Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    [Gelöst] pfSense OpenVPN Site to Site Routing

    Deutsch
    4
    40
    9.5k
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • O
      orcape
      last edited by

      Hi,
      so ein Szenario, wie von Dir geplant, habe ich leider auch nicht am laufen….
      ..das heißt, ich will meine Servernetze nicht noch mit unnötigem Traffic belasten.

      Die Funktion "Force all client generated traffic through the tunnel" gibt es nicht in der pfsense OpenVPN Client Konfiguration.

      Ich hatte geschrieben….

      In der OpenVPN-Server Config….

      Force all client generated traffic through the tunnel.

      Ausserdem ist da noch die CCD auf Server-Seite,  die mit….

      Client Specific Overrides

      …auf Seite der Serverkonfiguration eingerichtet wird und dem Client entsprechende Anweisungen gibt.
      Dort musst Du ebenfalls den Redirect Gateway aktivieren.
      ...und das sollte dann eigentlich schon funktionieren.
      Kann natürlich durchaus @viragomann´s Einwand richtig sein, das Du auch auf Clientseite ein Interface einrichten musst.
      Ich musste nur bisher die Erfahrung machen, das ohne die korrekte Einrichtung der CCD auf Server-Seite, einiges an Verbindungsproblemen  zwischen den Netzen bei einer Point-to-Point Verbindung daneben geht.

      Gruß orcape

      1 Reply Last reply Reply Quote 0
      • P
        peterhart
        last edited by

        Hallo,
        leider haben alle Tipps bis jetzt nicht zum Ziel geführt.

        Was habe ich bis jetzt getan.

        Auf dem pfsense OpenVPN server:
        Redirect Gateway: "Force all client generated traffic through the tunnel."  aktiviert

        Auf dem pfsense OpenVPN Client:
        1. Interface OPT1 -> ovpnc1() hinzugefügt

        • IPv4 Configuration Type -> none
        • Block private networks -> Aus
        • Block bogon networks -> Aus

        2. System: Routing -> Gateways

        • automatisch hinzugefügt: OPT1_VPNV4 mit 10.111.111.1

        3. Firewall Rules:

        • Auf Interface LAN, OPT1, OpenVPN eine FW Regel: pass any to any
        • Auf Interface LAN: Advanced features -> Gateway -> Advanced: OPT1_VPNV4-10.111.111.1 hinzugefügt

        4. Funktionstest am Standort B
        tracert "IP Client Standort A"
        1 <1 ms "IP LAN GW"
        2 <1 ms 10.111.111.1
        3 <1 ms "IP Client Standort A"
        Funktioniert!

        tracert "8.8.8.8"
        1 <1 ms 10.111.111.1
        2 *    Zeitüberschreitung der Anforderung
        3 *    Zeitüberschreitung der Anforderung
        Funktioniert nicht!

        Man sieht aber, dass der Traffic über den Tunnel geht.

        Auch auf der Server Seite kann ich in den mitgeloggten ankommenden Traffic auf der
        ovpns1 Schnittstelle sehen.
        Aber eine Internetverbindung funktioniert nicht.

        Auch die Aktivierungen der "Client Specific Overrides" -> "Force all client generated traffic through the tunnel"
        auf dem Server ergab keinen Erfolg.

        Hat jemand noch eine Idee?

        Gruß
        Peter

        1 Reply Last reply Reply Quote 0
        • V
          viragomann
          last edited by

          @peterhart:

          tracert "8.8.8.8"
          1 <1 ms 10.111.111.1
          2 *    Zeitüberschreitung der Anforderung
          3 *    Zeitüberschreitung der Anforderung
          Funktioniert nicht!

          Man sieht aber, dass der Traffic über den Tunnel geht.

          Auch auf der Server Seite kann ich in den mitgeloggten ankommenden Traffic auf der
          ovpns1 Schnittstelle sehen.
          Aber eine Internetverbindung funktioniert nicht.

          Na, das sieht ja schon mal nicht schlecht aus.

          Zwei Dinge habe ich vergessen:

          • Die Regeln am Server müssen den Traffic ins Web genehmigen. Daran hast du aber vermutlich eh gedacht.

          • Das Outbound NAT muss fürs VPN-Netz funktionieren, und dazu muss es neu konfiguriert werden. Ev. reicht bereits ein Klick auf Save. Wenn nicht, auf "Manual Outbound NAT rule generation" umstellen und Save klicken. Dann sollten die Regeln so generiert werden, dass es funktioniert.

          Du brauchst auf jeden Fall eine solche Regel:

          WAN   	 <tunnelnetz cidr="">* 	* 	* 	WAN-Adresse 	* 	NO</tunnelnetz>

          Dass das Ganze funktioniert, setzt auch ein konfiguriertes Default-Gateway oder eine Route ins WAN am Server voraus, aber das wird ja wohl vorliegen.

          Gruß

          1 Reply Last reply Reply Quote 0
          • O
            orcape
            last edited by

            Hi,
            poste mal bitte die Files und deren Inhalt aus dem Pfad….

            /var/etc/openvpn-csc

            ….der pfSense aus Standort A.
            Gruß orcape

            1 Reply Last reply Reply Quote 0
            • P
              peterhart
              last edited by

              Hallo,

              @viragomann:

              Na, das sieht ja schon mal nicht schlecht aus.

              Zwei Dinge habe ich vergessen:

              • Die Regeln am Server müssen den Traffic ins Web genehmigen. Daran hast du aber vermutlich eh gedacht.

              • Das Outbound NAT muss fürs VPN-Netz funktionieren, und dazu muss es neu konfiguriert werden. Ev. reicht bereits ein Klick auf Save. Wenn nicht, auf "Manual Outbound NAT rule generation" umstellen und Save klicken. Dann sollten die Regeln so generiert werden, dass es funktioniert.

              Du brauchst auf jeden Fall eine solche Regel:

              WAN   	 <tunnelnetz cidr="">* 	* 	* 	WAN-Adresse 	* 	NO</tunnelnetz>

              Dass das Ganze funktioniert, setzt auch ein konfiguriertes Default-Gateway oder eine Route ins WAN am Server voraus, aber das wird ja wohl vorliegen.

              Gruß

              Es ist alles so wie Du es beschrieben hast.
              Auf beiden Seiten kommen in der Standard Site to Site Konfiguration alle Clients über die Standort pfsense ins Internet und durch den Tunnel auf den
              anderen Standort und dort in die LAN's. Die Fw Rules sind überall auf "pass any to any" und Logging  eingestellt.
              Das Outbound NAT hatte ich bereits im Standort A und B auf Manuell gestellt und dort gibt es u. a. auch die notwendige Richtlinie
              WAN    10.111.111.0/30  *  *  *  WAN address  *  NO

              Bis jetzt leider alles ohne Erfolg!

              Gruß
              Peter

              1 Reply Last reply Reply Quote 0
              • P
                peterhart
                last edited by

                Hallo,
                @orcape:

                Hi,
                poste mal bitte die Files und deren Inhalt aus dem Pfad….

                /var/etc/openvpn-csc

                ….der pfSense aus Standort A.
                Gruß orcape

                /var/etc/openvpn-csc/client_site_to_site
                ifconfig-push 10.111.111.2 10.111.111.1
                push "route 192.168.37.0 255.255.255.0"
                push "route 192.168.137.0 255.255.255.0"
                push "route 192.168.139.0 255.255.255.0"
                iroute 192.168.39.0 255.255.255.0
                push "redirect-gateway def1"
                push "redirect-gateway def1"

                Gruß
                Peter

                1 Reply Last reply Reply Quote 0
                • V
                  viragomann
                  last edited by

                  Hallo!

                  @peterhart:

                  WAN    10.111.111.0/30  *  *  *  WAN address  *  NO

                  D.h. dein VPN Client hat die IP 10.111.111.2, soweit richtig?

                  Wenn das alles so eingerichtet ist, müsste es funktionieren. Das Problem kann eigentlich nur mehr am Routing oder an den Regeln liegen.

                  Nachdem du am Client das VPN Interface hinzugefügt hast, sind auch auf diesem Regeln zu konfigurieren, damit der VPN-Traffic erlaubt wird. Hast du das gemacht?
                  Am neuen Interface einfach any to any.

                  Nach Änderungen ggf. den VPN-Server bzw. -Client neu starten.

                  Ansonsten würde mir nur noch Troubleshooting einfallen. Dazu achte darauf, dass in den Log-Settings auch das Logging der Default-block Rule aktiviert ist.
                  Ob das Routing und NAT auf Serverseite in Ordnung ist, lässt sich einfach über das pfSense Ping-Tool überprüfen. Dazu als Host eine externe IP/Namen und als Source Adresse den VPN Server einstellen.
                  Wenn in Logs nicht zu sehen ist, kannst du Packet Capture an den diversen Interfaces einsetzen, um zu sehen, was die Paket machen.

                  Grüße

                  1 Reply Last reply Reply Quote 0
                  • P
                    peterhart
                    last edited by

                    Guten Morgen,
                    zunächst einmal möchte ich mich bei Euch beiden (viragomann und orcape) für die Unterstützung und Hilfe bedanken!!!

                    "… D.h. dein VPN Client hat die IP 10.111.111.2, soweit richtig? ...."

                    -> Ja, wie bereits geschrieben erreiche ich beide Tunnelenden incl. der dahinter liegenden LAN's über den Tunnel.

                    "... Wenn das alles so eingerichtet ist, müsste es funktionieren. Das Problem kann eigentlich nur mehr am Routing oder an den Regeln liegen. ..."

                    -> Das vermute ich auch, zumal ich z. B. die Pings auf 8.8.8.8 auf den ovpns1 Schnittstelle am Server mitgeloggt sehe.

                    "... Nachdem du am Client das VPN Interface hinzugefügt hast, sind auch auf diesem Regeln zu konfigurieren, damit der VPN-Traffic erlaubt wird. Hast du das gemacht? Am neuen Interface einfach any to any. ..."

                    -> Ja, ich habe zunächst überall pass any to any auf die Schnittstellen gelegt.

                    "... Nach Änderungen ggf. den VPN-Server bzw. -Client neu starten. ..."

                    -> Habe ich gemacht.

                    " ... Ansonsten würde mir nur noch Troubleshooting einfallen. Dazu achte darauf, dass in den Log-Settings auch das Logging der Default-block Rule aktiviert ist.
                    Ob das Routing und NAT auf Serverseite in Ordnung ist, lässt sich einfach über das pfSense Ping-Tool überprüfen. Dazu als Host eine externe IP/Namen und als Source Adresse den VPN Server einstellen.
                    Wenn in Logs nicht zu sehen ist, kannst du Packet Capture an den diversen Interfaces einsetzen, um zu sehen, was die Paket machen. ..."

                    Das werd ich mir sicher noch genauer ansehen müssen.
                    Es kann eigentlich nur ein Routingproblem sein und muss doch zu lösen sein.
                    Ich melde mich.

                    Gruß
                    Peter

                    1 Reply Last reply Reply Quote 0
                    • O
                      orcape
                      last edited by

                      Hi,
                      nur mal so eine Vermutung.
                      Wenn ich bei mir,  pfSense (Diagnostics-Ping) vom OpenVPN-Interface auf die IP 216.58.216.228 (google.com) einen Ping mache (ICMP any-to-any Rule), erhalte ich eine Antwort. Check das mal ab.
                      Wenn dem so ist, solltest Du auch Internetverbindung haben.
                      Bei mir steht NAT-Outbound auf automatic, dabei sind alle Interfaces, incl. der OpenVPN-Interfaces als Source aktiviert.
                      Wenn Du pf-Version 2.2 hast, und es steht auf manuell, stell das einfach mal auf Hybrid.
                      Gruß orcape

                      1 Reply Last reply Reply Quote 0
                      • P
                        peterhart
                        last edited by

                        Hallo,
                        werde ich heute Abend mal testen.
                        NAT-Outbound hatte ich sowohl auf Automatic, Hybrid, Manuell.
                        Leider gab es hier keine Veränderung bezüglich des Internetzugriffs über den Tunnel zum Standort A.
                        Ich setze in beiden Standorten pfsense 2.2 ein.

                        Das ganze Scenario läuft z. Z. in einer Testumgebung.

                        Gruß
                        Peter

                        1 Reply Last reply Reply Quote 0
                        • P
                          peterhart
                          last edited by

                          Hallo,
                          bis jetzt keinen Erfolg.
                          Ich kann von der pfsense OpenVPN Client Standort B ohne Probleme von allen Schnittstellen aus Pings setzen.
                          Nur scheint der Traffic ins Internet trotzdem über die eigene WAN Schnittstelle zu laufen.
                          Das scheint aber auch normal, weil in der Routing Tabelle die Default Route immer noch die WAN-Schnittstelle ist.
                          Nur wenn ich diese lösche, d. h. das Default GW explizit auf die OpenVPN Schnittstelle lege, wird der Traffic über den Standort A geleitet.

                          Nur die angeschlossenen Clients erreichen auch hiermit das Internet nicht.
                          Das ist schon komisch.

                          Scheinbar ist die pfsense OpenVPN Client am Standort B nicht in der Lage den gesamten Traffic von der LAN-Schnittstelle durch den Tunnel
                          zum Standort A zu führen um dort ins Internet auszusteigen.

                          Ich bin ratlos, zumal ich echt nicht der Anfänger in diesem Bereich bin.

                          Danke nochmal für Eure Hilfe.

                          Gruß
                          Peter

                          1 Reply Last reply Reply Quote 0
                          • I
                            iam
                            last edited by

                            Bei welcher pfsense hast denn denn an den NAT-Einstellungen rumgespielt? Richtig wäre eigentlich am Standort A. Da müßtest du dann manuell Regeln für das Netz von Standort B anlegen.

                            1 Reply Last reply Reply Quote 0
                            • P
                              peterhart
                              last edited by

                              Hallo,
                              die Regeln existieren ja im Standort A (pfSense OpenVPN Server) wie auch im Standort B (pfSense OpenVPN Client) .
                              Nur kommt der Traffic am Server scheinbar gar nicht erst an.

                              Oder habe ich dich falsch verstanden?

                              Gruß
                              Peter

                              1 Reply Last reply Reply Quote 0
                              • I
                                iam
                                last edited by

                                Die Regeln bei Standort A sollten eigentlich reichen. Kommen die Clients denn ins Netz von Standort A? Hast du die Firewall-Regeln schon überprüft?

                                1 Reply Last reply Reply Quote 0
                                • P
                                  peterhart
                                  last edited by

                                  Ja alle Clients im Standort B kommen zum Standort A und umgekehrt.
                                  Nur eben funktioniert der Zugriff zum Internet nur über die jeweilige Standort pfsense.
                                  Das darf oder soll nicht sein, weil der gesamte Traffic aller Clients im Standort B durch den Tunnel zum Standort A geführt werden soll und
                                  der Internetzugriff nur im Standort A realisiert werden soll.

                                  Gruß
                                  Peter

                                  1 Reply Last reply Reply Quote 0
                                  • V
                                    viragomann
                                    last edited by

                                    Hi!

                                    Das kann ja nicht sein!
                                    Was sagen die Logs? Der Traffic von den LAN clients ins Internet am Standort B muss ja von einer Regel erlaubt werden. Wenn du alles loggst, dann kannst du dir ja ansehen, welche Regel das ist. Und genau dieser Regel setzt du das VPN-Gateway, wie zuvor beschrieben. Das nennt sich "Policy based routing", also die FW-Regel ist gleichzeitig fürs Routing zuständig.
                                    Wenn keine Regel den direkten Traffic ins WAN erlaubt, kann es auch keinen geben. Also bitte prüfe deine Logs und deine Regeln.
                                    Hast du etwa eine Floating rule?? Die haben nämlich Vorrang. Aber wie auch immer, das Log wird dich darüber aufklären, wie der Traffic ins WAN gelangt.

                                    Wenn ohnehin der ganze Traffic von B übers VPN laufen soll, kannst du auch das VPN Gateway als default setzen, dann ersparst du dir das Troubleshooting. Das Default-Gateway zu löschen ist nicht schlauste Weg.

                                    Grüße

                                    1 Reply Last reply Reply Quote 0
                                    • P
                                      peterhart
                                      last edited by

                                      Das mit dem Löschen des Default GW habe ich anders gemeint. Ich habe das VPN Gateway als Default GW definiert.
                                      Dennoch konnte kein Client aus dem Standort B über Standort A das Internet erreichen.
                                      Da ist der Wurm drin!
                                      Ich werde mir das nächst Woche nochmal genau ansehen (habe gerade alles heruntergefahren).

                                      Für alle die hier mitlesen, eine NW-Übersicht über mein Vorhaben.

                                      Gute Nacht!

                                      Peter

                                      Site-to-Site.jpg
                                      Site-to-Site.jpg_thumb

                                      1 Reply Last reply Reply Quote 0
                                      • P
                                        peterhart
                                        last edited by

                                        Hallo,
                                        @viragomann:

                                        …
                                        Wenn ohnehin der ganze Traffic von B übers VPN laufen soll, kannst du auch das VPN Gateway als default setzen, dann ersparst du dir das Troubleshooting.
                                        ...

                                        Ich habe mir das noch mal durch den Kopf gehen lassen.
                                        Wenn als Default das VPN GW gesetzt ist, würde doch der pfsense OpenVPN Client für den Verbindungsaufbau des Tunnels sein
                                        Gegenüber nicht mehr finden, weil der pfsense OpenVPN Server ja irgendwo im Internet über zahlreiche Hops zu erreichen ist.
                                        D. h., die Route dahin wäre für den Tunnelaufbau unbekannt.
                                        Oder sehe ich hier was falsch?

                                        In meiner Testumgebung werde ich das aber nochmal ausprobieren.

                                        Ich habe gerade diese Anleitung gefunden:
                                        https://doc.pfsense.org/index.php/Routing_internet_traffic_through_a_site-to-site_OpenVPN-connection_in_PfSense_2.1

                                        Gruß
                                        Peter

                                        1 Reply Last reply Reply Quote 0
                                        • V
                                          viragomann
                                          last edited by

                                          Hallo!

                                          @peterhart:

                                          Ich habe mir das noch mal durch den Kopf gehen lassen.
                                          Wenn als Default das VPN GW gesetzt ist, würde doch der pfsense OpenVPN Client für den Verbindungsaufbau des Tunnels sein
                                          Gegenüber nicht mehr finden, weil der pfsense OpenVPN Server ja irgendwo im Internet über zahlreiche Hops zu erreichen ist.
                                          D. h., die Route dahin wäre für den Tunnelaufbau unbekannt.
                                          Oder sehe ich hier was falsch?

                                          Grüße
                                          Das siehst du wohl richtig. So einfach ist es also doch nicht. Das war zu schnell geschossen.

                                          1 Reply Last reply Reply Quote 0
                                          • O
                                            orcape
                                            last edited by

                                            Hi,
                                            irgendwie macht mich Dein doppelter Eintrag (push "redirect-gateway def1") in der openvpn-csc etwas stutzig.
                                            Das muss nur über die Server.conf so funktionieren.
                                            Der Standartgateway muss so bleiben, das ist klar.
                                            Lies Dir das mal durch….
                                            http://openvpn.net/index.php/open-source/documentation/howto.html#redirect
                                            Eine NAT-Rule…

                                            iptables -t nat -A POSTROUTING -s 10.8.0.0/24 -o eth0 -j MASQUERADE

                                            …ist dann zwingend erforderlich um vom Tunnel ins Internet zu kommen, das dürfte klar sein.
                                            Ebenfalls die DNS-Funktion..

                                            push "dhcp-option DNS 10.8.0.1"

                                            Letzteres sollte allerdings einen Ping von Standort B noch Internet A nicht stören, vorrausgesetzt es besteht eine ICMP-Rule.
                                            Gruß orcape

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post