Messages

1

German - Deutsch / Re: Site2Site mit OpenVPN

« on: November 09, 2024, 10:34:33 pm »

Hi,
ja, es gibt eine Anleitung, die den Beispielen im Internet gleich ist. Damit funktioniert es bei mir nicht. Client override ist nur für SSL/TLS. Wenn man Preshared Key macht, dann scheinbar nicht. Deciso schreibt:

"When using the site to site example with SSL/TLS instead of a shared key, make sure to configure “client specific overrides” as well to correctly bind the remote networks to the correct client."

Gruß
Christoph

2

German - Deutsch / Site2Site mit OpenVPN

« on: November 09, 2024, 06:38:19 pm »

Hallo Forum,

ich habe im Büro eine OPNsense an einem DSL-Anschluss einem mit Vigor 165 laufen. Der Anschluss hat eine feste externe IP und die OPNsense wählt sich per PPPoE selbst ein.

Ich möchte nun zu Hause eine OPNsense in Betrieb nehmen, um die beiden Netze zu verbinden. Zu Hause habe ich einen Glasfaseranschluß mit Glasfasermodem, an welchem die OPNsense ebenfalls eine direkte Einwahl macht. Zu Hause habe ich ebenfalls eine feste externe IP. Die OPNsense wählt sich per PPPoE ein.

Beide OPNsense wählen sich ein und ich kann jeweils auf beiden Seiten im internen Netz surfen. Die öffentlichen festen IPs werden in der OPNsense auch angezeigt.

Nun gibt es ja viele Anleitungen im Internet für die Verbindung untereinander.

Ich habe im Büro das Netz 10.0.10.0/24 und zu Hause das Netz 10.10.10.0/24. Als Tunnelnetz habe ich das 10.0.100.0/24 ausgesucht. Die Sense im Büro soll der Server sein und die Sense zu Hause der Client.

Ich habe also im Büro den OpenVPN-Server eingerichtet und zu Hause einen OpenVPN-Client. Beides im Legacy-Modus. auf der Server-Sense zusätzlich 2 FW-Regeln. Die eine Regel, dass die Anfragen am WAN-Interface auf Port 1195 durchgelassen werden und die zweite Regel, dass auf dem OpenVPN-Interface die Pakete ins Firmen-LAN dürfen.

Zu Hause nur die eine Regel, dass die Pakete auf dem OpenVPN-Interface in das Zuhause-LAN dürfen.

NAT steht auf beiden Seiten auf "Automatic outbound NAT".

Nun die Problematik: Der Tunnel wird aufgebaut. Das kann ich unter "Connection Status" bei beiden Seiten sehen. Auf beiden Seiten steht "connected". Aber mehr funktioniert nicht. Pings aus dem Heimnetz auf einen Server im Büro geben 100% loss. Eine RDP-Anfrage von zu Hause auf meinen Temrinalserver im Büro scheitert ebenfalls.

Was muss ich denn noch zusätzlich einstellen, dass ich in beide Richtungen auf die Ressourcen zugreifen kann?

Wie zuvor beschrieben, sind das de Einstellungen bei vielen Anleitungen, die man googelt. Eigentlich immer gleich. Leider funktioniert das so nicht. Als würde noch irgendwas fehlen.

Ich freue mich über zahlreiche Antworten :-). Vielen Dank im Voraus.

Viele Grüße
Christoph

3

German - Deutsch / Re: Testnetz parallel zum LAN

« on: July 23, 2024, 11:56:24 pm »

Jo, wenn man darüber nachdenkt, wird da ein Schuh draus :-). Vielen Dank für den entscheidenden Hinweis.

Gruß
Christoph

4

German - Deutsch / Re: Testnetz parallel zum LAN

« on: July 22, 2024, 05:06:51 pm »

Jo, das war's nun klappts. Vielen Dank.

Magst Du mir kurz erklären, wofür das gut ist :-).

Ich habe den Eintrag nochmal rangehängt. So meintest Du das doch, oder?

5

German - Deutsch / Re: Testnetz parallel zum LAN

« on: July 22, 2024, 04:06:32 pm »

Hi,
das steht in der LAN-Regel auf "Default". Das WebGui der Test-OPNsense lauscht auf "All".
Wenn ich ein Traceroute aus dem LAN-Netz zu einem Gerät aus dem Test-Netz mache, dann sehe ich noch die IP des Ports des LAN-Netzes und dann ein Timeout. Es wird also garnicht erst geroutet.

Wenn ich ein Traceroute vom Testnetz ins LAN-Netz mache, dann löst er komplett auf.

Hier noch ein Screenshot der Gateway-Einstellungen der LAN-Regel.

6

German - Deutsch / Re: Testnetz parallel zum LAN

« on: July 21, 2024, 10:24:53 am »

Es ist nur der LAN-Anschluss im Testnetz angeschlossen. Wenn ich das GUI aufrufe, dann sollte es auch antworten. Ist doch egal, ob es ein Router ist oder nicht.

Mir gehts darum, daß ich OPNsense für Kunden vorbereiten kann und dieses aus meinem LAN. Das Testnetz wird dann immer auf das vorhandene Kundennetz eingestellt. So der Plan … :-)

7

German - Deutsch / Re: Testnetz parallel zum LAN

« on: July 20, 2024, 08:39:06 pm »

Der Witz:
Aus dem Testnetz kann ich auf Geräte im LAN zugreifen. Andersrum (LAN auf Testnetz) nicht. Das Gerät im Testnetz ist eine Test-OPNsense, die mit
Dem LAN-Bein im Testnetz hängt. Den Port habe ich auf 4444 stehen. Ich schaue nochmal,
auf welches LAN das Webinterface hören darf. Vielleicht ist da noch das Problem…

8

German - Deutsch / Re: Testnetz parallel zum LAN

« on: July 19, 2024, 09:57:18 pm »

Hi,
hier die Regeln aus dem LAN und aus dem Testnetz:

9

German - Deutsch / Testnetz parallel zum LAN

« on: July 18, 2024, 10:01:30 pm »

Hallo Forum,
ich habe eine OPNsense mit dem WAN-Port an einem Draytek 165 und mache PPPoE. Das LAN-Netz lautet 10.0.10.0/24 und der physikalische LAN-Port hat die 10.0.10.1.

Ich möchte nun an einem weiteren physikalischen Port ein Testnetz bereitstellen. Das Testnetz soll z.B. 192.168.1.0/24 lauten und der Port soll die 192.168.1.254 bekommen.

Ich möchte nun aus meinem LAN-Netz auf ein am Testnetz-Port angeschlossenes Gerät mit der IP 192.168.1.1 zugreifen.

Ich habe für das Testnetz die gleiche Firewall-Rule aufgestellt wie sie standardmäßig beim LAN vorhanden ist. Also die Regel, daß alles nach draußen erlaubt ist.
Des weiteren habe ich das Testnetz noch in den Unbound-DNS eingetragen, damit die Auflösung auch im Testnetz klappt. Eine NAT-Regel für den Verkehr ins Internet gibt es auch.

Ich habe mal gelernt, daß die Netze standardmäßig alle aufeinander zugreifen können.

Nun kann ich aber aus meinem LAN nicht auf das Gerät im Testnetz zugreifen. Was fehlt denn noch?

Gruß
Christoph

10

German - Deutsch / Re: Firefox und HAProxy

« on: July 05, 2024, 02:34:02 pm »

Hi,

joop, exakt das war's. Habe OCSP gemäß dem ersten Link deaktiviert und nun klappt's.

Vielen Dank und schönes Wochenende...

Gruß
Christoph

11

German - Deutsch / Firefox und HAProxy

« on: July 05, 2024, 06:24:04 am »

Hallo Forum,

ich habe den HAProxy nach dem Tutorial von "The HellSite" eingerichtet und so u.a. einen Exchange-Server und ein Synology NAS von aussen zugänglich zu machen.

Per ACME beziehe ich für diese Subdomain ein LE-Zertifikat.

Während beispielsweise der Zugriff per OWA und per Mobilgeräten super funktioniert, bekomme ich beim Zugriff auf die Subdomain, die mit dem NAS verknüpft ist, einen Zugriffsfehler.

Aber: Das Ganze passiert nur bei Firefox. Wenn ich Chrome, Edge und sogar Safari vom iPhone verwende, klappt das. Firefox bringt folgende Fehlermeldung (siehe Anhang). Das Zertifikat wird bei allen Browsern, außer bei Firefox, als gültig angezeigt.

Ich habe die Sicherheitseinstellungen von Firefox schon zurückgesetzt, bringt aber nichts.

Habt Ihr eine Erklärung?

12

German - Deutsch / Re: Vorher erstellte Config von HA Proxy in andere OPNsense einspielen

« on: June 29, 2024, 11:37:50 pm »

Danke, das hat funktioniert.

13

German - Deutsch / Vorher erstellte Config von HA Proxy in andere OPNsense einspielen

« on: June 28, 2024, 06:25:00 am »

Hallo Forum,
wir ziehen gerade alle unsere SOPHOS-Kunden zu OPNsense um. Einige haben einen Exchange-Server On Premise und daher muß hier z.B. HAProxy eingerichtet werden.

Da über die GUI unter Services/HAProxy/Config Export die Konfiguration exportieren kann, habe ich mir eine Standard-Vorlage gebaut und diese exportiert.

Auf der anderen OPNsense gibt es allerdings keine Möglichkeit diese einzulesen. Daher habe ich die exportierte haproxy.conf per ftp in das Verzeichnis /usr/local/etc kopiert und die OPNsense neu gestartet.

Komischerweise sind die Einstellungen alle "leer" und der Dienst lässt sich nicht mehr starten, da er in der Liste der Dienste (Dashboard) nicht mehr auftaucht.

Weiß einer, wie ich das bewerkstelligen kann? Das Konfigurieren einer jeden OPNsense des Kunden wäre sehr zeitaufwendig.

Besten Dank im Voraus.

Gruß
Christoph

14

German - Deutsch / DNS-Einstellungen und Gateways

« on: June 16, 2024, 06:34:40 pm »

Hi Forum,

unter System/Einstellungen/Allgemein kann man untereinander ja diverse DNS-Server eintragen. Daneben dann das jeweilige Gateway.

Wenn man bei Gateway nichts einträgt, wird dann auch nichts verwendet oder wird dann das Standard-Gateway bzw. das Upstream-Gateway verwendet?

Meines Erachtens ist diese Einstellung doch nur sinnvoll bei Multi-WAN, oder?

Gruß
Christoph

15

German - Deutsch / Re: Einem VLAN nur Zugriff ins Internet erlauben

« on: May 31, 2024, 11:08:01 am »

Cool, funktioniert. Hatte das ähnlich, aber lediglich von der Reihenfolge andersrum :-).

Schönes WE...