Messages

121

German - Deutsch / Re: NAT in Verbindung mit OPNVPN-Client klappt nicht. Hilfe bitte!

« on: July 26, 2018, 09:04:38 pm »

Uhhh, so langsam verliere ich echt den Überblick 

Du hast Recht, bei den Port-Forward-Rules gibt es kein Logging, zumindestens nicht auf der GUI. Ich war bei den Outbound Regeln.

Noch mal zur Source IP: welche Adresse siehst Du denn in den Firewall Logs als Source, wenn Du über Deinen DSLer mit der dynamischen IP den Server OLDMAN über die statische IP bei feste-ip.net erreichen willst? Die dynamische DSLer IP oder die statische IP von feste-ip.net?

Das es nur bei den VMs nicht funktioniert ist wirklich komisch. Aber wenn die selbe Regel bei BareMetal Systemen funktioniert kann es ja nur noch an der VM Umgebung liegen. Vorausgesetzt die BareMetal Systeme mit denen Du getestet hast hängen im selben Subnetz wie die VMs.
Aber außer dem üblichen Kram (Subnetmask oder Gateway Adresse bei den VMs falsch) fällt mir gerade auch nix ein. Können die VMs denn ins Internet pingen oder surfen? Nicht das die einfach keine Rückroute haben.

Zum HAProxy kann ich Dir leider nix erzählen, den habe ich auf der OPNsense noch nicht eingerichtet. Steht noch auf der ToDo Liste

122

German - Deutsch / Re: NAT in Verbindung mit OPNVPN-Client klappt nicht. Hilfe bitte!

« on: July 24, 2018, 01:05:50 pm »

Hey,

der Source Port 56900 ist ja der Client Port, also der Port mit dem der Client die Verbindung zu Dir aufbaut. Der ist für Dich irrelevant.
Das Du als Source Deine eigene, externe feste IP Adresse siehst und nicht die Quell-IP des eigentlichen Besuchers wird vermutlich daran liegen, dass der Anbieter die Pakete zu Dir weiterleitet. Oder versuchst Du vielleicht dich selbst über Deinen Anschluss zu erreichen? Dann könnte asynchrones Routing das Problem sein. Versuch in diesem Fall einfach mal über einen anderen Anschluss (z.B. Mobilfunk) die URL zu erreichen.

....
ich bin mir zwar nicht sicher wo der Unterschied zwischen der normalen und einer "linked rule" ist. Aber wenn ich beide auf NAT Rule setze geht nichts mehr.

Was meinst Du mit "beides auf NAT Rule setzen"?

Hast Du mal das Logging für die NAT Rule aktiviert um zu kontrollieren, ob der Traffic auch über die korrekte Regel abgearbeitet wird?

Jas

123

18.1 Legacy Series / Re: Route to remote OpenVPN site not used for LAN clients

« on: July 23, 2018, 08:51:05 pm »

Have you checked if there's a typo in a subnetmask of one or more interfaces?
Could you post your routing table?

Strange problem....but I like to solve it 


EDIT: I'm still thinking about the traceroute and the WAN IP that appears as first address. Is there an active NATting rule on the LAN interface which could be the reason for this?

124

German - Deutsch / Re: Mehrere Subnetze über IPsec mit Fritz!Box erreichen

« on: July 23, 2018, 08:38:58 am »

So habe ich es auch von Anfang an verstanden und wollte es auch so einrichten. Nur habe ich keine Ahnung wie ich die drei Phase2 Settings der Fritte mitgebe.

In der Config gibt es nur eine Phase2 und wenn ich den Part einfach kopiere und noch mal dran hänge, nimmt sie nur den letzten Eintrag.

125

German - Deutsch / Re: Mehrere Subnetze über IPsec mit Fritz!Box erreichen

« on: July 23, 2018, 07:57:31 am »

Hey cmu,

Danke schon mal für den Hinweis mit dem clonen der Phase2 Einträge.

Bei den Subnetzen verhält es sich aber genau anders herum: ich habe drei Subnetze an der OPNsense, und nur eins an der Fritz!Box. Aus dem Netz der Fritte will ich die drei Netze an der OPNsense erreichen.
OK, ich werde vermutlich weiterhin drei Phase2 Einträge auf der OPENsense für die Subnetze benötigen?! Aber wie sieht die Config auf der Fritte aus? Benötige ich drei VPNs oder packe ich das alles in eine Konfiguration? Wie muss diese dann aussehen?

Gruß
Jas

126

German - Deutsch / Mehrere Subnetze über IPsec mit Fritz!Box erreichen

« on: July 22, 2018, 02:11:14 pm »

Hi,

ich habe einen IPsec Tunnel zwischen meiner OPNsense und einer Fritz!Box 6590 aufgebaut. Der Tunnel läuft stabil, gute Performance, alles super.

Nun möchte ich aber aus dem LAN der Fritz!Box mehrere Subnetze auf meiner OPNsense erreichen. Und da komme ich nicht weiter. Hier mal die Eckdaten:

Fritz!Box 6590
LAN: 192.168.0.0/24
WAN: öffentliche, dynamische IP (DynDNS vorhanden)

OPNsense
LAN1: 192.168.1.0/24
LAN2: 192.168.2.0/24
OpenVPN: 192.168.3.0/24
WAN: öffentliche, dynamische IP (DynDNS vorhanden)

Mein Wunsch ist alle drei Subnetze aus dem LAN der Fritte zu erreichen, und das möglichst mit nur einem Tunnel.
Was ich bereits probiert habe:

• Drei VPNs auf der Fritte eingerichtet mit identischer Phase1, und mit angepasster Phase2 für das jeweilge Remote Subnetz der OPNsense. Auf der OPNsense habe ich dann einen VPN Tunnel mit jeweils einer Phase2 für jedes Subnetz angelegt
• Drei Tunnel (für jedes Subnetz einen) auf beiden Seiten mit den selben Einstellungen in Phase1, und mit angepasster Phase2 für das jeweilge Remote Subnetz
• Drei Tunnel (für jedes Subnetz einen) auf beiden Seiten mit den unterschiedlichen PSK Keys und ID Einstellungen in Phase1, und mit angepasster Phase2 für das jeweilge Remote Subnetz

Bei allen Varianten geht aber immer nur ein Subnetz online. Ich hab es einmal geschaft zwei Subnetze online zu bekommen. Aber ich weiß nicht warum und weshalb......

Bekommt man überhaupt mehrere Subnetze über die Fritte mit nur einem VPN/Tunnel geschaltet (mehrere SAs), oder muss man zwangsweise für jedes Subnetz einen Tunnel aufbauen?

Hat das schon mal einer hinbekommen?

Thanks.

Jas

127

General Discussion / Re: OPNsense and wake-on-LAN

« on: July 22, 2018, 12:27:41 pm »

Hey,

It's not totally clear what you want to do. Would you like to set up an VPN to dial-in into your network for managing your devices? Or would you like to manage them without VPN? What do you mean wit manually and automatically? What should be the trigger for automatically?

In generally Wake-On-Lan is possible if your devices support WOL.
You can create an VPN to get access to your LAN. Then you can manage your device like you're connected to your LAN directly.

If you want to wake them up over the Internet (whitout VPN), you must configure a port forwarding rule for the WOL magic packets to your LAN.
Create an static ARP entry for an free LAN IP e.g. 192.168.1.10 with the broadcast mac address FF:FF:FF:FF:FF:FF. Forward the WAN WOL magic packets to this address, so that the packet will be broadcasted to your LAN. That means every device will receive this packet, but only the device with the mac addess of the magic packet will wake up.

To power off the devices there's no way like WOL, as far as I know. If you've an management app or something like this for them, you can shut them down remotly. But for this I would suggest the VPN solution.

Jas

128

German - Deutsch / Re: NAT in Verbindung mit OPNVPN-Client klappt nicht. Hilfe bitte!

« on: July 21, 2018, 02:02:52 pm »

Hey,

wenn Du in den Firewall Logs des LAN Interface erlaubten Traffic für den Verkehr OpenVPN:8001 -> OLDMAN:5001 siehst, muss die Regel ja funktionieren. Hast Du mal das Logging in der NAT Regel aktiviert um das sicherzustellen?

Sitzt OLDMAN im selben Subnetz wie die 192.168.1.23? Wenn ja würde das bedeuten, dass der Rückweg funktioniert da die 192.168.1.23 ja funktioniert. Wenn nein, würde ich mal den Rückweg prüfen.

Ist der Alias OLDMAN noch korrekt? Es gibt ein Problem in der aktuellen Version, dass wenn man den Alias nachträglich anpasst, die NAT Regeln das nicht sauber übernehmen. Ich glaub das ist aber nur wenn man den Alias Namen anpasst, nicht die Inhalte des Alias.

Was mir noch aufgefallen ist: die OLDMAN NAT Rule zeigt das Zeichen für eine "linked rule" (doppelter Pfeil), die 192.168.1.23 NAT Rule nur das normale Zeichen. Ich hab keine Ahnung wo genau der Unterschied da liegt, aber vielleicht hat es was damit zu tun.

Gruß
Jas

129

German - Deutsch / Re: opnsense anfaenger braucht unterstützung

« on: July 21, 2018, 01:31:49 pm »

Dann musst Du nur den Port 563 mit Source NAS und Destination Internet auf dem LAN Interface der OPNsense freigeben. 

Ein Reverse-Proxy wäre nur für den umgekehrten Fall, also ein Verbindungsaufbau von Extern nach Intern notwendig bzw. sinnvoll.

130

German - Deutsch / Re: opnsense anfaenger braucht unterstützung

« on: July 20, 2018, 09:21:38 pm »

Was @mimugmail glaub wissen will: baut die NAS eine Verbindung/ein Tunnel nach Extern auf, oder wird eine Verbindung/ein Tunnel von Extern zur NAS aufgebaut?

131

German - Deutsch / Re: Firewll-Regeln für's OpenVPN Interface

« on: July 20, 2018, 09:30:09 am »

Hey Wayne Train,

generell ist Deine Konfiguration bzw. Vorgehensweise korrekt. Hier scheint aus meiner Sicht einfach die Firewall Regel nicht zu greifen.
Zeigt der Firewall Log irgendwas an? Du könntest auch mal als Source das OpenVPN_net Objekt auswählen, und nicht manuell das Subnetz.

Gruß
Jas

132

German - Deutsch / Re: opnsense anfaenger braucht unterstützung

« on: July 20, 2018, 07:29:40 am »

Wofür SSL zur NAS? Nutzt Du den VPN Server der NAS zum Verbinden mit mobilen Clients? Dann würde ich lieber den OpenVPN Server der OPNsense nehmen. Ist wesentlich sinnvoller die Verbindung da terminieren zu lassen.

@mimugmail: Die eingehende SSL Verbindung mit Endpunkt NAS würde ich aber wenigstens über den Proxy schicken, oder? So geNATted direkt ins LAN ist ja net so gut.

133

German - Deutsch / Re: OpenVPN Firewall-Regeln - welches Interface

« on: July 19, 2018, 07:40:34 am »

Eine generelle Frage: was ist denn der Unterschied zwischen den beiden Interfaces OpenVPN (was automatisch angelegt wird) und ovpns1 (was man zusätzlich assignen kann). Ich habe das bei mir auch schon gesehen, aber nicht assigned.

134

German - Deutsch / Re: opnsense anfaenger braucht unterstützung

« on: July 19, 2018, 07:10:06 am »

Hey,

hört sich soweit alles gut an. Wenn die Chance besteht, dass die NAS noch die alte 192.168.178.xxx Adresse fest eingetragen hat, würde ich erst mal danach schauen. Brauchst die ja nur wieder gemeinsam mit einem Client an die Fritz!Box zu hängen und dann auf DHCP stellen.

Die Weiterleitung in Deinem momentanem Konstrukt ist auch nicht schwierig. Du gibts dem WAN Interface der OPNsense eine feste IP im Netz der Fritz!Box (z.b. 192.168.178.5), und richtest dann auf der Fritz!Box unter Freigaben eine Portweiterleitung von Port 1-65535 auf die WAN IP der OPNsense ein.

Sobald der Vigor 130 im Einsatz ist, liegt die öffentliche IP direkt auf dem WAN Interface der Fritz!Box (vorausgesetzt Du nutzt dann PPPoE). Die Fritz!Box kannst Du dann auf ein separates Interface der OPNsense legen, falls verfügbar. Über das Interface kann der VoIP Verkehr an die Fritz!Box weitergeleitet werden.
Man kann die Fritz!Box aber auch mit ins normale LAN hängen. Stört ja nicht. Außerdem könntest Du sie dann auch als WLAN AP nutzen.
Gruß
Jas

Gruß
Jas

135

General Discussion / Re: Cannot Find Static IP Connected Devices?

« on: July 18, 2018, 02:00:51 pm »

There's also a plugin called os-arp-scan to identify all connected clients. It scans active your LAN for activ/known clients. The ARP table maybe incomplete when a client has not send/received data for some time.

Another workaround is to configure static leases in DHCP as dummy for those clients, which have static IP addresses configured.