OpenVPN Site-to-Site Howto?

[Fremulon]

Hallo zusammen

Kann mir jemand ein Howto zeigen, wie ich mit OpenVPN eine Site-to-Site Verbindung einrichten kann?

Gegeben sind:
- Standort A 192.168.40.0/24, soll OpenVPN Server sein
- Standort B 192.168.254.0/29, soll OpenVPN Client sein
- Standort C 192.168.254.8/29, soll OpenVPN Client sein

Ziel ist es, dass ich von Standort A auf die IP Adressen in Standort B und C zugreifen kann. Ich geb's auf, dies mit IPsec zu realisieren, weil ich die Remote IP Adressen von den Standorten B und C nicht kenne.

Vielen Dank

[lfirewall1243]

Hi,

ist eigentlich recht schnell gemacht.
Ich habe es aber so eingerichtet, das jeder Standort mit jedem Verbunden ist, der Hauptstandort mal ausfallen sollte und um dessen Performance zu schonen.

Ist auch hier ganz gut beschrieben
https://docs.opnsense.org/manual/how-tos/sslvpn_s2s.html

[Fremulon]

Also der OpenVPN Aufbau hat soweit geklappt und ich kommt auf den gegenüberliegenden Weidmüller Router mittels der Tunnel IP (10.10.55.2) - aber aktuell komme ich nicht auf das Netz dahinter.

Ich vermute, ich muss noch was routen technisch machen?

[JeGr]

> Ich vermute, ich muss noch was routen technisch machen?

Eigentlich nur dann, wenn du im Setup vergessen hättest auf beiden Seiten das jeweils gegenüberliegende (also entfernte) LAN unter "remote network" einzutragen. Das sollte dafür sorgen, dass das remote Netz in der Routing Tabelle drinsteht. Ansonsten schau dir deine Routing Tabelle an und denke auch daran, dass du Firewall Regeln auf beiden Seiten für "eingehenden!" Traffic brauchst.

[Fremulon]

Eigentlich nur dann, wenn du im Setup vergessen hättest auf beiden Seiten das jeweils gegenüberliegende (also entfernte) LAN unter "remote network" einzutragen. Das sollte dafür sorgen, dass das remote Netz in der Routing Tabelle drinsteht. Ansonsten schau dir deine Routing Tabelle an und denke auch daran, dass du Firewall Regeln auf beiden Seiten für "eingehenden!" Traffic brauchst.

Dann glaube ich, dass ich das bei der Weidmüller FW anders machen muss. Denn Zitat Webinterface von denen "there are iroute entries required in the OpenVPN server configuration" - wenn man den tun adapter verwendet. Deren OpenVPN sehe ich aktuell eher als klassische Client Lösung an, damit ich von fern auf die lokale Umgebung kommen kann, ich benötige aber genau das Gegenteil.

[JeGr]

Da keiner* hier eine Weidmüller FW kennt, wäre ein bisschen mehr Info von dem Miststück hilfreich um irgendwie bewerten zu können, was schief läuft ;) In 99% der Fälle ist es nicht die Sense die schuld ist. :)

Grüße

*(tatsächliche Zahlen könnten abweichen, ändert aber an der Aussage nichts)

[micneu]

Eigentlich nur dann, wenn du im Setup vergessen hättest auf beiden Seiten das jeweils gegenüberliegende (also entfernte) LAN unter "remote network" einzutragen. Das sollte dafür sorgen, dass das remote Netz in der Routing Tabelle drinsteht. Ansonsten schau dir deine Routing Tabelle an und denke auch daran, dass du Firewall Regeln auf beiden Seiten für "eingehenden!" Traffic brauchst.

Dann glaube ich, dass ich das bei der Weidmüller FW anders machen muss. Denn Zitat Webinterface von denen "there are iroute entries required in the OpenVPN server configuration" - wenn man den tun adapter verwendet. Deren OpenVPN sehe ich aktuell eher als klassische Client Lösung an, damit ich von fern auf die lokale Umgebung kommen kann, ich benötige aber genau das Gegenteil.

kannst du bitte mal einen screenshot der weboberfläche posten, das hatte ich schon bei einigen posts von dir gefragt, danke

[Fremulon]

Hier https://forum.opnsense.org/index.php?topic=14243.msg65780#msg65780

[micneu]

Aber da geht es doch im Titel um ipsec?


Gesendet von iPhone mit Tapatalk Pro

[Fremulon]

Ja stimmt, ist ein bisschen aus dem Ruder gelaufen...  :o
Mittlerweile geht es eigentlich um Site-to-Site VPN mit Weidmüller FW - IPsec ist der komplett falsche Ansatz, da ich immer eine Unbekannte Gegenseite habe. Ich muss nachher mal kurz die Titel anpassen, hab's eben selber auch gemerkt. Sorry.

[JeGr]

Vor allem sollte das angepasst werden, weil du lesen willst, wie das geht. Du kannst es aber gar nicht so umsetzen wie ich es vorschlagen würde, weil du an deine Hardware Büchsen gebunden bist. Ergo bringt auch der Thread nicht wirklich viel.

Umsetzen würde ich das mit SharedKey OVPN Tunneln. Damit hätte ich das in ner halben Stunde bis Stunde betriebsbereit.