[solved] Routing Probleme

viragomann

@Bob-Dig
Ja, ist schon klar. Aber wenn der Haus Server eine Route zum Internet (Default Route) hat, reicht das.

Wenn er sich zu 172.16.33.10 verbinden möchte, schickt er das Paket zu seinem Default Gateway (wenn er keine explizitere Route dafür hat).
Das sollte 172.17.2.1 sein. Dieser Router verhält sich gleich, und dessen Default Gateway müsste 10.3.11.2 sein.
Dieser hat nun aber eine Route für die Ziel-IP und zwar über die VPN, und diese verwendet er nun.
Natürlich geht der Traffic dann über die VPN.

Bob.Dig

HIer mal die Routingtabelle von rechts oben

default            172.16.47.1    UGS        8    1500    vtnet0 
10.3.9.2/31        link#7        U        6    1420    tun_wg0 
10.3.9.3        link#4        UHS        7    16384    lo0 
10.3.11.2/31    10.3.9.2    UGS        9    1420    tun_wg0 
127.0.0.1        link#4        UH        4    16384    lo0 
172.16.32.0/24    link#2        U        1    1500    vtnet1 
172.16.32.1        link#4        UHS        2    16384    lo0 
172.16.33.0/24    link#8        U        10    1500    vtnet1.33 
172.16.33.1        link#4        UHS        11    16384    lo0 
172.16.47.0/24    link#1    U    3    1500    vtnet0 
172.16.47.2    link#4    UHS    5    16384    lo0 
172.17.0.0/20    10.3.9.2    UGS    9    1420    tun_wg0 
192.168.0.0/16    10.3.9.2    UGS    9    1420    tun_wg0

Wer einen Befehl kennt, der einen schöneren Output macht...

Bob.Dig

@viragomann said in Routing Probleme:

Das sollte 172.17.2.1 sein. Dieser Router verhält sich gleich, und dessen Default Gateway müsste 10.3.11.2 sein.

Fast, 10.3.11.2 ist ein LAN-Gateway, ohne NAT etc.

viragomann

@Bob-Dig
Da hast du wohl eine falsche Route für die Remoteseite eingetragen. 172.17.0.0/20 ist bei dir zuhause. 172.16.33.x ist remote.
172.17.0.0/20 musst du dann noch auf 10.3.11.3 routen.

Bob.Dig

@viragomann Wo bist Du gerade?

viragomann

@Bob-Dig
Ahja, sorry. links, rechts verwechselt. °°

Bob.Dig

@viragomann said in Routing Probleme:

Da hast du wohl eine falsche Route für die Remoteseite eingetragen. 172.17.0.0/20 ist bei dir zuhause.

Nicht ganz, 172.17.0.0/20 ist unten links und eine eigene pfSense hinter der pfSense die zu Hause oben links ist.

Bob.Dig

Sag mir doch mal einer, wie exemplarisch die statischen Routen oben rechts aussehen sollten, müsste doch schnell gehen. ;)

viragomann

@Bob-Dig
Gut, rechts hätte ich auch keine Schwierigkeiten vermutet.

Die Routing Tabellen vom Heim könnten eher Hinweise geben.

Bob.Dig

@viragomann said in Routing Probleme:

Die Routing Tabellen vom Heim könnten eher Hinweise geben.

Heim wäre oben links und da geht ganz schön die Post ab. Auch kann ich von Heim eh alles erreichen, vermutlich wird dort also kein Problem sein?

Ich poste mal lieber von unten links.

Bob.Dig

Das ist übrigens der Output, wenn ich traceroute von oben rechts versuche.

 1 traceroute: wrote 172.17.2.1 48 chars, ret=-1
 127.0.0.1  1.104 ms !Htraceroute: wrote 172.17.2.1 48 chars, ret=-1
  0.532 ms !Htraceroute: wrote 172.17.2.1 48 chars, ret=-1
  0.300 ms !H

Bob.Dig

Wo liegt denn nun mein Fehler bzw. wie müssten die statischen Routen aussehen?

viragomann

@Bob-Dig
Bei deiner Routingtabelle steige ich aus. Ist mir zu hoch. Aber vielleicht kannst du es ja erklären:
10.3.9.2/31 ist am gateway 10.3.11.2? Ich würde sagen, das ist das LAN Interface. Ist das normal bei Wireguard? Hab da aktuell keine Installation.

Von diesen Anmerkungen hätte ich noch ein paar geschrieben, dann habe ich aber erkannt, dass das nur die Routingtabelle von links Mitte sein kann.
War das ein Test??

Das ist übrigens der Output, wenn ich traceroute von oben rechts versuche.

1 traceroute: wrote 172.17.2.1 48 chars, ret=-1
127.0.0.1 1.104 ms !Htraceroute: wrote 172.17.2.1 48 chars, ret=-1
0.532 ms !Htraceroute: wrote 172.17.2.1 48 chars, ret=-1
0.300 ms !H

Sieht ziemlich seltsam aus. Hat es da ein paar Zeichen durcheinander gehauen?
Da sollte jedenfalls entsprechend der Routen 10.3.9.2 als nächster Hop stehen.

Bob.Dig

Arg..... ich Idiot. Ich hab die WG-VPN-Verbindung nicht angepasst, hier fehlen noch allowed IPs . Werde ich mich morgen drum kümmern. Danke an alle, die versucht haben zu helfen.

Bob.Dig

Das Hinzufügen weiterer allowed IPs führte leider zu einer anschließenden Unerreichbarkeit von oben rechts. Ich habe daraufhin die config restored, aber beim nächsten Versuch wieder das Gleiche. Letztlich hat ein Reboot geholfen, was ich merkwürdig finde.
Hab jetzt auf beiden Seiten des Tunnels als allowed IPs 0.0.0.0/0 eingegeben, auch hier ging es erst wieder nach einem Neustart der Zugriff. Mal sehen, ob das eine gute Idee war.

JeGr

@Bob-Dig Bei welchen allowed IPs? Das Feld hat Wireguard dämlicherweise 2x und es bedeutet 2x was anderes.

Ich vermute es its die Variante, die erlaubt, wer sich verbindet, nicht die, die bestimmt was geroutet wird. Dann müsste da kein 0 rein, sondern einfach die korrekten IP Ranges auf beiden Seiten, sonst wird natürlich der Traffic geblockt.

Cheers