Routing über 2 IPSEC Tunnel

[atom]

Ich bin neu in der OPNsense-Welt und stehe aktuell ein bisschen auf dem Schlauch.

Der Aufbau sieht so aus:

Router R1 <----IPsec tunnel---- > OPNsense R2 <---IPsec Tunnel ----> Lancom R3

Ich habe mehrere verschiedene Router R1 die Tunnel zu R2 haben. Zwischen R2 und R3 gibt es einen Policy-Based Tunnel mit mehreren Netzen (Phase2).
Jetzt sollen User hinter R3 auf Systeme hinter R1 Zugreifen können. Ich komme aber immer nur von R1 auf R2 oder von R3 auf R2.
Muss ich in "Firewall: Rules: IPsec" alle Kombination von möglichen Verbindungen die erlaubt sind konfigurieren oder Statische Routen definieren oder geht das ganz anders ?
 


 

[JeGr]

> Muss ich in "Firewall: Rules: IPsec" alle Kombination von möglichen Verbindungen die erlaubt sind konfigurieren oder Statische Routen definieren oder geht das ganz anders ?

Zuerst einmal Basic: Um von R3 nach R1 zu kommen, muss die Route zu R1 auch über die Verbindung R2/R3 gepusht werden. Sprich du brauchst ne zusätzliche Phase 2 (oder musst manuell routen, wenn dein Tunnel VTI nutzt), damit der Lancom auf der R3 Seite kapiert, dass du nach R1 willst und er das gefällgst in den Tunnel stopfen soll

Dann muss natürlich auf dem IPSEC Interface der Sense auch eingehend erlaubt sein, dass Traffic vom Netz R3 zu R1 will. Also Regeln checken ob das erlaubt ist. Und R1 hat dann das gleiche Problem wie R3: der muss ja die IP vom Netz von R3 des Clients kennen, sonst kann er die Antwortpakete ja nicht zurücksenden und weiß nicht, dass die in den Tunnel zu R2 müssen. Ergo auch hier eine Zusatzphase 2 oder Route per VTI hinzufügen.

Grüße
\jens

[atom]

Da es sich um mehrere Tunnel zwischen R1 und R2 handelt, würde ich die Tunnel von zwischen Lancom und OPNsense lieber auf VTI umstellen, als so viele Phase2-Einträge zu machen.
Wenn ich das richtig verstanden habe, dann werden bei VTI die Netze zwischen R2 und R3 nicht mehr geNATet, so dass der Lancom und der Sense die selben Netze nutzen. Richtig ?
Dann hätte ich zumindesten Zeitweise ein Multi-WAN Scenario, bis alle VPN-Tunnel, die aktuell von R1 direkt zum R3 gehen, auf R2 umgestellt sind.
Zur Eklärung: R2 steht im RZ und R3 ist über die DSL mit dem WAN verbunden.

tom

[JeGr]

> Wenn ich das richtig verstanden habe, dann werden bei VTI die Netze zwischen R2 und R3 nicht mehr geNATet, so dass der Lancom und der Sense die selben Netze nutzen. Richtig ?

Nein VTI hat mich NAT nichts zu tun. VTI nutzt wie OpenVPN ein Transfernetz und ein Pseudo Interface so dass man normal via System/Routing die Routen auf das VPN Gateway setzen kann statt dafür jedes Mal neue Phasen anzulegen oder den Tunnel zu editieren. Mit NAT hat das aber noch nichts zu tun.

[atom]

Wäre es dann -  in meinem Fall - sinnvoll auf beiden Seiten vom Transfernetz die identischen Netze nutzen oder macht das mehr Probleme ?

[JeGr]

> Wäre es dann -  in meinem Fall - sinnvoll auf beiden Seiten vom Transfernetz die identischen Netze nutzen oder macht das mehr Probleme ?

Das macht immer mehr Probleme! Bei VPNs ist es am Sinnvollsten wenn jedes lokale Netz eindeutig ist und nicht irgendwo anders mitgenutzt wird. Dann ist sauberes Routing möglich, andernfalls muss man mit NAT Krücken arbeiten was meist chaotisch wird.

[atom]

Ich habe jetzt den Tunnel zwischen R2 und R3 auf VTI umgestellt.
Da die Router R1 nicht in meinem Zugriff sind, würde ich gerne den Verkehr direkt weiterleiten wollen nach R3 ( und umgekehrt), bis alle Tunnel von R3 auf R2 umgezogen sind.
Kann man das nur mit Routing lösen ?