Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Routing Openvpn über LTE und Fritzboxen

    Scheduled Pinned Locked Moved Deutsch
    33 Posts 3 Posters 4.2k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • M
      Marv21
      last edited by

      NAT und Port Regeln sind angelegt?
      Was für ein OpenVPN ist es, tap oder tun?

      Und die meisten Antworten kommen hier in der Woche, wenn die ITler sich auf der Arbeit langweilen. Nicht wenn wir zuhause mit der Familie am rumtoben sind ;)

      1 Reply Last reply Reply Quote 0
      • P
        peter808
        last edited by

        @Marv21:

        NAT und Port Regeln sind angelegt?

        nein, sorry. Nur die vom Wizard gesetzten fw-rules auf 1194 UDP. Welche müssten das noch sein?

        @Marv21:

        Was für ein OpenVPN ist es, tap oder tun?

        tun

        @Marv21:

        Und die meisten Antworten kommen hier in der Woche, wenn die ITler sich auf der Arbeit langweilen. Nicht wenn wir zuhause mit der Familie am rumtoben sind ;)

        Da hast Du recht.  ;)

        1 Reply Last reply Reply Quote 0
        • O
          orcape
          last edited by

          Hi Peter,

          Wir steigen momentan von ipfire auf pfsense (aktuelle Version) um.

          …schön, dann wirst Du Dich ja erst mal etwas einarbeiten müssen und das ist nicht in 5 Minuten gemacht.

          In der Zentrale ist openvpn am Kabeldeutschland-Anschluss als RAS SSL/TLS hinter einer Fritzbox cable über den Wizard eingerichtet, Remote wird von einem anderen Standort über LTE hinter einer Fritzbox 6842 und auch aktuellem pfsense als VPN-client darauf zugegriffen (LAN-LAN-Kopplung dürfte wohl wegen LTE auscheiden,

          Die Zentrale hat eine feste IP oder Zumindest DynDNS, davon gehe ich aus und das reicht auch für eine LAN-to-LAN Kopplung!

          Der Tunnel wird auch aufgebaut, allerdings ist bislang nur ein ping direkt über die shell aus der LTE-angebundenen pfsense auf die Zentrale möglich. Aus dem internen LAN zur Zentrale sind weder ping möglich noch fließen sonst Daten, aus der Zentrale ist  gar kein Zugriff  auf die Zweigstelle möglich, auch nicht direkt aus der pfsense.

          Grundsätzlich brauchst Du, nur auf der Serverseitigen Fritte ein Portforwarding auf den Tunnelport / UDP.
          Alle anderen Konfigurationsfehler, die Du gemacht hast, solltest Du mal hier nachlesen….
          http://www.administrator.de/wissen/openvpn-server-installieren-dd-wrt-router-pfsense-firewall-123285.html
          Wenn Du dann immer noch Fragen hast, solltest Du etwas mehr zu Deiner Config, Routingprotokolle, etc. posten.
          Dein Szenario ist auf alle Fälle kein Problem, wenn´s richtig konfiguriert ist.. ;)
          Gruß orcape

          1 Reply Last reply Reply Quote 0
          • P
            peter808
            last edited by

            @orcape:

            …schön, dann wirst Du Dich ja erst mal etwas einarbeiten müssen und das ist nicht in 5 Minuten gemacht.

            ok, hatte ich nicht erwähnt. Ich war bereits genau nach der von Dir genannten Anleitung http://www.administrator.de/wissen/openvpn-server-installieren-dd-wrt-router-pfsense-firewall-123285.html vorgegangen.

            Hatte auch ein klein wenig länger als 5 Minuten gedauert  ;D

            @orcape:

            Die Zentrale hat eine feste IP oder Zumindest DynDNS, davon gehe ich aus und das reicht auch für eine LAN-to-LAN Kopplung!

            Dyndns auf beiden Seiten.

            @orcape:

            Grundsätzlich brauchst Du, nur auf der Serverseitigen Fritte ein Portforwarding auf den Tunnelport / UDP.

            Das hatte ich doch eigentlich schon, indem ich die pfsense in die DMZ gepackt hatte, oder? Habe aber trotzdem nochmals auf beiden Fritten ein UDP-forward auf 1194 der pfsense gesetzt, nun gut.

            @orcape:

            Wenn Du dann immer noch Fragen hast, solltest Du etwas mehr zu Deiner Config, Routingprotokolle, etc. posten.

            Was genau brauch ihr?

            @orcape:

            Dein Szenario ist auf alle Fälle kein Problem, wenn´s richtig konfiguriert ist.. ;)

            Das hört sich doch gut an. Als wir die ipfires vor ein Paar Jahren aufgesetzt hatten, gab es schon Hürden (mithilfe des tollen ipfire-Forums) auf LTE-Seite zu umschiffen (obwohl das damals wohl u.a. auch an den LTE-Anfangsproblemen der Provider lag).

            1 Reply Last reply Reply Quote 0
            • P
              peter808
              last edited by

              Zentrale-subnet: 172.23.1.0/24
              Einwahl-client-subnet: 172.23.200.0/24
              ovpn-subnet: 10.0.8.0/24

              Hier mal das ovpn-log von der Zentrale:

              
              Mar 2 17:14:21	openvpn[33444]: Initialization Sequence Completed
              Mar 2 17:14:21	openvpn[33444]: IFCONFIG POOL: base=10.0.8.4 size=62, ipv6=0
              Mar 2 17:14:21	openvpn[33444]: MULTI: multi_init called, r=256 v=256
              Mar 2 17:14:21	openvpn[33444]: UDPv4 link remote: [undef]
              Mar 2 17:14:21	openvpn[33444]: UDPv4 link local (bound): [AF_INET]192.168.1.5:1194
              Mar 2 17:14:21	openvpn[33444]: /sbin/route add -net 10.0.8.0 10.0.8.2 255.255.255.0
              Mar 2 17:14:20	openvpn[33444]: /usr/local/sbin/ovpn-linkup ovpns1 1500 1541 10.0.8.1 10.0.8.2 init
              Mar 2 17:14:20	openvpn[33444]: /sbin/ifconfig ovpns1 10.0.8.1 10.0.8.2 mtu 1500 netmask 255.255.255.255 up
              Mar 2 17:14:20	openvpn[33444]: do_ifconfig, tt->ipv6=1, tt->did_ifconfig_ipv6_setup=0
              Mar 2 17:14:20	openvpn[33444]: TUN/TAP device /dev/tun1 opened
              Mar 2 17:14:20	openvpn[33444]: TUN/TAP device ovpns1 exists previously, keep at program end
              Mar 2 17:14:20	openvpn[33444]: ROUTE_GATEWAY 192.168.1.1
              Mar 2 17:14:20	openvpn[33444]: Socket Buffers: R=[42080->65536] S=[57344->65536]
              Mar 2 17:14:20	openvpn[33444]: Diffie-Hellman initialized with 1024 bit key
              Mar 2 17:14:20	openvpn[33444]: NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
              Mar 2 17:14:20	openvpn[33296]: MANAGEMENT: unix domain socket listening on /var/etc/openvpn/server1.sock
              Mar 2 17:14:20	openvpn[33296]: library versions: OpenSSL 1.0.1k-freebsd 8 Jan 2015, LZO 2.08
              Mar 2 17:14:20	openvpn[33296]: OpenVPN 2.3.6 i386-portbld-freebsd10.1 [SSL (OpenSSL)] [LZO] [MH] [IPv6] built on Dec 1 2014
              Mar 2 17:14:19	openvpn[76875]: SIGTERM[hard,] received, process exiting
              Mar 2 17:14:19	openvpn[76875]: /usr/local/sbin/ovpn-linkdown ovpns1 1500 1541 10.0.8.1 10.0.8.2 init
              Mar 2 17:14:19	openvpn[76875]: Closing TUN/TAP interface
              Mar 2 17:14:19	openvpn[76875]: /sbin/route delete -net 10.0.8.0 10.0.8.2 255.255.255.0
              Mar 2 17:14:19	openvpn[76875]: event_wait : Interrupted system call (code=4)
              Mar 2 17:14:13	openvpn[76875]: MANAGEMENT: Client disconnected
              Mar 2 17:14:13	openvpn[76875]: MANAGEMENT: CMD 'quit'
              Mar 2 17:14:12	openvpn[76875]: MANAGEMENT: CMD 'status 2'
              Mar 2 17:14:12	openvpn[76875]: MANAGEMENT: Client connected from /var/etc/openvpn/server1.sock
              Mar 2 17:14:04	openvpn[76875]: openvpn/x.x.x.x:23750 SENT CONTROL [openvpn]: 'PUSH_REPLY,route 172.23.1.0 255.255.255.0,route 172.23.200.0 255.255.255.0,route 172.23.1.0 255.255.255.0,route 10.0.8.1,topology net30,ping 10,ping-restart 60,ifconfig 10.0.8.6 10.0.8.5' (status=1)
              Mar 2 17:14:04	openvpn[76875]: openvpn/x.x.x.x:23750 send_push_reply(): safe_cap=940
              
              

              Und vom entfernten client:

              
              Mar 2 17:14:05	openvpn[61051]: Initialization Sequence Completed
              Mar 2 17:14:05	openvpn[61051]: /sbin/route add -net 10.0.8.1 10.0.8.5 255.255.255.255
              Mar 2 17:14:05	openvpn[61051]: ERROR: FreeBSD route add command failed: external program exited with error status: 1
              Mar 2 17:14:05	openvpn[61051]: /sbin/route add -net 172.23.1.0 10.0.8.5 255.255.255.0
              Mar 2 17:14:05	openvpn[61051]: ERROR: FreeBSD route add command failed: external program exited with error status: 1
              Mar 2 17:14:05	openvpn[61051]: /sbin/route add -net 172.23.200.0 10.0.8.5 255.255.255.0
              Mar 2 17:14:05	openvpn[61051]: /sbin/route add -net 172.23.1.0 10.0.8.5 255.255.255.0
              Mar 2 17:14:05	openvpn[61051]: /usr/local/sbin/ovpn-linkup ovpnc1 1500 1541 10.0.8.6 10.0.8.5 init
              Mar 2 17:14:05	openvpn[61051]: /sbin/ifconfig ovpnc1 10.0.8.6 10.0.8.5 mtu 1500 netmask 255.255.255.255 up
              Mar 2 17:14:05	openvpn[61051]: do_ifconfig, tt->ipv6=1, tt->did_ifconfig_ipv6_setup=0
              Mar 2 17:14:05	openvpn[61051]: TUN/TAP device /dev/tun1 opened
              Mar 2 17:14:05	openvpn[61051]: TUN/TAP device ovpnc1 exists previously, keep at program end
              Mar 2 17:14:05	openvpn[61051]: ROUTE_GATEWAY 192.168.10.1
              Mar 2 17:14:04	openvpn[61051]: /usr/local/sbin/ovpn-linkdown ovpnc1 1500 1541 10.0.8.6 10.0.8.5 init
              Mar 2 17:14:04	openvpn[61051]: Closing TUN/TAP interface
              Mar 2 17:14:04	openvpn[61051]: /sbin/route delete -net 172.23.1.0 10.0.8.5 255.255.255.0
              Mar 2 17:14:04	openvpn[61051]: /sbin/route delete -net 10.0.8.1 10.0.8.5 255.255.255.255
              Mar 2 17:14:04	openvpn[61051]: NOTE: Pulled options changed on restart, will need to close and reopen TUN/TAP device.
              Mar 2 17:14:04	openvpn[61051]: Preserving previous TUN/TAP instance: ovpnc1
              Mar 2 17:14:04	openvpn[61051]: OPTIONS IMPORT: route options modified
              Mar 2 17:14:04	openvpn[61051]: OPTIONS IMPORT: --ifconfig/up options modified
              Mar 2 17:14:04	openvpn[61051]: OPTIONS IMPORT: timers and/or timeouts modified
              Mar 2 17:14:04	openvpn[61051]: PUSH: Received control message: 'PUSH_REPLY,route 172.23.1.0 255.255.255.0,route 172.23.200.0 255.255.255.0,route 172.23.1.0 255.255.255.0,route 10.0.8.1,topology net30,ping 10,ping-restart 60,ifconfig 10.0.8.6 10.0.8.5'
              Mar 2 17:14:04	openvpn[61051]: SENT CONTROL [internal-ca]: 'PUSH_REQUEST' (status=1)
              Mar 2 17:14:02	openvpn[61051]: [internal-ca] Peer Connection Initiated with [AF_INET]x.x.x.x:1194
              Mar 2 17:14:02	openvpn[61051]: Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 2048 bit RSA
              Mar 2 17:14:02	openvpn[61051]: Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
              Mar 2 17:14:02	openvpn[61051]: Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
              Mar 2 17:14:02	openvpn[61051]: Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
              Mar 2 17:14:02	openvpn[61051]: Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
              Mar 2 17:14:01	openvpn[61051]: VERIFY OK: depth=0, C=DE, ST=x, L=x, O=x, emailAddress=info@x.com, CN=internal-ca
              Mar 2 17:14:01	openvpn[61051]: VERIFY OK: depth=1, C=DE, ST=x, L=x, O=x, emailAddress=info@x.com, CN=internal-ca
              Mar 2 17:14:00	openvpn[61051]: TLS: Initial packet from [AF_INET]x.x.x.x:1194, sid=53c880bf cac9663b
              Mar 2 17:14:00	openvpn[61051]: UDPv4 link remote: [AF_INET]x.x.x.x:1194
              Mar 2 17:14:00	openvpn[61051]: UDPv4 link local (bound): [AF_INET]192.168.10.3
              
              
              1 Reply Last reply Reply Quote 0
              • O
                orcape
                last edited by

                Hi Peter,
                Zertifikate etc. passt alles…
                Wenn der Tunnel steht, (Bsp.: Netz 10.10.2.0/24) sollte die IP des Servers  10.10.2.1, des Clients 10.10.2.2 sein.
                Ist das nicht der Fall und hat der Client z.B. die 10.10.2.6 hast Du einen config Fehler (Multiclienttunnel, also mehrere Einzelclients). Dann bekommst Du Probleme mit dem Zugriff auf´s remote Netz.
                Es ist eigentlich ganz simpel...
                Server...
                -  auf dem WAN-Port der pfsense Regel erstellen
                    ( IPv4 TCP/UDP  source/ any    Port/ any  Destination/ WAN-address  Port 1194  Gateway/ any )
                -  auf dem OpenVPN-Port
                    ( erstellst Du erst mal eine any-to-any Rule Port/ any die Du später mit Tunnel-IP LAN, DMZ etc. modifizierst )
                Client seitig läuft bei mir auf 3 Tunneln nur DD-WRT, dürfte auf das gleich rauskommen...

                iptables -I INPUT -p udp --dport 1194 -j ACCEPT
                iptables -I INPUT -i tun1 -j ACCEPT
                iptables -I FORWARD -i br0 -o tun1 -j ACCEPT
                iptables -I FORWARD -i tun1 -o br0 -j ACCEPT
                

                …tun1 ist klar und br0 ist das LAN des Client-Routers.

                Was die Servereinstellungen angeht dürfte auch klar sein...
                peer-to-peer
                Interface WAN
                Port 1194
                tun
                udp
                Zertifikatseinstellungen
                Netze

                ..unter advanced....
                push "route Server-LAN Subnetzmaske";

                Bei Client Specific Override….

                General information

                • ca und Client-Name
                • Tunnelnetz

                Client setting

                Advanced

                iroute remotes Netz Subnetzmaske;

                Wenn´s Probleme gibt, per ssh auf Server bzw. Client einloggen…

                netstat -rn
                

                gibt das Routingprotokoll aus.
                In /var/etc/openvpn liegen die Configs und /var/etc/openvpn-csc ist die ccd also die Client-spezifischen Angaben.
                Viel Erfolg…. ;)

                Gruß Peter

                PS.: sehe gerade, ich glaube Dir fehlen die Client spezifischen Einstellungen. Sonst sieht das erst mal nicht schlecht aus.:)

                1 Reply Last reply Reply Quote 0
                • P
                  peter808
                  last edited by

                  @orcape:

                  Wenn der Tunnel steht, (Bsp.: Netz 10.10.2.0/24) sollte die IP des Servers  10.10.2.1, des Clients 10.10.2.2 sein.
                  Ist das nicht der Fall und hat der Client z.B. die 10.10.2.6 hast Du einen config Fehler (Multiclienttunnel, also mehrere Einzelclients). Dann bekommst Du Probleme mit dem Zugriff auf´s remote Netz.

                  Danke erst mal für Deine Hilfe.

                  Also: alles von Dir angegebene hatte ich (glaube ich), die Sache mit dem Multiclienttunnel verstehe ich aber nicht.

                  1 Reply Last reply Reply Quote 0
                  • O
                    orcape
                    last edited by

                    Also: alles von Dir angegebene hatte ich (glaube ich), die Sache mit dem Multiclienttunnel verstehe ich aber nicht.

                    Der Eintrag…

                    client-to-client    (hat nichts mit den Clients in Server+Client-LAN zu tun)

                    …in der Server.conf dient dem Herstellen eines Multiclienttunnels.
                    Eine Server-Instanz hat mehrere Clients, die sich auch untereinander Verbinden können.
                    Standort A Server, Standorte B und C Clients. Standort B kann mit C reden etc.
                    Normaler Tunnel - Server .1 Client .2
                    Multiclienttunnel - Server .1 .2 Client .5.6 hängt mit den virtuellen Schnittstellen zusammen und wird erweitert
                                                wenn die Clients noch mehr werden.
                    Frage mich bitte nicht wieso das so ist, habe ich auch so meine negativen Erfahrungen machen müssen.
                    Man muss nicht immer alles verstehen, funktionieren muss es.:)
                    Gruß Peter

                    1 Reply Last reply Reply Quote 0
                    • P
                      peter808
                      last edited by

                      @orcape:

                      Der Eintrag…

                      client-to-client    (hat nichts mit den Clients in Server+Client-LAN zu tun)

                      …in der Server.conf dient dem Herstellen eines Multiclienttunnels.

                      Ich stehe wieder ein bisschen auf dem Schlauch. Welchen "Eintrag" meinst Du? In der server1.conf findet sich so ein Eintrag nicht.

                      1 Reply Last reply Reply Quote 0
                      • O
                        orcape
                        last edited by

                        Ich stehe wieder ein bisschen auf dem Schlauch. Welchen "Eintrag" meinst Du? In der server1.conf findet sich so ein Eintrag nicht.

                        …den Eintrag benötigst Du nur, wenn Du an einem OpenVPN-Server mehrere OpenVPN-Clients betreibst und wenn diese -Clients miteinander kommunizieren sollen.
                        Das betrifft nicht Dein Szenario. Du verbindest nur 2 Netze über den Tunnel.
                        Da Du damit aber...
                        zum Bsp.:          Client 3 vom Netz 192.168.23.0/24
                                          mit  Client 2 vom Netz  172.19.48.0/24
                        ..verbinden kannst, wird....
                        client-to-client
                        …häufig falsch interpretiert und findet dann in einer Server.conf Verwendung, wo das gar nicht angebracht ist.
                        Also bei Dir, alles Tacco, Deine Config braucht kein client-to-client.
                        War wohl alles bissl viel auf ein mal…. ;D
                        Gruß Peter

                        1 Reply Last reply Reply Quote 0
                        • P
                          peter808
                          last edited by

                          netstat -rn sagt:

                          Routing tables
                          
                          Internet:
                          Destination        Gateway            Flags      Netif Expire
                          default            192.168.1.1        UGS         em1
                          10.0.8.0/24        10.0.8.2           UGS      ovpns1
                          10.0.8.1           link#8             UHS         lo0
                          10.0.8.2           link#8             UH       ovpns1
                          127.0.0.1          link#6             UH          lo0
                          172.23.1.0/24      link#2             U           em0
                          172.23.1.1         link#2             UHS         lo0
                          172.23.200.0/24    10.0.8.2           UGS      ovpns1
                          192.168.1.0/24     link#3             U           em1
                          192.168.1.1        00:11:0a:53:3f:9b  UHS         em1
                          192.168.1.2        link#3             UHS         lo0
                          
                          Internet6:
                          Destination                       Gateway                       Flags      Netif                                               Expire
                          ::1                               link#6                        UH          lo0
                          fe80::%em0/64                     link#2                        U           em0
                          fe80::211:aff:fe53:3f9a%em0       link#2                        UHS         lo0
                          fe80::%em1/64                     link#3                        U           em1
                          fe80::211:aff:fe53:3f9b%em1       link#3                        UHS         lo0
                          fe80::%lo0/64                     link#6                        U           lo0
                          fe80::1%lo0                       link#6                        UHS         lo0
                          fe80::%ovpns1/64                  link#8                        U        ovpns1
                          fe80::230:5ff:fe20:9516%ovpns1    link#8                        UHS         lo0
                          ff01::%em0/32                     fe80::211:aff:fe53:3f9a%em0   U           em0
                          ff01::%em1/32                     fe80::211:aff:fe53:3f9b%em1   U           em1
                          ff01::%lo0/32                     ::1                           U           lo0
                          ff01::%ovpns1/32                  fe80::230:5ff:fe20:9516%ovpns1 U        ovpns1
                          ff02::%em0/32                     fe80::211:aff:fe53:3f9a%em0   U           em0
                          ff02::%em1/32                     fe80::211:aff:fe53:3f9b%em1   U           em1
                          ff02::%lo0/32                     ::1                           U           lo0
                          ff02::%ovpns1/32                  fe80::230:5ff:fe20:9516%ovpns1 U        ovpns1
                          
                          

                          Hilft das?

                          1 Reply Last reply Reply Quote 0
                          • O
                            orcape
                            last edited by

                            Da passt was nicht wirklich…
                            Die Routen auf dem Server sind OK so.....
                            10.0.8.1 Server,  10.0.8.2 Client
                            Beim Clientlog taucht...

                            usr/local/sbin/ovpn-linkup ovpnc1 1500 1541 10.0.8.6 10.0.8.5 init
                            

                            Abgesehen davon das eine MTU Größe von 1500 mal zu Problemen führen kann…
                            ...poste mal bitte die Ausgabe von...

                            netstat -rn
                            

                            …auf dem Client.

                            1 Reply Last reply Reply Quote 0
                            • P
                              peter808
                              last edited by

                              Ok, mache ich gerne nachher, wenn ich dort bin. Melde mich dann abends wieder. Danke.

                              1 Reply Last reply Reply Quote 0
                              • P
                                peter808
                                last edited by

                                hier vom client:

                                Routing tables
                                
                                Internet:
                                Destination        Gateway            Flags      Netif Expire
                                default            192.168.10.1       UGS         re0
                                10.0.8.1/32        10.0.8.5           UGS      ovpnc1
                                10.0.8.5           link#7             UH       ovpnc1
                                10.0.8.6           link#7             UHS         lo0
                                127.0.0.1          link#5             UH          lo0
                                172.23.1.0/24      10.0.8.5           UGS      ovpnc1
                                172.23.200.0/24    link#1             U           em0
                                172.23.200.1       link#1             UHS         lo0
                                192.168.10.0/24    link#2             U           re0
                                192.168.10.1       00:24:1d:2e:cc:08  UHS         re0
                                192.168.10.3       link#2             UHS         lo0
                                
                                Internet6:
                                Destination                       Gateway                       Flags      Netif Expire
                                ::1                               link#5                        UH          lo0
                                fe80::%em0/64                     link#1                        U           em0
                                fe80::1:1%em0                     link#1                        UHS         lo0
                                fe80::%re0/64                     link#2                        U           re0
                                fe80::224:1dff:fe2e:cc08%re0      link#2                        UHS         lo0
                                fe80::%lo0/64                     link#5                        U           lo0
                                fe80::1%lo0                       link#5                        UHS         lo0
                                fe80::6a05:caff:fe04:57d3%ovpnc1  link#7                        UHS         lo0
                                ff01::%em0/32                     fe80::1:1%em0                 U           em0
                                ff01::%re0/32                     fe80::224:1dff:fe2e:cc08%re0  U           re0
                                ff01::%lo0/32                     ::1                           U           lo0
                                ff01::%ovpnc1/32                  fe80::6a05:caff:fe04:57d3%ovpnc1 U        ovpnc1
                                ff02::%em0/32                     fe80::1:1%em0                 U           em0
                                ff02::%re0/32                     fe80::224:1dff:fe2e:cc08%re0  U           re0
                                ff02::%lo0/32                     ::1                           U           lo0
                                ff02::%ovpnc1/32                  fe80::6a05:caff:fe04:57d3%ovpnc1 U        ovpnc1
                                
                                
                                1 Reply Last reply Reply Quote 0
                                • O
                                  orcape
                                  last edited by

                                  Hi,
                                  so was in der Art hatte ich schon vermutet. :(
                                  Du willst eine Point-to-Point Verbindung aufbauen, Server und ein remoter Standort, richtig ?
                                  Dein Tunnel steht vermutlich, Du kommst aber nicht vom Server-LAN auf Client-LAN, richtig ?
                                  Wie sieht Deine OVPN-Server-Seite in Bezug auf die Client-Spezific-Overrides aus ?
                                  Poste mal noch die…

                                  • /var/etc/opnvpn/server1.conf
                                  • /var/etc/opnvpn/client1.conf
                                  • /var/etc/opnvpn-csc vom Server

                                  Gruß Peter

                                  1 Reply Last reply Reply Quote 0
                                  • P
                                    peter808
                                    last edited by

                                    @orcape:

                                    Du willst eine Point-to-Point Verbindung aufbauen, Server und ein remoter Standort, richtig ?
                                    Dein Tunnel steht vermutlich, Du kommst aber nicht vom Server-LAN auf Client-LAN, richtig ?

                                    Zwei mal ja.

                                    /var/etc/opnvpn/server1.conf

                                    dev ovpns1
                                    verb 2
                                    dev-type tun
                                    tun-ipv6
                                    dev-node /dev/tun1
                                    writepid /var/run/openvpn_server1.pid
                                    #user nobody
                                    #group nobody
                                    script-security 3
                                    daemon
                                    keepalive 10 60
                                    ping-timer-rem
                                    persist-tun
                                    persist-key
                                    proto udp
                                    cipher BF-CBC
                                    auth SHA1
                                    up /usr/local/sbin/ovpn-linkup
                                    down /usr/local/sbin/ovpn-linkdown
                                    local 192.168.1.2
                                    tls-server
                                    server 10.0.8.0 255.255.255.0
                                    client-config-dir /var/etc/openvpn-csc
                                    ifconfig 10.0.8.1 10.0.8.2
                                    tls-verify "/usr/local/sbin/ovpn_auth_verify tls 'internal-ca' 1"
                                    lport 1194
                                    management /var/etc/openvpn/server1.sock unix
                                    max-clients 1
                                    push "route 172.23.1.0 255.255.255.0"
                                    route 172.23.200.0 255.255.255.0
                                    ca /var/etc/openvpn/server1.ca
                                    cert /var/etc/openvpn/server1.cert
                                    key /var/etc/openvpn/server1.key
                                    dh /etc/dh-parameters.1024
                                    
                                    
                                    • /var/etc/opnvpn/client1.conf

                                    Die existiert nicht im Verzeichnis auf dem Server.

                                    • /var/etc/opnvpn-csc
                                    ifconfig-push 10.0.8.2 10.0.8.1
                                    iroute 172.23.200.0 255.255.255.0
                                    
                                    1 Reply Last reply Reply Quote 0
                                    • O
                                      orcape
                                      last edited by

                                      /var/etc/opnvpn/server1.conf

                                      …sieht OK aus.

                                      /var/etc/opnvpn-csc

                                      …sieht OK aus.

                                      /var/etc/opnvpn/client1.conf

                                      Die existiert nicht im Verzeichnis auf dem Server.
                                      

                                      …kann ja nicht, da musst Du schon auf dem Client gucken.. ;D

                                      1 Reply Last reply Reply Quote 0
                                      • P
                                        peter808
                                        last edited by

                                        @orcape:

                                        …kann ja nicht, da musst Du schon auf dem Client gucken.. ;D

                                        Ups, die Transferleistung hatte ich vorhin auf die schnelle nicht erbracht  ::) An die Datei komme ich aber erst wieder heute Abend.

                                        Hast Du (auch ohne Kenntnis der client-Datei) eine Vermutung, wo das Problem sonst liegen könnte?

                                        1 Reply Last reply Reply Quote 0
                                        • O
                                          orcape
                                          last edited by

                                          Hast Du (auch ohne Kenntnis der client-Datei) eine Vermutung, wo das Problem sonst liegen könnte?

                                          Zum einen brauchst Du für Remote auch Firewall Regeln, die dir erlauben vom Tunnel auf das remote Netz zu kommen und für den WAN-Port eine für den Tunnelport.
                                          Bei meiner Config, clientseitig (DD-WRT Router), hatte ich Dir diese schon gepostet.
                                          Dann hast Du einen Tunnel laufen, der mit den remoten IP´s 10.0.8.6 10.0.8.5 ausgestattet ist.
                                          Normalerweise sollte das bei einem Point-to-Point am Client nur die 10.0.8.2 sein. !!!
                                          Ich hatte das Problem auch schon und habe dann keinen direkten Zugriff auf´s remote Netz bekommen, zumindest keinen direkten.
                                          Das heißt, wenn Du per ssh in der Lage bist, Dich auf die IP 10.0.8.6 zu verbinden.
                                          Damit wärst Du auf der remoten pfSense und solltest Dich von da aus auch auf die remote LAN-IP 172.23.200.1 (wenn das die Router-IP des remoten LAN ist) bzw. auf einem Client (FW aus) des remoten LAN einloggen können.
                                          Wenn das so funktioniert, steht der Tunnel, ist aber ein Multiclienttunnel. (siehe einen der vorherigen Post von mir)
                                          So kommst Du nicht direkt auf´s remote LAN, also muss da noch irgendwas an Deiner config nicht stimmen.
                                          Ich tippe aber mal trotzdem auf den Server bzw. Client-Spezific-Overrides im GUI.
                                          Bring trotzdem mal die Client-conf….
                                          Gruß Peter

                                          1 Reply Last reply Reply Quote 0
                                          • P
                                            peter808
                                            last edited by

                                            hier die client1.conf:

                                            dev ovpnc1
                                            verb 2
                                            dev-type tun
                                            tun-ipv6
                                            dev-node /dev/tun1
                                            writepid /var/run/openvpn_client1.pid
                                            #user nobody
                                            #group nobody
                                            script-security 3
                                            daemon
                                            keepalive 10 60
                                            ping-timer-rem
                                            persist-tun
                                            persist-key
                                            proto udp
                                            cipher BF-CBC
                                            auth SHA1
                                            up /usr/local/sbin/ovpn-linkup
                                            down /usr/local/sbin/ovpn-linkdown
                                            local 192.168.10.3
                                            tls-client
                                            client
                                            lport 0
                                            management /var/etc/openvpn/client1.sock unix
                                            remote xxx.dyndns.org 1194
                                            ifconfig 10.0.8.2 10.0.8.1
                                            route 172.23.1.0 255.255.255.0
                                            ca /var/etc/openvpn/client1.ca 
                                            cert /var/etc/openvpn/client1.cert 
                                            key /var/etc/openvpn/client1.key 
                                            resolv-retry infinite
                                            
                                            
                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.