OPNSense <-> Lancom Advanced VPN Client Roadwarrior Verbindungsprobleme

[translate2124]

Hallo OPNSense Forum,

wir versuchen im Moment mit den IPSec Connections eine Verbindung zwischen unserer OPNSense Firewall in einer Hetzner-Umgebung und mehreren Roadwarriors mit dem Lancom Trusted Access Client zu verbinden, stoßen dort allerdings auf Schwierigkeiten mit der Zertifizierung der Verbindung. Wir verwenden EAP-MSCHAPv2 nach dem Tutorial in den OPNSense Docs. ( https://docs.opnsense.org/manual/how-tos/ipsec-swanctl-rw-ikev2-eap-mschapv2.html ) Von Desktop-Seite kann eine Verbindung erstellt werden, allerdings bricht sie sofort mit einem "PKI Error - unable to get ca issuer certificate" ab. Liegt dies an irgendeiner übersehenen OPNSense-Einstellung? Ist IPSec überhaupt für diesen Anwendungsfall zielführend? Vielen Dank im Vorraus!

[Patrick M. Hausen]

Haben die Clients alle das CA-Zertifikat der OPNsense lokal installiert und als vertrauenswürdig markiert? Steht so in der Fehlermeldung 😉

[translate2124]

Tatsächlich ja... Vielleicht hat es etwas mit dem Lancom VPN Client zu tun, ich muss mal weiter recherchieren. Trotzdem danke!

[translate2124]

Da ich leider nicht weitergekommen bin, versuche ich es hier nochmal. Folgende Daten kann ich geben:

Versionen:

OPNsense 25.7.4-amd64
FreeBSD 14.3-RELEASE-p2
OpenSSL 3.0.17
 
LANCOM Advanced VPN Client (Version 6.23 Build 30776)

Fragen:
Reicht es, das CA-Zertifikat im Windows-Zertifikatsspeicher zu hinterlegen, oder muss es explizit im Lancom Client eingebunden werden?
Kann der Fehler auch auf der Gegenseite liegen, z. B. durch eine unvollständige Zertifikatskette?
Gibt es eine Möglichkeit, den Client dazu zu bringen, ein bestimmtes CA-Zertifikat für die Prüfung zu verwenden?

Verbindungslogs des VPN Clients und der OPNSense sowie IPSec-Profil des Remote Clients sind angehängt.

Vielen Dank für die Hilfe.

[Monviech (Cedrik)]

Beim NCP Client in der selben Anleitung muss das Zertifikat im Ordner des NCP clients abgelegt werden.

Ich bin mir fast sicher der LANCOM client will das auch.

[translate2124]

Vielen Dank für den Tip!

Ich habe die Zertifikate jetzt manuell unter "C:/ProgramData/LANCOM/Trusted Access Client/certs" hinterlegt, der Fehler in den Logs besteht leider weiterhin. Ich denke aber, hier kommen wir der Sache näher...

[Monviech (Cedrik)]

Warum benutzt du nicht einen der vorgeschlagenen Clients mit Konfigurationsbeispielen die funktionieren?

[translate2124]

Da der Lancom Client bereits im Einsatz ist und ein weiterer Client nicht erwünscht ist.