Verbindungsprobleme mit Client-IPsec zu Bintec via OpnSense-FW

[ma91it]

Hallo Zusammen,

ich habe aktuell folgendes Problem mit der OpnSense-FW (OPNsense 22.7.3_2/HA-Setup):

Wenn ich aus einem WLAN-Netz (sep. VLAN auf LACP; Sophos Central-managed APs) ein Client-IPSec in Richtung eines BinTec-Routers aufbauen möchte, bekomme ich mit div. Geräten (iPad-natives Cisco-VPN; Shrewsoft-Client auf Win10) einen Timeout.

Im Wireshark-Trace erhält man NO-PROPOSAL-CHOSEN.

Hier noch ein paar Eckdaten:

IPSEC-Client-Settings

• NAT-T und IKE-Frag. mit 540 Bytes aktiv (auch deak. der Frag. brachte nichts)
• PSK-Auth

OpnSense

• WLAN-Netz darf "any" ins Internet
• S2S-IPSEC aktiv (verwendet prim. WAN-IP) - mein erster Gedanke war hier, dass diese Komponente zwischenfunkt
• SNAT der ausgehenden Client-IPSEC-Verbindung auf sec. WAN-IP: getestet mit oder ohne static Port
• beteiligtes WLAN-Netz, sowie Public-Quell-IP und Dest-IP (Bintec) sicherheitshalber in den Pass-Through-Netzwerk des S2S-IPSEC hinterlegt
• Interface-Scrub testweise mal deaktiviert

Wenn sich die entsprechenden Clients z.B. per Handy-Hotspot mit dem Internet verbinden, lässt sich das Client-IPSec problemlos aufbauen.

In meinem Test-Setup über eine andere OpnSense (egal ob S2S-IPSEC aktiv oder nicht) stößt man leider auf das gleiche Phänomen.

Hättet ihr ggf. eine Idee, wie ich das Client-VPN gangbar bekomme bzw. welche Settings ich noch testen kann?

Vielen Dank im Voraus

Gruß Marco

[Patrick M. Hausen]

Im Firewall-Live-Log der Sense anschauen, was da blockiert wird?

[ma91it]

Im Firewall-Live-Log der Sense anschauen, was da blockiert wird?

Danke für deine Antwort, aber das WLAN-Netz darf alles nach extern.

Habe schon via tcpdump geschaut und sehe entsprechend die Anfragen und Replies (No Proposal Chosen kommt dann von der Gegenseite, vermeintlich weil "Infos" fehlen bzw. irgendwas "hineinspuckt" 

[Patrick M. Hausen]

Wie sehen die NAT-Regeln aus?

[ma91it]

Manual outbound NAT rule generation
(no automatic rules are being generated)

1. NAT-Rule:

Interface    Source          Source Port    Destination          Destination Port    NAT Address       NAT Port    Static Port
WAN       WLAN_xyz net       *                Bintec_Router           *          X.X.X.X (second. WAN)    *       YES    

Wie beschrieben, Static Port hatte ich schon an und aus, das machte keinen Unterscheid.

Gruß Marco

[ma91it]

Hallo Zusammen,

hättet ihr noch Ansätze, wie man das Problem beheben könnte?

Danke

Gruß Marco

[Patrick M. Hausen]

tcpdump anwerfen und gucken, was da passiert.