Firewall-Regel via PHP in config.xml geschrieben, filter_configure() aufgerufen, pf zeigt nichts. Kein Fehler, keine Warnung. Der Grund: ein leerer PHP-String im ‘disabled’-Key. Ein isset()-Gotcha das Stunden kostet.
pfSense hat eine PHP-API die direkt auf config.xml operiert. Klingt verlockend für Automatisierung — ist es auch, aber mit Fallstricken die nirgendwo dokumentiert sind. Hier sind die Patterns und Pitfalls die ich beim Härten einer pfSense-Installation gelernt habe.
Alle Clients offline nach WireGuard-Reconnect, aber pfSense meldet ‘online’. Ursache: dpinger pingt bei WireGuard-Gateways ohne Monitor-Target die eigene Interface-IP – und die antwortet immer, auch wenn der Tunnel tot ist.
pfSense Site-to-Site VPN: Homelab und Datacenter sicher verbinden Site-to-Site VPN zwischen Homelab und Datacenter mit pfSense/OPNsense einrichten. WireGuard und IPsec im Vergleich, Routing, NAT und Troubleshooting. Warum ein Site-to-Site VPN? WireGuard vs. IPsec: Was ist besser für Site-to-Site? WireGuard IPsec Voraussetzungen WireGuard auf pfSense/OPNsense einrichten 1. WireGuard Tunnel auf Server-Seite (Datacenter) 2. Peer auf Server hinzufügen (Homelab als Peer) 3. WireGuard Tunnel auf Homelab-Seite 4. Peer auf Homelab hinzufügen (Datacenter als Peer) 5. WireGuard Interface aktivieren Firewall-Regeln einrichten Auf dem Datacenter (Server) Auf dem Homelab Routing konfigurieren Auf beiden Seiten NAT-Ausnahmen (Outbound NAT) Auf beiden Seiten DNS über VPN Methode 1: DNS-Resolver mit Domain Overrides Methode 2: DHCP DNS-Server anpassen VPN-Verbindung testen 1. Status prüfen 2. Ping-Test 3. Traceroute 4. LAN-zu-LAN Test Performance-Optimierung MTU-Anpassung Persistent Keepalive QoS für VPN-Traffic Troubleshooting VPN steht, aber kein Traffic Handshake schlägt fehl LTE-Fallback bricht VPN ab MTU-Probleme (“Verbindung bricht ab”) VPN langsam bei LTE-Uplink Sicherheitshinweise 🛒 Empfohlene Hardware & Services Fazit Warum ein Site-to-Site VPN?# Ein Site-to-Site (S2S) VPN verbindet zwei Netzwerke dauerhaft und transparent miteinander. Im Gegensatz zu Client-VPNs, bei denen einzelne Geräte Verbindungen aufbauen, kommunizieren die Gateways direkt miteinander — alle Geräte dahinter können ohne manuelle VPN-Einwahl auf Ressourcen des jeweils anderen Standorts zugreifen. ...
WireGuard VPN für dein Homelab einrichten – sicherer Remote-Zugriff auf alle Dienste. Installation auf pfSense, Linux und als Docker-Container. Inkl. Mobile-Apps und Split-Tunneling. Warum WireGuard dein VPN der Wahl sein sollte Du sitzt im Café, willst kurz auf deine Nextcloud zugreifen, und merkst: Dein Reverse Proxy ist aus Sicherheitsgründen nicht öffentlich erreichbar. Klar, du könntest Ports öffnen und mit Fail2ban und Crowdsec absichern – oder du machst es richtig und baust einen verschlüsselten Tunnel direkt in dein Homelab. Das ist, wofür VPNs erfunden wurden. ...
Warum dein Homelab VLANs braucht Stell dir vor: Dein Smart-Home-Gerät – sagen wir eine billige WLAN-Steckdose aus China – wird gehackt. Weil die Firmware seit 2019 nicht mehr aktualisiert wurde und die Authentifizierung mit admin:admin gesichert ist. Der Angreifer ist jetzt in deinem Netzwerk. Gleiches Netzwerk wie dein Proxmox-Server, deine Nextcloud, dein Zabbix-Monitoring mit allen Credentials. Ohne VLANs sieht der Angreifer alles. Mit VLANs? Die Steckdose ist in einem isolierten IoT-Netzwerk gefangen, kann nur ins Internet, und sieht von deinen Servern keine Spur. Das ist der Unterschied zwischen “unangenehm” und “katastrophal”. ...