OpenVPN Remote Network Push

[Wurstbrot]

Hallo.

Ich verwende OpenVPN als ClientVPN und habe ein Problem mit den Routen die gepusht werden sollen.
Ich habe in meiner VPN Instanz einige Netzte im "Local Network" Feld drin.
Hier bekomme ich die Route auf den Client gepusht.

Ich brauche jetzt aber noch ein paar Routen im Remote Network Feld. Diese Routen werden nicht auf meinen Client gepusht.
Warum verstehe ich leider nicht.

Hintergrund ist das diese Firewall noch ein paar IPsec Site2Site Tunnel hat.

Ich würde gerne via Remote Network ein Netz auf den Client pushen das im Endeffekt dann nicht auf der Firewall für das ClientVPN liegt sondern eine Firewall weiter zwischen denen eine IPsec verbindung besteht.

Das Hauptproblem ist wie gesagt das der Traffic garnicht an die Firewall mit der OpenVPN gemacht wird ankommt da der Client die Route garnicht gepusht bekommt.

Gibt es eine Lösung dafür?
Viele Dank.

[Patrick M. Hausen]

Aus der Sicht der OPNsense ist das ebenfalls local. Local (OPnsense) -- > Client push --> Remote/Tunnel (Client).

[Wurstbrot]

Ja das ist mir auch schon aufgefallen.
Jedoch kommt mir das komisch vor.

Wenn ich Subnetze bei Local Netzwork eintrage bekomme ich am Client die Route gesetzt.
Der Traffic läuft jedoch dann nicht so wie man es erwarten würde.
Die Firewall bekommt den Traffic vom Client über OpenVPN und schickt ihn dann direkt an das WAN Interface und schickt die Anfrage an eine interne IP direkt über das WAN raus.

Das kann natürlich nicht funktionieren.
Der Traffic sollte eigentlich weiter durch einen Site2Site Tunnel geschickt werden.

Wenn Clients im Office sind und nicht via OpenVPN arbeiten wird der Traffic richtig von der Firewall durch einen der Site2Site Tunnel geschickt.

Die Frage ist daher warum macht sie das nicht?
Ich dachte mir weil das Subnet im Local Network steht und die FW davon ausgeht das sie das Subnet selbst hat. Da sie es nicht hat schickt sie die Anfrage an ihr default GW was falsch ist.

Wenn man den Eintrag im Remote Network macht dachte ich wird das Routing anders behandelt. Weil damit klar ist das die FW selbst das Subnet nicht kennt und quasi schauen muss wohin sie es routen muss. In dem Fall durch einen Site2Site Tunnel.

So kenne ich das zumindest von CheckPoint und co..

Habt ihr eine Idee?
Danke

[Patrick M. Hausen]

Ist das OpenVPN Netzwerk Teil der Phase 2 SAs deines IPsec-Tunnels? Also ist beim IPsec das OpenVPN Netzwerk als "local" eingetragen? Sonst greift natürlich die SA nicht. IPsec und OpenVPN wissen nichts voneinander, das musst du alles jeweils statisch konfigurieren.

[Wurstbrot]

Ja das Netz war in der Phase2 drin jedoch mit einem Fehler in der Mask.
Subnet richtig gestellt und jetzt funktioniert es.

Hab ich leider übersehen

Danke fürs Gehirn anregen.