Hans glaub ich raus gefunden. Hab mal meine easybox rausgeworfen und pfsense selbst die pppoe Verbindung herstellen lassen. Jetzt geht es. Wer weis was er hatte…

Sorry für die 3 Beiträge, anders bekam ich die Bilder nicht hochgeladen.

hotspot.PNG
hotspot.PNG_thumb
wan.PNG
wan.PNG_thumb

frage wurde im englishen forum beantworten
siehe:
http://forum.pfsense.org/index.php/topic,59947.0.html

Die Anleitung bezüglich VPN Disconnect und sofortigen Stop des Traffics funktioniert einwandfrei. Hierzu ein fettes DANKE.

Benutze als x86 pfSense Router ein Mainboard "Jetway J7F4" mit 1 GB-RAM und 2 Dual-Gb-LAN NIC´s + 4 GB CF Card verpackt in einem Mini-ITX Gehäuse "M350" und einer Pico-PSU.

Ja, statt die FritzBox 7360 hätte ich mir genau so gut ein gebrauchtes Modem von Zyxel kaufen können. Die bereits vorhandene "W920V als 7570 geflasht" würde dann als VoIP Gerät dienen. Das wäre auch eine Lösung gewesen.
Aber bei der 7360 war ich mir 101% sicher, dass diese die 43 Mbit VPN Durchsatz leisten kann, wobei die W920 Box im Modembetrieb dies auch konnte, aber nicht mit NAT/Firewall.

Zum Abschluss..wäre es irgendwie möglich doch noch vom PC (192.168.1.x) Bereich Zugang zur Weboberfläche der FritzBox zu erhalten, die vor dem pfSense Router im 192.168.178.x Bereich sitzt? Eine Art Durchleitung?
Ansonsten kommt Plan B ins Spiel, heißt "MyFritz". Dann müsste ich von Außen auf die Weboberfläche zugreifen.

Hi,

Nein.
Schau dir mal http://forum.pfsense.org/index.php?topic=30355.0 an.

@shiversc:

Ich habe jetzt nicht genau geguckt, was dein Switch kann, aber Layer3 VLAN bestimmt nicht?

Ein Layer2-Switch reicht für VLANs völlig aus. Das Routing zwischen LAN und WLAN (und ggf. weiteren Netzen) soll doch wahrscheinlich ohnehin pfSense machen.

Peter

Hallo Joe,

ohne Server-Log lässt dich der Fehler aktuell noch nicht auf Server oder Client eingrenzen, d.h. die Client-Fehlermeldung kann durchaus ein Folgefehler eines Server-Fehlers sein.

Auch wenn mir deine Situation schon klarer ist, ist mir noch immer nicht klar, was genau funktioniert und was nicht.

Wenn du schreibst

Heimnetzwerk mit PFsense und OpenVPN Server welcher per UDP/Port1196 über Viscosity von überall erreichbar ist. Somit funktioniert bis jetzt alles super.

kann doch mit "von überall" nicht die Schule als Client-Standort gemeint sein - oder doch? Sonst würde ich nicht verstehen, warum du einen zweiten Server auf Port 443 eingerichtet hast. Vergleiche auch die Client- und Server-Logs einer erfolgreichen Verbindung mit den Logs einer nicht erfolgreichen Verbindung auf Port 443 (ggf. hier Posten).

Wenn du schreibst

-Erster Test zuhause mit meinem Laptop im WLAN, Verbindung kommt zustande (Ich verwende eine DynDNS Adresse um meine PFsense zu erreichen).

vermute ich, dass du aus deinem WLAN-Heimnetzwerk auf die WAN-Adresse (DynDNS) zugegriffen hast. Hier wäre zumindest das Client-Log hilfreich. Die Situation ist nach meiner Einschätzung allerdings nicht repäsentativ, weil du zunächst auf dem WAN-Interface heraus und dann auf dem selben Interface wieder in die Firewall hinein Datenverkehr hast (NAT reflection). Verstehe ich es richtig, dass du mit dem zweiten Server auf Port 443 noch keine "echte" Verbindung von außerhalb, d.h. Client weder im LAN noch im WLAN, aufbauen konntest?

Ohne das Server-Log und genauere Konfigurations-Informationen kann ich im Moment nur mehr oder weniger geschickt raten und folgende Vorschläge zur Fehlereingrenzung machen:

Verbindungsversuch mit originalem OpenVPN-Client (http://openvpn.net/index.php/download.html). Hier empfehle ich bewusst die Version 2.2.0, weil die zur pfSense-Version des OpenVPN-Servers passt. Das gilt zumindest für pfSense 2.0.1 - bisher hast du nicht gesagt, welche Version du überhaupt verwendest. Mit Version 2.3.0 von OpenVPN gibt es erstmals volle IPv6-Unterstützung. Ich verwende sowohl unter Linux als auch unter Windows 7 den originalen OpenVPN-Client in der Version 2.2.0 - der ist seit Jahren stabil.

Wenn möglich: Verbindungsaufbau mit Linux-Client, um die windows-spezifischen Fehler mit JOIN und SUBST auszuschließen.

Deaktivierung des ersten VPN-Servers auf Port 1196, um sicherzustellen, dass es - aus welchen Gründen auch immer - keine gegenseitige Beeinflussung etwa der Konfigurationen gibt.

Und nur noch einmal zur Sicherheit: Fehler bei den verwendeten Zertifikaten (CAZertifikat und CA-Key, Server-Zertifikat und Server-Key sowie Client-Zertifikat und Client-Key) kannst du mit Sicherheit ausschließen? Du verwendest ein selbst signiertes CA-Zert.? Ich vermute, du betreibst entweder eine eigene PKI oder nutzt pfSense zur Erzeugung der Zert./Keys. Häufige Fehler beim Client-Zert. ist z.B. die fehlende X509v3-Erweiterung "extendedKeyUsage = clientAuth".

Generell hilfreich wäre, falls du nicht weiterkommst, ggf. Hardcopies von den OpenVPN-Servereinstellungen (Hardcopies oder Config-File) oder der Client-Konfig.-Datei.

Peter

ich frag mal ganz simpel, bist du dir sicher das die WLAN-Verbindung zum Telefon sicher steht bzw. können diesbezüglich Probleme ausgeschlossen werden?
Ist es ein WLAN-Stick, AP oder ein Wireless-Router der WLAN anbietet?

VG.

@Rossi:

Es war wohl der Browser. Es sollte laut englischem Forum zwar nur bei https Verbindungen mit dem IE Probleme geben, aber das gilt bei mir definitiv auch für unverschlüsselte Verbindungen über Port 80. Außerdem hat es ebenfalls mit einer Firefox Installation nicht funktioniert. Erst mit einer komplett neuen Firefoxversion mit neuem Profil hat es dann geklappt.

Na wenigstens klappt es nun. Auch wenn es ein blöder Fehler ist :-)

@scrag:

Da eine DynDNS-Lösung für Selfhost bei der embedded PFsense-Version momentan nicht greifbar erscheint, hab ich jetzt die PfSense als transparente Firewall im Bridgebetrieb hinter den Speedport DSL-Router gesetzt. Hab dazu die hier im Netz kursierende Anleitung benutzt.
Die Bridge läuft soweit fehlerfrei…

Um dich zu verstehen: Was meinst du mit "PfSense als transparente Firewall im Bridgebetrieb" und auf welche Anleitung beziehst du dich?

Peter

@pvoigt:

Aber dafür braucht man doch nicht extra ein Syslog-Package zu installieren. Man kann doch ohne zusätzliche Packages einfach die Logs an einen externen Syslog-Sever schicken - zumindest mach ich das so, und es funktioniert prima. Die Einstellungen befinden sich unter "Status->System Logs->Settings". Oder habe ich etwas falsch verstanden :)?

stimmt… das extra Package ist nur der syslog-ng ... und steht nur für 2.1BETA zur Verfügung.

ah, wenn man vor der pfSense sitzt, ist es noch einfacher ;)

=> Firewall => Traffic Shaper => Limiter…

=> klick in der Regel die Advanced Options auf
==> "Delay: 0ms"
      Hint: in most cases, you should specify 0 here (or leave the field empty)

könnte evtl. auch helfen.

Oder es verzögert einfach nur die Pakete g (der Paremeter "Packet loss"  deutet leider darauf hin).

Grüße

Reiner

Ich verwende seit etwa einem Jahr ohne Probleme eine Compex WLM54AG (Atheros, abg). Es scheint im Varia-Store aber nur noch die etwas teurere Super-A-Variante dieser Karte zu geben: http://varia-store.com/Hardware/MiniPCI-Karten/Compex-WLM54AP26-400mW-WLAN-Karte-802-11a-Super-A::796.html.

Mit den n-Karten oder den USB-WLAN-Adaptern wäre ich vorsichtig, denn pfSense 2.0.x unterstützt die nicht bzw. nicht vollständig. Einige wenige Nicht-USB-Adapter sollen zumindest im Nicht-n-Modus laufen. Zu beiden Themen gibt es diverse Threads im englischen Teil des Forums.

Peter

@Nachtfalke:

Meine Fragen sind nun:

Kann ich mit der pfsense über eine ISDN Karte eine ISDN Verbindung aufbauen ? Evtl. kurzer Tip

Kann ich über die pfSense Kanalbündlung realisieren, dass ich also beide B-Kanäle gleichzeitig nutze ? Bei der DFÜ Verbindung setzt man glaube ich einfach nur einen Haken unter Windows.

Kann die pfSense eine Art "Dial-on-demand" - also dass die Einwahl getrennt wird wenn kein Verkehr auf der Leitung ist - wobei zu klären wäre, was bedeutet "kein Verkehr"?

Kann man der pfSense irgendwie beibringen, nur einen OpenVPN Tunnel aufzubauen, wenn zuvor eine andere Aktion die ISDN Einwahl gestartet hat ? Weil wenn ich "dial-on-demand" nutze, dann wird der VPN Tunnel vermutlich dafür sorgen, dass die Einwahl dauerhaft bestehen bleibt. Dieser Punkt ist aber erstmal nicht so wichtig. Ansonsten würde ich dort einen VPN Server einrichten und mich dorthin verbinden und nicht umgekehrt.

Kennt/hat jemand ein kompatibles ISDN Gerät in der pfsense im Einsatz?

z.B.: http://www.avm.de/en/news/artikel/FreeBSD.html

Besser: externe Geräte, die Du per PPP ansprechen kanns.
    Frage ist jetzt allerdings, wie lange Du noch ISDN nutzen kannst…
    Selbst die Telekom steigt jetzt auf VoIP Anschlüsse um und in spätestens 2-3 Jahren
    wird es diesen Service nicht mehr geben, wenn es nach den Anbietern geht..

keine Ahnung, Das Protokoll nennt sich MPPP ...
    Und Dein Provider muss das unterstützen, sonst nützt der Haken nicht viel.
    Wichtig: wenn Du 2x anrufst müssen beide Anrufe beim gleichen Router eingehen;
    das ist bei größeren ISDN Einwahlanbietern meist nicht der Fall.

Soweit ich mich erinnere, hatte ich beim PPPoE Slave eine Option gesetzt, dass die
    Verbindung bei Inaktität nach x Sekunden beendet wird, damit der Master diese
    wieder erhalten kann nach Fallback.

Du müsstest OpenVPN beibringen, ebenfalls nur bei Aktivität den Tunnel aufzubauen
    und bei Inaktivität den Tunnel zu beenden.
    Das dürfte nicht einfach werden ;)

Grüße

Reiner

@shiversc:

Ich habe eine Reihe Access Points die Mutil-SSID tauglich sind.

Jetzt kommen aber auch Externe, die vor Ort arbeiten müssen, dass heißt z. B. ein Programmierer sitzt in dem Stadtteil und will zur Anlage sich verbinden. Anpatchen an dieses Netzwerk vor Ort will ich nicht. Das steht nur den internen Admins zu.
Nun suche ich eine Lösung, das meine Kollegen die MAC Adresse des WLAN-Adapters mir mitteilen und diese dem VLAN samt Berechtigung zugeordnet wird.

Vielleicht denkst Du hier nur zu kompliziert…
Kann man nicht noch freie SSID Netze für ein Gast WLAN einrichten und diesen den externen Mitarbeitern zuweisen?
Wir haben für unsere Gäste das so gemacht.... Eigenes Gast LAN, eigene Regeln ohne große IP /FW Komplikationen ;)

Grüße

Reiner