Ein reines Log-Größenlimit reichte nicht: enable_log_mgmt fehlte komplett in der config.xml. Root-Partition lief auf 107%, unbound crashte minütlich, DNS fiel fürs gesamte LAN aus — per pfBlockerNG-NAT sogar für Clients, die die Firewall nie direkt ansprechen.
Suricata auf pfSense mit blockoffenders aktiv — und täglich Totalausfall der gesamten Hetzner-Infrastruktur. Die eigene WAN-IP stand in der snort2c-Tabelle. Ursache: leere Passlist (wanaddr/lanaddr/vpnaddr fehlten), kaputte Passlist-Referenz aus der Snort-Migration, und Snort lief parallel noch mit.
Firewall-Regel via PHP in config.xml geschrieben, filter_configure() aufgerufen, pf zeigt nichts. Kein Fehler, keine Warnung. Der Grund: ein leerer PHP-String im ‘disabled’-Key. Ein isset()-Gotcha das Stunden kostet.
pfSense hat eine PHP-API die direkt auf config.xml operiert. Klingt verlockend für Automatisierung — ist es auch, aber mit Fallstricken die nirgendwo dokumentiert sind. Hier sind die Patterns und Pitfalls die ich beim Härten einer pfSense-Installation gelernt habe.
Warum dein Homelab VLANs braucht Stell dir vor: Dein Smart-Home-Gerät – sagen wir eine billige WLAN-Steckdose aus China – wird gehackt. Weil die Firmware seit 2019 nicht mehr aktualisiert wurde und die Authentifizierung mit admin:admin gesichert ist. Der Angreifer ist jetzt in deinem Netzwerk. Gleiches Netzwerk wie dein Proxmox-Server, deine Nextcloud, dein Zabbix-Monitoring mit allen Credentials. Ohne VLANs sieht der Angreifer alles. Mit VLANs? Die Steckdose ist in einem isolierten IoT-Netzwerk gefangen, kann nur ins Internet, und sieht von deinen Servern keine Spur. Das ist der Unterschied zwischen “unangenehm” und “katastrophal”. ...