(Gelöst) VPN Fritzbox –> pfsense / Android Phone -> PFsense
-
Moin,
ja pingen geht aus dem 10er netz heraus ohne Probleme auf die 192.168.1.1 (Fritzbox vom Kumpel).Ach das verstehe ich…aber ist alles schon ganz anderes Niveau als von der Fritzbox das muss ich schon sagen .......da muss man echt 24 mal nachdenken "before click" zum Glück hat die Firewall eine restore Funktion 30 safes zurück....hatte ich gestern nämlich schlauerweise selber ausgesperrt und ohne diese wäre ich aufgeschmissen.
die 192.168.1.253 ist bei mir aktuell belegt im 1er Netz ...aber ich weiß ja worauf du hinaus willst.
Können die Tunnel jetzt auch untereinander sprechen ?
Sorry das ich mich so blöde anstelle, aber für mich (Achtung geklaut) ist das "Neuland" :)Danke das du so toll hilfst.
Eike
-
ja pingen geht aus dem 10er netz heraus ohne Probleme auf die 192.168.1.1 (Fritzbox vom Kumpel).
ähm hast du dich verschrieben? das netz deines kumpels sollte doch die 192.168.2.1 haben?! wenn es wirklich die 192.168.1.1 hat, dann hast du ein problem, da du ja selber das netz 192.168.1.0/24 hast.
klar können die netze untereinander reden. bei der fritzbox ist die zeileaccesslist = "permit ip any 172.17.21.0 255.255.255.0";verantwortlich. (achtung: ich habe meine beispielconfig angeführt)
bei der pfsense gehst du auf firewall -> rules -> ipsec interface und erstellst dort die rule
protocoll: ipv4*, source: 192.168.2.0/24, port: *, destination: 192.168.10.0/24, port: *und ja, die pfsense mag auf den ersten blick etwas schwierig zu managen sein aber dafür hast du auch deutlich mehr möglichkeiten als mit einer fritzbox. für die möglichkeiten, die die pfsense bietet, ist sie noch sehr newbie freundlich ;)
-
Moin,
ja sorry verschrieben ich meine natürlich 192.168.2.1. Klappt alles wie gewünscht nun auch die oberfläche der fritzbox auf zu rufen :)danke danke danke.
morgen mache ich openvpn
-
Alles klar, na dann viel Erfolg!
-
hmmmm habs mit der Seite gemacht für die Handys:
https://www.ceos3c.com/pfsense/configure-openvpn-for-pfsense-2-3-step-by-step/klappt aber irgendwie nicht….habt ihr ne idee?
Mar 29 14:43:26 openvpn 41823 117.92.130.91 TLS Error: TLS handshake failed
Mar 29 14:43:26 openvpn 41823 117.92.130.91 TLS Error: TLS object -> incoming plaintext read error
Mar 29 14:43:26 openvpn 41823 117.92.130.91 TLS_ERROR: BIO read tls_read_plaintext error
Mar 29 14:43:26 openvpn 41823 117.92.130.91 OpenSSL: error:14089086:SSL routines:ssl3_get_client_certificate:certificate verify failed
Mar 29 14:43:26 openvpn 41823 117.92.130.91 VERIFY ERROR: depth=0, error=unsupported certificate purpose: C=DE, ST=Deutschland, L=daborn, O=-, emailAddress=eike.de, CN=bla.no-ip.org, OU=IT -
sagt mal lese ich das richtig das es jetzt mit der neuen version 2.4.3 und ipsec gehen wird ? also Handy und site to site ?
IPsec
Changed IPsec Phase 1 to allow selecting both IPv4 and IPv6 so the local side can allow inbound connections to either address family #6886
Changed IPsec Phase 1 to allow configuration of multiple IKE encryption algorithms, key lengths, hashes, and DH groups #8186
Fixed a problem when IPsec bypasslan was enabled while the LAN interface is disabled or doesn't have an IP address #8239
Added IPv6 LAN Network to the IPsec LAN bypass list #8321https://doc.pfsense.org/index.php/2.4.3_New_Features_and_Changes
-
Mar 29 14:43:26 openvpn 41823 117.92.130.91 VERIFY ERROR: depth=0, error=unsupported certificate purpose: C=DE, ST=Deutschland, L=daborn, O=-, emailAddress=eike.de, CN=bla.no-ip.org, OU=IT
Für mich sieht das so aus als wenn du dem Nutzer kein UserCertificate zugewiesen hast sondern ein anderes Zertifikat. Ist aber auch schwer zu sagen bei den wenigen Infos zur Konfiguration
-
hmmmm neee kann eigentlich nicht sein ich habe alle neu gemacht extra dafür…...was für infos brauchst du noch ?
-
sooo hab openvpn nicht zum laufen bekommen war ich zu blöde zu. aber ich habe jetzt sowohl fritzbox über ipsec und auch die handy über ipsec am laufen
hurraaaaaa
-
Hi Eike,
"sooo hab openvpn nicht zum laufen bekommen war ich zu blöde zu. aber ich habe jetzt sowohl fritzbox über ipsec und auch die handy über ipsec am laufen" Schön für Dich, aber genau das, kann es eigentlich nicht wirklich geben. Ich bastele seit Jahren mit OpenVPN, IPSec, pfSense, DD-WRT, OpenWRT und Fritten rum. Ich hab bis Dato jeden Tunnel zum laufen bekommen und mir ist auch klar, das Fritte und OpenVPN sich ausschliessen, wenn das Teil nicht gefreetzt ist. Aber selbst da, ist es eigentlich der Obergau eine IPSec-Tunnel mit wirklich funktionierenden Routing hin zu bekommen, was bei OpenVPN eigentlich nicht wirklich ein Problem dargestellt hat. Aber ich behaupte nun einfach mal, das Fritten-IPSec ist von der "Stange". ;D -
Aber selbst da, ist es eigentlich der Obergau eine IPSec-Tunnel mit wirklich funktionierenden Routing hin zu bekommen, was bei OpenVPN eigentlich nicht wirklich ein Problem dargestellt hat. Aber ich behaupte nun einfach mal, das Fritten-IPSec ist von der "Stange". ;D
was meinst du damit?
-
was meinst du damit?
Ich meinte damit nicht den normalen IPSec, der von AVM unterstützt wird, sondern eher das modifizieren (Freezen) der Fritte. Jeder Flash des Gerätes, muss bei einem Konfigurationsfehler, (z.B. in der Firewall) wiederholt werden, da man keine direkten Änderungen machen kann, sondern das Image immer neu bauen muss.
Man kann das nicht mit einer pfSense oder einem DD-WRT Router vergleichen, wo die Änderungen einfach mal so in den Speicher hochgeladen werden.
Die original Firewall einer Fritte ist eben nur "von der Stange", auch wenn man das "Teil" in den Himmel lobt, so ist und bleibt das ein Consumergerät, wie jeder andere Plastikrouter auch. -
@Eike,
Du hast definitiv einen Zertifikatsfehler vorliegen.
Passiert häufig bei selbst signierten Zertifikaten.
Wobei das eigentlich kein Problem mehr darstellen sollte, wenn man die Zertifikate mit der pfSense macht und sich von dieser herunter lädt.
Leider ist es nicht so ohne, wenn man den Tunnel zu anderer Hardware aufbaut, die eventuell nicht jede Art der Verschlüsselung unterstützt. -
du hast jetzt quasi eine ipsec verbindung zwischen den netzen 192.168.10.0/24 (deine pfsense) und 192.168.2.0/24 (dein kumpel seine fritzbox)?
ausgehend von diesem szenario erstmal die frage: kannst du aus dem 192.168.10.0/24 eine IP im 192.168.2.0/24 anpingen?m0nji moin deine tipps waren ja gold wert. sage mal ich habe jetzt 2 boxen erfolgreich eingebunden ABER dein zweiter tunnel wird immer nur bei einer aufgebaut / wird es zwar auch zu zwei aber ich kann dahinter nichts pingen.
sprich eigentlich 4 phase2 tunnel sollten ja auf sein. es sind aber nur 3. wenn ich eine verbindung disable geht es sofort mit der anderen.
aktuell habe ich also ein entweder oder senario. hast du ne idee? -
Habe immer etwas Probleme deinen Sätzen zu folgen ;)
Hast du denn in den BINAT/DNAT Phase2 Tunnels immer eine unterschiedliche virtuelle IP genommen oder immer die gleiche? Pro Phase2 Tunnel musst du eine virtuelle IP nehmen, die nirgendwo anders benutzt wird. -
immer die 192.168.10.x …...ach wir können auch telefonieren ;)
-
eine letzte Frage habe ich noch…..der Tunnel vom Handy wird jetzt aufgebaut aber der Traffic geht noch nicht da durch ....muss ich hier auch 2 Tunnel bauen ?
