Messages

Danke Jens! Die Tunnel funktionieren!  :D

Sorry, hatte ich vergessen: IPSec

Irgendwann ging mir selbst ein Licht auf. Habe in den opnsense die 2. Phase 2 schon drin. Spannend wird jetzt die Gegenstelle, da es sich um eine Fritz!box handelt.

Gruß Dirk

vielen Dank erst einmal. Mein Vermutungen hast du voll und ganz bestätigt, aber die Hoffnung stirbt bekanntlich zu letzt.

> Warum? Weshalb nicht auf dem Default Gateway (der .1) eine Route dafür erstellen damit nicht jeder Client angefasst werden muss?

Hatten wir auch gemacht. Allerdings konnten wir mit dem Citrix-Clients dann keine stabile Verbindung hinbekommen, der Client reconnected in regelmäßigen Abständen, sodass keine flüssige Arbeit möglich war. Offenbar kommuniziert der Server direkt mit dem Citrix-Client, der Citrix-Client mit dem Server jedoch übers Default-Gateway - muss ich ebenfalls lösen, fürs erste gehts es jedoch auch so, da nur sehr wenige Clients diese Verbindung benötigen.

> So wie auf A gar nicht. Du kannst kein Netzfremdes Gateway einwerfen und erwarten,

Naja in A gehts, da das Gateway die 192.168.1.5 ja netzintern ist.

> als Netz auf der A Seite im VPN zu vermerken und das via VPN nach B zu pushen, sprich: B bekommt nicht nur 192.168.1.0/24 sondern auch das 90er/24 Netz als "lokales" Netz, denn aus Sicht von B liegt der ganze Kram einfach auf Seite A. Wo da, ist für B unerheblich. Der Router von A muss dann die Zustellung übernehmen.

genau das würde ich viel lieber machen! Mir ist nur unklar, wie ich das 2. Netz (90er) in die VPN-Konfiguration bekommen soll?

Ja das stimmt, dass 90er Netz ist kein Privates Netz. Trotzdem muss ich es auch über den Tunnel erreichen. Ich verstehe nicht ganz warum Windows die statisch gesetzte Route auf das Gateway 192.168.1.5 ignoriert und stattdesses aufs Default-Gateway wechselt.

Ich habe ein kleines Routing Problem mit Windows 10 über VPN:

Standort A
IP: 192.168.1.0/24
Gateway 192.168.1.1
2. Router 192.168.1.5 Route für Netzwerk 90.250.250.0/24

Standort B
IP: 192.168.2.0/24
Gateway 192.168.2.1

Standort B ist über VPN mit dem Standort A verbunden, der Zugriff auf die Server am Standort A funktioniert ohne Probleme.

Am Standort A habe ich auf allen PCs ein statische Route für das Netz 90.250.250.0/24 gesetzt.

route ADD 90.250.250.0 MASK 255.255.255.0  192.168.1.5 METRIC 1 -p

Das funktioniert am Standort A super.

Das gleiche habe ich jetzt auch auf den PCs am Standort B gemacht. Hier funktioniert es nicht. Ein tracert ergibt, dass alle Paket über das Default-Gateway des Standort B statt über VPN nach 192.168.1.5 geschickt werden.

Wie kann ich erreichen das am Standort B für den IP-Bereich 90.250.250.0/24 der Router 192.168.1.5 benutzt wird.

niermand eine Idee zum Thema?

danke, dass du dir die Mühe gemacht hast.

Auf den Clients wir das Routing über die Powershell mit dem Befehl "Add-VpnConnectionRoute -ConnectionName...." gesetzt hier ändert sich nicht.

Ich habe bereits überlegt, ob ein virtuelles Interface für IPsec vorher erstellt werden muss, konnte hierzu jedoch ebenfalls nichts finden.

Auf der opnsense kann ich keine Routingeintrag für den Bereich 192.168.122.0 finden.

opnsense. Da ich aber die Anleitung von pfsense genommen habe, habe ich auch einen Beitrag im pfsense Forum geschrieben. Hast du richtig bemerkt! Leider habe ich bei opnsense keine entsprechende Anleitung gefunden. Das Problem besteht immer noch. Ich konnte bisher auch keinen Eintrag finden, in dem ich  hierfür NAT konfigurieren kann.

vielleicht noch mal zum besseren Verständnis. Wie gesagt der Tunnel funktioniert mit einem Client anstandslos.

LAN: 192.160.120.0/24
Mobil: 192.168.122.0/24
User A: usera@domain.com Passwort: aaaaaa
User B: userb@domain.com Passwort: bbbbbb


Client A meldet sich mit User A an:

Client A IP: 192.168.122.1

Der Client wird im Dashboard als connected angezeigt und kann ins LAN-Netz pingen.

Clinet B meldet sich mit User B an wenn Client A noch verbunden ist:

Client B IP: 192.168.122.2

Beide Clients werden im Dasboard als connected angezeigt. Client B kann ins Netz pingen, Client A nicht mehr.

Dies kann ich beliebig fortsetzen Clint C, D, E usw. Jeweils der zuletzt angemeldete Client kann aufs LAN zugreifen alle anderen nicht.

Ich habe auch bereits darüber nachgedacht, ob es am NAT liegen könnte. Nur ist mir nicht ganz klar, wo ich es einstellen soll!

Ich habe erfolgreich die Mobile IKEv2 Konfiguration (https://doc.pfsense.org/index.php/IKEv2_with_EAP-MSCHAPv2) eingerichtet. Mit Windows 10 IKEv2 können sich die User ohne Probleme mit dem LAN verbinden und arbeiten. Allerdings nur einzeln! Sowie eine 2. Mobil-Verbindung aufgebaut wird, kann der 1. User nicht mehr im Netzwerk arbeiten, selbst ein Ping ins Netzwerk funktioniert nicht mehr. Ich bin bei der Mobil-Client-Option davon ausgegangen, dass sich hierüber mehrere User ans Netzwerk anmelden und arbeiten können, finde jedoch den Fehler nicht. Ich habe circa 10 User eingerichtet, EAP, als Username seine Mailadresse und jeweils ein seperates Passwort. Im Dasboard werden beide User als connected angezeigt, aber nur der jeweils zuletzt angemeldete User kann über VPN arbeiten. Hat jemand eine Idee woran es liegen könnte?