OPNsense/Firewall/Regeln/Fehlerbehebung: Unterschied zwischen den Versionen

Version vom 14. Mai 2025, 07:58 Uhr

OPNsense/Firewall/Regeln/Fehlerbehebung

Beschreibung

Beim Erstellen Ihres Regelsatzes können Fehler auftreten

Es ist daher immer gut zu wissen, wo Sie nach Anzeichen für ein Problem suchen müssen
Einer der häufigsten Fehler ist, dass der Datenverkehr nicht mit der Regel übereinstimmt und/oder die Reihenfolge der Regeln aus irgendeinem Grund nicht sinnvoll ist

Überprüfen

Mit der Schaltfläche „Überprüfen“ kann man leicht sehen, ob eine Regel ausgewertet wurde und der Datenverkehr diese Regel passiert hat

Es ist auch möglich, direkt zu den zugehörigen Zuständen zu springen, um zu sehen, ob Ihr Host wie erwartet in der Liste enthalten ist

Live-Log-Viewer

Ein weiteres wertvolles Tool ist der Live-Log-Viewer

Um ihn zu verwenden, stellen Sie sicher, dass Sie Ihrer Regel eine leicht lesbare Beschreibung geben und die Option „Protokoll“ aktivieren

Source Routing

Wenn Sie Source Routing (richtlinienbasiertes Routing) verwenden, kann die Fehlersuche manchmal etwas komplizierter sein

Da die normale System-Routing-Tabelle möglicherweise nicht gilt, ist es hilfreich zu wissen, welchem Fluss der Datenverkehr tatsächlich gefolgt ist
In diesem Fall ist die Paketerfassung ein nützliches Tool

Häufige Probleme in diesem Bereich sind Rückverkehr, der eine andere Schnittstelle als diejenige verwendet, über die er eingegangen ist, da der Datenverkehr auf seinem Weg nach außen der normalen Routing-Tabelle folgt (Reply-to-Problem), oder Datenverkehr, der aufgrund einer Überauswahl die falsche Schnittstelle verlässt (Übereinstimmung mit internem Datenverkehr und Erzwingen eines Gateways)

Netzmasken überprüfen

Es ist auch ratsam, die verwendeten Netzmasken zu überprüfen, da es leicht zu Fehlern kommen kann, wenn man einen Host abgleichen möchte, aber ein Subnetz angibt (z. B. 192.168.1.1/32 vs. 192.168.1.1/24 entspricht in Wirklichkeit 192.168.1.x)

Reihenfolge

Zu guter Letzt sollten Sie daran denken, dass Regeln in der Reihenfolge ihrer Angabe abgeglichen werden und die Standardrichtlinie (für eingehenden Datenverkehr) block lautet, sofern nichts anderes angegeben ist

Da wir den Datenverkehr auf inbound abgleichen, sollten Sie unbedingt Regeln für den Ursprung des Datenverkehrs hinzufügen (z. B. lan für Datenverkehr, der Ihr Netzwerk verlässt; der Rückverkehr sollte normalerweise durch den Status zugelassen werden)

@@ Zeile 2: / Zeile 2: @@
 == Beschreibung ==
-Beim Erstellen Ihres Regelsatzes können Fehler auftreten.
+Beim Erstellen Ihres Regelsatzes können Fehler auftreten
-* Es ist daher immer gut zu wissen, wo Sie nach Anzeichen für ein Problem suchen müssen.
+* Es ist daher immer gut zu wissen, wo Sie nach Anzeichen für ein Problem suchen müssen
 * Einer der häufigsten Fehler ist, dass der Datenverkehr nicht mit der Regel übereinstimmt und/oder die Reihenfolge der Regeln aus irgendeinem Grund nicht sinnvoll ist
 ; Überprüfen
-Mit der Schaltfläche „Überprüfen“ kann man leicht sehen, ob eine Regel ausgewertet wurde und der Datenverkehr diese Regel passiert hat.
+Mit der Schaltfläche „Überprüfen“ kann man leicht sehen, ob eine Regel ausgewertet wurde und der Datenverkehr diese Regel passiert hat
 * Es ist auch möglich, direkt zu den zugehörigen Zuständen zu springen, um zu sehen, ob Ihr Host wie erwartet in der Liste enthalten ist
 ; Live-Log-Viewer
-Ein weiteres wertvolles Tool ist der Live-Log-Viewer.
+Ein weiteres wertvolles Tool ist der Live-Log-Viewer
 * Um ihn zu verwenden, stellen Sie sicher, dass Sie Ihrer Regel eine leicht lesbare Beschreibung geben und die Option „Protokoll“ aktivieren
 ; Source Routing
-Wenn Sie Source Routing (richtlinienbasiertes Routing) verwenden, kann die Fehlersuche manchmal etwas komplizierter sein.
+Wenn Sie Source Routing (richtlinienbasiertes Routing) verwenden, kann die Fehlersuche manchmal etwas komplizierter sein
-* Da die normale System-Routing-Tabelle möglicherweise nicht gilt, ist es hilfreich zu wissen, welchem Fluss der Datenverkehr tatsächlich gefolgt ist.
+* Da die normale System-Routing-Tabelle möglicherweise nicht gilt, ist es hilfreich zu wissen, welchem Fluss der Datenverkehr tatsächlich gefolgt ist
 * In diesem Fall ist die Paketerfassung ein nützliches Tool
@@ Zeile 25: / Zeile 25: @@
 ; Reihenfolge
-Zu guter Letzt sollten Sie daran denken, dass Regeln in der Reihenfolge ihrer Angabe abgeglichen werden und die Standardrichtlinie (für eingehenden Datenverkehr) <tt>block</tt> lautet, sofern nichts anderes angegeben ist.
+Zu guter Letzt sollten Sie daran denken, dass Regeln in der Reihenfolge ihrer Angabe abgeglichen werden und die Standardrichtlinie (für eingehenden Datenverkehr) <tt>block</tt> lautet, sofern nichts anderes angegeben ist
 * Da wir den Datenverkehr auf <tt>inbound</tt> abgleichen, sollten Sie unbedingt Regeln für den Ursprung des Datenverkehrs hinzufügen (z.&nbsp;B.&nbsp;<tt>lan</tt> für Datenverkehr, der Ihr Netzwerk verlässt; der Rückverkehr sollte normalerweise durch den Status zugelassen werden)