Wireguard - Externe Verbindung über VPN

[Cpt_Wonderful]

Hallo zusammen,

ich nutze die OPNsense Appliance als VPN Endpunkt und möchte meinen Clients ein Wireguard VPN zur Verfügung stellen, welches den Internetvekehr aber über ProtonVPN routet. Dafür habe ich die folgenden Einstellungen erledigt:

Gateways


NAT


FW-Rules - MainWireguard


FW-Rules - Wireguard (Group) -> Anscheinend werden die rules aus der Gruppe angewendet?!


Wireguard


Das VPN funktioniert, aber bei einem IP-Check wird mir die Provider IP angezeigt?
Was mache ich falsch / was habe ich vergessen? Gerne stelle ich weitere Infos zur Verfügung.

[viragomann]

Hallo,

FW-Rules - Wireguard (Group) -> Anscheinend werden die rules aus der Gruppe angewendet?!

Ja, Gruppen-Regeln haben Vorrang gegenüber Interface-Regeln.
Und die letzte da erlaubt jeglichen Traffic der Clients auf das Standardgateway, also WAN.

Du benötigst eigentlich überhaupt keine Regeln auf der Grupppe.
Aber es sollte auch reichen, einefach die letzte Regel zu entfernen. Alle anderen betreffen nur ausgehenden Traffic, wofür die auch immer sind.

Doch wenn die Wireguard Clients auch lokale Ziele erreichen können sollen, musst du noch die Policy-Routing Regel auf externe Ziel beschränken.

[Cpt_Wonderful]

Danke dir für die Ausführung. Wenn ich die Gruppenregeln entferne, funktioniert der Tunnel nicht mehr.
Die Letzte Regel hatte ich für den Handshake drin (IN) - Unnötig?
Und was mach eich bzgl. des Problems dass die VPN Clients nicht das ProtonVPN als 'exit-node' nutzen?

[viragomann]

Wenn ich die Gruppenregeln entferne, funktioniert der Tunnel nicht mehr.

Auch keine Verbindung vom Client ins Internet?

Die Letzte Regel hatte ich für den Handshake drin (IN) - Unnötig?

Ich habe von Wireguard keine Ahnung. Ich denke aber nicht, dass eine solche Regel nötig ist. Die betrifft eigentlich Verbindungen innerhalb des Tunnels und sollte mit dem Aufbau nichts zu tun haben.

Und was mach eich bzgl. des Problems dass die VPN Clients nicht das ProtonVPN als 'exit-node' nutzen?

Die letzte Gruppen-Regel entfernen.

Okay, etwas detaillierter:
Wie geschrieben, musst du die Policy-Routing Regel auf ausgehende Verbindungen beschränken. Sonst erreicht der Client keine lokalen Ziel, was vermutlich auch erwünscht ist.
Für diesen Zweck ist es ratsam, einen Alias für RFC 1918 Netze (private Netzwerkbereiche ) anzulegen. Ich nenne ihn RFC1918 und füge
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
hinzu.

Diesen musst du dann in der Policy-Routing Regel als Ziel zusammen mit einem Haken bei "Invert" verwenden. Damit trifft diese Regel nur noch auch Ziel außerhalb der privaten Netze zu.

Du kannst zu Testen mal hinter dieser Regel eine Allow-any Regel stellen. Dann sollte eigentlich alles funktionieren.