VPN-Verbindung / Routing

[NikoDo]

Guten Abend,

ich habe eine VPN-Verbindung über Proton nach deren Anleitung eingerichtet und die beschriebenen Änderungen in der
Firewall (NAT -> Outbound) zunächst bewusst ausgelassen, da diese jeden Verkehr explicit über das VPN leitet.
Die VPN-Verbindung funktioniert und wird vom Web-Proxy verwendet und genau das verstehe ich nicht.

Die Prio des VPN-Gateways (255) liegt hinter der des WAN (254). Starte ich ein Trace Route zu Google mit
„Source Address“ = „default“ wird die VPN-Verbindung verwendet. Nehme ich als „Source Address“ = „WAN“
wird die Standard WAN-Verbindung genutzt.

Wo ist „default“ definiert? Ich bin davon ausgegangen, das ohne eine weitere Konfiguration immer die
WAN-Verbindung genutzt wird, da sie die niedrigere Priorität hat.

Das Phänomen beschäftigt mich nun schon eine weile und da ich mich als „Newbee“ erst seit ein paar Tagen mit
der opnsense beschäftige liegt das Problem vermutlich 30cm vor dem Bildschirm. 

Gruß Niko

[tiermutter]

Welche Anleitung hast du denn verwendet?
Wurde eventuell eine Firewall Regel erstellt bzw. bearbeitet, die alles über das VPN GW schickt?

[NikoDo]

Die Anleitung ist hier zu finden: https://protonvpn.com/support/pfsense-vpn-setup/

Den DNS-Server habe ich ebenfalls nicht übernommen, da AdGuard verwendet wird (Unbound ist aus).
In der Firewall stehen unter NAT->Outbound die 2 Standardregeln (Ziel-Port 500 und alles andere zu WAN)

In der Routingtabelle steht:

0.0.0.0/1   -> 10.17.0.1 (ovpnc1 / OPT1)
default -> 192.168.xxx.xxx (hn1 / wan)

[tiermutter]

0.0.0.0/1 finde ich komisch, das ist ja die Hälfte von dem was möglich ist, was über das VPN geroutet wird. Ich sehe ad hoc aber nichts in der Anleitung, wo das herkommt. Hast du mal nen Screenshot von deinem NAT? Was hast du damit überhaupt vor, wenn da nix drübergehen soll?

[Patrick M. Hausen]

0.0.0.0/1 und 128.0.0.0/1 in einen Tunnel zu routen ist ein beliebter Trick für VPNs um die Defaultroute im Client nicht löschen und nach Abbau der Verbindung wieder anlegen zu müssen. Sind ja "more specific".

[NikoDo]

Das VPN soll nur bei Bedarf oder für bestimmte Clients genutzt werden, außerdem hat es mich einfach mal interessiert,
wie das so funktioniert und eingerichtet wird. 

[NikoDo]

Sorry, war das falsche Bild.

[tiermutter]

Ich mache das auch meist so "alles" so aufzusplitten, aber woher stammt nur der eine Teil?
Zwischenzeitlich neuer Post: was macht opt1 dort als Source? Steht das in der Anleitung?

[NikoDo]

In dem aktualisiertem Bild aus Post #6 sehe ich kein opt1. Es gab (für mich) noch weitere Merkwürdigkeiten,
daher habe ich die VPN Thematik jetzt erstmal zurückgestellt und mache mit den anderen Baustellen
weiter.

Danke für Eure Hilfe. 

[tiermutter]

Na immer eins nach dem anderen... Dann nochmal mit dem Thema von vorne beginnen und dann auch gleich die outbound NAT Regel mit einem alias erstellen, der dann später die gewünschten clients enthält.
Die Aktualisierung habe ich übersehen, sagt aber für mich auch nichts weiter zu der komische Route...