wireguard roadwarrior über site2site Verbindung auf entfernten Knoten

[bforpc]

Moin aus dem hohen Norden,

gegeben ist folgendes wireguard Szenario:

Code Select Expand


Transfer Netz 10.10.128.0/24
RW [Roadwarrior Client 10.10.128.100, Linux CLI]
A [opnsense A, 10.10.128.1, 192.168.128.1/22]
B [opnsense B, 10.10.128.2, 192.168.156.1/24]

Firewall Regeln auf A in "WireguardGroup"
10.10.128.0/24 -> *
Lan Net -> *
192.168.156.0/24 -> *

Firewall Regeln auf B in "WireguardGroup"
10.10.128.0/24 -> *
Lan Net -> *
192.168.128.0/22 -> *


Verbindung RW -> A == OK
Verbindung Netz A <> Netz B == OK
Verbindung RW -> B [z.B. 192.168.156.50:22] == Fail

Ein tcpdump auf B [192.168.156.50] zeigt einkommende Pakete von RW und ausgehende Pakate an RW.
Das gleiche auf der opnsense B und opnsense A
Scheinbar laufen die Pakete korrekt, aber der RW bekommt keinen Login.

Eine weitere, zweite VPN Verbindung des RW direkt zu B funktioniert und dann klappt auch die Verbindung zum Server 192.168.156.50:22.

Hat jemand einen Tip / Vorgehensweise, um dieses Problem zu lösen?


Bfo