Messages

Muss ich mehr tun, als [SOLVED] in den Titel zu schreiben?

Du meinst so wie im Anhang?
Das ist wirklich alles? Ich wäre nie auf die Idee gekommen, dass ich das in der FW-Regel angeben muss.
Aber es scheint damit zu laufen  8)

Vielen Dank, das ging schnell.

Hi,

meanwhile i established a VPN-connection from my Opnsense to my VPN-Provider to get an externed fixed IPv4. But somethins goes wrong. Tried to visualise my network


               WAN                      VPN static IPv4
                 :                        : X.X.X.X
                 : DSL                  :
                 :                        :
             .---+---.                 :
         Fritzbox .  |                 :
             '---+---'                  :
                 |                        |
        192.168.178.1/24        | über WAN
                 |                        |
            .----+----.              .----+----.
            | LAN-Switch |          OpenVPN Client
            '----+----'              '----+----'
                   |                        |
                   |      .----------.   |
                  +------| OPNsense|------+
     192.168.178.157 .       
                             |
                      LAN | 192.168.1.1/24
                             |
                       .-----+------.
                       | LAN-Switch |
                       '-----+------'
                               |
                     ...-----+-----...
                     (Workstation ) 192.168.1.10 (Gateway 192.168.1.1 / DNS 192.168.178.49)

When VPN is down, the Workstation can access the internet as it should. Not Problems.
Routes are shown in screenshot attachment.
Of course the Opnsense is not reachable via external IP at this moment

When the VPN is up, the Connections sets new routes, which seams to be need.

Problem: with VPN up th Opnsense is reachable through external IP, but the Workstation can not reach Websites. When i understand the live view of my firewall correctly, the Workstation tries to go out over the VPN-Connection (FIPNET), but not as planned over WAN.



I don´t understand what to do?
On the one hand the VPN Routes are needed, otherwise no external Connection to Opnsense. But the Workstation doesn´t get Websites. How to achive both?
I think it needs a way to tell LAN-Net to go out by WAN when initialising connections.
Am i right, that this is a routes problem?

Many thanks in advance for your help.

Hi,

ich habe ja nun die VPN-Verbindung von meiner Opnsense hin zum VPN-Anbieter für eine feste IP eingerichtet bekommen. Es tut aber noch nicht ganz so wie es soll.
Ich habe einmal die ASCI-Netmap Vorlage versucht anzupassen: das ist mein aktueller Netzaufbau.

               WAN                      VPN static IPv4
                 :                        : X.X.X.X
                 : DSL                  :
                 :                        :
             .---+---.                 :
         Fritzbox .  |                 :
             '---+---'                  :
                 |                        |
        192.168.178.1/24        | über WAN
                 |                        |
            .----+----.              .----+----.
            | LAN-Switch |          OpenVPN Client
            '----+----'              '----+----'
                   |                        |
                   |      .----------.   |
                  +------| OPNsense|------+
     192.168.178.157 .       
                             |
                      LAN | 192.168.1.1/24
                             |
                       .-----+------.
                       | LAN-Switch |
                       '-----+------'
                               |
                     ...-----+-----...
                     (Workstation ) 192.168.1.10 (Gateway 192.168.1.1 / DNS 192.168.178.49)

Wenn ich nun den VPN-Tunnel noch offline habe, läuft im LAN alles wie es soll. Das heisst die Workstation kommt normal ins Internet, kann Webseiten aufrufen etc.

Die Route sind dann wie im Screenshot zu sehen.
Logischerweise ist die OpnSense dann nicht unter der externen IPv4 erreichbar.

Wenn der VPN-Tunnel aufgebaut wird, setzt dieser auch neue Routen wie im Screenshot.

Das Problem ist, dass dann zwar die Opnsense über die externer IPv4 erreichbar ist, allerdings die Workstation nicht mehr sauber hinaus ins Internet kommt. Denn wenn ich die Live View der Firewall richtig verstehe, versucht die Workstation dann über den VPN-Tunnel rauszugehen (wo dann der DNS im Netz der Fritzbox nicht erreichbar ist etc.)



Wo liegt das Problem?
Einerseits scheinen die VPN-Routen notwendig, da sonst die Opnsense nicht unter der externen IPv4 antwortet,
andererseits scheinen diese die Workstation daran zu hindern normal zu surfen.
Wie bekommt man beides zeitgleich hin? Trotz der VPN-Routen dem LAN-Netz sagen das es über den regulären WAN Zugang gehen soll?

Den Port hatte ich nur im Screen abgeschnitte, gesetzt ist er.
Da Deine Settings nahezu identisch sind, habe ich meinen Account beim Anbieter einmal komplett resettet, dabei gab es ein neues generiertes Passwort ... und nun geht es.
Warum auch immer mein altes Passwort mit der Config nicht mehr lief, manchmal sind es die kleinen Dinge im Leben.

Trotzdem Danke für die Unterstützung. Nun auch auch bereits der eigene interne OpenVPN-Server und jetzt muss ich mich mit Firewall-Regeln und NAT beschäftigen.

Der Vollständigkeit halber, auch wenn wir per PN nicht weiter gekommen sind

Am Ende des Tunnel wartet eine feste IPv4, die ich quasi in mein Heimnetz routen will. Aktuell zum Vorbereiten auf den späteren Glasfaseranschluss (keine eigene IPv4 mehr) und aktuell um evtl. Serverdienste auch unter der festen IP zu haben, nicht nur unter einer Domain (Aktuell T-DSL mit dyn. IP und DynDNS).
Da Du zum Testen sicher keine IPv4 beantragen magst (geht mit den 50 Credits nicht) wäre der Anfang schon gemacht überhaupt eine stabile VPN Verbindung zu, OpenVPN Server von Feste-IP.net zu haben.

Was Du also testen könntest: 1.) Port-VPN
Was ich haben möchte: 3.) VPN-Tunnel.

Siehe Infos hier

Kein Problem, hauptsache das läuft am Ende :-)
Danke das Du das ausprobieren magst.

Probemonat nicht, aber 50 Credits zum Testen. Je nach Produkt hält das entsprechend länger/kürzer.
Wäre super wenn Du das probieren magst.

Evtl. kann ich das ja für Feste-IP.net adaptieren. Also wenn Du die auch hier reinstellen magst ....

Hi,

i´m not able to establish a working connection with this provider FIP-VPN Tunnel (based on OPENVPN) with my Opnsense using OPENVPN-client.

I tried with my synology to verify general functionality and logins and everything worked fine.
But i don´t get whats wrong with my opnsense settings.

i don´t find a hint in the log:

Code Select Expand

Mar 17 20:01:00 openvpn[96968]: MANAGEMENT: Client disconnected
Mar 17 20:01:00 openvpn[96968]: MANAGEMENT: CMD 'state all'
Mar 17 20:01:00 openvpn[96968]: MANAGEMENT: Client connected from /var/etc/openvpn/client1.sock
Mar 17 20:00:58 openvpn[96968]: MANAGEMENT: Client disconnected
Mar 17 20:00:58 openvpn[96968]: MANAGEMENT: CMD 'state all'
Mar 17 20:00:58 openvpn[96968]: MANAGEMENT: Client connected from /var/etc/openvpn/client1.sock
Mar 17 20:00:56 openvpn[96968]: UDP link remote: [AF_INET]185.62.150.14:1194
Mar 17 20:00:56 openvpn[96968]: UDP link local (bound): [AF_INET]192.168.178.157:0
Mar 17 20:00:56 openvpn[96968]: Socket Buffers: R=[42080->42080] S=[57344->57344]
Mar 17 20:00:56 openvpn[96968]: TCP/UDP: Preserving recently used remote address: [AF_INET]185.62.150.14:1194
Mar 17 20:00:56 openvpn[96968]: Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Mar 17 20:00:56 openvpn[96968]: Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Mar 17 20:00:56 openvpn[96968]: NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Mar 17 20:00:56 openvpn[96968]: MANAGEMENT: unix domain socket listening on /var/etc/openvpn/client1.sock
Mar 17 20:00:56 openvpn[35559]: library versions: OpenSSL 1.0.2r 26 Feb 2019, LZO 2.10
Mar 17 20:00:56 openvpn[35559]: OpenVPN 2.4.7 amd64-portbld-freebsd11.2 [SSL (OpenSSL)] [LZO] [LZ4] [MH/RECVDA] [AEAD] built on Mar 6 2019
Mar 17 20:00:56 openvpn[35559]: WARNING: file '/var/etc/openvpn/client1.up' is group or others accessible
Mar 17 20:00:56 openvpn[11630]: SIGTERM[hard,init_instance] received, process exiting

Any help to get this working is really appreciated.

[Hat das zufällig jemand so am Laufen und kann Hilfestellung geben?]

Nabend zusammen,

ich verzweifle an der Einrichtung eines FIP-VPN Tunnel (basiert auf OPENVPN) in Verbindung mit meiner Opnsense.
Leider kann man eine .ovpn Config nicht direkt importieren, sondern muss anhand der Config die Einstellungen in Opnsense "manuell" vornehmen.
Jetzt bin ich nach wie vor der Meinung, dass es eigentlich so schwer nicht sein dürfte, aber .... ich bekomme das nicht zum laufen. Die Connection klappt schon nicht bis zum Ende.
Nun gehe ich ja prinzipiell davon aus, dass es an anderen liegt und nicht an mir :rolleyes:
Also habe ich den VPN-Tunnel von meiner Synology aus eingerichtet und der läuft sofort wie erwartet.

Ich mache also etwas in der Opnsense falsch, ich peile nur nicht was.
Hat das zufällig jemand so am Laufen und kann Hilfestellung geben?

Aus dem Log werde ich leider nicht schlauer:

Code Select Expand

Mar 17 20:01:00 openvpn[96968]: MANAGEMENT: Client disconnected
Mar 17 20:01:00 openvpn[96968]: MANAGEMENT: CMD 'state all'
Mar 17 20:01:00 openvpn[96968]: MANAGEMENT: Client connected from /var/etc/openvpn/client1.sock
Mar 17 20:00:58 openvpn[96968]: MANAGEMENT: Client disconnected
Mar 17 20:00:58 openvpn[96968]: MANAGEMENT: CMD 'state all'
Mar 17 20:00:58 openvpn[96968]: MANAGEMENT: Client connected from /var/etc/openvpn/client1.sock
Mar 17 20:00:56 openvpn[96968]: UDP link remote: [AF_INET]185.62.150.14:1194
Mar 17 20:00:56 openvpn[96968]: UDP link local (bound): [AF_INET]192.168.178.157:0
Mar 17 20:00:56 openvpn[96968]: Socket Buffers: R=[42080->42080] S=[57344->57344]
Mar 17 20:00:56 openvpn[96968]: TCP/UDP: Preserving recently used remote address: [AF_INET]185.62.150.14:1194
Mar 17 20:00:56 openvpn[96968]: Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Mar 17 20:00:56 openvpn[96968]: Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Mar 17 20:00:56 openvpn[96968]: NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Mar 17 20:00:56 openvpn[96968]: MANAGEMENT: unix domain socket listening on /var/etc/openvpn/client1.sock
Mar 17 20:00:56 openvpn[35559]: library versions: OpenSSL 1.0.2r 26 Feb 2019, LZO 2.10
Mar 17 20:00:56 openvpn[35559]: OpenVPN 2.4.7 amd64-portbld-freebsd11.2 [SSL (OpenSSL)] [LZO] [LZ4] [MH/RECVDA] [AEAD] built on Mar 6 2019
Mar 17 20:00:56 openvpn[35559]: WARNING: file '/var/etc/openvpn/client1.up' is group or others accessible
Mar 17 20:00:56 openvpn[11630]: SIGTERM[hard,init_instance] received, process exiting

Wäre für Hilfe sehr dankbar um das Ding endlich zum Laufen zu bekommen.

Zufällig Feste-IP.net?

Ich glaube nicht das es ein BUG ist, sondern ein "Konfigurationsproblem" in Verbindung mit dem VPN Tunnel.
Eine Lösung habe ich noch nicht.
Wenn ich jedoch den VPN mit der Synology dahinter aufbauen lasse, erkenne ich, dass durch den Aufbau des Tunnel der Standardgateway der Synology auf den VPN-Tunnel geändert wird.

Stelle ich den dann wieder auf den Standardgateway "Fritzbox" zurück, läuft wie es scheint alles.

Nur wie man sowas in der Opnsense macht .... , denn dort scheint der Standardgateway weiterhin der von mir angegebene zu sein.

Über Ideen und Vorschläge wäre ich nach wie vor dankbar.

Moin, ich hoffe ich kann das hier richtig wiedergeben.
Ich habe den aktuellen Aufbau laut Bild (nicht hübsch, aber sollte es verdeutlichen  :) )


Solange der OPNVPN Tunnel nicht aufgebaut ist:
- kann die opnsense Updates abrufen
- funktioniert ein traceroute auf heise.de normal
- kann sowohl die Synology als auch der Windows7 Client normal ins Internet und alles ist schick.

Ist der OPNVPN-Tunnel zu Feste-IP.net aufgebaut, geht von alledem nichts mehr. Immer nur Timeouts etc. Beende ich den Tunnel, läuft wieder alles.

Ich habe eine Standard-Installation 1x LAN, 1x WAN.
DNS ist ein PiHole im Netz wer Fritzbox (der auch liefert)

Aktuell fehlt mir die Idee, der Ansatz wo das Problem liegt und wie ich das hinbekommen kann.

Ziel:
- alles sollte so laufen, als wenn der VPN-Tunnel nicht aufgebaut ist
- zusätzlich sollte über den VPN-Tunnel von extern die feste IP "herein" kommen und im späteren Verlauf per NAT/Reverse Proxy im LAN der Opnsense auf die entsprechenden Server/Dienste kommen.

Habt Ihr einen Tipp/Idee was ich falsch mache?