https://ask.linuxmuster.net/u/wilfried)\ **Post date:** [28. September 2020 um 15:55 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/10 "2020-09-28T15:55:42Z")
Hallo Holger, danke, das Handling gefällt mir: einfach und irgendwie auch logisch. Viele Grüße Wilfried ---
**Author:** ![steff66](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/s/87869e/32.png) [@steff66](https://ask.linuxmuster.net/u/steff66)\ **Post date:** [17. September 2022 um 09:21 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/11 "2022-09-17T09:21:01Z")
Hallo Wilfried, welche Einstellungen hast du bei Dhcp für blau gemacht? Hast du sonst noch etwas eingetragen außer die firewallregeln? Viele Grüße Steffen ---
**Author:** ![wilfried](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/wilfried/32/86_2.png) [@wilfried](https://ask.linuxmuster.net/u/wilfried)\ **Post date:** [17. September 2022 um 09:53 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/12 "2022-09-17T09:53:30Z")
Hallo Steffen, ich komme leider momentan nicht von zu Hause auf die Firewall, weil unsere Vodafone-Verbindung nahezu keinen Upload mehr hat … Ticket erstellt usw. Sobald es wieder geht und du die Infos noch brauchst, kann ich nachschauen. Viele Grüße Wilfried ---
**Author:** ![wilfried](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/wilfried/32/86_2.png) [@wilfried](https://ask.linuxmuster.net/u/wilfried)\ **Post date:** [18. September 2022 um 08:40 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/13 "2022-09-18T08:40:43Z")
Hallo Steffen, die blaue Netzwerkkarte ist bei mir so konfiguriert: ![IPblau](https://ask.linuxmuster.net/uploads/default/original/2X/b/b3ca2396ec9c6e47b2afbfa19f934639e241e202.png) Das sind die DHCP-Einstellungen: ![dhcpblau](https://ask.linuxmuster.net/uploads/default/original/2X/a/aa508e1477801b192a5c42e2dd8d800ccb52338b.png) Und dies die Firewallregeln: ![firewallregelnblau](https://ask.linuxmuster.net/uploads/default/original/2X/b/be45771ecd8695fdc0ee2c9d0714da6078f1aba3.png) Da es funktioniert, habe ich es seit der Einrichtung nicht mehr angefasst und weiß auch nicht mehr über die Details Bescheid. Für unsere kleine Schule passt es, kann sein, dass du einen größeren Bereich brauchst. Viele Grüße Wilfried ---
**Author:** ![alois](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/alois/32/1136_2.png) [@alois](https://ask.linuxmuster.net/u/alois)\ **Post date:** [18. September 2022 um 13:12 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/14 "2022-09-18T13:12:46Z")
Hallo Steffen, > [@steff66](#): > > welche Einstellungen hast du bei DHCP für blau gemacht? Den DHCP habe ich auf 172.16.0.0/16 eingestellt. Mit 172.16.16.0/24 hast du nur etwas mehr als 250 IP-Adressen zur Verfügung. Das wird u.U knapp. Viele Grüße Alois ---
**Author:** ![steff66](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/s/87869e/32.png) [@steff66](https://ask.linuxmuster.net/u/steff66)\ **Post date:** [20. September 2022 um 18:01 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/15 "2022-09-20T18:01:30Z")
Hallo Wilfried, vielen Dank. Ich habe heute angefangen das blaue Netz einzurichten. Habe aber ein Netzwerkkartenproblem. Die muss erst noch getauscht werden. Viele Grüße Steffen ---
**Author:** ![steff66](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/s/87869e/32.png) [@steff66](https://ask.linuxmuster.net/u/steff66)\ **Post date:** [20. September 2022 um 18:02 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/16 "2022-09-20T18:02:13Z")
Danke für den Hinweiß. Gleich so eingestellt. ---
**Author:** ![nosch](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/n/7bcc69/32.png) [@nosch](https://ask.linuxmuster.net/u/nosch)\ **Post date:** [4. März 2023 um 10:25 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/17 "2023-03-04T10:25:31Z")
Hallo zusammen! Ich hab das blaue Netzwerk nach Wilfrieds Anleitung oben eingerichtet - vielen Dank dafür! Nachdem die hier beschriebenen Firewall-Regeln, soweit ich das bei mir getestet habe, den Zugriff von Blau nach Grün uneingeschränkt ermöglichen, hier ein schönes Tutorial, das die Trennung von zwei LANs recht anschaulich beschreibt: [OPNSense Firewall Rules Explained - YouTube](https://youtu.be/kYFNa_zpeII) Michael beschreibt ein ähnliches Vorgehen hier: [OPNSense: Regel, die alle privaten Netze blockiert (HowTo)](https://ask.linuxmuster.net/t/opnsense-regel-die-alle-privaten-netze-blockiert-howto/5994) Bei mir sieht das nun so aus: ![image](https://ask.linuxmuster.net/uploads/default/original/2X/e/e07c01db50715143c93f6f6d3086075651603483.png) Und hier noch der Alias „PrivateNetze“, den ich zuvor angelegt habe: ![image](https://ask.linuxmuster.net/uploads/default/original/2X/2/296ad359ff3a5799f95566195839a8c5617513f6.png) Viele Grüße! Noah ---
**Author:** ![nosch](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/n/7bcc69/32.png) [@nosch](https://ask.linuxmuster.net/u/nosch)\ **Post date:** [4. März 2023 um 10:44 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/18 "2023-03-04T10:44:01Z")
Hallo Holger! Das wollte ich gerade auch so einricheten: > [@baumhof](#): > > Ich habe einen cronjob der in der Nacht folgenden Befehl ausführt: > > sophomorix-managementgroup --set-wifi default --school default-school > > der schmeißt dann alle die nicht in der > /etc/linuxmuster/sophomorix/default-school/wifi-default.conf > stehen wieder raus. Wie muss denn die wifi.default.conf aussehen? (übrigens mit Punkt und nicht Bindestrich!) Nur Benutzernamen mit Komma getrennt geht nicht… EDIT: Hab’s gefunden - es geht z.B. so: ```auto MEMBER_ROLE=teacher,globaladministrator MEMBER_CLASS=klasse1,klasse2 MEMBER_USER=benutzer1,benzutzer2,benutzer3 ``` Vielen Dank! Grüße Noah ---
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [4. März 2023 um 13:03 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/19 "2023-03-04T13:03:16Z")
Hallo Noah, > Wie muss denn die wifi.default.conf aussehen? (übrigens mit Punkt und > nicht Bindestrich!) MEMBER\_ROLE=teacher,globaladministrator MEMBER\_CLASS=schulbegleiter,sozialarbeit,trauma,schilf,hausmeister,schach,referent,12w,jahreskurs MEMBER\_USER=klimgu > Nur Benutzernamen mit Komma getrennt geht nicht… Benutzernamen geht noch nicht: dazu brauchst du ein neueres sophomorix: das Feature ist gerade erst Beta. Bei dir wird also die Zeile: MEMBER\_USER=klimgu nicht funktionieren. Ich teste das Feature derzeit: bei mir funktioniert es. Du mußt vorerst mit MEMBER\_ROLE und MEMBER\_CLASS vorlieb nehmen. LG Holger ---
**Author:** ![nosch](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/n/7bcc69/32.png) [@nosch](https://ask.linuxmuster.net/u/nosch)\ **Post date:** [4. März 2023 um 13:51 UTC](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258/20 "2023-03-04T13:51:07Z")
Hallo Holger! Danke für die Antwort, aber `MEMBER_USER=` funktioniert, soweit ich das beurteilen kann, auch bei mir schon wie es soll. Grüße Noah [Nächste Seite](https://ask.linuxmuster.net/t/opnsense-firewall-fuer-blau-richtig-konfigurieren/4258.md?page=2)