IPSec Site to Site - Outgoing IP

[almo]

Hallo Zusammen,

meine OPNsense solle einen Site to Site Tunnel aufbauen. Und ich würde gerne ausgehend von dieser OPNsense eine andere IP Adresse aus meinem /24 Netz im RZ verwenden wollen.

Wie stelle ich das am Besten an? Ausgehende NAT Regel die nur für die FW bei IPSec greift?

[banym]

Virtuelle IP und die entsprechende Phase1 auf dieses virtuelle Interface binden führt für dich nicht zum Ziel?

[almo]

Ah Cool, neine soweit war ich noch nicht ich wollte das vorher abklären bevor ich mich in etwas stürze was gar nicht funktionieren würde.

[banym]

Ich hab es schon ein paar mal vor längerer Zeit konfiguriert, aber jetzt gerade nicht im Kopf ob noch eine Outbound -NAT-Rule notwendig wird. Sollte also auf der anderen Seite die Falsche IP ankommen entsprechend noch schauen, eine Outbound-NAT Rule zu setzen.

Würde es aber erstmal mit der Interface-Konfiguration probieren.

[JeGr]

> meine OPNsense solle einen Site to Site Tunnel aufbauen. Und ich würde gerne ausgehend von dieser OPNsense eine andere IP Adresse aus meinem /24 Netz im RZ verwenden wollen.

Ich tu' mir mit dem Satz etwas schwer vom Verständnis. Kannst du da ein Beispiel für geben, was genau du versuchst zu erreichen (und vielleicht warum)?

Grüße

[almo]

> meine OPNsense solle einen Site to Site Tunnel aufbauen. Und ich würde gerne ausgehend von dieser OPNsense eine andere IP Adresse aus meinem /24 Netz im RZ verwenden wollen.

Ich tu' mir mit dem Satz etwas schwer vom Verständnis. Kannst du da ein Beispiel für geben, was genau du versuchst zu erreichen (und vielleicht warum)?

Grüße

Ich hab ein ganzes Netzwerk mit 129.x.x.x IP Adressen im RZ. Mein Traffic allgemein outoing http oder https von ja updates und co. geht über die 129.x.x.240 raus. Beim VPN hätte ich es dann gerne so das ich mich mit der 129.x.x.250 bei der gegen stelle melde. Und nicht über die .240

[JeGr]

Aaaah, sorry das hätte ich aus dem Satz da so gerade gar nicht erkannt :D Danke dafür!

Man wird eben alt ;) Ja dann sollte der Hinweis von @banym völlig ausreichend funktionieren. Sofern du keinen Cluster hast, sollte es genug sein, eine Typ Alias-IP mit der .250 aufs WAN zu werfen und bei den IPsec P1 Settings nicht das WAN, sondern die neue AliasIP als "Interface" auszuwählen, damit dann abgehend die 250 verwendet wird.  :)