[solved] Routing Probleme
-
@viragomann said in Routing Probleme:
@Bob-Dig
Du hast auf dem Heim-Server kein Default Gateway für die Verbindung zum Internet eingestellt?Für Internet schon, aber die Email Server sollen "lokal" miteinander kommunizieren, komplett ohne das Default Gateway, also ohne irgendeinen WAN-Port, und auch ohne NAT.
-
@Bob-Dig
Ja, ist schon klar. Aber wenn der Haus Server eine Route zum Internet (Default Route) hat, reicht das.Wenn er sich zu 172.16.33.10 verbinden möchte, schickt er das Paket zu seinem Default Gateway (wenn er keine explizitere Route dafür hat).
Das sollte 172.17.2.1 sein. Dieser Router verhält sich gleich, und dessen Default Gateway müsste 10.3.11.2 sein.
Dieser hat nun aber eine Route für die Ziel-IP und zwar über die VPN, und diese verwendet er nun.
Natürlich geht der Traffic dann über die VPN. -
HIer mal die Routingtabelle von rechts oben
default 172.16.47.1 UGS 8 1500 vtnet0 10.3.9.2/31 link#7 U 6 1420 tun_wg0 10.3.9.3 link#4 UHS 7 16384 lo0 10.3.11.2/31 10.3.9.2 UGS 9 1420 tun_wg0 127.0.0.1 link#4 UH 4 16384 lo0 172.16.32.0/24 link#2 U 1 1500 vtnet1 172.16.32.1 link#4 UHS 2 16384 lo0 172.16.33.0/24 link#8 U 10 1500 vtnet1.33 172.16.33.1 link#4 UHS 11 16384 lo0 172.16.47.0/24 link#1 U 3 1500 vtnet0 172.16.47.2 link#4 UHS 5 16384 lo0 172.17.0.0/20 10.3.9.2 UGS 9 1420 tun_wg0 192.168.0.0/16 10.3.9.2 UGS 9 1420 tun_wg0Wer einen Befehl kennt, der einen schöneren Output macht...
-
@viragomann said in Routing Probleme:
Das sollte 172.17.2.1 sein. Dieser Router verhält sich gleich, und dessen Default Gateway müsste 10.3.11.2 sein.
Fast, 10.3.11.2 ist ein LAN-Gateway, ohne NAT etc.
-
@Bob-Dig
Da hast du wohl eine falsche Route für die Remoteseite eingetragen. 172.17.0.0/20 ist bei dir zuhause. 172.16.33.x ist remote.
172.17.0.0/20 musst du dann noch auf 10.3.11.3 routen. -
@viragomann Wo bist Du gerade?
-
@Bob-Dig
Ahja, sorry. links, rechts verwechselt. °° -
@viragomann said in Routing Probleme:
Da hast du wohl eine falsche Route für die Remoteseite eingetragen. 172.17.0.0/20 ist bei dir zuhause.
Nicht ganz, 172.17.0.0/20 ist unten links und eine eigene pfSense hinter der pfSense die zu Hause oben links ist.
-
Sag mir doch mal einer, wie exemplarisch die statischen Routen oben rechts aussehen sollten, müsste doch schnell gehen. ;)
-
@Bob-Dig
Gut, rechts hätte ich auch keine Schwierigkeiten vermutet.Die Routing Tabellen vom Heim könnten eher Hinweise geben.
-
@viragomann said in Routing Probleme:
Die Routing Tabellen vom Heim könnten eher Hinweise geben.
Heim wäre oben links und da geht ganz schön die Post ab. Auch kann ich von Heim eh alles erreichen, vermutlich wird dort also kein Problem sein?
Ich poste mal lieber von unten links.
-
Das ist übrigens der Output, wenn ich traceroute von oben rechts versuche.
1 traceroute: wrote 172.17.2.1 48 chars, ret=-1 127.0.0.1 1.104 ms !Htraceroute: wrote 172.17.2.1 48 chars, ret=-1 0.532 ms !Htraceroute: wrote 172.17.2.1 48 chars, ret=-1 0.300 ms !H -
Wo liegt denn nun mein Fehler bzw. wie müssten die statischen Routen aussehen?
-
@Bob-Dig
Bei deiner Routingtabelle steige ich aus. Ist mir zu hoch. Aber vielleicht kannst du es ja erklären:
10.3.9.2/31 ist am gateway 10.3.11.2? Ich würde sagen, das ist das LAN Interface. Ist das normal bei Wireguard? Hab da aktuell keine Installation.Von diesen Anmerkungen hätte ich noch ein paar geschrieben, dann habe ich aber erkannt, dass das nur die Routingtabelle von links Mitte sein kann.
War das ein Test??Das ist übrigens der Output, wenn ich traceroute von oben rechts versuche.
1 traceroute: wrote 172.17.2.1 48 chars, ret=-1
127.0.0.1 1.104 ms !Htraceroute: wrote 172.17.2.1 48 chars, ret=-1
0.532 ms !Htraceroute: wrote 172.17.2.1 48 chars, ret=-1
0.300 ms !HSieht ziemlich seltsam aus. Hat es da ein paar Zeichen durcheinander gehauen?
Da sollte jedenfalls entsprechend der Routen 10.3.9.2 als nächster Hop stehen. -
Arg..... ich Idiot. Ich hab die WG-VPN-Verbindung nicht angepasst, hier fehlen noch allowed IPs . Werde ich mich morgen drum kümmern. Danke an alle, die versucht haben zu helfen.
-
Das Hinzufügen weiterer allowed IPs führte leider zu einer anschließenden Unerreichbarkeit von oben rechts. Ich habe daraufhin die config restored, aber beim nächsten Versuch wieder das Gleiche. Letztlich hat ein Reboot geholfen, was ich merkwürdig finde.
Hab jetzt auf beiden Seiten des Tunnels als allowed IPs 0.0.0.0/0 eingegeben, auch hier ging es erst wieder nach einem Neustart der Zugriff. Mal sehen, ob das eine gute Idee war. -
@Bob-Dig Bei welchen allowed IPs? Das Feld hat Wireguard dämlicherweise 2x und es bedeutet 2x was anderes.
Ich vermute es its die Variante, die erlaubt, wer sich verbindet, nicht die, die bestimmt was geroutet wird. Dann müsste da kein 0 rein, sondern einfach die korrekten IP Ranges auf beiden Seiten, sonst wird natürlich der Traffic geblockt.
Cheers
