OpenVPN ein Tunnel S2S klappt nicht
-
Hallo zusammen - ich habe ja schon wirklich viele PFSENSE S2S OpenVPN Tunnel eingerichtet aber bei diesem einen fall glaube ich so langsam dass ich spinne...
Site A 192.168.1.0
Site B 192.168.10.0
Transfer Netzwerk 10.0.20.0/24Ping von Site A auf Site B geht durch:
Ping von Site B auf Site A geht nicht durch:
Auf beiden Seite ist testweise die Firewall auf openVPN komplett offen
VPN Config Site a:
VPN Config Site b:
Was mich irritiert - bei diagnostic Routes steht folgendes:
laut Openvpn Status ist das aber das falsche openvpn Interface:
Ich bin verwirrt !
-
@gtrdriver schau mal mit Packet Capture nach bis wohin die Pakete kommen.
Kann es sein das die Pakete zum OpenVPN Server kommen, er aber nicht weiß an welchen VPN Client er sie schicken muss? -
@gtrdriver Hast du auf der Server Seite ein Client-Specific Override mit dem Netzwerk vom Client als Remote Network eingefügt? Da sehe ich nichts von auf Screenshots, daher die Nachfrage. Ohne geht nicht :)
Ansonsten wegen dem falschen Interface: stehen da irgendwo aus Versehen Routen doppelt drin fälschlicherweise?
Cheers
-
Hallo ihr beiden ...
wie schon gesagt - ich bin tatsächlich grad vollkommen überfordert - an das Routen Thema hab ich auch schon gedacht - aber es gibt auf beiden Seiten keine statischen Routen:
Weiterhin habe ich beide Tunnel nochmals gelöscht und nochmals neu erstellt - sonst auch wirklich NICHTS angepasst oder eingetragen außer Port, server Adresse, Key, Tunnel Netzwerk, Remote Netzwerk ...
Auf der Server seite nimmt er auch das richtige Interface mit dem richtigen Gateway:
Ich hab nochmals auf der Client Seite geschaut - da passt ja garnix:
Auf der Client Seite existiert noch ein anderer OpenVPN Tunnel zu einem anderen Server/Subnet (192.168.0.0) - da steht das richtige Interface - aber das Gateway sieht seltsam aus:
Nochmals Verifiziert: Es gibt auch keine "Client Specific Overrides"
ich hab jetzt noch auf einer anderen pfsense nachgeschaut (anderer Standort) - der sich auch mit dem 192.168.0.0 verbindet:
So sollte das m.E. aussehen mit dem richtigen Gateway...
-
@gtrdriver said in OpenVPN ein Tunnel S2S klappt nicht:
wie schon gesagt - ich bin tatsächlich grad vollkommen überfordert - an das Routen Thema hab ich auch schon gedacht - aber es gibt auf beiden Seiten keine statischen Routen:
Nicht in den statischen Routen. Steht das Netz vllt. in der Config von der OVPN1 config mit drin? Ansonsten würde die Routing Table im Kernel nicht aus Jux und Dollerei einfach ovpnc1 listen. Schau dir auf dem Client mal die andere Config an.
Auf der SERVER Seite muss es aber bei S2S Tunneln ein CSO geben, sonst klappt die Rückroute nie. Das ging nur bei der alten S2S Variante mit Shared Key, die ist aber tot und wird bald nicht mehr funktionieren. Alles was cert-based ist, BRAUCHT das Netz sowohl in der Server Config (damit die Routing table zum entsprechend korrekten ovpnsX interface zeigt) und MUSS eine CSO haben, die nochmal das Remote Netz enthält, damit das korrekt zum Client geht. Das hat damit zu tun, dass die Server multiple Clients haben könnten und der korrekte so selektiert werden muss.
In der Client Config kannst du im Normalfall auch das Transfernetz rauslassen, der sollte das vom Server gepusht bekommen. Dann sollte auch das GW passen.
Cheers
Edit:
Also Prüfauftrag:
-
Am Client:
- Client 1 prüfen, ob da Netze drinstehen die Client 2 braucht (also Netzüberschneidungen)
- Client 2 prüfen und Transfernetz rausnehmen, das sollte gepusht werden. Ansonsten sollte da nur das Netz der Gegenseite drinstehen.
-
Am Server
- Server zu Client 2 prüfen, ob korrektes Transfernetz vergeben wurde
- CSO anlegen um für den Server von Client 2 das Client 2 Cert zu identifizieren und an das das Netz für Client 2's LAN Seite zu pushen. Hier muss quasi das gleiche Remote Network wie im Server drinstehen, damit klar ist, dass alle Netze von Server 2 an Client 2 geroutet werden sollen
-
-
@JeGr Servus - ja - das ist die Variante mit PSK !
-
Guten Morgen
ich bin mir jetzt sehr sicher dass an der spezifischen PFSENSE irgendwas an der Installation oder config zerschossen ist....
Habe gestern noch eine neue Hardware aus dem Lager genommen - und nur rudimentär eingerichtet - damit läuft alles - wirklich alles sofort auf anhieb ohne jegliche zickerei ...
Werde jetzt auf Werkseinstellungen zurücksetzten und per hand neu konfigurieren - mal sehen obs dann läuft
Gruß
-
Kurze Rückmeldung an alle:
Tatsächlich war wohl die config der betreffenden PFSENSE irgendwie zerschossen.
Ich habe heute Abend diese auf Default zurückgestellt und dann neu aufgesetzt.Damit sind sämtliche Probleme sofort behoben was OpenVPN und das Routing angeht...
Danke dennoch an alle die tatkräftig geholfen haben !
Einen schönen Abend.
Grüße
GTR
Privacy Policy · Cookie Policy