Wireguard Site2Site

Started by emmitt, July 04, 2023, 04:05:57 PM

Previous topic - Next topic
Print
Go Down Pages1
User actions
July 04, 2023, 04:05:57 PM
Hej,

ich habe eine Verständnisfrage. Ich habe eine Wireguard-Verbindung zwischen 2 OPNsense-Standorten eingerichtet (Site2Site).

Aus Versehen habe ich 2 verschiedene Tunneladressen als Local definiert:
Standort1 = 10.5.22.1/24
Standort2 = 10.5.5.1/24

Trotzdem funktioniert alles wie gewünscht. Wie kann das sein? Ist es nicht mehr erforderlich gleiche Tunneladressen zu nutzen? Natürlich wurde wireguard auf beiden Rechnern neu gestartet...
July 04, 2023, 04:17:17 PM #1
mal auf beiden seiten die adressen des interfaces hier posten, gerne als screenshot ;-)
kind regards
chemlud
____
"The price of reliability is the pursuit of the utmost simplicity."
C.A.R. Hoare

felix eichhorns premium katzenfutter mit der extraportion energie

A router is not a switch - A router is not a switch - A router is not a switch - A rou....
July 04, 2023, 04:36:53 PM #2
Die Adressen im Tunnel sind wurst, wenn mit denen nicht kommuniziert wird. Solange nur ein Netz am Standort 1 sich mit einem Netz am Standort 2 unterhält, kann man die Tunnel-Adressen auch komplett weglassen.

Problematisch wird das, wenn Du z.B. DNS-Queries, die von der OPNsense ausgehen, von einem Standort zum anderen schicken willst. Dann braucht die Seite, die den Query abschickt, eine funktionierende Adresse auf dem Tunnel-Interface. Und die andere Seite natürlich auch den Weg zurück, also eine passende Tunnel-Adresse.

Findet sowas nicht statt, ist es wie geschrieben wurst.
Deciso DEC750
People who think they know everything are a great annoyance to those of us who do. (Isaac Asimov)
July 04, 2023, 05:03:11 PM #3
...für alle kommunikation der sensen auf die "andere seite" braucht man die adressen schon und auch FW regeln. z.b. wenn eine sense status emails durch den tunnel schicken soll...
kind regards
chemlud
____
"The price of reliability is the pursuit of the utmost simplicity."
C.A.R. Hoare

felix eichhorns premium katzenfutter mit der extraportion energie

A router is not a switch - A router is not a switch - A router is not a switch - A rou....
July 04, 2023, 05:04:58 PM #4
Vielen Dank für Eure Antworten!

Quote from: pmhausen on July 04, 2023, 04:36:53 PM
Problematisch wird das, wenn Du z.B. DNS-Queries, die von der OPNsense ausgehen, von einem Standort zum anderen schicken willst.

Aber was ist denn an DNS-Queries so besonders - sind doch am Ende auch UDP-Pakete oder bin ich auf dem falschen Dampfer?

Ein Interface habe ich übrigens nicht zugewiesen. Meines Erachtens ist das nicht verpflichtend...
July 04, 2023, 05:23:11 PM #5
Quote from: emmitt on July 04, 2023, 05:04:58 PM
Aber was ist denn an DNS-Queries so besonders - sind doch am Ende auch UDP-Pakete oder bin ich auf dem falschen Dampfer?
Point-to-Point Interfaces brauchen im IP erst einmal grundsätzlich keine Adressen. Aaaber ...

Zwei Standorte, ja? LAN 1 und LAN 2 sind miteinander gekoppelt.

Gerät in LAN 1 fragt einen DNS-Server in LAN 2 - da braucht es keine Adressen auf dem Tunnel. Gilt auch für jeden anderen Traffic zwischen den beiden LANs.

Wenn aber die Firewall selbst einen DNS-Query "auf die andere Seite" schicken will, dann braucht sie dafür eine Source-Adresse. Die ist abhängig von dem Interface, auf das die Route zum entfernten Netzwerk zeigt. Sie benutzt also nicht ihre Adresse im LAN sondern ihre Adresse im WG-Tunnel. Wenn da keine ist, oder die "Quatsch" ist, dann funktioniert es nicht.

Deshalb hatte ich DNS als Beispiel gewählt, weil man oft auch bei Kopplung von einem kleinen Außen-Büro an einen Haupt-Standort mit z.B. den Windows-Domänencontrollern trotzdem die Firewall lokal als DNS-Server für die Clients verwendet. Die Domäne am Haupt-Standort kann man dann per "Domain Override" im Unbound der Firewall bekannt machen und die Server im entfernten LAN fragen.

Jetzt kommen die Queries nicht mehr von den Clients direkt sondern die Clients fragt die Firewall und die Firewall fragt den DNS-Server im entfernten LAN. Und dann braucht es Tunnel-Adressen.

Quote from: emmitt on July 04, 2023, 05:04:58 PM
Ein Interface habe ich übrigens nicht zugewiesen. Meines Erachtens ist das nicht verpflichtend...
Korrekt.

HTH,
Patrick
Deciso DEC750
People who think they know everything are a great annoyance to those of us who do. (Isaac Asimov)
July 04, 2023, 05:41:25 PM #6
Danke Patrick! Das klingt logisch...

Vielleicht richte ich die Site2Site Verbindung dann aber doch nochmal korrekt ein.  ;)
Also auf der einen Site 10.5.5.1/24 und auf der anderen 10.5.5.2/24

Abschließend noch eine Frage: Wenn ich nun auf beiden Seiten auch Road Warrior nutzen möchte, erstelle ich mir da jeweils einen neuen Wireguard Server oder verwende ich denselben Tunnel?

July 04, 2023, 05:57:17 PM #7
Du richtest in der Regel eine neue Instanz ein. Road-Warrior sind ein weiterer Fall, wo man Tunnel-Adressen möchte. Jeder der Nutzer muss ja mit irgendeiner Adresse mit deinen internen Netzen kommunizieren.
Deciso DEC750
People who think they know everything are a great annoyance to those of us who do. (Isaac Asimov)
July 04, 2023, 08:03:52 PM #8
Quote from: pmhausen on July 04, 2023, 05:57:17 PM
Du richtest in der Regel eine neue Instanz ein. Road-Warrior sind ein weiterer Fall, wo man Tunnel-Adressen möchte. Jeder der Nutzer muss ja mit irgendeiner Adresse mit deinen internen Netzen kommunizieren.

Vielen Dank! Da habe ich heute ne Menge dazu gelernt.
July 04, 2023, 08:09:53 PM #9
Vielleicht kann mir gelegentlich auch das noch jemand beantworten  :-\

Ein RoadWarrior (10.5.5.22/32) verbindet sich mit Netz 1 (Tunnel 10.5.5.1/24). Dieses Netz ist per Site2Site mit Netz2 (Tunnel 10.5.5.2/24) verbunden.

Was muss ich tun, damit der RoadWarrior auch die Geräte von Netz2 sehen kann? Aktuell ist das nicht der Fall...
July 04, 2023, 08:27:49 PM #10
Beim Road-Warrior auch Netz 2 in die "allowed networks", falls nicht sowieso "0.0.0.0/0" drin steht. Am Standort mit Netz 2 das Road-Warrior Netz "10.5.5.0/24" in die "allowed networks".
Deciso DEC750
People who think they know everything are a great annoyance to those of us who do. (Isaac Asimov)
July 04, 2023, 08:47:40 PM #11
Quote from: pmhausen on July 04, 2023, 08:27:49 PM
Am Standort mit Netz 2 das Road-Warrior Netz "10.5.5.0/24" in die "allowed networks".

OMG... Das war es!
Jetzt lasse ich Dich/Euch aber wirklich in Ruhe. Nochmals DANKE
Print
Go Up Pages1
User actions