Site to Site OpenVPN, Zugriff von Client auf Client

Artefakt

Hi,

ich stehe gerade etwas auf dem Schlauch.
Ich habe in einer Firmenzentrale einen pfsense OpenVPN-Server (Site to Site, Preshared Key).
In der Filiale ist ein pfsense-Router mit dem OpenVPN Client.

Das Tunnelnetzwerk ist die 192.168.85.0
Das Remotenetzwerk gesehen von der Zentrale aus ist die 192.168.20.0

In der Zentrale sind Viele HomeOffice-Nutzer auf dem pfSense Router angemeldet (Roadwarrior mit Tunnelnetzwerk 192.168.15.0).

Sind die HomeOffice-Benutzer verbunden, können Sie über einen Terminalserver auch auf das lokale Netz 192.168.20.0 zugreifen.
Möchten Sie jedoch von ihrem Heim-PC auf eine IP-Adresse zugreifene (in dem Fall ein USB-Server mit Smartcards), geht das nicht.

Wie gehe ich da vor? Muss ich da den HomeOffice-Benutzern eine Route pushen?
Ich will eigentlich nur vom per OpenVPN-Roadwarrior-Zugang auf die andere Seite des Site-to-Site-VPNs zugreifen.
Klar, kann es nicht gehen, weil die Heim-PCs die Route zum 20-Netz nicht kennen.
Wie setze ich das am einfachsten um?

Danke.

viragomann

@Artefakt
Eine Route braucht es für beide zu verbindenden Subnetze, das Filial-Netz und das Road Warrior Tunnel Netz.

Also im Access Server das Filial-Netzwerk zu den "Local Networks" hinzufügen, damit die Route zu den Clients gepusht wird.
Und in der Filiale am S2S Client das Access Server Tunnelnetz zu den "Remote Networks" hinzufügen, damit die Response-Pakete dahin zurück geroutet werden.

Artefakt

@viragomann Hi, danke. Sorry, das verstehe ich nicht ganz. Was meinst Du mit "das Filial-Netzwerk zu den "Local Networks"" hinzufügen? Wo füge ich das hinzu?

Gruß.

viragomann

@Artefakt
In der OpenVPN Access Server Konfiguration (Roadwarrior) hast du ja ein Feld "IPv4 Local Network/s" (Lokale Netzwerke), und vermutlich ist da aktuell das oder die Netzwerke der Zentrale eingetragen.
Hier muss auch das Netzwerk der Filiale hinzu, mit Beistrich getrennt, also ",192.168.20.0/24" anhängen.

Und in der Filiale muss auf dieselbe Weise das Roadwarrior Tunnelnetzwerk (192.168.15.0/24) hinzugefügt werden, allerdings bei "Remote Networks" (Entfernte Netzwerke).

Artefakt

@viragomann ach so, sorry, ja genau.
Danke. Das werde ich testen.

Gruß, Arti.

Artefakt

@viragomann Danke, hat so funktioniert.