bluelight
Jun 23, 2021
view3322
view52
0
Goto Top

Site2Site VPN Verbindung mit pfSense

GermansolvedQuestionNetworks
Hallo zusammen,

da ich leider bei der letzten Thematik gänzlich gescheitert bin, ist mir eine deutliche bessere Idee gekommen, eine dauerhafte VPN Verbindung darzustellen.
Der ursprüngliche Gedanke bzw. Verwendungszweck lag darin, dass ich möchte, dass alle Clients am Standort A im Firmennetzwerk sind, ohne Benutzerinteraktion - abgesehen vom Einschalten des PC's. face-wink

Ich habe bereits super zahlreiche und qualifizierte Hilfe von @Dani @aqui und vielen weiteren bekommen und hoffe, dass diese hier auch fleißig weiter machen. :-P
Ich eröffne ein neues Thema dazu, weil es nicht mehr wirklich zum alten Thementitel passt.

Ich habe folgende Ausgangssituation:
Standort A: Eine Lagerhalle mit 4 PC's, 1 Packtisch, 2 Kassentablets, 1 Kassenserver, 2 Kamera-NVR und 4 Drucker (2xNetzwerkdrucker, 1xBluetooth & 1xUSB Drucker) + Fritzbox 7590
Standort B: virtuell, gemieteter Rootserver (Server1) bei Netcup mit AD-Diensten.

Meine Idee: Bei netcup eine kleine VM mieten (Server 2), auf der ich pfSense installiere und diese dann per vLAN mit o.g. Server 1 verbinde. So würde der DC nicht den Gefahren des öffentlichen Netzes ausgesetzt sein und sich nur lokal um Subnetz der pfSense befinden.
Bei Standort A würde ich einen 10" oder 19" Serverschrank hinsetzen, in den ich dann ein Routerboard o.Ä. und einen Switch reinpacke.

Die Fritte würde ich dann an den Switch hängen und nur für IP-Telefonie nutzen.

Die pfSense würde ja direkt an die DSL-Leitung dran kommen und sich dort mit den Zugangsdaten mit dem Internet verbinden. Grundsätzlich würde diese ja dann erstmal ein normales Subnetz á la 192.168.172.0/24 erstellen für das lokale Standortnetz. Wenn ich den VPN einrichte und die pfSense bei A mit B verbinde, würde sich ja dort wieder ein neues Subnetz ergeben, für den VPN richtig? Z.B. 30.30.1.0/24

Den Clients würden dann entsprechend 2 IP-Adresse zugewiesen werden einmal die Lokale von der pfSense und die des VPN.
Funktioniert das alles so einfach und geschmeidig, wie ich mir das vorstelle, oder ist das Wunschdenken und ziemlich gruselig? face-big-smile

Mein Ziel: Alle Clients sollen sich dauerhaft im VPN befinden, auf alle Unternehmensressourcen zugreifen können und nur mit der öff. IP des VPN nach außen kommunizieren.

Vielen Dank im Voraus!

Grüße
Simon
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 780190666

Url: https://administrator.de/contentid/780190666

Printed on: April 23, 2024 at 22:04 o'clock

52 Comments
Latest comment
Goto Top
Member: aqui
aqui Jun 23, 2021 updated at 13:50:23 (UTC)
Goto Top
Funktioniert das alles so einfach und geschmeidig
Jupp, das würde alles auf Anhieb problemlos funktionieren und ist ein simples Allerwelts VPN Design.

Einen kleinen kosmetischen Denkfehler hast du allerdings begangen bzw. resultiert daraus das du mit keinem Wort erwähnt hast WELCHES der zahllosen VPN Protokolle die die Firewall supportet du zur Kopplung verwenden willst. face-sad
Deshalb ist deine Aussage:
würde sich ja dort wieder ein neues Subnetz ergeben, für den VPN richtig? Z.B. 30.30.1.0/24
nur sehr bedingt richtig.
  • Nein = wenn es IPsec v1 oder v2 ist
  • Ja = wenn es OpenVPN oder Wireguard usw. ist
Nebenbei:
Ein öffentliches IP Netz wie das 30er was dir NICHT gehört solltest du intelligenterweise hier nicht verwenden sondern immer ein Subnetz aus dem klassischen RFC 1918 Bereich der HIER.

Du müsstest auch nicht zwingend in Mehrkosten stürzen und eine zusätzliche Firewall am Standort A einsetzen. Die FritzBox spricht IPsec als VPN und ist damit vollkommen VPN kompatibel zur pfSense/OPNsense in deinem vServer.
Wenn du also mit der etwas mickrigen VPN Bandbreite der FritzBox leben kannst, musst du dort gar nichts verändern sondern lässt die Fritze lediglich einen Site-to-Site IPsec Tunnel zur Firewall auf der Serverseite aufbauen. 😉
Spart Kosten, Aufwand und funktioniert ebensogut. Infos dazu zeigt dir dieser_Thread.
Der Rest ist "perfectly OK" aber du solltest im Standort B 2 VMs laufen lassen einen mit der Firewall und einen mit dem AD Server !
Member: bluelight
bluelight Jun 23, 2021 updated at 12:54:16 (UTC)
Goto Top
Zitat von @aqui:

Funktioniert das alles so einfach und geschmeidig
Jupp, das würde alles auf Anhieb problemlos funktionieren und ist ein simples Allerwelts VPN Design.
Okay, klingt ja schonmal gut.

Einen kleinen kosmetischen Denkfehler hast du allerdings begangen bzw. resultiert daraus das du mit keinem Wort erwähnt hast WELCHES der zahllosen VPN Protokolle die die Firewall supportet du zur Kopplung verwenden willst. face-sad
Deshalb ist deine Aussage:
würde sich ja dort wieder ein neues Subnetz ergeben, für den VPN richtig? Z.B. 30.30.1.0/24
nur sehr bedingt richtig.
  • Nein = wenn es IPsec v1 oder v2 ist
  • Ja = wenn es OpenVPN oder Wireguard usw. ist
Ich habe noch nie mit pfSense gearbeitet und habe daher leider absolut keine Ahnung, welche Protokolle es unterstützt. Aber wäre es nicht administrativ einfacher, wenn ich IPSec nutze und ich alle Geräte über ihre, aus dem lokalen Subnetz verteilte, IP-Adresse ansprechen kann.

Nebenbei:
Ein öffentliches IP Netz wie das 30er was dir NICHT gehört solltest du intelligenterweise hier nicht verwenden sondern immer ein Subnetz aus dem klassischen RFC 1918 Bereich der HIER.
Ups, wusste nicht, dass das ein öffentliches IP-Netz ist. Schande auf mein Haupt! face-big-smile

Du müsstest auch nicht zwingend eine Firewall am Standort A einsetzen. Die FritzBox spricht IPsec als VPN und ist damit VPN vollkommen kompatibel zur pfSense in deinem vServer.
Wenn du also mit der etwas mickrigen VPN Bandbreite der FritzBox leben kannst must du dort rein gar nichts verändern sondern lässt die lediglich einen Site-tp-Site Tunnel zur Firewall auf der Serverseite aufbauen. Spart Kosten, Aufwand und funktioniert ebensogut.
Aber die Bandbreite soll ja wirklich sehr schlimm sein. Ich würde gerne Software über den VPN Verteilen, Netzlaufwerke zur Verfügung stellen etc.

Der Rest ist "perfectly OK" !
Okay, klingt gut.
Member: aqui
aqui Jun 23, 2021 updated at 13:04:08 (UTC)
Goto Top
Ich habe noch nie mit pfSense gearbeitet und habe daher leider absolut keine Ahnung
Kostenlosen Virtualisierer wie z.B. Virtual_Box auf deinem Rechner installieren und dort ein pfSense oder OPNsens Image mal drauf laufen lassen. face-wink
Damit kannst du doch, ohne jegliche Kosten, vorab schon mal üben und dich schlau machen. Und so (d)ein laufendes Setup wasserdicht ausprobieren was du nachher in dein Live Setup übernimmst.
Einfacher gehts ja nun nicht mehr und da wäre doch jeder IT Laie auch selber draufgekommen ! face-wink
wenn ich IPSec nutze und ich alle Geräte über ihre, aus dem lokalen Subnetz verteilte, IP-Adresse ansprechen kann.
Du machst auch hier vermutlich einen Denkfehler. Das ist ja immer der Fall das du IMMER die Endgeräte IPs ansprichst oder Hostnamen zu diesen IPs. Egal ob du ein dediziertes IP Koppelnetz zwischen den Lokationen hast oder nicht.
Aber die Bandbreite soll ja wirklich sehr schlimm sein.
Hängt vom jeweiligen Modell ab.... Guckst du hier: https://www.heise.de/select/ct/2018/22/1540270249088029/ct.2218.176-178. ...
Member: bluelight
bluelight Jun 23, 2021 at 13:18:28 (UTC)
Goto Top
Zitat von @aqui:

Ich habe noch nie mit pfSense gearbeitet und habe daher leider absolut keine Ahnung
Kostenlosen Virtualisierer wie z.B. Virtual_Box auf deinem Rechner installieren und dort ein pfSense oder OPNsens Image mal drauf laufen lassen. face-wink
Damit kannst du doch, ohne jegliche Kosten, vorab schon mal üben und dich schlau machen. Und so (d)ein laufendes Setup wasserdicht ausprobieren was du nachher in dein Live Setup übernimmst.
Einfacher gehts ja nun nicht mehr und da wäre doch jeder IT Laie auch selber draufgekommen ! face-wink
Okay, wird gemacht, Chef! face-smile

wenn ich IPSec nutze und ich alle Geräte über ihre, aus dem lokalen Subnetz verteilte, IP-Adresse ansprechen kann.
Du machst auch hier vermutlich einen Denkfehler. Das ist ja immer der Fall das du IMMER die Endgeräte IPs ansprichst oder Hostnamen zu diesen IPs. Egal ob du ein dediziertes IP Koppelnetz zwischen den Lokationen hast oder nicht.
Ich würde jetzt sagen, dass ich es verstanden habe, habe ich aber nicht. Hast du ein bisschen Lesestoff für mich an der Hand?

Aber die Bandbreite soll ja wirklich sehr schlimm sein.
Hängt vom jeweiligen Modell ab.... Guckst du hier: https://www.heise.de/select/ct/2018/22/1540270249088029/ct.2218.176-178. ...
Das sieht doch ganz ordentlich aus und reicht eigentlich für die entsprechenden Bedürfnisse, würde ich jetzt adhoc sagen.
Member: brammer
brammer Jun 23, 2021 at 13:22:52 (UTC)
Goto Top
Hallo,

nur mal kurz der Hinweis das Netzwerk 30.30.1.0/24 gehört dem DoD Network Information Center, wobei hier DoD für Department of Defense (Verteidigungsministerium der USA) steht

brammer
Member: aqui
aqui Jun 23, 2021 updated at 14:13:17 (UTC)
Goto Top
Hast du ein bisschen Lesestoff für mich an der Hand?
Aber immer doch... 😉
Merkzettel: VPN Installation mit Wireguard
Merkzettel: VPN Installation mit OpenVPN
IPsec IKEv2 Standort VPN Vernetzung mit Cisco, pfSense OPNsense und Mikrotik
IPsec VPN Praxis mit Standort Vernetzung Cisco, Mikrotik, pfSense, FritzBox u.a
Bzw. für mobile Clients auch:
Scheitern am IPsec VPN mit MikroTik
PfSense VPN mit L2TP (IPsec) Protokoll für mobile Nutzer
IPsec IKEv2 VPN für mobile Benutzer auf der pfSense oder OPNsense Firewall einrichten
und reicht eigentlich für die entsprechenden Bedürfnisse
Je nachdem was für eine FB da im Standort A bei dir werkelt sollte die 10 Mbit plus/minus schaffen. Es reicht ja erstmal zum Starten und Erfahrungen sammeln und Kosten zu sparen.
Sollte die VPN Bandbreite nicht reichen, kannst du da ja immer noch ein APU4 oder IPU-450 mit pfSense oder OPNsense hinstellen oder ein Mikrotik RB3011 oder RB4011. 😉

hier DoD für Department of Defense (Verteidigungsministerium der USA) steht
Holla die Waldfee ! Das war ein Volltreffer 💣 ! Wenn sie @bluelight da erwischen beim Kapern ihrer IP Adressen hilft ihm nichtmal mehr die Bundeskanzlerin... 🤣
Member: bluelight
bluelight Jun 23, 2021 at 14:09:16 (UTC)
Goto Top
Zitat von @brammer:

Hallo,

nur mal kurz der Hinweis das Netzwerk 30.30.1.0/24 gehört dem DoD Network Information Center, wobei hier DoD für Department of Defense (Verteidigungsministerium der USA) steht

brammer

Huch, das ist ja echt ein Volltreffer! face-big-smile
Mitglied: 148656
148656 Jun 23, 2021 at 14:39:20 (UTC)
Goto Top
@aqui
hier DoD für Department of Defense (Verteidigungsministerium der USA) steht
Holla die Waldfee ! Das war ein Volltreffer 💣 ! Wenn sie @bluelight da erwischen beim Kapern ihrer IP Adressen hilft ihm nichtmal mehr die Bundeskanzlerin... 🤣

Warum sollte Frau Merkel oder ihr Nachfolger helfen? Er macht doch nur Urlaub im Ferienlager auf Kuba (Guantanamo) 😆
Member: bluelight
bluelight Jun 24, 2021 updated at 14:55:27 (UTC)
Goto Top
Ich richte gerade auf der pfSense die Netzwerkinterfaces ein und wollte eine statische IPv4 und v6 Adresse vergeben.
Bin gerade so halbwegs durch das Thema IPv4 durchgestiegen und wollte jetzt die IPv6 Adresse aus vergeben aber bin ein wenig confused.

Bei netcup habe ich ja eine zugewiesene IPv6 Adresse allerdings passt die doch überhaupt nicht zum Subnet?! Sagt mir die pfSense btw auch, wenn ich die dort so vergeben möchte. Müsste die nicht eigentlich auch mit fe80 anfangen??

tempsnip

Kann mich mal einer aufklären? face-big-smile
Member: aqui
aqui Jun 24, 2021 at 16:18:48 (UTC)
Goto Top
Müsste die nicht eigentlich auch mit fe80 anfangen??
Oha, da scheitert es wieder an den Basics. Für ein Administrator Forum solltest du dir wirklich mal ein wenig Grundlagen anlesen, wenigstens die wichtigsten.
FE80: Adressen sind Link Local Scope Adressen gelten also rein nur für das Segment und vergeben sich die Interfaces selber. Ist im IPv4 Bereich sowas wie die Zeroconf Adressen 169.254.x.y. und werden immer automatisch vergeben !
Bei IPv6 haben Interfaces immer mehrere Adressen. Normal bekommt man eine Provider Adresse automatisch per DHCPv6 und Prefix Delegation an einem Provider Dual Stack Anschluss. Mit anderen Worten: Am WAN brauchst du nur die DHCPv6 Vergabe einstellen was m.E. eh Default ist. face-wink
Tip:
IPv6 Grundlagen lesen und verstehen. Eine sehr gute und kostenlose Lektüre für Anfänger ist hier zu finden:
https://danrl.com/ipv6/
Member: bluelight
bluelight Jun 24, 2021 at 16:29:31 (UTC)
Goto Top
Ach @aqui, was würde ich nur ohne dich tun. ❤️

Danke für Infos!
Gibt schlimmere Fälle als mich a la Wie richtet man SSH-Key Auth ein. 😂

Ich lerne noch. Bin ja kein alter IT-Hase face-wink
Member: bluelight
bluelight Jun 25, 2021 updated at 20:29:44 (UTC)
Goto Top
Uuuund weiter gehts. Ich habe einen IPsec VPN eingerichtet um diesen mit der F!B zu connecten. Läuft nicht.

Log in der FritzBox sagt: IKE-Error: 0x2027
Log der pfSense sagt:
Jun 25 22:14:09	charon	41978	14[IKE] <con100000|8> IKE_SA con100000[8] state change: CONNECTING => DESTROYING
Jun 25 22:14:09	charon	41978	14[IKE] <con100000|8> establishing IKE_SA failed, peer not responding
Jun 25 22:14:09	charon	41978	14[IKE] <con100000|8> giving up after 5 retransmits
Jun 25 22:14:03	charon	41978	13[CFG] vici client 86 disconnected
Jun 25 22:14:03	charon	41978	09[CFG] updated vici connection: con100000
Jun 25 22:14:03	charon	41978	09[CFG] id = xxxx.ddns.net
Jun 25 22:14:03	charon	41978	09[CFG] class = pre-shared key
Jun 25 22:14:03	charon	41978	09[CFG] remote:
Jun 25 22:14:03	charon	41978	09[CFG] id = 202.61.xxx.xxx
Jun 25 22:14:03	charon	41978	09[CFG] class = pre-shared key
Jun 25 22:14:03	charon	41978	09[CFG] local:
Jun 25 22:14:03	charon	41978	09[CFG] if_id_out = 0
Jun 25 22:14:03	charon	41978	09[CFG] if_id_in = 0
Jun 25 22:14:03	charon	41978	09[CFG] proposals = IKE:AES_CBC_256/HMAC_SHA2_512_256/PRF_HMAC_SHA2_512/MODP_2048
Jun 25 22:14:03	charon	41978	09[CFG] rand_time = 2880
Jun 25 22:14:03	charon	41978	09[CFG] over_time = 2880
Jun 25 22:14:03	charon	41978	09[CFG] rekey_time = 0
Jun 25 22:14:03	charon	41978	09[CFG] reauth_time = 25920
Jun 25 22:14:03	charon	41978	09[CFG] keyingtries = 1
Jun 25 22:14:03	charon	41978	09[CFG] unique = UNIQUE_REPLACE
Jun 25 22:14:03	charon	41978	09[CFG] childless = 0
Jun 25 22:14:03	charon	41978	09[CFG] fragmentation = 2
Jun 25 22:14:03	charon	41978	09[CFG] dpd_timeout = 60
Jun 25 22:14:03	charon	41978	09[CFG] dpd_delay = 10
Jun 25 22:14:03	charon	41978	09[CFG] encap = 0
Jun 25 22:14:03	charon	41978	09[CFG] dscp = 0x00
Jun 25 22:14:03	charon	41978	09[CFG] aggressive = 1
Jun 25 22:14:03	charon	41978	09[CFG] mobike = 0
Jun 25 22:14:03	charon	41978	09[CFG] ppk_required = 0
Jun 25 22:14:03	charon	41978	09[CFG] ppk_id = (null)
Jun 25 22:14:03	charon	41978	09[CFG] send_cert = CERT_SEND_IF_ASKED
Jun 25 22:14:03	charon	41978	09[CFG] send_certreq = 1
Jun 25 22:14:03	charon	41978	09[CFG] remote_port = 500
Jun 25 22:14:03	charon	41978	09[CFG] local_port = 500
Jun 25 22:14:03	charon	41978	09[CFG] remote_addrs = xxxx.ddns.net
Jun 25 22:14:03	charon	41978	09[CFG] local_addrs = 202.61.229.243
Jun 25 22:14:03	charon	41978	09[CFG] version = 1
Jun 25 22:14:03	charon	41978	09[CFG] copy_dscp = out
Jun 25 22:14:03	charon	41978	09[CFG] copy_ecn = 1
Jun 25 22:14:03	charon	41978	09[CFG] copy_df = 1
Jun 25 22:14:03	charon	41978	09[CFG] sha256_96 = 0
Jun 25 22:14:03	charon	41978	09[CFG] hw_offload = no
Jun 25 22:14:03	charon	41978	09[CFG] remote_ts = 192.168.178.0/24|/0
Jun 25 22:14:03	charon	41978	09[CFG] local_ts = 10.10.0.0/24|/0
Jun 25 22:14:03	charon	41978	09[CFG] proposals = ESP:AES_CBC_256/HMAC_SHA2_512_256/MODP_2048/NO_EXT_SEQ
Jun 25 22:14:03	charon	41978	09[CFG] inactivity = 0
Jun 25 22:14:03	charon	41978	09[CFG] set_mark_out = 0/0
Jun 25 22:14:03	charon	41978	09[CFG] set_mark_in = 0/0
Jun 25 22:14:03	charon	41978	09[CFG] mark_out = 0/0
Jun 25 22:14:03	charon	41978	09[CFG] mark_in_sa = 0
Jun 25 22:14:03	charon	41978	09[CFG] mark_in = 0/0
Jun 25 22:14:03	charon	41978	09[CFG] if_id_out = 0
Jun 25 22:14:03	charon	41978	09[CFG] if_id_in = 0
Jun 25 22:14:03	charon	41978	09[CFG] interface = (null)
Jun 25 22:14:03	charon	41978	09[CFG] priority = 0
Jun 25 22:14:03	charon	41978	09[CFG] tfc = 0
Jun 25 22:14:03	charon	41978	09[CFG] reqid = 0
Jun 25 22:14:03	charon	41978	09[CFG] close_action = clear
Jun 25 22:14:03	charon	41978	09[CFG] start_action = hold
Jun 25 22:14:03	charon	41978	09[CFG] dpd_action = hold
Jun 25 22:14:03	charon	41978	09[CFG] policies_fwd_out = 0
Jun 25 22:14:03	charon	41978	09[CFG] policies = 1
Jun 25 22:14:03	charon	41978	09[CFG] mode = TUNNEL
Jun 25 22:14:03	charon	41978	09[CFG] ipcomp = 0
Jun 25 22:14:03	charon	41978	09[CFG] hostaccess = 0
Jun 25 22:14:03	charon	41978	09[CFG] updown = (null)
Jun 25 22:14:03	charon	41978	09[CFG] rand_packets = 0
Jun 25 22:14:03	charon	41978	09[CFG] life_packets = 0
Jun 25 22:14:03	charon	41978	09[CFG] rekey_packets = 0
Jun 25 22:14:03	charon	41978	09[CFG] rand_bytes = 0
Jun 25 22:14:03	charon	41978	09[CFG] life_bytes = 0
Jun 25 22:14:03	charon	41978	09[CFG] rekey_bytes = 0
Jun 25 22:14:03	charon	41978	09[CFG] rand_time = 360
Jun 25 22:14:03	charon	41978	09[CFG] life_time = 3600
Jun 25 22:14:03	charon	41978	09[CFG] rekey_time = 3240
Jun 25 22:14:03	charon	41978	09[CFG] child con100000:
Jun 25 22:14:03	charon	41978	09[CFG] conn con100000:
Jun 25 22:14:03	charon	41978	09[CFG] vici client 86 requests: load-conn
Jun 25 22:14:03	charon	41978	09[CFG] updated vici connection: bypass
Jun 25 22:14:03	charon	41978	09[CFG] remote:
Jun 25 22:14:03	charon	41978	09[CFG] local:
Jun 25 22:14:03	charon	41978	09[CFG] if_id_out = 0
Jun 25 22:14:03	charon	41978	09[CFG] if_id_in = 0
Jun 25 22:14:03	charon	41978	09[CFG] proposals = IKE:AES_CBC_128/AES_CBC_192/AES_CBC_256/CAMELLIA_CBC_128/CAMELLIA_CBC_192/CAMELLIA_CBC_256/3DES_CBC/HMAC_SHA2_256_128/HMAC_SHA2_384_192/HMAC_SHA2_512_256/HMAC_SHA1_96/AES_XCBC_96/AES_CMAC_96/PRF_HMAC_SHA2_256/PRF_HMAC_SHA2_384/PRF_HMAC_SHA2_512/PRF_AES128_XCBC/PRF_AES128_CMAC/PRF_HMAC_SHA1/ECP_256/ECP_384/ECP_521/ECP_256_BP/ECP_384_BP/ECP_512_BP/CURVE_25519/CURVE_448/MODP_3072/MODP_4096/MODP_6144/MODP_8192/MODP_2048, IKE:AES_GCM_16_128/AES_GCM_16_192/AES_GCM_16_256/CHACHA20_POLY1305/AES_GCM_12_128/AES_GCM_12_192/AES_GCM_12_256/AES_GCM_8_128/AES_GCM_8_192/AES_GCM_8_256/PRF_HMAC_SHA2_256/PRF_HMAC_SHA2_384/PRF_HMAC_SHA2_512/PRF_AES128_XCBC/PRF_AES128_CMAC/PRF_HMAC_SHA1/ECP_256/ECP_384/ECP_521/ECP_256_BP/ECP_384_BP/ECP_512_BP/CURVE_25519/CURVE_448/MODP_3072/MODP_4096/MODP_6144/MODP_8192/MODP_2048
Jun 25 22:14:03	charon	41978	09[CFG] rand_time = 1440
Jun 25 22:14:03	charon	41978	09[CFG] over_time = 1440
Jun 25 22:14:03	charon	41978	09[CFG] rekey_time = 14400
Jun 25 22:14:03	charon	41978	09[CFG] reauth_time = 0
Jun 25 22:14:03	charon	41978	09[CFG] keyingtries = 1
Jun 25 22:14:03	charon	41978	09[CFG] unique = UNIQUE_NO
Jun 25 22:14:03	charon	41978	09[CFG] childless = 0
Jun 25 22:14:03	charon	41978	09[CFG] fragmentation = 2
Jun 25 22:14:03	charon	41978	09[CFG] dpd_timeout = 0
Jun 25 22:14:03	charon	41978	09[CFG] dpd_delay = 0
Jun 25 22:14:03	charon	41978	09[CFG] encap = 0
Jun 25 22:14:03	charon	41978	09[CFG] dscp = 0x00
Jun 25 22:14:03	charon	41978	09[CFG] aggressive = 0
Jun 25 22:14:03	charon	41978	09[CFG] mobike = 1
Jun 25 22:14:03	charon	41978	09[CFG] ppk_required = 0
Jun 25 22:14:03	charon	41978	09[CFG] ppk_id = (null)
Jun 25 22:14:03	charon	41978	09[CFG] send_cert = CERT_SEND_IF_ASKED
Jun 25 22:14:03	charon	41978	09[CFG] send_certreq = 1
Jun 25 22:14:03	charon	41978	09[CFG] remote_port = 500
Jun 25 22:14:03	charon	41978	09[CFG] local_port = 500
Jun 25 22:14:03	charon	41978	09[CFG] remote_addrs = 127.0.0.1
Jun 25 22:14:03	charon	41978	09[CFG] local_addrs = %any
Jun 25 22:14:03	charon	41978	09[CFG] version = 0
Jun 25 22:14:03	charon	41978	09[CFG] copy_dscp = out
Jun 25 22:14:03	charon	41978	09[CFG] copy_ecn = 1
Jun 25 22:14:03	charon	41978	09[CFG] copy_df = 1
Jun 25 22:14:03	charon	41978	09[CFG] sha256_96 = 0
Jun 25 22:14:03	charon	41978	09[CFG] hw_offload = no
Jun 25 22:14:03	charon	41978	09[CFG] remote_ts = 10.10.0.0/24|/0
Jun 25 22:14:03	charon	41978	09[CFG] local_ts = 10.10.0.0/24|/0
Jun 25 22:14:03	charon	41978	09[CFG] proposals = ESP:AES_GCM_16_128/AES_GCM_16_192/AES_GCM_16_256, ESP:AES_CBC_128/AES_CBC_192/AES_CBC_256/HMAC_SHA2_256_128/HMAC_SHA2_384_192/HMAC_SHA2_512_256/HMAC_SHA1_96/AES_XCBC_96/NO_EXT_SEQ
Jun 25 22:14:03	charon	41978	09[CFG] inactivity = 0
Jun 25 22:14:03	charon	41978	09[CFG] set_mark_out = 0/0
Jun 25 22:14:03	charon	41978	09[CFG] set_mark_in = 0/0
Jun 25 22:14:03	charon	41978	09[CFG] mark_out = 0/0
Jun 25 22:14:03	charon	41978	09[CFG] mark_in_sa = 0
Jun 25 22:14:03	charon	41978	09[CFG] mark_in = 0/0
Jun 25 22:14:03	charon	41978	09[CFG] if_id_out = 0
Jun 25 22:14:03	charon	41978	09[CFG] if_id_in = 0
Jun 25 22:14:03	charon	41978	09[CFG] interface = (null)
Jun 25 22:14:03	charon	41978	09[CFG] priority = 0
Jun 25 22:14:03	charon	41978	09[CFG] tfc = 0
Jun 25 22:14:03	charon	41978	09[CFG] reqid = 0
Jun 25 22:14:03	charon	41978	09[CFG] close_action = clear
Jun 25 22:14:03	charon	41978	09[CFG] start_action = hold
Jun 25 22:14:03	charon	41978	09[CFG] dpd_action = clear
Jun 25 22:14:03	charon	41978	09[CFG] policies_fwd_out = 0
Jun 25 22:14:03	charon	41978	09[CFG] policies = 1
Jun 25 22:14:03	charon	41978	09[CFG] mode = PASS
Jun 25 22:14:03	charon	41978	09[CFG] ipcomp = 0
Jun 25 22:14:03	charon	41978	09[CFG] hostaccess = 0
Jun 25 22:14:03	charon	41978	09[CFG] updown = (null)
Jun 25 22:14:03	charon	41978	09[CFG] rand_packets = 0
Jun 25 22:14:03	charon	41978	09[CFG] life_packets = 0
Jun 25 22:14:03	charon	41978	09[CFG] rekey_packets = 0
Jun 25 22:14:03	charon	41978	09[CFG] rand_bytes = 0
Jun 25 22:14:03	charon	41978	09[CFG] life_bytes = 0
Jun 25 22:14:03	charon	41978	09[CFG] rekey_bytes = 0
Jun 25 22:14:03	charon	41978	09[CFG] rand_time = 360
Jun 25 22:14:03	charon	41978	09[CFG] life_time = 3960
Jun 25 22:14:03	charon	41978	09[CFG] rekey_time = 3600
Jun 25 22:14:03	charon	41978	09[CFG] child bypasslan:
Jun 25 22:14:03	charon	41978	09[CFG] conn bypass:
Jun 25 22:14:03	charon	41978	09[CFG] vici client 86 requests: load-conn
Jun 25 22:14:03	charon	41978	07[CFG] vici client 86 requests: get-conns
Jun 25 22:14:03	charon	41978	07[CFG] vici client 86 requests: get-pools
Jun 25 22:14:03	charon	41978	13[CFG] vici client 86 requests: get-authorities
Jun 25 22:14:03	charon	41978	13[CFG] loaded IKE shared key with id 'ike-0' for: '%any', 'xxx.ddns.net'  
Jun 25 22:14:03	charon	41978	13[CFG] vici client 86 requests: load-shared
Jun 25 22:14:03	charon	41978	07[CFG] vici client 86 requests: get-shared
Jun 25 22:14:03	charon	41978	07[CFG] vici client 86 requests: get-keys
Jun 25 22:14:03	charon	41978	16[CFG] vici client 86 connected
Jun 25 22:14:03	charon	41978	07[CFG] vici client 85 disconnected
Jun 25 22:14:03	charon	41978	16[CFG] loaded 0 RADIUS server configurations
Jun 25 22:14:03	charon	41978	16[CFG] loaded 0 entries for attr plugin configuration
Jun 25 22:14:03	charon	41978	16[CFG] ipseckey plugin is disabled
Jun 25 22:14:03	charon	41978	16[CFG] vici client 85 requests: reload-settings
Jun 25 22:14:03	charon	41978	11[CFG] vici client 85 connected

Junge, junge... so langsam wirds aber haarig mit meinen VPN Versuchen face-big-smile

Bin nach dieser Anleitung vorgegangen.
Habe aber auch andere ausprobiert, ohne Erfolg.

Ich habe ebenfalls eine Scheunentorregel erstellt, um sicher zu gehen, dass die Firewall nichts blockt.
Mitglied: 148656
148656 Jun 25, 2021 at 20:45:47 (UTC)
Goto Top
Zitat von @bluelight:

Uuuund weiter gehts. Ich habe einen IPsec VPN eingerichtet um diesen mit der F!B zu connecten. Läuft nicht.

Hast du die Anleitungen von Meister Aqui gelesen und verstanden?
Log in der FritzBox sagt: IKE-Error: 0x2027

Junge, junge... so langsam wirds aber haarig mit meinen VPN Versuchen face-big-smile
Haarig ist nicht unbedingt das Wort, welches mir dazu in den Sinn kommt.
Bin nach dieser Anleitung vorgegangen.
Hast du dort einen Kommentar hinterlassen?
Habe aber auch andere ausprobiert, ohne Erfolg.
Einfach die Links lesen und verstehen. Ggf auch nochmal das Fachbuch aus der Ausbildung hinzuziehen und Fachbegriffe in eine Suchmaschine eingeben.
Ich habe ebenfalls eine Scheunentorregel erstellt, um sicher zu gehen, dass die Firewall nichts blockt.
Warum? Im Log wird alles protokolliert. Da muss man nix mit Starallüren einrichten.
Member: bluelight
bluelight Jun 26, 2021 at 16:15:31 (UTC)
Goto Top
Moin @148656,

ja, habe ich gelesen, hätte mir allerdings nichts gebracht, weil der Sever schuld war. NIC war nicht tun/tap fähig.
So weit so gut. VPN Tunnel steht.

Jetzt stehe ich vor dem nächsten Problem, dass ich eines der beiden Netze nicht anpingen/erreichen kann.
Ja, ICMP ist erlaubt.

Aufbau:
aufbau

Von Client01 kann ich den DC01 anpingen, umgekehrt jedoch nicht.
Bei dem Versuch Client01 von DC01 anzupingen, habe ich die lokale Adresse der F!B genutzt, denn so funktioniert ja der IPsec VPN, wenn ich ihn richtig verstanden habe. Ist ja eine Kopplung verschiedener Subnetze.

Nach Analyse der Logs, macht mir die Firewall wohl keinen Strich durch die Rechnung. Kann es vielleicht an falschem Routing o.Ä. liegen?

Ich für ein paar Lösungsvorschläge und Ansätze super dankbar!!

Liebe Grüße
Simon
Mitglied: 148656
148656 Jun 26, 2021 at 16:46:54 (UTC)
Goto Top
Moin Simon,

Zeig doch einfach Mal die Config von der Fritz!Box und der Sense.
Meine Glaskugel funktioniert nur bei Einwurf von großen Münzen.🤗

Gruß
C.C.
Member: bluelight
bluelight Jun 26, 2021 at 17:01:05 (UTC)
Goto Top
Hey,

welche Teile der Config auf der Sense möchtest du genau sehen?`
Die IPsec Config oder welche?

Gruß
Simon
Member: bluelight
Solution bluelight Jun 26, 2021 at 17:49:30 (UTC)
Goto Top
F!B Config File:

vpncfg {
        vpncfg_version = 1;
        connections {
                enabled = yes;
                editable = no;
                conn_type = conntype_lan;
                name = "OPNsense IPsec VPN";  
                boxuser_id = 0;
                always_renew = yes;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 194.13.xx.xxx;
                remote_virtualip = 0.0.0.0;
                keepalive_ip = 0.0.0.0;
                localid {
                        fqdn = "dynDNS der F!B";  
                }
                remoteid {
                        ipaddr = 194.13.xx.xxx;
                }
                mode = phase1_mode_aggressive;
                phase1ss = "dh14/aes/sha";  
                keytype = connkeytype_pre_shared;
                key = "super sicherer shared key";  
                cert_do_server_auth = no;
                use_nat_t = no;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.178.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipnet {
                                ipaddr = 10.0.0.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2ss = "esp-aes256-3des-sha/ah-no/comp-lzs-no/pfs";  
                accesslist = "permit ip any 10.0.0.0 255.255.255.0";  
                app_id = 0;
        }
}

Phase 1:
10.0.0.1_vpn_ipsec_phase1.php_p1index=0
Phase 2:
10.0.0.1_vpn_ipsec_phase2.php_p2index=60d76490e80b3

Grüße
Simon
Mitglied: 148656
148656 Jun 26, 2021 at 18:51:07 (UTC)
Goto Top
Zitat von @bluelight:

Hey,

welche Teile der Config auf der Sense möchtest du genau sehen?`
Die IPsec Config oder welche?

Gruß
Simon

Dein Vorhaben besteht aus mehreren Teilen...
Der VPN-Tunnel steht. Jetzt musst du nur noch die die Routen eintragen. Deine Fritzbox kennt derzeit nur das Netz deiner VPN Verbindung. Hat jedoch keine Ahnung, dass es dort noch mehr Netze gibt.

Gruß
C.C.
Member: bluelight
bluelight Jun 26, 2021 at 19:13:13 (UTC)
Goto Top
Traceroute ist auch komisch. Sollte doch eigentlich direkt über die F!B gehen, da er das Remote-Netzwerk ja kennt.

TR von FW:
traceroute to 192.168.178.1 (192.168.178.1), 64 hops max, 40 byte packets
 1  194.13.80.2 (194.13.80.2)  0.250 ms  0.343 ms  0.194 ms
 2  ae3-4019.bbr02.anx84.nue.de.anexia-it.net (144.208.211.10)  0.478 ms  0.369 ms  0.392 ms
 3  ae0-0.bbr01.anx84.nue.de.anexia-it.net (144.208.208.139)  3.660 ms  3.680 ms  3.576 ms

TR von DC01: 
Routenverfolgung zu 192.168.178.1 über maximal 30 Hops

  1    <1 ms    <1 ms    <1 ms  192.145.44.2
  2    <1 ms    <1 ms    <1 ms  ae3-4019.bbr02.anx84.nue.de.anexia-it.net [144.208.211.10]
  3    14 ms     5 ms     8 ms  ae0-0.bbr01.anx84.nue.de.anexia-it.net [144.208.208.139]
  4     *        *        *     Zeitüberschreitung der Anforderung.
Member: bluelight
bluelight Jun 26, 2021 at 19:15:18 (UTC)
Goto Top
Zitat von @148656:

Zitat von @bluelight:

Hey,

welche Teile der Config auf der Sense möchtest du genau sehen?`
Die IPsec Config oder welche?

Gruß
Simon

Dein Vorhaben besteht aus mehreren Teilen...
Der VPN-Tunnel steht. Jetzt musst du nur noch die die Routen eintragen. Deine Fritzbox kennt derzeit nur das Netz deiner VPN Verbindung. Hat jedoch keine Ahnung, dass es dort noch mehr Netze gibt.

Gruß
C.C.

Hey,

wieso meine F!B?
Es gibt nur ein Netz, was für die F!B relevant ist und dass ist das 10.0.0.0/24. Und das findet und routet die ja auch.
Nur die Firewall und deren Clients kennen anscheinend noch nicht das Netz der F!B.
Mitglied: 148656
148656 Jun 26, 2021 at 19:39:49 (UTC)
Goto Top
Aber die Clients greifen auf die Ressourcen hinter der Sense zu.
Member: aqui
Solution aqui Jun 26, 2021 updated at 20:02:01 (UTC)
Goto Top
dass ich eines der beiden Netze nicht anpingen/erreichen kann.
Sind das Winblows Endgeräte ??
Bedenke das deren lokale Firewall dir da immer einen Strich durch die Rechnung macht ! Das aus 2 Gründen:
  • Ping (ICMP Protokoll) ist im Default deaktiviert !
  • Die lokale Firewall lässt nur Traffic aus dem lokalen IP Netz zu. Nicht aber aus Fremdnetzen wie deine remoten VPN IP Netze.
Im Zweifel also erstmal NICHT Winblows Geräte pingen wie Drucker usw. oder die lokalen LAN IPs der Router/Firewall.
Lösung zu 1:
ICMP freigeben:
https://www.windowspro.de/wolfgang-sommergut/ping-windows-10-erlauben-gu ...
Lösung zu 2:
Die IP Range der Absender IP des betreffenden Dienstes (Port) auf ANY stellen in der lokalen Firewall !
Was immer pingbar sein sollte sind die jeweiligen lokalen LAN IP Adressen der FritzBox und der OPNsense. Ist das der Fall ? Das zeigt dann das der VPN Tunnel fehlerfrei funktioniert.
Beachten das wenn du das Ping Tool der OPNsense nutzt auch die Absender IP auf die lokale LAN IP setzt !
Member: bluelight
bluelight Jun 26, 2021 at 20:05:00 (UTC)
Goto Top
Zitat von @148656:

Aber die Clients greifen auf die Ressourcen hinter der Sense zu.

Ja und das funktioniert ja auch?
Ich verstehe nicht was du meinst face-big-smile
Member: bluelight
bluelight Jun 26, 2021 updated at 20:17:38 (UTC)
Goto Top
Zitat von @aqui:

dass ich eines der beiden Netze nicht anpingen/erreichen kann.
Sind das Winblows Endgeräte ??
Bedenke das deren lokale Firewall dir da immer einen Strich durch die Rechnung macht ! Das aus 2 Gründen:
  • Ping (ICMP Protokoll) ist im Default deaktiviert !
  • Die lokale Firewall lässt nur Traffic aus dem lokalen IP Netz zu. Nicht aber aus Fremdnetzen wie deine remoten VPN IP Netze.
Im Zweifel also erstmal NICHT Winblows Geräte pingen wie Drucker usw. oder die lokalen LAN IPs der Router/Firewall.
Lösung zu 1:
ICMP freigeben:
https://www.windowspro.de/wolfgang-sommergut/ping-windows-10-erlauben-gu ...
Lösung zu 2:
Die IP Range der Absender IP des betreffenden Dienstes (Port) auf ANY stellen in der lokalen Firewall !
Was immer pingbar sein sollte sind die jeweiligen lokalen LAN IP Adressen der FritzBox und der OPNsense. Ist das der Fall ? Das zeigt dann das der VPN Tunnel fehlerfrei funktioniert.
Beachten das wenn du das Ping Tool der OPNsense nutzt auch die Absender IP auf die lokale LAN IP setzt !

Hallo Chef!,

der Ping von der pfSense auf die F!B und Geräte dahinter klappt mittlerweile - Lösung: Neustart der F!B + pfSense.
Jetzt komme ich lediglich nicht mit dem DC01 an die F!B oder deren Clients dran.

Gruß
Simon
### Nachtrag ###
Auch das geht jetzt, ohne dass ich irgendetwas verändert habe.
Member: aqui
aqui Jun 26, 2021 at 20:28:40 (UTC)
Goto Top
Auch das geht jetzt, ohne dass ich irgendetwas verändert habe.
👍
Mit anderen Worten alles rennt wie es soll ! face-wink
Member: bluelight
bluelight Jun 26, 2021 at 20:31:43 (UTC)
Goto Top
Zitat von @aqui:

Auch das geht jetzt, ohne dass ich irgendetwas verändert habe.
👍
Mit anderen Worten alles rennt wie es soll ! face-wink

So gut, wie!
Jetzt muss ich es nur noch hinbekommen, dass meine Clients, ohne manuelle Konfiguration des Netzwerkadapters, den DC als primären DNS Server nutzen.
DNS Server der F!B ändern, bringt leider nicht den gewünschten Erfolg - auch wenn ich das DHCP-Lease neu anfordere via ipconfig /release & ipconfig /renew
Member: Ad39min
Solution Ad39min Jun 26, 2021 updated at 20:42:02 (UTC)
Goto Top
Zitat von @bluelight:

Zitat von @aqui:

Auch das geht jetzt, ohne dass ich irgendetwas verändert habe.
👍
Mit anderen Worten alles rennt wie es soll ! face-wink

So gut, wie!
Jetzt muss ich es nur noch hinbekommen, dass meine Clients, ohne manuelle Konfiguration des Netzwerkadapters, den DC als primären DNS Server nutzen.
DNS Server der F!B ändern, bringt leider nicht den gewünschten Erfolg - auch wenn ich das DHCP-Lease neu anfordere via ipconfig /release & ipconfig /renew

Du sollst auch nicht die DNS Server der Fritzbox ändern, sondern die in den DHCP Optionen der FritzBox.

EDIT:
Noch besser wäre es einen AD-integrierten DHCP Server zu verwenden. Als einziger Server hierfür käme dein DC infrage. Das ganze scheitert allerdings daran, dass die FritzBox kein DHCP Relay unterstützt. Ein Grund, weshalb ich eher auf ein APU Board gesetzt hätte.
Member: bluelight
bluelight Jun 26, 2021 at 20:39:34 (UTC)
Goto Top
Ja, ich weiß face-smile
Ich wollte das über editieren der Export-CFG machen, jedoch lässt diese sich dann nicht wieder importieren, weil er die Datei nicht mehr als valide anerkennt.
heart1
Member: bluelight
Solution bluelight Jun 26, 2021 at 20:50:54 (UTC)
Goto Top
### CASE SOLVED ###

Ich liebe euch so sehr!
Es hat alles geklappt.

Zur Info für die, die das selbe Problem haben: Unter Heimnetz -> Netzwerkeinstellungen könnt ihr den DNS Server einstellen, der per DHCP verteilt werden soll. Aber denkt dran, es kann nur einer verteilt werden.

Grüße
Simon
Member: Ad39min
Ad39min Jun 26, 2021 updated at 20:53:49 (UTC)
Goto Top
Zitat von @bluelight:
Zur Info für die, die das selbe Problem haben: Unter Heimnetz -> Netzwerkeinstellungen könnt ihr den DNS Server einstellen, der per DHCP verteilt werden soll. Aber denkt dran, es kann nur einer verteilt werden.

Das ist so eine nette Einschränkung an den FritzBüchsen face-wink

Aber da du ja nur einen internen AD-DNS betreibst, ja für dich kein Problem.


Grüße
Simon

Gruß
Alex
Member: bluelight
bluelight Jun 26, 2021 at 21:02:52 (UTC)
Goto Top
Zitat von @Ad39min:

Zitat von @bluelight:
Zur Info für die, die das selbe Problem haben: Unter Heimnetz -> Netzwerkeinstellungen könnt ihr den DNS Server einstellen, der per DHCP verteilt werden soll. Aber denkt dran, es kann nur einer verteilt werden.

Das ist so eine nette Einschränkung an den FritzBüchsen face-wink

Aber da du ja nur einen internen AD-DNS betreibst, ja für dich kein Problem.


Grüße
Simon

Gruß
Alex

Hi Alex,

ja, da hast du Recht. Aber für den Anfang tut es erstmal seinen Dienst.
Die Fritte wird demnächst sowieso abgelöst, wenn ich noch tiefer in den Themen drin bin. Dann will ich dort ein APU Board + Switch stehen haben. Der Laden wird dann mit APs ausgebaut für WLAN Roaming.

Gruß
Simon
Member: bluelight
bluelight Jun 26, 2021 at 21:04:33 (UTC)
Goto Top
Zitat von @Ad39min:
EDIT:
Noch besser wäre es einen AD-integrierten DHCP Server zu verwenden. Als einziger Server hierfür käme dein DC infrage. Das ganze scheitert allerdings daran, dass die FritzBox kein DHCP Relay unterstützt. Ein Grund, weshalb ich eher auf ein APU Board gesetzt hätte.

Eins nach dem anderen... face-big-smile
Member: Ad39min
Ad39min Jun 26, 2021 at 21:23:36 (UTC)
Goto Top
Zitat von @bluelight:

Zitat von @Ad39min:

Zitat von @bluelight:
Zur Info für die, die das selbe Problem haben: Unter Heimnetz -> Netzwerkeinstellungen könnt ihr den DNS Server einstellen, der per DHCP verteilt werden soll. Aber denkt dran, es kann nur einer verteilt werden.

Das ist so eine nette Einschränkung an den FritzBüchsen face-wink

Aber da du ja nur einen internen AD-DNS betreibst, ja für dich kein Problem.


Grüße
Simon

Gruß
Alex

Hi Alex,

ja, da hast du Recht. Aber für den Anfang tut es erstmal seinen Dienst.
Die Fritte wird demnächst sowieso abgelöst, wenn ich noch tiefer in den Themen drin bin. Dann will ich dort ein APU Board + Switch stehen haben. Der Laden wird dann mit APs ausgebaut für WLAN Roaming.

Gruß
Simon

Gute Entscheidung. Wenn deine Leute wirklich darüber produktiv arbeiten und es somit geschäftskritisch wird, solltest Du Dir dennoch Gedanken drüber machen wie Du Dein Netzwerk samt Ressourcen (AD,...) redundant ausgelegst.
Member: bluelight
bluelight Jun 26, 2021 at 22:17:42 (UTC)
Goto Top
Eine Frage hätte ich dennoch: Welche Vor- und Nachteile hätte ich, wenn ich den gesamten Traffic durch den VPN jagen würde. Split-Tunneling ist ja in dem Szenario am sinnvollsten, damit die Unternehmenressourcen verfügbar sind und trotzdem die Internetgeschwindigkeit nicht leidet, weil normalen Surfen.

Welchen Sinn hätte das?

Grüße
Simon
Member: aqui
aqui Jun 27, 2021 at 09:02:19 (UTC)
Goto Top
Split-Tunneling ist ja in dem Szenario am sinnvollsten, damit die Unternehmenressourcen verfügbar sind und trotzdem die Internetgeschwindigkeit nicht leidet
Du hast dir deine Frage gerade selbst beantwortet ! face-wink
Member: bluelight
bluelight Jun 27, 2021 at 09:08:51 (UTC)
Goto Top
Zitat von @aqui:

Split-Tunneling ist ja in dem Szenario am sinnvollsten, damit die Unternehmenressourcen verfügbar sind und trotzdem die Internetgeschwindigkeit nicht leidet
Du hast dir deine Frage gerade selbst beantwortet ! face-wink

Jein. In meinem Szenario jetzt, ja. Ich meine so generell. Der einzige Aspekt, der mir da gerade einfällt, ist: Mehr Privatsphäre, dann alle Kommunikation über eine IP stattfindet.
Member: Ad39min
Ad39min Jun 27, 2021 at 09:12:29 (UTC)
Goto Top
Zitat von @bluelight:

Eine Frage hätte ich dennoch: Welche Vor- und Nachteile hätte ich, wenn ich den gesamten Traffic durch den VPN jagen würde. Split-Tunneling ist ja in dem Szenario am sinnvollsten, damit die Unternehmenressourcen verfügbar sind und trotzdem die Internetgeschwindigkeit nicht leidet, weil normalen Surfen.

Welchen Sinn hätte das?

Grüße
Simon

Das hätte kaum Vorteile, eher (wie Du bereits vermutet hast) den Nachteil eines zusätzlichen Flaschenhalses. Die Performance des Tunnels kann nämlich nie besser sein, als die des Mediums, das er benutzt.

Es könnte lediglich dann von Vorteil sein, wenn Du den Internetzugriff Deiner User mit den Webfilter-Funktionen der PFsense einschränken wolltest (welche weit über die Webfilter-Funktionen der FritzBüchse hinausragen).
Aber auch da wäre es besser wenn Du bei euch vor Ort ein APU Board mit PFsense betreiben würdest. Somit könntest Du die Vorteile beider Varianten kombinieren.
Member: bluelight
bluelight Jun 27, 2021 at 10:23:05 (UTC)
Goto Top
Ich habe testweise mal mein Zuhause per F!B an den VPN angebunden. Ich frage mich jetzt nur, wie ich quasi Standort B sage, dass es jetzt auch Standort C gibt mit dem Netz 192.168.177.0/24 und anders herum. So dass die sich untereinander ansprechen können.
Ich bin sicher, dass hat was mit Routen zu tun, allerdings musste ich das noch nie machen und habe absolut keine Ahnung, wo ich dem die Routen sagen muss und wie ich die gestalten muss.

Vielleicht hast du da auch nochmal einen Tipp für mich!

Gruß
Simon
Member: aqui
aqui Jun 27, 2021 updated at 13:19:43 (UTC)
Goto Top
Mehr Privatsphäre, dann alle Kommunikation über eine IP stattfindet.
Das wäre dann das Argument für einen Gateway Redirect. Bei der mickrigen VPN Performance der FB aber vielleicht nicht gerade zielführend für den Anfang. Kollege @ad39m hat es schon angesprochen.
Ich frage mich jetzt nur, wie ich quasi Standort B sage, dass es jetzt auch Standort C gibt
Das machst du mit der IPsec Konfig in der Phase 2 ! Dort gibst du doch den jeweiligen VPN Routern immer die lokalen und remoten IP Netze mit und damit "kennen" sie diese logischerweise und auch die Route dahin. Ganz simpel und einfach ! face-wink
Ich bin sicher, dass hat was mit Routen zu tun
So ist es !
allerdings musste ich das noch nie machen
Weil die IPsec Phase 2 eben dein bester Freund ist.
Tip: Mal etwas Grundlagen zu IPsec lesen und schlau machen !!
IPSEC Protokoll - Einsatz, Aufbau, benötigte Ports und Begriffserläuterungen
Wie immer: Lesen und verstehen ! face-wink
heart2
Member: bluelight
bluelight Jun 27, 2021 at 14:09:40 (UTC)
Goto Top
Zitat von @aqui:

Mehr Privatsphäre, dann alle Kommunikation über eine IP stattfindet.
Das wäre dann das Argument für einen Gateway Redirect. Bei der mickrigen VPN Performance der FB aber vielleicht nicht gerade zielführend für den Anfang. Kollege @ad39m hat es schon angesprochen.
Ich frage mich jetzt nur, wie ich quasi Standort B sage, dass es jetzt auch Standort C gibt
Das machst du mit der IPsec Konfig in der Phase 2 ! Dort gibst du doch den jeweiligen VPN Routern immer die lokalen und remoten IP Netze mit und damit "kennen" sie diese logischerweise und auch die Route dahin. Ganz simpel und einfach ! face-wink
Ich bin sicher, dass hat was mit Routen zu tun
So ist es !
allerdings musste ich das noch nie machen
Weil die IPsec Phase 2 eben dein bester Freund ist.
Tip: Mal etwas Grundlagen zu IPsec lesen und schlau machen !!
IPSEC Protokoll - Einsatz, Aufbau, benötigte Ports und Begriffserläuterungen
Wie immer: Lesen und verstehen ! face-wink

Hallo Meister @aqui!,

das ist meine Phase 2 für den VPN zu mir nach Hause.
unbenannt

Weiß ehrlich gesagt nicht so ganz, wo ich dort etwas passendes eintragen soll, so dass mein Zuhause (Standort C) weiß, ahhh, da lang geht es zu Standort B (Büro vor Ort).

Gruß
Simon
Member: aqui
aqui Jun 27, 2021 updated at 15:07:10 (UTC)
Goto Top
Glotzen uff wie der Berliner so schön sagt... 😵‍💫
Local Network = Dein lokales LAN Subnet ! Welches das ist siehst du (und die FW) an den IP Einstellungen dieses LAN Interfaces
Remote Network = 192.168..177.0 /24
Bei der Phase 2 Negotiation machen sich die beiden VPN Systeme diese IP Netze gegenseitig automatisch bekannt und "kennen" so alle Routen.
Zumindestens auf der pfSense kannst du dir das bei aktivem Tunnel auch in der Routing Tabelle unter Diagnostics anzeigen lassen und auch unter Status -> IPsec. face-wink
Member: bluelight
bluelight Jun 27, 2021 at 15:11:15 (UTC)
Goto Top
Ja, vom DC auf Site1 und Site2 komme ich ja. Genau so komme ich von Site1 & Site2 zu DC und FW. Ich komme nur nicht von Site1 zu Site2.

Ich sehe gerade den Wald vor lauter Bäumen wahrscheinlich nicht.
Member: aqui
aqui Jun 27, 2021 updated at 15:22:25 (UTC)
Goto Top
Ich komme nur nicht von Site1 zu Site2.
Bahnhof, Ägypten ???
Du hast doch oben selber stolz verkündet: "Ich liebe euch so sehr! Es hat alles geklappt."
Was denn nun ??? Du sprichst in Rätseln ??
Wenn das VPN steht und du Site1 und Site 2 Endgeräte untereinander pingen kannst inkl. der FW Interfaces wie du selber sagst ist doch alles OK ?!
Wenn einzelne Geräte nicht pingbar sein sollten und das zudem Winblows Gurken sind kann es nur die lokale Windows Firewall dieser Geräte sein und es gilt das dir oben gesagte zu ICMP und den Datei- und Druckerdiensten.
Member: bluelight
bluelight Jun 27, 2021 updated at 15:39:32 (UTC)
Goto Top
Zitat von @aqui:

Ägypten ???
Da geht es erst in 14 Tagen hin. face-wink
Okay, ich hol nochmal kurz aus.
Ich formuliere echt doof gerade!

Standort A: 2 x Netcup VM (pfSense + DC)
Standort B: Ladengeschäft vor Ort mit F!B
=== Verbindung zwischen A+B steht und funktioniert wunderbar. Alle Geräte kommunizieren untereinander ===
Standort C: Mein Zuhause mit F!B
=== Verbindung zwischen A+C steht und funktioniert wunderbar. Alle Geräte von A zu C kommunizieren untereinander. ===

Ich möchte aber jetzt Beispielsweise von hier (C) aus, auf den Drucker bei B zugreifen. Allerdings komme ich nicht durch von C zu B oder von B zu C. Von A komme ich an alle Netze dran.

Verfolge ich die Route zu 192.168.178.1 (F!B an Standort B) komme ich bis zu meiner F!B (C) und dann nicht weiter. Meine F!B kennt ja nur das Netz 10.0.0.0/24 und nicht 192.168.178.0/24 von Standort B.

Wie bekomme ich eine Kommunikation zwischen B und C hin?
Member: aqui
aqui Jun 27, 2021 at 17:42:20 (UTC)
Goto Top
Ich möchte aber jetzt Beispielsweise von hier (C) aus, auf den Drucker bei B zugreifen.
Aaaahhhsooo, sorry, das hatte ich auch in den falschen Hals bekommen.
Ja, das ist klar das das nicht geht und das hast du auch richtig erkannt !
Meine F!B kennt ja nur das Netz 10.0.0.0/24 und nicht 192.168.178.0/24 von Standort B.
Genau, denn deine C FB kennt das Netz der B FB nicht bzw. weiss nicht das sie das auch in den VPN Tunnel nach A routen muss. Die Routing Tabelle ist hier wieder dein Freund ! face-wink
Es gibt eine einfache Optionen das zu lösen:
Du definierst einfach ein weiteres VPN zw. den beiden FritzBoxen FB B und FB C. face-wink
Member: bluelight
bluelight Jun 27, 2021 at 17:45:45 (UTC)
Goto Top
Zitat von @aqui:
Genau, denn deine C FB kennt das Netz der B FB nicht bzw. weiss nicht das sie das auch in den VPN Tunnel nach A routen muss. Die Routing Tabelle ist hier wieder dein Freund ! face-wink
Ich habe schon, spaßeshalber, versucht, das Netz der F!B als statische Route hinzu zu fügen mit der pfSense als GW. Aber das geht natürlich nicht... face-big-smile

Es gibt eine einfache Optionen das zu lösen:
Du definierst einfach ein weiteres VPN zw. den beiden FritzBoxen FB B und FB C. face-wink
Also F!B mit F!B verbinden, unabhängig von der pfSense?
Member: Ad39min
Ad39min Jun 27, 2021 at 17:51:00 (UTC)
Goto Top
Zitat von @bluelight:
Es gibt eine einfache Optionen das zu lösen:
Du definierst einfach ein weiteres VPN zw. den beiden FritzBoxen FB B und FB C. face-wink
Also F!B mit F!B verbinden, unabhängig von der pfSense?

Ja klar. Damit sparst Du Dir bei der Verbindung die PFsense als Knotenpunkt und hast einen SPOF weniger und bestenfalls eine bessere Performance.
Member: bluelight
bluelight Jun 27, 2021 at 17:53:37 (UTC)
Goto Top
Zitat von @Ad39min:

Zitat von @bluelight:
Es gibt eine einfache Optionen das zu lösen:
Du definierst einfach ein weiteres VPN zw. den beiden FritzBoxen FB B und FB C. face-wink
Also F!B mit F!B verbinden, unabhängig von der pfSense?

Ja klar. Damit sparst Du Dir bei der Verbindung die PFsense als Knotenpunkt und hast einen SPOF weniger und bestenfalls eine bessere Performance.

SPOF? Single point of failure? Oder waas soll das heißen?
Member: aqui
aqui Jun 27, 2021 at 17:56:04 (UTC)
Goto Top
Man könnte auch etwas frickeln mit größeren Phase 2 Subnetzmasken wie z.B. HIER aber wir wollen dich jetzt auf deinem guten VPN Weg nicht "versauen" mit solchen Basteleien. face-wink
Member: bluelight
bluelight Jun 27, 2021 updated at 17:59:55 (UTC)
Goto Top
Zitat von @aqui:

Man könnte auch etwas frickeln mit größeren Phase 2 Subnetzmasken wie z.B. HIER aber wir wollen dich jetzt auf deinem guten VPN Weg nicht "versauen" mit solchen Basteleien. face-wink

Ja, die Idee hatte ich auch schon, aber das soll ja wohl eher nicht so gut sein, weil das wohl fatale Auswirkungen hätte wg. Broadcast, wenn ich so große Subnets nehme.
Member: Ad39min
Ad39min Jun 27, 2021 at 18:30:21 (UTC)
Goto Top
Zitat von @bluelight:

Zitat von @Ad39min:

Zitat von @bluelight:
Es gibt eine einfache Optionen das zu lösen:
Du definierst einfach ein weiteres VPN zw. den beiden FritzBoxen FB B und FB C. face-wink
Also F!B mit F!B verbinden, unabhängig von der pfSense?

Ja klar. Damit sparst Du Dir bei der Verbindung die PFsense als Knotenpunkt und hast einen SPOF weniger und bestenfalls eine bessere Performance.

SPOF? Single point of failure? Oder waas soll das heißen?

Exakt. Du hast schon so viele SPOFs in deiner Infrastruktur, da braucht es garantiert nicht noch mehr davon.

Zitat von @aqui:

Man könnte auch etwas frickeln mit größeren Phase 2 Subnetzmasken wie z.B. HIER aber wir wollen dich jetzt auf deinem guten VPN Weg nicht "versauen" mit solchen Basteleien. face-wink

Ne, für's erste ist es erstmal gut wenn sein Setup läuft face-wink
Dann muss er erst noch seine Hausaufgaben machen und für Redundanz in seiner geschäftskritischen Infrastruktur sorgen.
Member: aqui
aqui Jun 28, 2021 at 07:47:04 (UTC)
Goto Top
weil das wohl fatale Auswirkungen hätte wg. Broadcast, wenn ich so große Subnets nehme.
Nein, das ist Unsinn. Die Phase 2 bestimmt ja nur welche IP Netze bzw. Adressen in den Tunnel geroutet werden und welche nicht. Es ist immer noch ein Routing und kein Bridging ! face-wink
GermansolvedQuestionNetworks
Hotly discussed
gleixnerdCheck of ZFW Firewallgleixnerd - 5 CommentsjstrickerWireguard VPN on UDM Pro behind Fritzbox - Handshake did not completejstricker - 3 CommentsAlexWishaHow to set up and configure a Linux GRE tunnelAlexWisha - 3 Comments