Konfiguration von einem Netzwerk - Erbitte Hilfe

JeGr

Die FA und RA bei 443 Verbindungen sind nicht sauber geschlossene TLS/SSL Verbindungen, das ist normal und nicht schlimm. Das oberste mit dem S Flag, kann man leider nicht sagen warum, es könnte gegen eine höher stehende Regel verstoßen haben, bspw. Block weil BOGON o.ä. das kann man schlecht sagen. Es steht ja leider nicht bei dir dabei WARUM geblockt wurde (kann man einblenden lassen).

Morpher

wieder etwas dazu gelernt (FA/RA). Danke!

Wo kann ich das detaillierter anzeigen lassen? Bei dem Schraubenschlüssel im Log selbst hab ich nichts gefunden!?

JeGr

Doch genau da. Bei "Where to show rule descriptions". Das auf column oder 2nd row stellen und dann wird auch angezeigt, wegen welcher Regel ein Zugriff geblockt wird.

Morpher

ah, da… gefunden..

Was würd ich nur alles für eine deutsche Oberfläche geben ;-)

athurdent

@JeGr: sollen wir das nicht mal übersetzen? :)

Morpher

Das nächste was mir fehlt ist meine VPN Verbindung.

Ich habe im Ausland ein Haus mit einer installierten Fritzbox.

Dort habe ich an beiden eine VPN Verbindung gehabt. 192.168.5.x im Ausland (Platz2) und 192.168.4.x in Deutschland (Platz1)

Nun habe ich an Platz 1 auf der Fritzbox ein neues Subnetz. Die Fritzbox hat 10.233.10.2, die pfSense am Interface 10.233.10.1.

Soll ich jetzt ein neues VPN konfigurieren, und wieder Fritzbox mit Fritzbox verbinden oder soll ich das direkt an der pfSense erledigen?
Welche Nach bzw. Vorteile gibt es?
Ich muss von Platz 2 auf 2 verschiedene Subnetze an Platz 1, im Moment auf jedenfall noch.

Morpher

Und es klappt natürlich nicht…

Ich bin danach vorgegangen:

https://blog.mattbrock.co.uk/setting-up-an-ipsec-vpn-on-pfsense-for-mobile-os-x-and-ios-clients/

Wenn ich an meinem iPhone die VPN starten will, hängt er bei "Connecting".

Woran kann das liegen?

JeGr

Der Beitrag ist auch von 2015 und pfSense 2.1… dass DAS nicht richtig funktionieren wird (da war es noch ein komplett anderer IPSec Agent) ist nicht so verwunderlich...

Morpher

nachdem ich nun gefühlte 1000 Anleitungen durch habe, ist natürlich dann die Frage, ob es eine funktionierende Anleitung für das 2.3.2 gibt, am besten mit nem Video :-)

Mir geht es darum, das ich hinter meiner Fritzbox, die als Modem fungiert, direkt per VPN von meinem iPhone auf die pfSense komme, also auch auf alle Devices dahinter.

Morpher

Keiner eine aktuelle Anleitung für VPN, iPhone und der telekom?

athurdent

Nimm OpenVPN Connect und setz OpenVPN auf der pfSense auf. Mit dem Client Exporter kannst Du die Config exportieren, läuft sofort.

Morpher

Bin ich bis dato immer gescheitert.

Ist im Prinzip dann so, das ich auf dem iphone/android/book etc eine clientsoftware benötige, wo ich die zugangsdaten eintragen kann?

und auch hier, gibt es da ein aktuelles tut? deutsch + video wäre noch besser :-)

athurdent

Hi,

englisch habe ich gefunden.

https://doc.pfsense.org/index.php/OpenVPN_on_iOS

Ist aber eigentlich echt simpel. OpenVPN Wizard benutzen um den Server zu konfigurieren, Export Wizard benutzen für die ovpn Konfig Datei. Und die Datei mit der OpenVPN Connect APP unter iOS öffnen.

Probiers aus und wenns nicht klappt meld Dich nochmal, würde ich sagen.

Edit: Nur kurz überflogen, aber das müsste so klappen:
https://got-tty.org/pfsense-und-openvpn-fuer-android-smartphones

Morpher

So, nach dem letzteren Link konfiguriert. Ich hänge, wenn ich es in OpenVPN hinzugefügt habe (1xAndroid, 1xiOS) bei beiden auf connection timeout. Waiting for Server

JeGr

Das allein hilft nicht weiter. Was sagt der VPN Server auf der pfSense? Bekommt der Überhaupt ne Verbindung? Firewall Regel erstellt, dass der Traffic überhaupt rein darf? Etc. etc.

Morpher

Firewall Regeln wurden automatisch erstellt. Hoffe ich :-)

Weiter zeigt der Status -> OpenVPN -> gar nichts.

Das Handy zeigt der angehängte.

wan_rule.png_thumb

vpn_rule.png_thumb

handy_openvpn.PNG_thumb

Handy_log.PNG_thumb

JeGr

Die erste Regel auf dem WAN ist eigentlich fatal - eine allow any auf dem WAN? Böse!
Kein Wunder dann dass auf der OpenVPN Regel nix ankommt, die obere frisst ja alles schon weg.

Zeigt die DynDNS Adresse überhaupt auf die richtige IP?
Wie sind Port Forwards oder 1:1 NAT definiert?
Wie ist der OpenVPN Server konfiguriert?

Ohne die Infos sehe ich leider nur, dass dein Mobile eine Verbindung versucht und deinen Server / pfSense nicht mal pingen/erreichen kann. (Connecting, Timeout, next entry).
Also antwortet der OpenVPN Server gar nicht. Da ist also was falsch konfiguriert oder du frisst die Verbindung wie mit der WAN Regel obendrüber schon vorher weg.

athurdent

@Morpher:

Fritzbox, die als Modem fungiert

Ist die Fritzbox wirklich Modem und Du hast die PPPoE Daten auf der pfSense eingetragen? Oder brauchst Du vielleicht noch Port-Forwards von der FB auf die pfSense?

Morpher

@JeGr:

Die erste Regel auf dem WAN ist eigentlich fatal - eine allow any auf dem WAN? Böse!
Kein Wunder dann dass auf der OpenVPN Regel nix ankommt, die obere frisst ja alles schon weg.

…

Da ist also was falsch konfiguriert oder du frisst die Verbindung wie mit der WAN Regel obendrüber schon vorher weg.

Hab ich entfernt bzw. deaktiviert. Verbindung klappt immer noch nicht, selber Fehler.

@JeGr:

…

Zeigt die DynDNS Adresse überhaupt auf die richtige IP?

...

Ja, geht sowohl zum pingen, wie auch unter Services grün hinterlegt.

@JeGr:

…

Wie sind Port Forwards oder 1:1 NAT definiert?

...

Port Forwards hab ich in der Fritzbox definiert; hatte auch schon versucht es als Exposed Host freizugeben, funktionierte auch nicht
NAT habe ich selbst keines eingerichtet

@JeGr:

…

Wie ist der OpenVPN Server konfiguriert?

...

Nach dem Link oben?

@athurdent:

@Morpher:

Fritzbox, die als Modem fungiert

Ist die Fritzbox wirklich Modem und Du hast die PPPoE Daten auf der pfSense eingetragen? Oder brauchst Du vielleicht noch Port-Forwards von der FB auf die pfSense?

Nein, es ist Internet-> Fritzbox -> pfSense -> Netz1,Netz2,Netz3

Wie genau muss ich was auf der pfSense eintragen (und dann natürlich auf der Fritze umstellen), damit diese nur noch als Modem Fungiert? Ich hatte die frage in einem anderem Thread schon mal gestellt, leider konnte mir keiner helfen.

Ich habe VDSL 100/40 direkt bei der Telekom.

vpn_wan.png_thumb

fb_ports.png_thumb

athurdent

Ich sehe, was Du mit den Port Forwards versucht hast. :) Für IPSec müsste es Protocol 50 (IPSec), nicht Port 50 sein. Und 500 UDP statt TCP, UDP 4500 passt. Ob man hinter der Fritzbox aber vernünftig einen IPSec Server betreiben kann, weiss ich nicht. Ich hab bisher nie viel Spass mit sowas gehabt

Für OpenVPN sollte das mit Port 1194 aber so passen.

Wenn Du Deinen DynDNS Host pingen kannst, heisst das aber erstmal nur, dass Du die Fritzbox pingen kannst. ICMP Ping wird nicht durchgereicht, soweit ich weiss.

Als Modem kannst Du die Fritzbox nicht benutzen, aber PPPoE Passthrough sollte gehen.
https://avm.de/service/fritzbox/fritzbox-7490/wissensdatenbank/publication/show/3232_PPPoE-Passthrough-in-FRITZ-Box-einrichten/
Vorsicht damit, bei der Telekom sind für sowas früher extra Kosten angefallen. Und falls Du IP Telefonie auf der Fritzbox benutzt, wird das dann ggf nicht mehr funtkionieren.

Aber eigentlich sollte der OpenVPN Port Forward passen. Für den Anfang vielleicht aber erstmal mit Exposed Host probieren und hinterher verfeinern. So bist Du sicher, dass die Fritzbox alles durchleitet und kannst erstmal die pfSense Konfig passend einrichten.