====== OPNsense ======
---- dataentry service ----
service-urls_urls          : https://opnsense.ccchh.net/, https://10.31.242.1/, https://172.31.200.1/
other-service-fqdns        : 
host-fqdn                  : opnsense.z9.ccchh.net
netbox-link_url            : http://TBD
server_page                : infrastructure:servers:thinkcccluster
maintainers                : yuri, june, max, stb
ccchh-id-integration_yesno : false
----


Im Schrank ist ein PCengines APU, der über ein 1G-Kupfer-Port zwischen allen VLANs routet.

Es läuft OPNsense auf dem Router. Der Router hat auf den internen Netzen jeweils die IP x.x.x.1

Geneigte Admins haben jeweils einen individuellen Account auf dem System. Das Root-Passwort ist im Passwort Store. Im Serverschrank liegt unten in der Pappschachtel ein serielles Consolenkabel samt USB-Adapter, mit dem mensch sich mit der seriellen Console verbinden kann. 

===== Ports =====

Die OPNsense-Netzwerkports sind im Netbox dokumentiert, aber falls das nicht zur Verfügung stehen sollte:

  * igb0: "LAN", mit DHCP, 192.168.1.1. Normalerweise ist hier nichts angeschlossen, aber mensch kann es als Fallback verwenden, wenn alles andere kaputt ist.
  * igb1: VLANs für WAN
      * igb1_vlan8: "WAN_Freifunk": das Freifunk-Client-Netz, wie es vom TP-Link-Router auf dem Schrank bereitgestellt wird; als Fallback-WAN-Gateway verwendet
      * igb1_vlan400: "WAN": Unser Uplink über die Fux.
  * igb2: VLANs für lokale Netze
      * igb2_vlan200: "VLAN200LocalClients": Das normale LAN, Wifi "ccchh"/"ccchh legacy"
      * igb2_vlan206: "VLAN206PublicServer": Server, die aus dem Internet erreichbar sind
      * igb2_vlan208: "VLAN208InternalServer": Server, die nur aus dem internen Netz erreichbar sind
      * igb2_vlan210: "VLAN210IoT": LEDs, Drucker, etc.
      * igb2_vlan212: "VLAN212TestingNetwork": Experimente
      * igb2_vlan242: "VLAN242Management": Infrastruktur und Geräte


===== Services =====

Neben Routing macht das OPNsense auch noch:

  * DHCP
  * Recursive DNS via Unbound
  * DHCP Static Leases
  * WireGuard
  * Firewall

Es ist SSH aktiv, Login nur per Key.