Tatsächlich war wohl die config der betreffenden PFSENSE irgendwie zerschossen.
Ich habe heute Abend diese auf Default zurückgestellt und dann neu aufgesetzt.

Damit sind sämtliche Probleme sofort behoben was OpenVPN und das Routing angeht...

Danke dennoch an alle die tatkräftig geholfen haben !

Einen schönen Abend.

Grüße
GTR

ich bin mir jetzt sehr sicher dass an der spezifischen PFSENSE irgendwas an der Installation oder config zerschossen ist....

Habe gestern noch eine neue Hardware aus dem Lager genommen - und nur rudimentär eingerichtet - damit läuft alles - wirklich alles sofort auf anhieb ohne jegliche zickerei ...

Werde jetzt auf Werkseinstellungen zurücksetzten und per hand neu konfigurieren - mal sehen obs dann läuft

Gruß

wie schon gesagt - ich bin tatsächlich grad vollkommen überfordert - an das Routen Thema hab ich auch schon gedacht - aber es gibt auf beiden Seiten keine statischen Routen:

Nicht in den statischen Routen. Steht das Netz vllt. in der Config von der OVPN1 config mit drin? Ansonsten würde die Routing Table im Kernel nicht aus Jux und Dollerei einfach ovpnc1 listen. Schau dir auf dem Client mal die andere Config an.

Auf der SERVER Seite muss es aber bei S2S Tunneln ein CSO geben, sonst klappt die Rückroute nie. Das ging nur bei der alten S2S Variante mit Shared Key, die ist aber tot und wird bald nicht mehr funktionieren. Alles was cert-based ist, BRAUCHT das Netz sowohl in der Server Config (damit die Routing table zum entsprechend korrekten ovpnsX interface zeigt) und MUSS eine CSO haben, die nochmal das Remote Netz enthält, damit das korrekt zum Client geht. Das hat damit zu tun, dass die Server multiple Clients haben könnten und der korrekte so selektiert werden muss.

In der Client Config kannst du im Normalfall auch das Transfernetz rauslassen, der sollte das vom Server gepusht bekommen. Dann sollte auch das GW passen.

Cheers

Edit:

Also Prüfauftrag:

• Am Client:

  • Client 1 prüfen, ob da Netze drinstehen die Client 2 braucht (also Netzüberschneidungen)
  • Client 2 prüfen und Transfernetz rausnehmen, das sollte gepusht werden. Ansonsten sollte da nur das Netz der Gegenseite drinstehen.

• Am Server

  • Server zu Client 2 prüfen, ob korrektes Transfernetz vergeben wurde
  • CSO anlegen um für den Server von Client 2 das Client 2 Cert zu identifizieren und an das das Netz für Client 2's LAN Seite zu pushen. Hier muss quasi das gleiche Remote Network wie im Server drinstehen, damit klar ist, dass alle Netze von Server 2 an Client 2 geroutet werden sollen

wie schon gesagt - ich bin tatsächlich grad vollkommen überfordert - an das Routen Thema hab ich auch schon gedacht - aber es gibt auf beiden Seiten keine statischen Routen:

Weiterhin habe ich beide Tunnel nochmals gelöscht und nochmals neu erstellt - sonst auch wirklich NICHTS angepasst oder eingetragen außer Port, server Adresse, Key, Tunnel Netzwerk, Remote Netzwerk ...

Auf der Server seite nimmt er auch das richtige Interface mit dem richtigen Gateway:

Ich hab nochmals auf der Client Seite geschaut - da passt ja garnix:

Auf der Client Seite existiert noch ein anderer OpenVPN Tunnel zu einem anderen Server/Subnet (192.168.0.0) - da steht das richtige Interface - aber das Gateway sieht seltsam aus:

Nochmals Verifiziert: Es gibt auch keine "Client Specific Overrides"

ich hab jetzt noch auf einer anderen pfsense nachgeschaut (anderer Standort) - der sich auch mit dem 192.168.0.0 verbindet:

So sollte das m.E. aussehen mit dem richtigen Gateway...

Ansonsten wegen dem falschen Interface: stehen da irgendwo aus Versehen Routen doppelt drin fälschlicherweise?

Cheers