IPv6 OpenVPN 'hinter' OpnSense

[Stefan A.]

Hi,

ich habe lange gesucht, aber nichts passendes gefunden.

Ich bin ziemlich neu in IPv6 und OpnSense.

Ich habe derzeit einen Linksys Router an meinem Deutsche Glasfaser Anschluss und alles ist OK.
Da in meinem Netz immer mehr passiert, wollte ich eine Firewall nutzen.
Aufgesetzt, angeschlossen. OK.
Ich habe IPv4 und IPv6 am konfiguriert und nach aussen geht alles prima.

In meinem Netz habe ich einen OpenVPN Server, der (weil DG mir keine echte IPv4 gibt) per IPv6 von aussen angesprochen wird. Ich nutze UDP6.
Auf dem Linksys habe ich dazu einen Eintrag in der Firewall gemacht und alles lief OK.

Auf OpnSense kann ich rein und raus meinen OpnVPM Server pingen.
Der VPN client Aufbau kommt auch am OpenVPN Server an, die Antwort geht laut TCPDUMP auch aus dem OpenVPN Server raus, sie kommt aber nicht am VPN Client an.

Ich sehe im FW Log das Paket rein fliegen, ich sehe aber keines vom VPN Server zurück kommen... gescheige denn, das es geblockt werden würde, oder so..

Damit es rein geht, habe ich EINE Regel erstellt:
Floating, was an WAN rein kommt, UDP ist, darf ins LAN auf Port 1194

Wie gesagt, es kommt an, fliegt aber nicht.

2 Probleme:
1. wie sehe ich, was an der FW am LAN Interface rein kommt?
2. wenn das dort an käme, warum wird es nicht zum Client gesendet... oder geblockt?

Irgendwie schnalle ich das nicht, geht doch ICMP rein und raus...
 
Danke für einen kurzen Hinweis.

[Stefan A.]

Habe  noch weiter gesucht und herausgefunden, wie man auf dem OpnSense Packet tracen kann.

Nochmal der Aufbau:

VPN Client  ----->  FW ---->   VPN Server

Pakete kommen am Server an, werden beantwortet, und die Antworten sind im Packet Trace des VPN Servers enthalten.
Die Antworten sind aber nicht im Packet Trace der FW zu sehen.

Mache ich ein ping -6 vom VPN Server zum Client, sehe ich die Pakete den Server verlassen, auf der LAN Seite der FW ankommen, am WAN raus gehen und sie werden vom VPN Client beantwortet ...



Wo mache ich denn nun weiter?
Wie gesagt, wenn ich die FW durch den Linksys Router austausche geht alles sofort; von daher denke ich erstmal, dass mein VPN Server OK ist.

Jetzt fällt mir mein mangelndes IPv6 Wissen auf die Füße.
Woher weiß der VPN Server, auf welchem Weg er die Antwort senden soll? Woher sehe ich, welches Gateway er bei IPv6 nutzt?
Spielt das überhaupt eine Rolle, wenn iPING -6 Pakete von meinem OpenVPN Server zum Client Rechner funktioniert?

Habe ich ein Problem mit der prefix Länge? KP