Outbound NAT WAN to VPN

[matzeeg3]

Moin zusammen,

ich würde gerne einen Port über meine VPN an ein Ziel hinter dem VPN Tunnel senden.
Nun weil ich die default Route nicht übertragen möchte, möchte ich in Richtung VPN Tunnel Natten. Leider gestaltet sich das nicht ganz so einfach.

Wenn ich nu Outbound nat Einstelle welches Interface muss ich dann verwenden? DAS IPSEC oder das aus meiner RouteBased VPN? Momentan funtzt das NAT garnicht...
Leider

Danke und Gruß
Matze

[JeGr]

Könntest du das etwas genauer ausführen? Mir ist gerade nicht klar, was du von wo wie erreichen möchtest und welche Techniken (VPN) wo zum Einsatz kommen.

Gruß

[matzeeg3]

Folgendes:
Internetzugriff -> WAN:Portx -> VPN -> LAN PortX
Es gibt nur Routen zwischen OPNSENSE LAN und meinem LAN
Wenn nun ein Zugriff aus dem Internet erfolgt, dann müsste ich ja die Source auf die LAN IP der Sense umnatten.

das würde ich auch gerne zun, jedoch wird der Traffic von Extern gar nicht erst Richtung Tunnel geroutet er wird wieder nach WAN rausgesendet, folglich funtz mein Routing nicht.

Ich weiß jedoch nicht wie ich das Fixen soll. Sobald ich auf Routebased VPN umbau, habe ich nicht mehr das Problem das die Pakete nach WAN wollen, dann habe ich das Problem, dass die Pakete nichtmehr wissen ob sie Durch das Tunnel interface oder durch das ipsec interface sollen...

[JeGr]

Ich versuche es nochmal weil skizzieren nicht so wirklich dein Ding ist

Du möchtest also so ich das verstehe einen Zugriff auf deine WAN Adresse via Internet, bei dir annehmen auf Port X (bspw. 80) und das dann weiterleiten über (WAS für ein VPN!?) ein VPN an einen anderen Standort/Gerät in dessen LAN?

Bitte mal mehr Details sonst wird das nichts. Das mag alles für dich klar sein, aber für mich macht deine "Skizze" keinen Sinn.

[matzeeg3]

Ich mache es mal einfacher
hab da mal was Skizziert siehe Anhang

[JeGr]

Na damit kann man doch arbeiten

Also deine Public IP wird per bspw. 443 angesprochen und du willst den Zugriff dann per VPN an die Fortigate und das LAN dahinter schicken, was .111.x hat?

Ja das geht. Sauberes Routing von der IPSEC Verbindung abgesehen (also sauberes Netz zu Netz mit Regeln die den Zugriff erlauben). Wenn das der Fall ist, solltest du als NAT IP beim Port Forwarding einfach die IP im LAN der Fortigate eingeben können.
Zusätzlich müsstest du noch ein Outbound NAT auf dem IPSec Interface konfigurieren, dass alles was von "any" an die .111.x geht (also die Adresse wohin du forwardest), geNATtet wird auf eine spezifische Adresse. Wenn dein Site2Site mit der Fortigate zwischen deinem bspw. 192.168.123.x und ihrem 192.168.111.x ist, dann müsstest du auf eine Adresse umschreiben, die sie somit kennt, also eine .123.x'er - kann dann auch die LAN IP der OPNsense sein, dann müsste es IMHO gehen.

Grüße

[matzeeg3]

Genau das Versuche ich bereits, aber es klappt nicht. Im Log sehe ich dann immer nur, dass die Packete die auf die PIP gehen über WAN wieder raus wollen

[JeGr]

> Im Log sehe ich dann immer nur, dass die Packete die auf die PIP gehen über WAN wieder raus wollen

In welchem Log? Der Fortigate?

[matzeeg3]

ne live view von der opnsense

[JeGr]

> Im Log sehe ich dann immer nur, dass die Packete die auf die PIP gehen über WAN wieder raus wollen

Wenn du DAS auf der OPNsense siehst - was genau ist dann falsch? Die Pakete sollen ja vom

WAN -> genattet IPSEC -> Fortigate -> LAN

und dann müssen die natürlich auch wieder die Strecke zurück bei dir aus dem WAN?

[matzeeg3]

Bilder sagen mehr als Worte

[JeGr]

Also das was du zur Fortigate packen willst geht nicht dahin sondern ins WAN? Oder wie soll ich das verstehen?

Wie wärs mal die NAT Einstellungen für Forwards, Outbound und die Regeln zu posten Dann ist das auch kein Ratespiel mehr

[matzeeg3]

Aber klar du hast ja Recht

[JeGr]

Und was ist SSLVPN_IN? Und wo ist die Regel? Du musst mir nicht unbedingt den Edit-Screen zeigen, die tabellarische Liste täte es auch. Unten nutzt du außerdem SSL_VPN_PORT statt HTTPS. Ich würde da einfach "any" machen um sicher zu gehen. Regeln, Routen und VPN Phase 2 für die Netzeinstellungen wären auch hilfreich.

[matzeeg3]

So ich hab nun nochmal nen paar Bilder gemacht, ich hoffe ich hab diesmal nichts vergessen.