[solved] Welche route muss wo eingetragen werden?

viragomann

Die netmask Zeile fehlt:

netmask 255.255.255.0

Offensichtlich verwendet es dann /8, das gesamte Klasse A-Netz, was natürlich sehr, sehr breit ist.

inet 10.0.10.203/8 brd 10.255.255.255 scope global ens18

mike69

@viragomann

Habe die netmask hinzugefügt, dennoch keine Verbindung aus einem anderen Subnet zum Host mit einer VPN Verbindung. Nach einem Neustart hat sich die Routingtabelle leicht verändert.

ohne VPN
0.0.0.0         10.0.10.1       0.0.0.0         UG    0      0        0 ens18
10.0.10.0       0.0.0.0         255.255.255.0   U     0      0        0 ens18

mit VPN
Ziel            Router          Genmask         Flags Metric Ref    Use Iface
0.0.0.0         10.15.0.1       128.0.0.0       UG    0      0        0 tun0
0.0.0.0         10.0.10.1       0.0.0.0         UG    0      0        0 ens18
10.0.10.0       0.0.0.0         255.255.255.0   U     0      0        0 ens18
10.15.0.0       0.0.0.0         255.255.0.0     U     0      0        0 tun0
128.0.0.0       10.15.0.1       128.0.0.0       UG    0      0        0 tun0
xxx.213.154.132 10.0.10.1       255.255.255.255 UGH   0      0        0 ens18

Wieso kann keiner aus einem anderen Subnet auf diesen Host zugreifen, wenn dieser eine VPN Verbindung nach draussen aufgebaut hat? Das muss doch irgendwie gehen, aus dem eigenen Subnet geht es ja auch?

Zum Thema Routing, gibt es es irgendwo Seiten mit kindergerechten HowTos, die das den Begriffsstutzigsten irgendwie näher bringen können?

viragomann

@mike69 said in Welche route muss wo eingetragen werden?:

Wieso kann keiner aus einem anderen Subnet auf diesen Host zugreifen, wenn dieser eine VPN Verbindung nach draussen aufgebaut hat? Das muss doch irgendwie gehen, aus dem eigenen Subnet geht es ja auch?

Weil der VPN Server die Default-Route pusht.

Eine Lösung wäre, die Route zu ignorieren, allerdings musst du dann die gewollten Routen auch von Hand setzen.

Eine andere Lösung wäre, den Server anders zu konfigurieren.

Noch eine fällt mir ein: Du kannst die Route für das Subnetz auch manuell setzen.

Eine noch, damit die vertraute pfSense auch ins Spiel kommt: Du kannst am pfSense Interface eine Outbound NAT Regel hinzufügen, die auf die Interface IP umsetzt.
Damit geht aber nur der Zugriff zum Host, nicht umgekehrt und du siehst da nur die IP der pfSense.

mike69

Moin
@viragomann said in Welche route muss wo eingetragen werden?:

Eine andere Lösung wäre, den Server anders zu konfigurieren.

Ist ein kommerzieller Anbieter, das wird nichts.

@viragomann said in Welche route muss wo eingetragen werden?:

Noch eine fällt mir ein: Du kannst die Route für das Subnetz auch manuell setzen.

Jupp, hört sich gut an. Nur was trage ich wo ein? Gehe mal von Host A (Host mit VPN Verbindung) aus.

Gruß

Bob.Dig

@mike69 said in Welche route muss wo eingetragen werden?:

Klar, kann man machen, Ist nur ein Host, der das soll, deswegen der Sense das aufdrücken? Abgesehen davon, hatte das mal vor Jahren, es gab damals Probleme mit der Portweiterleitung.

Ich hab ja ebenfalls meine Probleme mit OVPN und Routing und hier tatsächlich keine Hilfe bekommen, aber ja, wenn Du schon pfSense einsetzt, dann lass sie(?) das Routing machen, dafür ist sie(?) doch da.
Wenn Du dich mit einem VPN-Server verbindest, brauchst Du auch keine Portweiterleitung. Allerdings ist die Einrichtung auch nicht ganz trivial, wenn man dann auch noch einen KillSwitch, etc. haben will, wenn es denn so eine Art von VPN ist.

mike69

@bob-dig said in Welche route muss wo eingetragen werden?:

Allerdings ist die Einrichtung auch nicht ganz trivial, wenn man dann auch noch einen KillSwitch haben will etc, wenn es denn so eine Art von VPN ist.

Ist so ein Art VPN.

Das witzige ist, mit perversen try and error hatte es schon mal geklappt. nur weiss ich nicht mehr wie. Meine auch, das hier niedergeschrieben zu haben. Hab die alten Threads hier mal durchforstet, aber nichts zu finden.

Alt werden ist doof.

viragomann

@mike69
Bin nicht der Spezialist auf Debian, ich würde mal meine Suchmaschine mit meiner Frage füttern: https://www.startpage.com/do/dsearch?cat=web&language=deutsch&query=debian%20add%20static%20route

Die üblichen Parameter, die bei einer statischen Route anzugeben sind:
Das Subnetz, das geroutet werden soll
Die Ziel-IP der Route, also die deines Routers
Eventuell auch noch das eigene Interface

Diese Dinge sollten in den gefundenen Antworten einzuordnen sein.

Bob.Dig

@mike69 said in Welche route muss wo eingetragen werden?:

Ist so ein Art VPN.

Die meisten Anbieter haben ja eine Anleitung für pfSense. Wenn nicht oder noch Fragen offen sind, sach Bescheid, denn damit kenn ich mich inzwischen aus.

mike69

@viragomann

Wie geschrieben, irgendwie klappte es schon. Es lief eine lange Zeit, danach sich nie wieder darum gekümmert und dann vergessen wie. :)

mike69

@bob-dig said in Welche route muss wo eingetragen werden?:

@mike69 said in Welche route muss wo eingetragen werden?:

Ist so ein Art VPN.

Die meisten Anbieter haben ja eine Anleitung für pfSense. Wenn nicht oder noch Fragen offen sind, sach Bescheid, denn damit kenn ich mich inzwischen aus.

Jo, mach ich.

Wenn die Sense sich um die VPN Verbindung kümmert, kann ich mir die Routing Geschichte sparen, bin ja dann hinter dem "TUN" Interface, quasi. :)

Egal. Es ging schon mal und werde es noch mal hinbekommen. Das wird jetzt persönlich :)

--

Edit:

Das wars, mit einem:

route add -net 10.0.20.0 netmask 255.255.255.0 gw 10.0.10.1 dev ens18

auf dem Host A ist die Sache geritzt, jetzt ist der Zugriff auf den Host möglich. Menno, wie einfach...

viragomann

@mike69
Ist diese Route auch statisch (so dass sie einen Neustart überlebt)?

Der Befehl sieht ja ganz ähnlich aus wie bei Winows, allerdings ist da für einen statischen Eintrag ein weiterer Parameter anzugeben.

mike69

@viragomann

Ist je nach Distro anders, unter Debian/Ubuntu kann es in der /etc/network/interfaces mit hinterlegt werden:

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

source /etc/network/interfaces.d/*

# The loopback network interface
auto lo
iface lo inet loopback

# The primary network interface
allow-hotplug ens18
iface ens18 inet static

address 10.0.10.203
netmask 255.255.255.0
gateway 10.0.10.1
dns-nameservers 10.0.10.1


up   route add -net 10.1.1.0 netmask 255.255.255.0 gw 10.0.10.1 dev ens18
down route del -net 10.1.1.0 netmask 255.255.255.0 gw 10.0.10.1 dev ens18

viragomann

@mike69
Na dann ist es wohl statisch.

mike69

@viragomann

So ja. :)