OPNsense-Firewalls hinter NAT, CGNAT und Mobilfunk verwalten
Eine zentrale Verwaltung funktioniert nur, wenn sie die Firewall erreicht. Genau das ist bei Filialen, Kundenstandorten oder LTE-Anschlüssen oft nicht der Fall. Dieser Leitfaden zeigt, wofür der Management-Tunnel von OPNexus gedacht ist, wie er funktioniert und wo seine Grenzen liegen.
Das Problem: die Firewall ist von außen nicht erreichbar
OPNexus verwaltet eine Firewall über deren API, ruft also eine Adresse wie https://firewall/api/… auf. Im eigenen Netz oder über ein Standort-VPN ist das unproblematisch. Bei vielen Standorten ist es das nicht:
- Die Filiale hängt an einem normalen DSL- oder Kabelanschluss, davor sitzt ein Router, an dem niemand Ports weiterleiten darf oder kann.
- Der Standort nutzt Mobilfunk (LTE/5G) oder einen Anschluss mit CGNAT und hat gar keine eigene öffentliche Adresse.
- Die Firewall steht beim Kunden, und die Verwaltung soll nicht ins Internet gestellt werden.
Die Firewall kann ins Internet, aber niemand kann von außen zu ihr.
Die üblichen Auswege und was dagegen spricht
- Weboberfläche ins Internet stellen: Die Verwaltung ist dann für jeden erreichbar, der die Adresse findet. Bei CGNAT ist das ohnehin nicht möglich.
- Je Standort ein eigenes Standort-VPN: Das funktioniert, muss aber für jede Firewall von Hand eingerichtet und gepflegt werden und transportiert mehr, als für die Verwaltung nötig ist.
Die Lösung: die Firewall wählt sich selbst ein
Der Management-Tunnel dreht die Richtung um. Auf dem OPNexus-Server läuft ein WireGuard-Hub. Jede Firewall baut von sich aus (also ausgehend, das funktioniert hinter jedem NAT) eine Verbindung zu diesem Hub auf. So entsteht ein kleines privates Netz, in dem jede Firewall eine feste Adresse hat, zum Beispiel 10.99.0.2. OPNexus erreicht ihre API über diese Adresse.
Ab dann verhält sich die Firewall wie jede andere: Regeln lassen sich mit Vorschau und automatischem Rückfall ausrollen, Updates planen, Backups und Logs abrufen, die Sicherheitslage prüfen. Das Festsetzen des Firewall-Zertifikats funktioniert ebenfalls durch den Tunnel.
Ein Beispiel
Du betreust fünf Standorte. Zwei davon erreichst du direkt, drei sind Filialen hinter DSL-Routern oder per LTE angebunden.
- Auf dem OPNexus-Server den Hub einschalten.
- Für jede der drei Filialen in OPNexus „Firewall hinzufügen“ wählen. OPNexus vergibt eine Tunneladresse und einen eigenen Pre-Shared Key und zeigt die Werte zum Kopieren.
- Diese Werte in der jeweiligen OPNsense unter VPN › WireGuard eintragen, einmalig und bei Bedarf aus der Ferne.
- Die Firewalls als Host mit ihrer Tunneladresse anlegen.
Danach lassen sich alle fünf Standorte gleich verwalten, ohne dass an einer Filiale etwas aus dem Internet erreichbar sein muss.
Was dafür nötig ist
- Der OPNexus-Server muss selbst aus dem Internet erreichbar sein, und zwar mit einem UDP-Port (Standard 51820). Das ist ein Port-Forward am Router des Servers oder ein Server mit öffentlicher Adresse. Der Aufwand liegt damit an einer einzigen Stelle statt an jeder Filiale.
- Der Hub ist ein optionaler Container (
COMPOSE_PROFILES=overlay) und braucht das WireGuard-Kernelmodul, das jeder aktuelle Linux-Kernel mitbringt. - Auf der Firewall legst du eine lokale WireGuard-Instanz, die Gegenstelle (den Hub) und eine Regel an, die den Zugriff des Hubs auf die Weboberfläche erlaubt. OPNexus zeigt die Schritte mit allen Werten an.
Wie sicher ist das?
- Keine Verbindungen von den Firewalls zu OPNexus: Der Hub nimmt von den Firewalls keine neuen Verbindungen an. Eine kompromittierte Außenstelle erreicht weder OPNexus noch andere Standorte.
- Keine Weiterleitung zwischen Firewalls: Der Hub routet nicht zwischen den Standorten und nicht ins interne Netz des Servers.
- Eigener Schlüssel je Firewall: Jede Firewall hat einen eigenen Pre-Shared Key. Wird sie in OPNexus gelöscht, ist sie sofort aus dem Hub entfernt.
- Nur für die Verwaltung: OPNexus erreicht die Firewalls ausschließlich in das Tunnelnetz über einen internen Proxy, der von außen nicht erreichbar ist.
Grenzen
- Der Tunnel ist kein Standort-VPN. Der Datenverkehr der Standorte läuft nicht darüber.
- Die erste Einrichtung auf der Firewall übernimmt OPNexus nicht selbst, denn es erreicht die Firewall ja noch nicht.
- Firewalls im Tunnelnetz werden über ihre IP-Adresse angesprochen, nicht über DNS-Namen.
- Wenn alle deine Firewalls ohnehin per LAN, Standort-VPN oder öffentlicher Adresse erreichbar sind, brauchst du den Tunnel nicht. Er ist deshalb standardmäßig aus.
Häufige Fragen
Brauche ich den Management-Tunnel für Firewalls im selben Netz?
Nein. Er ist für Firewalls gedacht, die OPNexus sonst nicht erreichen würde, etwa hinter NAT, CGNAT oder Mobilfunk. Alles, was per LAN, VPN oder öffentlicher Adresse erreichbar ist, wird wie gewohnt angelegt.
Muss an der Filiale ein Port geöffnet werden?
Nein. Die Firewall baut die Verbindung von sich aus nach außen auf. Offen sein muss nur ein UDP-Port am OPNexus-Server.
Läuft der gesamte Verkehr der Filiale über den Tunnel?
Nein. Der Tunnel transportiert nur die Verwaltung von OPNexus, nicht den Nutzverkehr der Standorte.
Was passiert, wenn eine Firewall kompromittiert wird?
Der Hub nimmt von den Firewalls keine neuen Verbindungen an und leitet nichts zwischen Standorten weiter. Eine gekaperte Außenstelle erreicht deshalb weder OPNexus noch andere Firewalls. Ihr Schlüssel lässt sich in OPNexus mit einem Klick entfernen.
OPNexus ausprobieren
Kostenlos, selbst gehostet, Quellcode einsehbar. Installation in wenigen Minuten.