vpn tunnel zwischen 2 sense

[rabo]

Hallo,
ich brauch mal Schwarmwissen.

Ich moechte eine vpn Verbindung von meiner Wohnung zum Buero herstellen.
Im Buero geht der Internetanschluss ueber einen Gigacube und die Wohnung hat einen Kabelinternetanschluss.

An beiden haengt dahinter je eine Opnsense.
Nun moechte ich per vpn-Tunnel von der Wohnung auf das Netzwerk im Buero zugreifen koennen. (Datensicherung, Arbeitsserver).

Wie bewerkstellige ich das Ganze am besten?

Oder wuerde ein Remote-Access VPN auf die Buero-Opnsende reichen?

Danke fuer Eure Hilfe.

gruss rabo

[viragomann]

Hallo,

Wie bewerkstellige ich das Ganze am besten?

Steht eigentlich alles hier beschrieben: Virtual Private Networking

OPNsense unterstützt nativ IPSec, Wireguard und OpenVPN. Möglich ist das mit jeder davon.

Nun moechte ich per vpn-Tunnel von der Wohnung auf das Netzwerk im Buero zugreifen koennen. (Datensicherung, Arbeitsserver).

Dafür ist eine Site-to-site VPN ideal. Geht auch mit jeder. In jedem Fall muss zumindest eine Seite von außen erreichbar sein.
Ich setzte dafür gerne IPSec ein, weil stabil und schnell, habe aber auch OpenVPN in derartiger Verwendung. Und seit Data Channel Offloading ist der Geschwindigkeitsnachteil auch nicht mehr relevant.

OpenVPN erfordert zertifikatsbasierte Authentifizierung. Es muss also auf einer Seite eine CA eingerichtet werden und mit dieser Server- und Client-Zertifikat ausgestellt werden.
IPSec und Wireguard gehen auch mit Pre-shared Key. Wireguard verwende ich allerdings nicht, kann also nicht viel dazu sagen.

Oder wuerde ein Remote-Access VPN auf die Buero-Opnsende reichen?

Remote Access ist für den Zugriff eines Clients auf das Remote-Netzwerk gedacht. Also in eine Richtung. Site-to-site ist für beiden Richtungen. Je nach VPN lassen sich auch beide Varianten mit einem Server lösen. Du kannst aber auch mehrere VPNs einrichten, um die Funktionen zu trennen.

Grüße

[meyergru]

Das eigentliche VPN ist wohl weniger ein Problem. Nur müssen sich die Endpunkte finden.

Im konkreten Fall wird es da eventuell zwei Probleme geben:

1. Mindestens eine Seite der Verbindung (zu Hause) hat vermutlich eine dynamische IP. Die Gegenseite kann den Endpunkt also nur per DynDNS finden.
2. Beide Endpunkte liegen selbst hinter NAT-Routern, sind also von der Internet-Seite aus nicht so einfach zugänglich. Übrigens schließt das m.W. IPsec weitgehend aus. Heutzutage ist allerdings gerade zwischen zwei OpnSensen Wireguard ohnehin der De-Facto-Standard.

Um Problem Nummer 2 zu lösen, muss ein Port-Forwarding auf einem der Front-Router eingerichtet werden, dass den Zugriff auf den VPN-Port der OpnSense ermöglicht.

Es geht also um die Frage, welche Seite die VPN-Verbindung aufbaut - das Ziel muss die Verbindung per Port-Forward durchleiten und möglichst per statischer IP oder per DynDNS-Name erreichbar sein. Das setzt auf der Ziel-Seite voraus, dass man:

a. Den Front-Router entsprechend konfigurieren darf (z.B. bei der Firma)
b. Den Front-Router überhaupt entsprechend konfigurieren kann (also: hat er Möglichkeiten, DynDNS zu pflegen? Kann man eine Portweiterleitung einrichten?)
c. Der Front-Router nicht selbst wieder geNATed ist (also z.B. an einem CG-NAT-Anschluss hängt). Falls ja, müsste man per IPv6 arbeiten, was z.B. für DynDNS meist schwieriger ist.

Die Quell-Seite der VPN-Verbindung ist unkritischer, dort muss nur eine ausgehende Verbindung zugelassen sein.