Da ich zu Hause auch des öfteren mal Virenverseuchte Rechner reparieren muss, habe ich mich für eine Abtrennung zum Produktivnetz entschieden. Erste Ideen gab mir der folgende heise-Artikel: [Router-Kaskaden](http://heise.de/-1825801). Eine super Idee, günstige Hardware (Router) zur Trennung zu nutzen. Nachteil: SMB-Freigaben im DMZ-Netz sind schwierig zu konfigurieren und der Zugang von Netzt zu Netz ist fast nicht möglich. Deshalb habe ich mir eine Firewall angeschaft: # Hardware * Igel 5200LX 5/3 * D-Link DFE-580TX 100MBit Quad-Port Netzwerkkarte * 1GB RAM * 8GB Compact Flash Stromverbrauch: 27-33Watt # Software Erster Gedanke war M0n0Wall. Leider hat die BSD-Version die Netzwerkkarten nicht richtig erkannt Zweiter Gedanke: pfSense. Dieser Fork von M0n0wall hat eine neuere BSD-Version und unterstützt die Netzwerkkkarte. Installation ging reibungslos von Statten. Boot von USB-Stick, Installation, Fertig. # Probleme ## VDSL-Modem einrichtung Da ich VDSL-habe, habe ich mich auf die suche nach einem VDSL-Modem (nicht Router) gemacht. Vorteile: Die Firewall selbst macht das NAT und die Einwahl ins Netz. Das Modem ist quasi nur für die Umsetzung von VDSL auf LAN zuständig Als Modem habe ich mir das Zyxel P-870H-53A gekauft. Nach langer Recherche und mehreren Tagen bin ich auf die Rezensionen von Amazon und auf [diesen Link](http://www.easy-computerservice.de/html/vdsl_mit_vorhandener_firewall_.html) gestoßen. Mit Hilfe des [Heise-Artikels](http://heise.de/-221500) habe ich die Einwahl versucht. Leider hat es nicht funktioniert. Fehler: 1und1 benutzt zwar das VLAN 7 für die Übertragung, dieses VLAN endet aber am Modem. Die Firewall muss also nicht für VLAN7 konfiguriert werden. Außerdem muss der Benutzername (bei 1und1) ein "H" vorangestellt werden (Quelle: [http://forum.pfsense.org/index.php?topic=51582.0](http://forum.pfsense.org/index.php?topic=51582.0)). Dann klappts auch mit dem Zugang. ## VDSL-Modem Geschwindigkeit Die offiziell letzte Firmware auf der Website hat ein Problem mit der Downloadgeschwindigkeit. Nach Rücksprache mit dem Support wurde mir [diese Firmware](ftp://ftp.zyxel-tech.de/2.new_mirror/P-870H-53A_v2/firmware/daytime/101TUH0_0909.zip) empfohlen ## VoIP-Telefon VoIP einzurichten ist eigetlich nicht sonderlich schwer, nur ein paar Ports öffnen und fertig. Weit gefehlt. Zunächst sollte man die Fritzbox selbst umkonfigurieren, da sie ja nicht mehr selbst die Einwahl übernimmt. Hilfe gibt es [hier](http://service.avm.de/support/de/SKB/FRITZ-Box-7390/106:Internetverbindung-eines-anderen-Routers-mit-FRITZ-Box-nutzen) Dann muss man die ~~[folgendnen Ports](http://www.avm.de/de/Service/Service-Portale/Service-Portal/5188_Fragen_an_die_Hotline/090_Gateway_hinter_Router_Ports.php)~~[folgenden Ports (gaaaanz unten)](http://avm.de/nc/service/fritzbox/fritzbox-7113/wissensdatenbank/publication/show/38_Mit-FRITZ-Box-telefonieren-wenn-ein-anderer-Router-die-Internetverbindung-herstellt/) in der Firewall öffnen: * UDP: Source = 5060; Destination = Fritzbox 5060 * UDP: Source = >= 1024; Destination = 7078 - 7097 Normalerweise sollte es jetzt funktionieren. Aus Sicherheitstechnischen Gründen ändert pfsense den Source-Port aller ausgehenden Pakete. Dies ist aber Gift für VoIP und IPSec. Um dies zu ändern, muss man sich [diesen pfsense-Artikel](https://doc.pfsense.org/index.php/Static_Port) zu gemüte führen und Outbound-Regeln definieren. # Traffic Shaper * [http://www.hammerweb.com/blog/2011/09/traffic-shaper-in-pfsense-2-0/](http://www.hammerweb.com/blog/2011/09/traffic-shaper-in-pfsense-2-0/) # Firewall reloaded Neue Aufgaben brauchen neue Hardware. Die 100MBit Netzwerkkarten wurden auf dauer doch zu langsam. Deshalb wurde ein neues System gekauft Spezifikation * Mainboard: Jetway NF96FL-525-LF * CPU: Intel Atom D525 * Netzwerk: 4x GigaBit Ethernet (1x Realtek, 3x Intel) * RAM: 2GB Kingston ValueRAM DDR2-800 * Festplatte: 80GB SATA 2,5 Zoll * M350 mini-ITX Gehäuse Stromverbrauch: 20-25 Watt Netzwerkdurchsatz: 30 - 50MB/s :-D # Firewall reloaded (die Zweite) Nachdem das Mainboard meiner Firewall aufgegeben hat, musste ein neues her. Nachbestellen war zu teuer und hätte zu lange gedauert. Deshalb wurde eine neue Firewall aufgebaut. Spezifikation: * Mainboard: ASRock N3700M (Diesmal MicroATX, da ich ein PCIe 2.0 x16 brauchte) * CPU: Intel Pentium N3700 * Netzwerk: 5x GigaBit Ethernet (1x OnBoard, 4x Intel Pro 1000 Quad Port) * RAM: 4GB Kingston ValueRAM DDR3-1600 (KVR16LN11/4) * Festplatte: 80GB SATA 2,5 Zoll (ersetzt durch eine ADATA SU900) * Gehäuse: Kolink Satellite Stromverbrauch: 7-25 Watt Netzwerkdurchsatz: bis zu 52MB/s 8-O ;-) # openVPN * ein Server, mehrere Netze: [https://doc.pfsense.org/index.php/OpenVPN_multi_purpose_single_server](https://doc.pfsense.org/index.php/OpenVPN_multi_purpose_single_server) * Howtos: [https://forum.pfsense.org/index.php/topic,48667.0.html](https://forum.pfsense.org/index.php/topic,48667.0.html), [https://doc.pfsense.org/index.php/OpenVPN_Site-to-Site_PKI_(SSL)](https://doc.pfsense.org/index.php/OpenVPN_Site-to-Site_PKI_(SSL)) * RoutingProblem: [http://www.administrator.de/wissen/pfsense-und-openvpn-ein-hartn%C3%A4ckiges-routing-problem-im-remote-netz-erfolgreich-gel%C3%B6st-wie-immer-254195.html](http://www.administrator.de/wissen/pfsense-und-openvpn-ein-hartn%C3%A4ckiges-routing-problem-im-remote-netz-erfolgreich-gel%C3%B6st-wie-immer-254195.html) * Routed Lans: [https://community.openvpn.net/openvpn/wiki/RoutedLans](https://community.openvpn.net/openvpn/wiki/RoutedLans) * Weg zum Ziel?: [https://doc.pfsense.org/index.php/Routing_internet_traffic_through_a_site-to-site_OpenVPN-connection_in_PfSense_2.1](https://doc.pfsense.org/index.php/Routing_internet_traffic_through_a_site-to-site_OpenVPN-connection_in_PfSense_2.1), [https://www.highlnk.com/2013/12/configuring-openvpn-on-pfsense/](https://www.highlnk.com/2013/12/configuring-openvpn-on-pfsense/) * Der Richtige Weg: [http://husse.in/2012/12/01/pfsense-openvpn-server-with-dd-wrt-clients/](http://husse.in/2012/12/01/pfsense-openvpn-server-with-dd-wrt-clients/)