Routing Table

[NDregger]

Hallo Freunde der OPNsense,

ich habe gerade ein echtes Verständnis mit der OPNsense was die Routing Table angeht: Meine OPNsense ist einfach gesagt mehrsprachig:

- LAN Routing
- IPSec VPN
- OpenVPN
- Wireguard

Unter SYSTEM: ROUTES: STATUS sehe ich alle LAN Routen, die VPN Routen fehlen aber komplett.

Muss ich händisch Buch führen um die Übersicht zu behalten oder bin ich einfach nur zu doof eine vollständige Übersicht zu finden?


Grüße aus BaWü
Norbert

[Patrick M. Hausen]

IPsec steckt nicht in der Routing Table sondern in der Policy. Hysterische Gründe 

OpenVPN und WireGuard haben natürlich erst dann Routen, wenn eine Verbindung auch hergestellt wurde. Ist das der Fall?

Evtl. abstrahiert das UI hier nochmal, was sagt denn `netstat -rn`?

[NDregger]

Und wie sehe ich dann eine gesamte Liste? Oder gibt es das nicht?

[Patrick M. Hausen]

Ich schrieb doch schon, was sagt das Kommando netstat -rn?

Außerdem fragte ich: sind denn die OpenVPN und WireGuard Tunnel auch aktiv? Oder wählen sich da nur Leute mit ein? Dann existieren die Routen auch nur dann, wenn jemand "drin" ist.

[NDregger]

Die OpenVPN routen sehe ich bei aufgebauter Verbindung, das habe ich gerade mal schnell mit zwei VMs gecheckt die ich per OpenVPN Site2Site verbunden habe. Wireguard Routen kann ich auch sehen, das habe ich bei uns an der Schule kurz gecheckt, das hilft also bei aktiven Routen auch. Fehlt nur noch IPSec, denn die sehe ich leider auch über die shell nicht, da sehe ich ausschließlich die lokalen Routen.

Falls es etwas ausmachen sollte: Ich rede von Version 23.10.1


Gruß
Norbert

[Patrick M. Hausen]

IPsec läuft nicht über Routen sondern über eine Policy, gegen die jedes Paket "gematcht" wird. Passt die Policy, wird das Paket eingepackt und durch den Tunnel geschickt.

VPN > IPsec > Status Overview und dann rechts auf die kleinen (i) klicken.

[NDregger]

Bin ich jetzt einfach nur doof oder blind? Wenn Du Dir mal meinen Screenshot ansehen könntest - ich sehe da kann i, und mir geht es halt drum nicht alle Verbindungen einzeln abzuklappern, das könnte bei manchen Installationen echt mühseelig werden....


Norbert

[Patrick M. Hausen]

Ich hab bei mir alle IPsec-Verbindungen noch im Legacy UI, das neue sieht wohl anders aus, sorry.

Suchst du so was wie `swanctl --list-conns`?

[NDregger]

Yeah, das geht genau in die Richtung! Ich seh schon, ich muss mich mehr mit der Shell auf OPNsense beschäftigen :-) Ist zwar leider wie in der Konfiguration auch mühseelig, aber dann führe ich wohl echt noch eine Weile eine händisch gepflegte Tabelle...


Grüße aus BaWü
Norbert