[gelöst]Per Wireguard Client auf entferntes per IPsec angebundene Netzezugreifen

[gubbedi]

Hallo,

ich habe einen Wireguard Server eingerichtet und der Wireguard Client kann auch auf alle Interface der OPNsense zugreifen.
In der OPNsense sind auch noch IPsec Tunnel in weitere andere entfernte Netze eingerichtet und ich würde gerne mit dem Wireguard Client über den Anschluss auch auf die entfernten IPsec Netze zugreifen.

Wie geht das?
Ich habe in div. Interfaces schon any any regeln angelegt um vielleicht die Ursache zu finden, aber die Erreichbarkeit ist nicht gegeben.
Wieso möchte ich das, um nur eine Wireguard konfig für alle Netzte zu haben, auch wenn die Verbindung dann über mehrere Anschlüsse hinweg geleitet wird.

Ich habe ein GLnet Router ebenfalls mit Wireguard Sever hinter eine Fritzbox gehängt ohne jegliche weitere Firewall regeln bis auf den Wireguard Port und dort kam ich auf anhieb auf alle entfernten IPsec Tunnel/Netze. Es kann also eigentlich nicht am Routing liegen sondern lediglich an den Firewall Einstellungen.

[Patrick M. Hausen]

Im Wireguard muss der entfernte Addressbereich der IPsec-Verbindung in die AllowedIPs - das ist dir wahrscheinlich schon klar. Aber das andere Ende des IPsec-Tunnels braucht das WireGuard-Netz ebenfalls als Remote in den Phase 2 SAs, sonst gibt es keinen Weg zurück. Und die OPNsense mit dem WireGuard und dem IPsec braucht das WireGuard-Netz in der Phase 2 als Local.

Alle beteiligten Systeme brauchen immer vollständige Routing-Information, sonst routet da nix 

[gubbedi]

Vielen, vielen Dank. Ich wäre nie darauf gekommen, dass Einträge im IPsec Tab fehlen.
Hat funktioniert, zumindest mit dem ersten Eintrag.
Das werden ganz schön viele Einträge, ohje.


Lösung:
Wireguard Client Verbindung zu Standort a und über IPsec weiter zu Standort b:

Standort a:
IPsec Phase 2 Eintrag:
Local = Tunnel Address von Wireguard Standort a
Remote = IP des Remote Netzes Standort b

In Wireguard unter Endpoint muss bei AllowedIPs das Remote Netz des Standortes b

Standort b:
IPsec Phase 2 Eintrag:
Local IP = remote Netzwerk Standort b
Remote = Tunnel Address von Wireguard Standort a