von VLAN Netz auf ipsec entferntes Netz zugreifen

[Lip90]

Hallo Leute,

ich bekomme es nicht hin das mein VLAN 20 auf ein entferntes ipSEC Netz welches dauerhaft zwischen der opnsense der Fritzbox steht zugreifen kann. An den Firewall Rules liegt es nicht, die sind auf any.

Muss ich hier separat Routen oder ein Outbound eintragen?

[Patrick M. Hausen]

Zeig uns doch mal deine IPsec Konfiguration - also speziell alle beteiligten IP-Adressen/Netze in deinen Phase 2 SAs ...

Ansonsten ist es Kaffeesatzleserei.

[Lip90]

reicht das? 

[Patrick M. Hausen]

Welches Netz hat dein VLAN 20?

[Lip90]

192.168.30.0/24

[Patrick M. Hausen]

Sieht eigentlich gut aus. Dann mach auf einem Gerät in dem VLAN ein Dauer-Ping und guck auf der OPNsense mit tcpdump, ob die Pakete zum Ethernet rein kommen, zum Tunnel (enc0) wieder raus gehen, und ob Antworten kommen ...

[Lip90]

Mir kommt gerade..., kann es sein das die Gegenstelle der ipSEC Verbindung (Fritzbox) nichts von der 192.168.30.0 weiß und deshalb die Pakete nicht durchgehen?

[Patrick M. Hausen]

Die Gegenstelle muss natürlich auch 192.168.0.0/16 in ihrer phase 2 SA haben - was denn sonst? Die müssen bei IPsec immer exakt passen, die meisten kommerziellen Firewalls bauen gar keine Verbindung auf, wenn da eine Abweichung ist.