Freeradius LDAP: LAN interfce anstatt WAN? (NAT?)

[c-mu]

Hallo,
ich möchte auf einer Remote OPNSense instanz einen Freeradius Server installieren, der seine LDAP Anfragen via VPN an meinen Standort stellt.

Bei FreeRadius gebe ich also meine IP vom LDAP Server ein. Der Dienst startet aber nicht, da sein Default inferface (WAN) die ZielIP nicht erreichen kann.

Ich habe dann versucht mit eine NAT Rule (outbound) zu bauen:

Interface: WAN
Source: WAN Address
Source Port: *
Destination: LDAP-IP/32
Destination Port: *
NAT Address: LAN
NAT Port: *
Static Port: NO

In meinem Log sehe ich nun auch, dass das WAN Interface mit der LAN IP versucht den Server zu erreichen, es wird also richtig genattet. Geht aber ja immer noch nicht, weil er nachwievor das WAN interface nutzt.

Wenn mit einem Port Probe mit der LAN Address den LDAP Server zu erreichen, funktioniert das, der VPN Tunnel ist korrekt installiert.

Also:
hat jemand eine Idee, wie ich Freeradius erzwingen kann, dass er das LAN Interface zu nutzen hat?
Danke!

[mimugmail]

Du kannst die WAN-IP mit /32 als zusätzliche IPSec SA mit aufnehmen, dann wird das in den Tunnel geschoben.

[c-mu]

Danke,
das ist die Lösung! Auf die Idee wäre ich auch gar nicht gekommen, weil ich so auf NAT fixiert war. Wieder was gelernt!

[markusd]

Hallo zusammen,
darf ich hier noch mal nachhaken?
Des Rätsels Lösung war, nur die "eigene" WAN-IP mit /32 als zusätzliche IPSec SA bei der Tunneleinrichtung mit aufzunehmen?
Nur "Client-seitig"?
Oder benötigt man zusätzlich die besagten Nat-Regeln?
Sorry, aber ich konnte das hier nicht erfolgreich nachvollziehen...
(ähnliches Szenario: LDAP-Anfrage durch den Tunnel, allerdings clientseitig mit dynamischer IP)

Danke und Gruß!

Markus

[mimugmail]

Kein NAT, remote network ist dann das LAN vom LDAP server

[markusd]

Kein NAT, OK
heisst:
-das alles in den Tunnel geschoben wird?
-man noch irgendwelche FW-Regeln benötigt, die das dann erlauben?
-es mit ner dyn. IP aufwendig wird?

[mimugmail]

Dynamische IP sehe ich sehr schlechte Chancen. Dann nimmst du lieber OpenVPN, vielleicht gehts damit besser.

[markusd]

Jo, mal sehen...
Danke!

[cdn]

Ich würde das Thema gerade nochmal aufgreifen, da ich vor einem ähnlichen Problem stehe:

Der LDAP-Server ist via openVPN angebunden. Die Anfragen gehen aber leider nicht über diese openVPN-Verbindung raus. Wie bringe ich dem Freeradius bei, dass dieser bitte über die VPN-Verbindung rausgeht? Routen sehen alle korrekt aus.

[mimugmail]

Bei OpenVPN ist das kein Problem,braucht auch kein NAT. Es muss nur die Route da sein

[cdn]

Ja genau das hat aber leider nicht funktioniert, da die Absender IP dann die des Tunnelnetzwerkes ist, wodurch der Radius Server nicht den LDAP Server erreichen konnte. Habe jetzt aber eine Outbound NAT Regel erstellt, damit funktioniert es dann.

Zur Authentifizierung bei der WPA2 Enterprise Verschlüsselung auf den UniFi APs hat's dann leider doch nicht gereicht. Das klappt einfach nicht und ich finde im Internet leider auch kein Tutorial, welche Einstellungen man am besten im Radiusserver wählt.
Die Werte hast du nicht zufällig? :-)

[mimugmail]

Nein, einfach die NPS Rolle auf den DC oder sonst ein Server und dann macht Windows den Radius, dann geht's

[cdn]

Alles klar, ich habs mir fast gedacht :-)