OPNsense WAN 고정 IP 문의

안녕하세요, @goo9goo님.😊

아 위 그림에서 100.x 사용자는 스위치 연결된 사용자입니다.

무선을 이용해서 접근이 안되는 게 꼼수로 부여했다는 IP라면...
virtualip의 서브넷이 255.255.255.0 인거 아닐까용?

1. DHCP로 할당되는 정보와 Static하게 작성하는 정보가 다른 것 같습니다.

Gateway와 Subnet mask설정을 잘 보시고 기입하시면 해결될 것 같네용

2. 기본적으로 PFSense나, OPNsense 둘 다 모두 Firewall 기준 Deny로 기록됩니다.
Ruleset에 등록이 되어있나 봐주셔야 할 것 같네요.
이 이슈가 아니라면 vlan으로 묶여있을 수 있으니.. 아마 이 부분 이슈는 사내 운영팀에 여쭤보셔야 할 것 같습니다.

답변 주신분들 고맙습니다.

akrsoTale 사내 UTM에서는 VLAN 설정이 되어 있지 않고 SuperDMZ 형태로 열려있습니다.

현재 상황은 OPNsense 내부 VM(10.xx.xx.x)에서
- OPNSense WAN / LAN 및 vip 로 핑 가능
- 내부 대역 (10.xx.xx.x) 통신 가능
이며,
- 외부(방화벽 외 WAN, 인터넷) ping 응답을 받지 못함.
(인터넷은 도메인 주소는 가져옴. ping 응답 못 가져옴)

상태 입니다. 이 문제가 해결되야 위 2번 문제를 해결할텐데-
허허-

현재 구성에 관하여 궁금한 부분이 있습니다...!

 

현재 PVE 방화벽 설정 유무가 궁금합니다. (데이터센터 레벨, 클러스터 레벨, LXC/VM 레벨, 인터페이스 레벨 활성화 유무)

 

문제 1에 관하여, 약간 복합적인 현상으로 느껴집니다.

• 게이트웨이 정보가 잘못 입력 되었을 수도 있습니다.
• 방화벽 기능 중에 DHCP 서버에 의해 할당하지 않은 기기 패킷을 drop 하거나 rogue server에 대해 보호하도록 설정되어 있을 가능성이 있습니다. 해당 기능은 아이피타임 공유기 정도만 되어도 제공하는 기능이고, 방화벽 레벨에서 DHCP 서버 제공시 대부분 있습니다.
• 수동 IP 설정 후 opnsense 콘솔에서 구글(8.8.8.8)로 핑 송수신이 가능한지 궁금합니다. 8.8.8.8에 대한 핑 송수신이 가능하고, google.com에 대한 핑 송수신이 불가능하다면 말씀하신 것처럼 DNS 설정 문제로 보입니다.
• 위 테스트에서 송수신이 불가능하다면 traceroute google.com 명령어로 어디까지 도달할 수 있는지 확인 부탁드립니다.
• DNS 설정은 LXC라면 PVE의 해당 LXC 설정의 DNS 메뉴에서 하시면 되고, VM이라면 /etc/resolv.conf에서 nameserver 주소를 지정해주시면 됩니다.

 

문제 2에 관하여, 서브넷이 다르면 통신이 불가능하다는 점에서 라우팅 문제 또는 opnsense에서 1:1 NAT 설정 부재로 추측됩니다.

• 혹시 opnsense 하위 VM은 br0에 대한 vlan 101(10번 대역)인데, NAT는 opnsense가 아닌 PVE 레벨에서 이뤄지는 것인가요? PVE 인터페이스에서 브릿지 태깅을 하셨다면 PVE 레벨에서 마스커레이딩을 구성하신 것 같은데 하위 VM의 주소는 수동으로 할당하시는지 여부 또는 상위 UTM 또는 스위치에서 태깅으로 별도 서브넷을 구성한 것인지 궁금합니다.
• 만약 opnsense 레벨에서 NAT 구성시 static NAT(1:1 NAT)를 통해 라우팅도 별도로 해주셔야 합니다.
• opnsense와 PVE, 다른 xx.xx.100.x 대역을 사용하는 기기의 기본 게이트웨이 주소 또는 라우팅 테이블이 궁금합니다. (각 기기마다 어디까지 도달할 수 있는지가 중요할 것으로 생각됩니다)
• 무선 <->  opnsense 내 VM 기기간 핑 테스트시 실패할 때 표시되는 메시지도 부탁드립니다. (Destination unreachable, Request timed out 등)
• 내부 VM에서 도메인 주소를 가져온다면, 해당 VM의 DNS 주소를 어디로 설정 하셨는지 궁금합니다. (게이트웨이, ISP DNS 서버, 그 외 DNS 서버 등; 이에 따라 현재 통신 가능 범위를 알 수 있습니다)
• 또는 내부 VM에서 google.com에 대해 traceroute도 부탁드립니다.

 

긴 글로 상세한 답변과 확인사항 조언 고맙습니다. 주신 글에 in-line으로 답변해 보겠습니다. 

 

현재 PVE 방화벽 설정 유무가 궁금합니다. (데이터센터 레벨, 클러스터 레벨, LXC/VM 레벨, 인터페이스 레벨 활성화 유무)

: 모두 off상태 입니다. 

 

문제 1에 관하여, 약간 복합적인 현상으로 느껴집니다.

• 게이트웨이 정보가 잘못 입력 되었을 수도 있습니다.
  : .254로 설정되어 있는데 요건 현재 방화벽과 동일 레벨인 사내LAN과 동일한 설정입니다. 
  
  
• 방화벽 기능 중에 DHCP 서버에 의해 할당하지 않은 기기 패킷을 drop 하거나 rogue server에 대해 보호하도록 설정되어 있을 가능성이 있습니다. 해당 기능은 아이피타임 공유기 정도만 되어도 제공하는 기능이고, 방화벽 레벨에서 DHCP 서버 제공시 대부분 있습니다.
  : 해당사항 없습니다. LAN내 다른 장비들도 고정으로 사용중인 서버들이 이미 있습니다. 
  
  
• 수동 IP 설정 후 opnsense 콘솔에서 구글(8.8.8.8)로 핑 송수신이 가능한지 궁금합니다. 8.8.8.8에 대한 핑 송수신이 가능하고, google.com에 대한 핑 송수신이 불가능하다면 말씀하신 것처럼 DNS 설정 문제로 보입니다.
  : ping이 되지 않습니다. 어제 다시 확인해보니 WAN IP 할당시에는 opnsense -> 외부통신이 먹통이 됩니다. 
  
  
• 위 테스트에서 송수신이 불가능하다면 traceroute google.com 명령어로 어디까지 도달할 수 있는지 확인 부탁드립니다.
  : 시도해 보겠습니다. 
  
  
• DNS 설정은 LXC라면 PVE의 해당 LXC 설정의 DNS 메뉴에서 하시면 되고, VM이라면 /etc/resolv.conf에서 nameserver 주소를 지정해주시면 됩니다.
  : VM 환경이고 netplan 설정에 nameserver로 구성했었습니다. 

 

문제 2에 관하여, 서브넷이 다르면 통신이 불가능하다는 점에서 라우팅 문제 또는 opnsense에서 1:1 NAT 설정 부재로 추측됩니다.

• 혹시 opnsense 하위 VM은 br0에 대한 vlan 101(10번 대역)인데, NAT는 opnsense가 아닌 PVE 레벨에서 이뤄지는 것인가요? PVE 인터페이스에서 브릿지 태깅을 하셨다면 PVE 레벨에서 마스커레이딩을 구성하신 것 같은데 하위 VM의 주소는 수동으로 할당하시나요?
  : 이 부분은 제가 조금 더 설명 드리는 것이 좋을 것 같습니다.
  • 현재 PVE는 랜인터페이스가 1개 입니다. 그래서
  • VM에 Add device로 동일 네트워크 인터페이스를 한개 더 추가하고 식별을 위해 VM상의 vlan 태깅에 식별자(101)를 붙인 겁니다.
  • PVE 레벨에서 마스커레이딩은 설정하지 않았습니다. 
    
    

 

 

 

아래 부분은 재구성하고 다시 테스트와 스크린샷을 함께 제공해 드리겠습니다. 어제 재설치와 구성으로 난리를 쳐놓은 상황이라 다시 재설치하고 안되는 상황을 재현해야 해서 그렇습니다. 

 

====

• 만약 opnsense 레벨에서 NAT 구성시 static NAT(1:1 NAT)를 통해 라우팅도 별도로 해주셔야 합니다.
• opnsense와 PVE, 다른 xx.xx.100.x 대역을 사용하는 기기의 기본 게이트웨이 주소 또는 라우팅 테이블이 궁금합니다.
• 무선 <->  opnsense 내 VM 기기간 핑 테스트시 실패할 때 표시되는 메시지도 부탁드립니다. (Destination unreachable, Request timed out 등)
• 내부 VM에서 도메인 주소를 가져온다면, 해당 VM의 DNS 주소를 어디로 설정 하셨는지 궁금합니다. (게이트웨이, ISP DNS 서버, 그 외 DNS 서버 등; 이에 따라 현재 통신 가능 범위를 알 수 있습니다)
• 또는 내부 VM에서 google.com에 대해 traceroute도 부탁드립니다.

 

주말에 집에서 다음과 같이 테스트를 진행하고 있습니다. WAN을 Static IP으로 할당했을 때의 증상이 사무실과 동일 (외부통신 불가)합니다. 기본 설치시 크게 건드리는 것이 없는데 다른 장소에서 안되는 것을 보면 제가 뭔가 놓치고 있지 않나 싶네요.

 

참, klayf, 

 

• 확인해 보라고 하신 부분 중 웹 콘솔의 system/gateways/single 페이지는 존재하지 않습니다. 구글링을 통해서도 많이 위 페이지 보라고 나오던데- 현재는 다음과 같이 바뀌어 있습니다. 

 

• 아래

route add -host x.x.100.254 -iface vtnet0
route add default x.x.100.254 

는 DHCP시에 자동 설정이 되고, GUI에서 게이트웨이 설정해도 동일하게 설정이 됩니다. 

 

===

집에서 테스트하느라 IP가 변경되었습니다. 

• OPNsense WAN : 192.168.219.x (집  LAN)
• OPNsense LAN : 192.168.1.x (Vbox의 NATnetwork)

 

[Virtual Box 환경에서 OPNsense 설치]

WAN을 DHCP 설정 및 설정 후 라우팅 테이블

 

DHCP할당 받은 ip(192.168.219.101)과 default gw가 설정되었습니다. 

 

 

[GUI 설정 및 테스트

]

방화벽 로그인 후 최초설정(wizard)

 

 

 

설정 후 OPNsense ping test (문제 없음)

 

 

 

OPNsense 설정후 이 상태에서 VM의 라우팅 상태

• IP는 방화벽에서 DHCP로 할당
• 외부 ip ping 가능, 도메인 ping 불가
• 라우팅 테이블 정보

 

 

일단 여기서 멈추게 되었습니다. 회사와 다르게 WAN을 DHCP로 설정해도 방화벽 LAN에서는  dns 질의가 실패하는 현상이 발생하였고 클라이언트에 DNS 정보(8.8.8.8)을 입력해서 해결했습니다. 

 

... 갈수록 태산이군요 -_-..

 

[ WAN STATIC IP]

 

설정 이후 OPNsense 라우팅테이블 통신 상태(불가)

 

추가로, Static 설정후 OPNSense WAN 구간(192.168.219.x)도 통신이 안됐는데 Gateway를 수동으로 추가해서 해결했습니다. 

 

 

근데 이게 의미가 없는게, WAN 구간만 통신이 되고 8.8.8.8은 또 핑이 안되네요;;

 

오늘은 여기까지..

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

[해결] .. .어느날 갑자기 -_-.. 그냥 되버렸습니다. 쿨럭- 도움주신분들 감사합니다.