Openvpn Client

stiffmeister

Hallo, ja das trifft es eigentlich genau. Nur ist im Moment noch kein Gerät hinter dem Openwert, da Neubau.
Lg

edit:
haben nun noch ein Endgerät aktiviert und das kann man auch von der pfSense pingen….
ist vielleicht eine Kleinigkeit, die ich falsch gemacht habe. Nur was??

JeGr

Was für ein Endgerät und wo? Und ein Gerät hinter deiner pfSense kann trotzdem weder den WRT noch das Gerät pingen (wenn es hinter dem WRT sein sollte)?

stiffmeister

Ich meinte ein Gerät im 192.168.3.0er Netz hinter dem Openwrt.
Das kann ich von der pfsense aus pingen, nicht aber von meinem PC aus.
Lg

Edit:
Habe nun auf dem Notebook OpenVpn installiert und wenn ich mich da auf den Openwrt Router verbinde,
dann komme ich überall hin.
Muss also irgendwas mi den Routen auf der pfsense sein.
Im Anhang mal ein Screenshot von den Routes auf der pfSense.

lg

Routen.PNG_thumb

viragomann

Ist die pfSense das Standard-Gateway am Rechner?

Der Screenshot stellt ja nur einen partiellen Ausschnitt der Routing-Tabelle dar; laufen auf der pfSense weitere OpenVPN Instanzen, Server oder Clients?

stiffmeister

ja die pfsense ist das Standart Gateway.
kann später die ganze Routing table posten

viragomann

Die Beantwortung der Frage nach weiteren OpenVPN Instanzen würde auch reichen.

stiffmeister

Sorry, hab ich zuerst überlesen :-/
Ja es gibt noch eine serverinstanz auf der pfsense.

viragomann

In diesem Fall solltest du jeder Instanz ein eigenes Interface zuweisen. Hast du das gemacht?
Die Rechte kannst du dann auf den jeweiligen Interfaces definieren.

Edit:
Noch eine Sache: Die VPN sollte als Site-to-Site eingerichtet werden. Das scheint es bei dir nicht der Fall zu sein.
Das Tunnel-Subnetz sollte dabei ein /30er sein, so dass nur ein Client ins Netz passt.

stiffmeister

Nein hab der 2. instanz noch kein eigenes interface zugewiesen.
Das wäre dann z.b. "OPT1"?
Wenn ich das zugewiesen hab, was muss ich dann noch machen?
Hab mit den zusätzlichen interfaces noch keine erfahrung sammeln können.

lg

viragomann

Nut das Interface dem Anschluss zuweisen, dann das neue Interface öffnen, aktivieren und speichern. Nichts weiter.

stiffmeister

ok,
das hab ich gemacht.
hat auch die IP bekommen.
Aber es hat sich nichts geändert. komme nicht auf das andere Netz. :-(

viragomann

Wenn du mit dem Notebook überall hinkommst, sollte es auch von der pfsense funktionieren.
Teste mal direkt auf der pfSense mit dem Diagnostic > Ping Tool

Es könnte aber auch sein, dass auf der anderen Seite, am OpenWRT der Zugriff auf das Tunnel-Netz beschränkt ist. Denn wenn du mit dem Client direkt zugreifst, ist die Quell-IP aus dem VPN Tunnel, während sie bei der Site-to-Site die aus deinem LAN ist.

Ist das geklärt, ist der Rest nur mehr das Routing. Ja, auf der anderen Seite muss natürlich auch in OpenVPN die Route zu deinem Netz konfiguriert sein. Keine Ahnung, wie das am OpenWRT üblicherweise gemacht wird, aber in OpenVPN ist das bspw.

push "route 192.168.0.0 255.255.255.0"

Das ist nötig, damit der Router die Paket für dein Netz in den Tunnel routet.

stiffmeister

ja die pfsense kommt ja auch überall hin.
nur die clients hinter der pfsense nicht :-(

viragomann

Möglicherweise trügt mich mein Eindruck, dass du auf der anderen Seite nicht eingreifen möchtest oder kannst.
Wenn das so ist, hast du folgende Möglichkeit:

Füge in Firewall > NAT > Outbound eine Regel für die VPN Pakete hinzu.
Das Outbound NAT ist standardmäßig im Automatik-Modus, das musst du erst auf Hybrid umstellen und diese Einstellung speichern. Dann eine Regel hinzu:
Interface: <das openvpn="" interface,="" das="" du="" zuvor="" der="" instanz="" zugewiesen="" hast="">Source: <dein lan="" netz="">Alle anderen Werte können auf den Defaults bleiben, eine Beschreibung steht dir noch frei, und die Regel speichern.

Mit dieser NAT-Regel kommen deine Anfragen auf der anderen Seite mit der Quell-IP aus dem VPN-Tunnel an, so wird in der Behandlung dieser kein Unterschied zur Verbindung mit dem Laptop gemacht.</dein></das>

stiffmeister

Danke für die Hilfe. Werd ich gleich mal testen.
Ja auf der anderen Seite läuft Win openwrt gerät, dass eigentlich nicht Supportet wird.
Deshalb kann man nur beschränkt eingreifen. Und da ich in dem Thema auch nicht so fit bin,
Wollte ich das dann vermeiden.

Lg