OPNsense als OpenVPN-Client

[MichaelR]

Hallo zusammen,

ich schlage mich im Moment mit einer nicht funktionierenden Konfiguration herum:

Gegenseite ist eine Debian-basierende Firewall, die einen OpenVPN-Server bereitstellt - hier habe ich keine Einflussmöglichkeiten. Dieser stellt drei freigegebene IP-Adressen bereit (192.168.32.X) über ein virtuelles Netz (10.250.X.X).

Auf unserer Opnsense ist ein OpenVPN-Client aktiviert - der Verbindungsaufbau klappt ordnungsgemäß und der Tunnel steht.

Das Problem ist jedoch, dass ich aus unserem internen Netz nicht auf die externen IPs zugreifen kann - scheinbar klappt das Routing nicht.

Firewall-Regel LAN:

IPv4+6 *   OpenVPN Netzwerk   *   *   *   *      LAN REGEL: OpenVPN nach LAN


Firewall-Regel WAN:

IPv4 TCP/UDP   *   *   WAN Netzwerk   4516   *      OpenVPN Client

(Port 4516 ist der abweichende OpenVPN-Port)

Habe ich hier irgend etwas übersehen?

Viele Grüße
Michael

[chemlud]

Wenn der VPNserver auf der Gegenseite läuft brauchst du keine Regel auf WAN.

Im LAN brauchst du eine Firewallregel, die die IPs auf der anderen Seite des Netzwerks (als TARGET, nicht als SOURCE) erlaubt.

Wie sehen denn die Firewallregeln auf dem openVPN-Tab aus?

[MichaelR]

Hallo,

ich habe hier eine Standard-Regel, die für alle eingerichteten VPN-Verbindungen Gültigkeit hat:

IPv4 *   *   *   *   *   *      OpenVPN

[chemlud]

LAN? WAN? :-)

[MichaelR]

Das ist die Regel im OpenVPN-Tab...

[chemlud]

LAN? WAN? :-)

[MichaelR]

 ???
Ich verstehe die Frage nicht...

Die WAN und LAN Regeln habe ich im ersten Post bereits beschrieben...

Oder was meint Ihr?

Viele Grüße
Michael

[chemlud]

JAa aber so wie ich sie sehe sind die falsch. Also poste doch einfach mal, was da wirklich in der GUI steht.

Nochmal: Für einen openVPN CLIENT braucht es keine Regeln auf WAN. Du hast ein grundsätzliches Missverstandnis, wie die Regeln funktionieren, glaube ich... ;-)

[MichaelR]

Hallo,

nun klappt es. Mir fehlte tatsächlich das Gateway.

Viele Grüße und Danke

Michael

[chemlud]

Ich habe diverse openVPN Tunnel mit server-client configuration. Ein Gateway hat's dafür noch nie gebraucht...

[JeGr]

> Ein Gateway hat's dafür noch nie gebraucht...

Hängt immer davon ab ob es Site2Site mit sauberen Rückrouten oder Remote Access ist. Wenn er Policy-Based-Rules macht, ist das Gateway schon die richtige Fehlerquelle. Allerdings stimme ich dir absolut zu, dass es da noch Denkfehler bei der Funktion gibt, was WAN und OVPN Interface angehen. Wenn ihr nur intern von euch auf die 3 freigegebenen IPs zugreifen müsst, diese aber NICHT zu euch, dann ist es völlig unnötig auf dem OVPN Interface irgendwas freizugeben - ansonsten gibst du der Gegenseite (wenn diese Routen hat) die völlige Freiheit auf dein lokales Netz - sicherheitsrelevant und ggf. gefährlich!

Gruß