(Gelöst) VPN Fritzbox –> pfsense / Android Phone -> PFsense
-
@JeGr: Ich wollte damit auch OpenVPN nicht madig machen. Es sprechen schon Gründe für die Wahl zu OpenVPN. Ich habe nur gerade bei iOS bis zum letzten Update der OpenVPN App leider gar kein Connect mehr zur pfSense hinbekommen. Die Client App war noch nicht angepasst für OpenVPN 2.4. Da stand ich 3-4 Monate da und kam nicht in meine Infrastruktur :(
Aber egal, dass Problem ist gelöst.Für Site2Site Tunnel ist und bleibt aber IPSEC für mich die erste Wahl, weil es die allermeisten Router (Consumer, SemiPro) standardmäßig unterstützen ohne Gebastel.
BTW: Auch bei IPSEC kann ich ohne Probleme eine Failover Konfiguration fahren ohne auch nur 1 Handgriff zu unternehmen. ;)
Multiwan Interface erstellen mit Failover -> DynDns Adresse registrieren und auf das Failover Interface legen -> Firewall und NAT Regeln werden vom IPSEC Dienst ja selbständig erstellt. Problem ist eher, dass die Hauptleitung meist schneller wieder zur Verfügung steht, als das der Tunnel über die zweite Leitung aufgebaut wurde. -
@JeGr: Ich wollte damit auch OpenVPN nicht madig machen.
Auch nicht so verstanden :)BTW: Auch bei IPSEC kann ich ohne Probleme eine Failover Konfiguration fahren ohne auch nur 1 Handgriff zu unternehmen. ;)
IPSEC Tunnel Konfiguration mit Multi-WAN? Mit DynDNS? Meh… ja funktioniert theoretisch, praktisch hat man die Umschaltzeit, die Detection vom Failover Interface, den Aufbau, DNS Caches die dann zwischen reingrätschen etc. etc.
Es gibt einfach keinen nativen Weg, um sinnvolles MultiWAN Loadbalancing/Failover Verhalten mit IPSEC zu bekommen, außer statisch zwei Tunnel mit unterschiedlichen Daten aufzubauen und Routen zu verbiegen, damit das irgendwie funktioniert. Solange IPSEC kein wirkliches Interface zur Verfügung stellt, wird das alles ziemlich gebastelt bleiben. Dahingegen haben wir mit OpenVPN u.a. schon Szenarien wie round-robin-loadbalancing bei Connects, WAN-Acceleration Setups und andere Spielereien gebaut ohne in extrem fiese Probleme zu laufen :)Die Antwort war da weniger an dich gerichtet, sondern mehr in Richtung: "Hey so überzeugt man auch technisch nicht so bewandertes Personal/Chefs davon" ;)
-
Soooooo ….hab eh nur die Hälft verstanden....ausser das es so nicht geht. Also die Fritzboxen bleiben logischerweise wie sie sind. Also müssen die ipsec machen.
wie geht das mit dem open vpn ? gibt es da ein howto ?
-
OpenVPN Server Konfiguration hat u.a. einen Wizard, der einen durch das Setup führt, alternativ:
https://doc.pfsense.org/index.php/OpenVPN_Remote_Access_Server
Ja nachdem wie sicher es sein soll/darf, kann man die Clients mit User/Pass, nur Zertifikat oder User/Pass + Zertifikat kombiniert einwählen lassen. User können dann entweder in der normalen GUI (User Manager) verwaltet werden oder - besser - extern via LDAP oder Radius z.B. via FreeRadius Package. Möglichkeiten gibt es viele.
https://doc.pfsense.org/index.php/Using_OpenVPN_With_FreeRADIUS (auch wenn da FreeRadius2 steht, geht das inzwischen mit dem 3er Paket genauso).
-
muss ich alles von ipsec löschen oder kann ich meine Ca auch behalten ?
-
Moin Männer,
ich habe echt schlechte Laune. Ich bekomme einfach keine Verbindung zu einer Fritzbox hin. Das kann doch nicht so schwer sein oder ? Gibt es nicht eine Anleitung im Netz die nicht 100 Jahre alt ist sondern funktioniert?Ich wäre euch für eine Hilfestellung dankbar. Es soll mit einer aktuellen 7490 klappen.
-
Was willst du denn nun jetzt machen?
Du schreibst erst, dass die Firtzboxen und IPSEC bleiben und dann fragst du nach einer Anleitung für OpenVPN.
Fritzboxen unterstützten nativ kein OpenVPN. Entweder baust du also einen kleinen OpenVPN Server hinter der Fritzbox auf und leitest nur die Anfragen über die Fritzbox weiter zum OpenVPN Server oder aber du bleibst bei IPSEC um die Fritzboxen anzubinden. Wenn du also eine gängige und funktionierende IPSEC Konfiguration suchst pfSense -> Fritzbox kann ich hier was veröffentlichen. Dann fällt aber das Client VPN über IPSEC weg! Dafür sollte man dann OpenVPN auf der pfSense als Server nutzen. -
Was willst du denn nun jetzt machen?
Du schreibst erst, dass die Firtzboxen und IPSEC bleiben und dann fragst du nach einer Anleitung für OpenVPN.
Moin,
genau das hatte ich ja auch gebaut….dann aber wurde mir schmerzlich gewusst, dass es eben so nicht geht. Ich habe nun die Handys (VPN Mobile) gelöscht und wollte nun erstmal die Fritzboxen per ipsec anbinden und dann später die handys per openvpn....soweit nun der plan....sorry wenn ich mich nicht klar ausgedrückt hatte. -
Moin,
wenn Du viel mit der Konfiguration gespielt hast, dann spiele bitte noch einmal: Setz den verbosity Level von OpenVPN mal ein wenig höher, abspeichern und Kiste rebooten. Daten auf Handy exportieren und dann versuchst Du einen Verbindungsaufbau und schaust anschließend unter Status / System Logs / OpenVPN nach was passiert. Kommt da überhaupt was an? Hast Du auf dem Wan-Interface Regeln definiert damit die OpenVPN Pakete rein kommen? Hast Du auf der primären Fritte passende Port Weiterleitungen auf pfSense definiert bzw. pfSense als exposed Host definiert? Auch der OpenVPN Client auf dem Handy bietet einiges an Status Infos beim Verbindungsaufbau.
Poste doch einfach mal Logs vom Verbindungsaufbau in Code Tags und ggf. anonymisiert hier rein. Geht nicht lässt nur stochern im Nebel zu.
-
Guter Tipp @magicteddy aber vielleicht erstmal die IPSEC Konfiguration sauber aufbauen und anschließend sich um die Client VPNs kümmern. Diese Konfigs hat er ja bereits gelöscht.
Hier als Beispiel eine meiner VPN Konfigs für einen IPSEC Site2Site Tunnel zwischen pfSense und Fritzbox.
Fritzbox:vpncfg { connections { enabled = yes; conn_type = conntype_lan; name = "THOMAS PFSENSE VPN_MWAN"; always_renew = yes; reject_not_encrypted = no; dont_filter_netbios = yes; localip = 0.0.0.0; local_virtualip = 0.0.0.0; remoteip = 0.0.0.0; remote_virtualip = 0.0.0.0; remotehostname = "pfsense-xxx.dyndns.org"; localid { fqdn = "fritzbox-xxx.dyndns.org"; } remoteid { fqdn = "pfsense-xxx.dyndns.org"; } mode = phase1_mode_aggressive; phase1ss = "LT8h/all/all/all"; keytype = connkeytype_pre_shared; key = "ein_ziemlich_langer_key11!11!"; cert_do_server_auth = no; use_nat_t = yes; use_xauth = no; use_cfgmode = no; phase2localid { ipnet { ipaddr = 192.168.224.0; mask = 255.255.255.0; } } phase2remoteid { ipnet { ipaddr = 172.17.21.0; mask = 255.255.255.0; } } phase2ss = "esp-aes256-3des-sha/ah-no/comp-lzs-no/pfs"; accesslist = "permit ip any 172.17.21.0 255.255.255.0"; } ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", "udp 0.0.0.0:4500 0.0.0.0:4500"; }
pfSense:
siehe attachments
Bild 1 = Phase 1
Bild 2 = Phase 2Wichtig ist aber, dass du den Mobile Client Support deaktivierst in den IPSEC Einstellungen der pfSense.
-
Danke, teste ich heute Abend gleich aus.
-
Guter Tipp @magicteddy aber vielleicht erstmal die IPSEC Konfiguration sauber aufbauen und anschließend sich um die Client VPNs kümmern…
Klar, gerne doch, nur aus dem Thema IPsec halt ich mich raus, da von keinerlei Sachkenntniss belastet :P
-teddy
-
m0nji ey du bist soooooooo der hammer hat auf anhieb geklappt :) endlich mal eine beschreibung die klappt :) 1000 dank.
jetzt muss ich nur noch open vpn bauen zu den handys ;)
-
Moin Männer ein kleines habe ich noch :)
Jetzt habe ich zwei vpns in meinem DMZ Netzwerk. Wie komme ich jetzt von meinem LAN auf Webseiten von Servern die in der DMZ stehen ?
Also der Kollege mit der Fritzbox ist ja nun per VPN Verbunden aber mit welcher Rule komme ich nun um Himmels willen da rüber…...
bin ich einfach zu blöd zu.
Aufgabe ich bin 192.168.1.x und will zu 192.168.2.x als Beispiel diese ist im VPN.-----+-----.
| Fritzbox | (VPN Endpoint 192.168.0.0/24)
'-----+-----'
:
: PPPoE-Provider
:
WAN / Internet
:
: PPPoE-Provider
:|
|
|
.-----+-----. (PPPOE/ VPN Endpoint)
+-------------+ pfSense +-------------+
| '-----+-----' |
| |
LAN | 192.168.1.0/24 VPN / DMZ | 192.168.10.0/24
| |
.-----+------. .-----+------.
| LAN-Switch | | LAN-Switch |
'-----+------' '-----+------'
| |
...-----+------... ...-----+------... -
du hast jetzt quasi eine ipsec verbindung zwischen den netzen 192.168.10.0/24 (deine pfsense) und 192.168.2.0/24 (dein kumpel seine fritzbox)?
ausgehend von diesem szenario erstmal die frage: kannst du aus dem 192.168.10.0/24 eine IP im 192.168.2.0/24 anpingen?des weiteren wirst du eine zusätzliche phase2 im ipsec tunnel benötigen. die fritzbox kennt dein 192.168.1.0/24 ja gar nicht und wird daher anfragen nicht erlauben.
damit du nicht auf beiden seiten(pfsense und fritzbox) anpassungen machen musst, löst man so ein problem z.b. über die zusätzliche phase2 über NAT/BINAT (siehe Screenshot)du NATest damit alle anfragen aus dem 192.168.1.0/24 netz und kommst dann im vpn tunnel mit der 192.168.10.253 an, wofür die regeln auf der frtizbox ja greifen. die 192.168.10.253 ist eine fiktive IP. du kannst jegliche IP nehmen welche nicht genutzt wird in deinem netz.
-
Moin,
ja pingen geht aus dem 10er netz heraus ohne Probleme auf die 192.168.1.1 (Fritzbox vom Kumpel).Ach das verstehe ich…aber ist alles schon ganz anderes Niveau als von der Fritzbox das muss ich schon sagen .......da muss man echt 24 mal nachdenken "before click" zum Glück hat die Firewall eine restore Funktion 30 safes zurück....hatte ich gestern nämlich schlauerweise selber ausgesperrt und ohne diese wäre ich aufgeschmissen.
die 192.168.1.253 ist bei mir aktuell belegt im 1er Netz ...aber ich weiß ja worauf du hinaus willst.
Können die Tunnel jetzt auch untereinander sprechen ?
Sorry das ich mich so blöde anstelle, aber für mich (Achtung geklaut) ist das "Neuland" :)Danke das du so toll hilfst.
Eike
-
ja pingen geht aus dem 10er netz heraus ohne Probleme auf die 192.168.1.1 (Fritzbox vom Kumpel).
ähm hast du dich verschrieben? das netz deines kumpels sollte doch die 192.168.2.1 haben?! wenn es wirklich die 192.168.1.1 hat, dann hast du ein problem, da du ja selber das netz 192.168.1.0/24 hast.
klar können die netze untereinander reden. bei der fritzbox ist die zeileaccesslist = "permit ip any 172.17.21.0 255.255.255.0";
verantwortlich. (achtung: ich habe meine beispielconfig angeführt)
bei der pfsense gehst du auf firewall -> rules -> ipsec interface und erstellst dort die rule
protocoll: ipv4*, source: 192.168.2.0/24, port: *, destination: 192.168.10.0/24, port: *und ja, die pfsense mag auf den ersten blick etwas schwierig zu managen sein aber dafür hast du auch deutlich mehr möglichkeiten als mit einer fritzbox. für die möglichkeiten, die die pfsense bietet, ist sie noch sehr newbie freundlich ;)
-
Moin,
ja sorry verschrieben ich meine natürlich 192.168.2.1. Klappt alles wie gewünscht nun auch die oberfläche der fritzbox auf zu rufen :)danke danke danke.
morgen mache ich openvpn
-
Alles klar, na dann viel Erfolg!
-
hmmmm habs mit der Seite gemacht für die Handys:
https://www.ceos3c.com/pfsense/configure-openvpn-for-pfsense-2-3-step-by-step/klappt aber irgendwie nicht….habt ihr ne idee?
Mar 29 14:43:26 openvpn 41823 117.92.130.91 TLS Error: TLS handshake failed
Mar 29 14:43:26 openvpn 41823 117.92.130.91 TLS Error: TLS object -> incoming plaintext read error
Mar 29 14:43:26 openvpn 41823 117.92.130.91 TLS_ERROR: BIO read tls_read_plaintext error
Mar 29 14:43:26 openvpn 41823 117.92.130.91 OpenSSL: error:14089086:SSL routines:ssl3_get_client_certificate:certificate verify failed
Mar 29 14:43:26 openvpn 41823 117.92.130.91 VERIFY ERROR: depth=0, error=unsupported certificate purpose: C=DE, ST=Deutschland, L=daborn, O=-, emailAddress=eike.de, CN=bla.no-ip.org, OU=IT