Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    OpenVPN Client Mode Zugriff Lokaler Webserver

    Deutsch
    openvpn lan
    3
    18
    1.6k
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • K
      king79
      last edited by king79

      Hallo,
      ich habe hinter meiner Pfsense Firewall einen Webserver und Reverse Proxy laufen.
      Für den Zugriff von außerhalb habe ich in Pfsense eine DynDNS Adresse eingerichtet sowie zwei Portweiterleitungen.

      0_1552415329514_Portweiterleitung.png

      Nun habe ich nach dieser Anleitung einen OpenVPN Client für einzelne Rechner in meinem Netz eingerichtet und folgende Regeln erstellt:

      Outbound
      0_1552409285440_Outbound.png

      Rules - Lan
      0_1552409312062_Rules Lan.png

      Leider ist es mir nun nicht möglich mit dem Client welcher den VPN benutzt über die DynDNS Adresse auf den lokalen Webserver zuzugreifen.
      Mit den anderen Clients ohne VPN ist das ohne Probleme möglich.
      Ich hoffe es kann mir jemand bei meinem Problem helfen. Sollten noch weiterer Infos benötigt werden bin ich gerne bereit diese zu liefern.

      1 Reply Last reply Reply Quote 0
      • V
        viragomann
        last edited by viragomann

        Hallo,

        das Problem ist hier, dass du mit den beiden LAN Regeln nur noch Verbindungen über eines der beiden Gateways erlaubst, entweder über WAN oder über VPN. Der Zugriff auf den internen Webserver soll aber ohne GW direkt erfolgen.

        Normalerweise ist hier in der ersten Regel das Gateway auf "default" zu setzen.
        Voraussetzung, dass das funktioniert, ist aber, dass der VPN Server nicht die Standardroute pusht. Sollte er das tun, gehe in die VPN Client Settings und setze einen Haken bei "Don't pull Routes".

        Grüße

        Nachtrag:
        Ja, wenn du das so haben möchtest, dass du gewisse Verbindungen über das WAN Gateway zwingst, kannst du natürlich für den Webserver auch eine eigene Regel setzen, in der das GW auf default gesetzt ist.

        1 Reply Last reply Reply Quote 1
        • K
          king79
          last edited by

          Hallo,
          vielen Dank für die Antwort.
          Ich habe gerade versucht nach deiner Anleitung die Regeln zu ändern.
          Leider erhalte ich beim Aufruf der Domain immer noch die Fehlermeldung "ERR_CONNECTION_TIMED_OUT" im Browser.
          Der Zugriff über die IP-Adresse des Webservers funktioniert allerdings ohne Probleme, nur dann muss ich den weitergeleiteten Port mit angeben. Daher möchte ich den Zugriff über die DynDNS Domain realisieren.
          Nur wenn ich über die DynDNS Domain zugreife erhalte ich die Fehlermeldung.

          Grüße

          1 Reply Last reply Reply Quote 0
          • RicoR
            Rico LAYER 8 Rebel Alliance
            last edited by

            Wieso überhaupt den Traffic auf einen internen Server auf WAN schieben und kein split DNS einrichten?

            -Rico

            1 Reply Last reply Reply Quote 0
            • K
              king79
              last edited by

              Hallo Rico,
              kannst du mir erklären wie so eine Konfiguration aussehen muss, hab ich leider noch nicht gemacht.

              Grüße

              1 Reply Last reply Reply Quote 0
              • RicoR
                Rico LAYER 8 Rebel Alliance
                last edited by

                Ich gehe mal davon aus du nutzt den DNS Resolver (pfSense default).
                Dein DynDNS Host heißt meinserver.dyndns.org
                pfSense WebGUI > Services > DNS Resolver > Host Overrides > Add
                Host: meinserver
                Domain: dyndns.org
                IP Address: Interne IP deines Webserver
                Save
                Apply Changes

                -Rico

                1 Reply Last reply Reply Quote 1
                • K
                  king79
                  last edited by king79

                  Hallo,
                  vielen Dank für die Anleitung.
                  Die Domain funktioniert nun bei allen Clients.
                  Leider funktioniert die Weiterleitung der Ports 80->180 u. 443->1443 bei den Clients nun nicht mehr.
                  Ich hoffe es kann mir jemand noch eine Tip zur Erstellung der passenden Regel geben.

                  Grüße

                  1 Reply Last reply Reply Quote 0
                  • V
                    viragomann
                    last edited by

                    @king79 said in OpenVPN Client Mode Zugriff Lokaler Webserver:

                    Leider funktioniert die Weiterleitung der Ports 80->180 u. 443->1443 bei den Clients nun nicht mehr.

                    Du meinst von außen bei Zugriff auf deinen Hostnamen?

                    Also mit dem DNS Host Override oder mit der genannten LAN Regel kann das wohl nichts zu tun haben. Deshalb bin ich da bei den vorliegenden Angaben überfragt.
                    Eventuell war der DNS Cache des Clients nach einem WAN-IP-Update noch nicht aktualisiert?
                    Versuche es ggf. mit der WAN-IP anstatt des Namens.

                    Zum Untersuchen derartiger Probleme kann ich Diagnostic > Packet Capture empfehlen. Hiermit kannst du dir die Pakete am WAN und am internen Interface ansehen, um zu verstehen, was in der pfSense vorgeht.

                    Grüße

                    1 Reply Last reply Reply Quote 0
                    • K
                      king79
                      last edited by

                      Hallo,
                      da habe ich mich falsch ausgedrückt. Der Zugriff von außen funktioniert super, nur intern klappt die Weiterleitung der Ports auf den Webserver nicht wie gewünscht. Es fehlt wahrscheinlich eine Regel.

                      Grüße

                      1 Reply Last reply Reply Quote 0
                      • V
                        viragomann
                        last edited by

                        Hallo,

                        du hast uns nicht allzu viel über dein Netzwerk wissen lassen, daher können wir hier nur mit Annahmen arbeiten.
                        Ich vermute, es fehlt noch eine NAT Regel. Nachdem die Ports der Pakete zum Server transferiert (80->180 u. 443->1443) werden müssen, ist auch hier eine NAT-Regel am LAN Interface nötig. Vorraussetzung ist hier, dass der Server auf einem anderen als dem LAN Interface angeschlossen ist.

                        Im Zusammenhang mit dem Port-Translate wäre NAT-Reflection die einfachere Lösung gewesen als Split-DNS. Dazu genügt es, die Option in der bestehenden NAT-Regel (am WAN) auszuwählen.

                        Grüße

                        K 1 Reply Last reply Reply Quote 0
                        • RicoR
                          Rico LAYER 8 Rebel Alliance
                          last edited by

                          Wieso benutzt du intern denn überhaupt verfälschte Ports und nicht die standard zum jeweiligen Dienst?
                          Das würde dir einiges Bastelei ersparen.

                          -Rico

                          1 Reply Last reply Reply Quote 0
                          • K
                            king79
                            last edited by

                            Hallo,
                            das liegt daran das der Webserver / Reverse Proxy ein Docker Container ist und die Standardports von der Weboberfläche des Hostservers verwendet werden. Wenn die Bastelei allerdings zu groß wird mit den Weiterleitungen, könnte ich noch die Standardports des Hostservers ändern und dem Container diese zuweisen.

                            Grüße

                            RicoR 1 Reply Last reply Reply Quote 0
                            • K
                              king79 @viragomann
                              last edited by

                              @viragomann said in OpenVPN Client Mode Zugriff Lokaler Webserver:

                              Hallo,

                              du hast uns nicht allzu viel über dein Netzwerk wissen lassen, daher können wir hier nur mit Annahmen arbeiten.
                              Ich vermute, es fehlt noch eine NAT Regel. Nachdem die Ports der Pakete zum Server transferiert (80->180 u. 443->1443) werden müssen, ist auch hier eine NAT-Regel am LAN Interface nötig. Vorraussetzung ist hier, dass der Server auf einem anderen als dem LAN Interface angeschlossen ist.

                              Im Zusammenhang mit dem Port-Translate wäre NAT-Reflection die einfachere Lösung gewesen als Split-DNS. Dazu genügt es, die Option in der bestehenden NAT-Regel (am WAN) auszuwählen.

                              Grüße

                              Hallo,
                              der Webserver ist leider am LAN Interface angeschlossen.
                              Ich habe auch schon versucht eine zusätzlich Port Forward Regel am Lan Interface zu erstellen, welche nicht den gewünschten Erfolg brachte.
                              Nat-Reflection ist an den beiden Port Forward Regeln am WAN aktiviert. Nur damit hatte ich die Probleme mit den Clients welche über den VPN nach draußen gehen.

                              Grüße

                              1 Reply Last reply Reply Quote 0
                              • V
                                viragomann
                                last edited by

                                Port Forwarding funktioniert am selben Interface nicht vernünftig, weil Response-Pakete von einer anderen Quell-IP kommen als die Ziel-IP der ursprünglichen Client-Anfrage und der Client die Antwort nicht akzeptiert.

                                @king79 said in OpenVPN Client Mode Zugriff Lokaler Webserver:

                                Nur damit hatte ich die Probleme mit den Clients welche über den VPN nach draußen gehen.

                                Probleme mit dem Zugriff auf den Webserver?
                                Clients, denen du auf dem Weg zum Webserver kein Gateway aufzwingst, sollten keine Probleme damit haben.

                                NAT-Reflection kann aber nur funktionieren, wenn du den Host-Override wieder entfernst.

                                Grüße

                                K 1 Reply Last reply Reply Quote 0
                                • K
                                  king79 @viragomann
                                  last edited by

                                  @viragomann said in OpenVPN Client Mode Zugriff Lokaler Webserver:

                                  Probleme mit dem Zugriff auf den Webserver?
                                  Clients, denen du auf dem Weg zum Webserver kein Gateway aufzwingst, sollten keine Probleme damit haben.

                                  Ja das stimmt, Clients welche den VPN Client nicht benutzen funktionieren ohne Probleme. Aber was mache ich mit den Clients welche den VPN benutzen sollen, da muss ich ja ein Gateway aufzwingen und dann funktioniert der Zugriff auf den Webserver nicht mehr.

                                  Grüße

                                  V 1 Reply Last reply Reply Quote 0
                                  • RicoR
                                    Rico LAYER 8 Rebel Alliance @king79
                                    last edited by

                                    @king79 said in OpenVPN Client Mode Zugriff Lokaler Webserver:

                                    Wenn die Bastelei allerdings zu groß wird mit den Weiterleitungen, könnte ich noch die Standardports des Hostservers ändern und dem Container diese zuweisen.

                                    Ja das wäre wohl die sauberste Lösung, mit allem anderen wirst du auf Dauer wahrscheinlich nicht glücklich.

                                    -Rico

                                    1 Reply Last reply Reply Quote 1
                                    • V
                                      viragomann @king79
                                      last edited by

                                      @king79 said in OpenVPN Client Mode Zugriff Lokaler Webserver:

                                      Aber was mache ich mit den Clients welche den VPN benutzen sollen, da muss ich ja ein Gateway aufzwingen und dann funktioniert der Zugriff auf den Webserver nicht mehr.

                                      Nein, die Clients müssen ohne Gateway auf den Webserver kommen.
                                      Dann musst du für diese Verbindung eine eigene Regel definieren, die kein GW erzwingt.
                                      Also Quelle: LAN net, Ziel: Webserver
                                      und diese Regel oberhalb der anderen positionieren, damit sie auch angewandt wird.

                                      Grüße

                                      K 1 Reply Last reply Reply Quote 1
                                      • K
                                        king79 @viragomann
                                        last edited by king79

                                        @viragomann said in OpenVPN Client Mode Zugriff Lokaler Webserver:

                                        Nein, die Clients müssen ohne Gateway auf den Webserver kommen.
                                        Dann musst du für diese Verbindung eine eigene Regel definieren, die kein GW erzwingt.
                                        Also Quelle: LAN net, Ziel: Webserver
                                        und diese Regel oberhalb der anderen positionieren, damit sie auch angewandt wird.

                                        Grüße

                                        Genau diese Regel hat in meiner Konfiguration gefehlt. 😃
                                        Vielen Dank nochmal an alle Beteiligten für die Lösung meines Problems. 👍

                                        1 Reply Last reply Reply Quote 0
                                        • First post
                                          Last post
                                        Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.