WAN / PrivateVPN Trennung VLANs

[the_chuckyyy]

Hallo zusammen,
wie ich finde, ist das hier ein tolles Forum wo aktiv geholfen wird und nicht ständig dieses "warum machst du es nicht anders, weil so ist besser...." (facebook-Gerede) möchte ich ein weiteres (einfaches?) Anliegen an euch richten bei dem ich nicht weiterkomme.

Meine Anforderungen sind einfach:

Ich habe einen VPN Zugang zu hide.me.

Anstatt den gesamten WAN Traffic darüber zu leiten, würde ich gerne nur bestimmte Netze/VLANs/Clients darüber routen (hide.me-IP nach draußen).
Ich glaube, ich scheitere an der Gateway-Behandlung in der Sense.

Der Rest soll über den 0-8-15-Telekom Anschluss (Telekom IP nach draußen) gehen.

Ich habe es mit etlichen Konstellationen in den "NAT-Outbound" Regeln versucht doch kein Erfolg.
Ich habe entweder ALLE über hide.me oder ALLE über Telekom.

Hat das Szenario jemand umgesetzt? Habe auch die Suche bemüht aber kein passendes Thema gefunden.

Hier ein Schaubild. Ich stelle den Telekom-WAN als grünen "Kanal" dar und den hide.me-VPN-Zugang als roten "Kanal" welcher innerhalb des grünen aufgebaut wird.
In grün sollen ein paar VLANs laufen und im roten "Kanal" soll ein VLAN/Subnet laufen.

Skizze:


Danke euch bereits für eure Tipps und Anregungen!

[Patrick M. Hausen]

Du kannst auf der eingehenden (im einfachsten Fall "permit all") Regel für dein VLAN explizit einen Gateway setzen. Sogenanntes policy routing.

[Ketanest]

Wie pmhausen schon gesagt hat: Policy Based Routing.
Bei ganzen Netzen einfach bei der betreffenden Regel ziemlich weit unten das Gateway (hide.me) auswählen.
Wenn du nur einzelne Clients aus einem Netz über VPN schicken willst, musst du eine zusätzliche Regel bauen mit dem hide.me Gateway, die muss dann auch VOR der "allgemeinen" Internet-Regel stehen, sonst greift die allgemeine und damit landet der Traffic bei der Telekom.
Bei den Gateways sollte die Prio des primären Gateways (ich nehme an Telekom) niedriger sein, damit das eben primär benutzt wird.

Gruß
Ketanest

[the_chuckyyy]

Jap, so hat es geklappt - danke euch!
Was mich aber zunächst noch verwirrt hat: obwohl ich eine "Permit all" Regel gesetzt habe wo lediglich das Gateway geändert war (auf hide.me) war der Zugriff auf den DNS der OPNsense dann nicht mehr möglich. Ich habe dann eine weitere DNS Regel darüber gestellt die es dann wieder ermöglicht hat.  <<--- das gilt für mein Admin-Netz.

Das Bild zeigt mein Gastnetz. Da war die DNS Regel natürlich sowieso nötig. Hier gibt es keine "permit all" Regel.
Man darf überall hin außer in die privaten Netze (die daneben liegen wie Admin,Home, DMZ, etc.) aber auch nur über bestimmte Ports und über ein bestimmte WAN.

Danke euch soweit!!!!!!