Probleme mit static routing

[Zoki]

Hallo,

ich habe Probleme mit dem statischen Routing, die ich mir nicht erklären kann. Vielleicht weiß ja hier jemand weiter.

Ausgangspunkt ist folgendes Netzwerk:

             WAN
               |
         +-----+-----+            +---------+
         | Firtzbox  |            |   Pi    |
         +-----+-----+            +----+----+
               | 192.168.7.1/24        | 192.168.7.24/24
               |                       |
-----+---------+-----------------------+------------+------------------
     |                                              |
     | 192.168.7.20                                 | 192.168.7.22
 +---+---+                                   +------+-------+
 |pfSense|                                   |   OPNsense   |
 +---+---+                                   +------+-------+
     |                                              | 192.168.1.0/24
     |                                              |
(multiple networks)                                 | 192.168.1.10/24
(-192.168.107.0/24)                          +------+------+
(-192.168.108.0/24)                          |     Pi2     |
(-192.168.109.0/24)                          +-------------+


Was ich erreichen möchte ist offensichtlich: Ich möchte ein Routing von den Netzen 192.168.10x.0/24 nach 192.168.1.0/24 und umgekehrt ermöglichen. Gleichzeitig einen Zugriff aus dem Internet aus den Netzen.

Die Probleme fangen aber schon vorher an. Ich kann von dem Pi weder einen ping auf 192.168.1.1, noch auf 192.168.1.10 erfolgreich ausführen. Im Firewall Log sehe ich aber das die Pakete durchgelassen werden (siehe Anhang).

Auf dem Pi ist folgende Routingtabelle vorhanden:
pi@pi:~ $ route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         192.168.7.1     0.0.0.0         UG    202    0        0 eth0
192.168.1.0     192.168.7.22    255.255.255.0   UG    0      0        0 eth0
192.168.7.0     0.0.0.0         255.255.255.0   U     202    0        0 eth0
192.168.107.0   192.168.7.20    255.255.255.0   UG    0      0        0 eth0
192.168.108.0   192.168.7.20    255.255.255.0   UG    0      0        0 eth0
192.168.109.0   192.168.7.20    255.255.255.0   UG    0      0        0 eth0
192.168.111.0   192.168.7.20    255.255.255.0   UG    0      0        0 eth0


Eingerichtet sind auf dem OPNsense Router die Gateways WAN_dhcp und pfSense.
Es sind Routen eingetragen nach 192.168.10x.0/24 über pfSense als Gateway

Unter Firewall -> Settings -Advanced sind
 - Disable force gateway und
 -  Static route filtering angekreuzt.


Ein Packet Capure am LAN Interface zeigt, dass die Pakete dort ankommen, nur zurück kommt nichts (Anhang 2).

Hat jemand eine Idee, wo ich weiter suchen kann?

Schon mal Danke vorab.
Stefan

[chemlud]

Wirklich

192.168.1.0/24

und

192.168.1.10/24

hinter der OPNsense?

Private Netze am WAN Interface sind erlaubt?

FWregeln am WAN der OPNsense scheinen ja Zugriff zu erlauben, aber die Regeln für WAN und LAN sowie oubount NAT müsste man schon mal sehen...

[Zoki]

Das  war ja schnell!

Hinter dem OPNsense ist das Netz 192.168.1.0/24, der Pi2 hat die Adresse 192.168.1.10.

Ein Capture auf dem WAN Interface scheint darauf hinzudeuten, dass der OPNsense die Pakete an die Fritzbox weiterleitet (siehe Anhang)

Regeln für LAN sind ganz normal:
- LAN net IPv4 und IPv6 an any erlaubt
- ICMP an Firewall aus LAN net erlaubt

Regeln für WAN der Einfachheit halber als Screenshot.

Outbound NAT hat nur die automatischen Regeln. (Warum sollte das hier treffen?)

Und zusätzlich noch Gateways und Routes als Anhang.

Stefan

[chemlud]

Ich würde auch erwarten, dass die OPNsense die Pakete für unbekannte Netze (= kein LAN) an ihr Gateway weiterreicht und diese damit bei der Fritzbox landen...

[Zoki]

Das verstehe ich jetzt nicht. Wenn ich vom Pi (192.168.7.24) eine ssh-Verbindung auf 192.168.1.10 aufbauen möchte, gehen die Pakte über den OPNsense an den Pi2, von dort an den OPNsense und von da an zur fritzbox, obwohl sowohl der WAN des OPNsense, als auch der Pi am Net 192.168.7.0/24 hängen.

Ein Ping vom OPNsense an den Pi (192.168.7.24) läuft wie erwartet, sowohl mit Source WAN als auch mit Source LAN.

Ein traceroute geht auch direkt:

# /usr/sbin/traceroute -w 2 -n  -m '18' -s '192.168.1.1'   '192.168.7.24'
traceroute to 192.168.7.24 (192.168.7.24) from 192.168.1.1, 18 hops max, 40 byte packets
 1  192.168.7.24  1.003 ms  0.792 ms  0.809 ms

[chemlud]

Pakete die du auf der OPNsense losschickst sind was anderes als Antwortpakete auf Pakete aus dem WANnet. Diese Antwortpakete schickt deine OPNsense an ihr Gateway, zur Fritzbox...

https://forum.opnsense.org/index.php?topic=15900.0

[Zoki]

Vorab schonmal Danke,

aber jetzt würde ich gerne wissen, wie ich mein Problem lösen kann.

Ich bin ja hoffentlich nicht der einzige, der im Netz auf WAN Seite einen Rechner hängen hat, der mit einem Rechner hinter der OPNsense sprechen soll.

Eine Route in 192.168.7.0/24 mit Gateway OPNsense wird es ja nicht sein.

Hier verhält sich der OPNsense vollkommen anders als der parallel dazu hängende pfSense. Der verhält sich so wie erwartet. Ein ssh 192.168.109.5 auf dem pi funktioniert, wie es soll.

Schönen Abend
Stefan

[chemlud]

...lies mal in dem verlinkten Thread in meinem letzten Post...

[Zoki]

Vielen Dank nochmal,

die reply-to Optionen habe ich jetzt sowohl auf der In Rule, als auch global ausgeschaltet, aber komme trotzdem noch nicht weiter.
Ich lese nochmal genauer durch, bis ich es verstanden habe.

Stefan

[chemlud]

...ggf. einen reboot probieren...

Und ich würde in der WAN-Regel 192.168.7.0/24 durch "WANnet" (im drop down menu) und 192.168.1.1/24 durch "LANnet" ersetzen.

[Zoki]

So, das hat jetzt geholfen.

Das ist wirklich ein unerwartetes verhalten.

Vielen Dank
Stefan