Open VPN Client erreicht IPSEC Tunnel nicht

[lapidu]

Hallo zusammen,

ich greife über mein Handy mit OpenVPN auf die OPNSense zu. Ich komme auch ohne Probleme auf die lokalen Netze.

Gibt es eine Möglichkeit auf das Netz zu kommen das per IPsec VPN verbunden ist?

Danke.

[Monviech]

Hallo,

du musst mit statischen Routen und Firewall Regeln arbeiten.

Hinweg von OpenVPN zu IPsec:

Dem OpenVPN Client muss du vom OpenVPN Server mit der "push route" Option die Route in das IPsec Netz übergeben.

Dadurch kommen dann Pakete von deinem Handy, die als Destination Adress das IPsec Netz haben bei der OPNsense Firewall am OpenVPN Interface an. Hier wird eine Firewall Regel benötigt, die die Pakete von OpenVPN nach IPsec zulässt.

Die Opnsense Routet die Pakete dann durch die lokale Route in den IPsec Tunnel. Sie kommen beim Router der Gegenstelle an, welche die Pakete an das Zielgerät (z.B. RDP Protokoll an einen Windows PC) sendet. Auch hier kann eine Firewall Regel nötig sein, die das Paket erlaubt.

Rückweg von IPsec zu OpenVPN:

Der Client schickt jetzt ein Antwortpaket an das Default Gateway, also den Router an dem das IPsec Paket angekommen ist.

Das Antwortpaket benötigt jetzt auf diesem Router die Route zum OpenVPN Netzwerk zurück. Das Paket soll wenn es das Openvpn Netzwerk sucht, als nächsten Hop die Opnsense nehmen.

Dort trifft das Paket auf dem OpenVPN Interface ein. Die Opnsense schickt es durch die lokale Route weiter in das IPsec Interface. In der Opnsense ist eine Firewall Regel auf dem OpenVPN Interface nötig, die dieses Paket in das Ipsec Netz. zulässt, falls von beiden Seiten Sessions initiiert werden können sollen.

Das Paket kommt jetzt an deinem Handy an. Der TCP Handshake kann erfolgen und deine Session steht.

[lapidu]

Hallo Monviech,

vielen Dank für deine Antwort.

im OpenVPN Server habe ich folgendes hinzugefügt:


folgende Firewall Regel war schon automatisch erstellt



Auf der Fritzbox ( IPsec Gegenstelle ) habe ich folgendes in das config File hinzugefügt:

accesslist = "permit ip any 192.168.1.0 255.255.255.0",
              "permit ip any 172.22.32.0 255.255.255.0";

Die 172.22.32.0 ist das OpenVPN Netz

Leider funktioniert das nicht so.

[Monviech]

Jetzt müsstest du mithilfe von Tools wie TCP Dump, Wireshark oder einem anderen Packet Capture Tool die Pakete verfolgen. Und zwar an welcher Stelle sie nicht mehr weiterkommen.

Daraufhin kann man an der Stelle dann die Firewall bzw. Routingtabelle richtig einstellen.

Schaue dir an ob auf dem Client im IPsec Netz ein SYN Paket von deinem Handy Client ankommt oder nicht, und ob vielleicht das SYN ACK Paket nicht zurückkommt.

Auf der Opnsense in der Shell kannst du TCPdump benutzen um Pakete anzeigen zu lassen die auf Interfaces ankommen.