OpenVpn - Ping geht - RDP Nicht - Firewallproblem ?

Ok, das ist natürlich klar. Der Router kümmert sich dann drum, wohin die Packets gehen müssen.

Aber es ist seltsam, dass die Pings in alle Richtungen ohne Probleme gehen.

Ich habe in der FW testweiese eine Rule erstellt, die jeden Traffic von Jedem Interface und jeder Ip Adresse (ANY) zulässt. Trotzdem geht es nicht.
Was noch seltsamer ist, dass im Syslog nichts steht, dass was geblockt wurde,

Das hab ich gestern noch gemacht, und es funktioniert auch.

Es geht zwar jetzt ohne Probleme, aber warum gehts nicht über den Router ? Wie gesagt, das Routing stimmt ja, weil es bei deaktivierter Firewall im Bintec Router ohne Probleme funktioniert. Ich frage mich, warum die Firewall was blockt, was gar nicht geblockt werden soll. Habe es mit mehreren Rules probiert, die FW blockt trotzdem. Habe folgende Rule erstellt :

10.8.0.0/24 ------> ANY (Services ANY) Accept (Interface LAN_EN1-0) (das ist das IF, welches mit dem Switch verbunden ist)
dann hab ich noch folgende Rule erstellt

192.168.1.0/24 ----> 10.8.0.0/24 (Services ANY) Accept (Interface LAN_EN1-0)
Klar, dass diese Rule eigentlich sinnlos ist, weil ich bei der Ersteinrichtung des Routers folgende Rule längst erstellt hab.

LAN_EN1-0 ---------> ANY (Services ANY) Accept (Alles was von meinem Lan kommt, darf überall hin.)

Was richtig seltsam ist, dass ich über den VPN Tunnel ohne Probleme Surfen kann, egal ob die FW an ist oder aus. Der Internettraffic vom VPN Tunnel geht ja dann über den Router und wird nicht geblockt. Nur alles was ins LAN geht, wirft der Router an der Firewall raus, ohne dass was im Syslog steht. Sonst steht jeder geblockte Traffic in der Firewall. (Ich blocke einige Werbeserver in der Firewall, das wird auch im Syslog angezeigt)

Mir ist am RDP Server auch noch aufgefallen, dass die RDP Pakete ankommen und der PC auch welche verschickt. Die ankommenden kommen direkt von der Fritzbox (OpenVpn Server), die abgehenden gehen zum Bintec Router (Hab mir mit Wireshark mal die MAC Adressen angesehen).


Echt seltsam

Theoretisch könnte ich die FW einfach aus lassen und mich mit dem Schutz vom NAT begnügen. Aber dann hätte ich mir auch so nen "Home Router" holen können und net nen Bintec Router ^^

Am RDP Server ist nur das Standard Gateway konfiguriert. Also mein Bintec R1200 Router, der auch für den DSL Zugang zuständig ist. Im Router hab ich eine Route zur Fritzbox für das Zielnetz vom Handy. Das Routing passt eigentlich, der RDP Server schickt seine Anzwortpakete an den Router und der leitet sie an die Fritzbox weiter, die die Packets dann in den Openvpn Tunnel packt und ans Handy zurückschickt. Das ganze funktioniert problemlos, wenn die Firewall im Router aus ist.

Ich habe in der Firewall jeden Traffic, der vom LAN Interface kommt erlaubt. Egal wohin der geht. ( LAN_EN1-0 --> ANY)
Habe auch zusätzlich noch jeden Traffic der ins Zielnetz vom Handy geht auch erlaubt. (ANY --> 10.8.0.0/24)

Mit der Statischen Route am RDP Server gehts zwar jetzt auch bei eingeschalterer FW, weil der Router umgangen wird. Aber ich würde es gerne ohne Konfiguration an den PCs schaffen, weil es einfach "sauberer" ist. Und wenn ich z.B. meine PS3 oder meinen Netzwerkdrucker vom Handy aus erreichen will, hab ich schon ein Problem, weil ich bei den Geräten keine Route konfigurieren kann.

Bitte nicht schimpfen jetzt. Hab dieses Problem hier total aus den Augen verloren wegen Arbeit und Umzug. Und zu allem Überfluss gab meine Fritzbox auch noch den Geist auf.

Aber dieses Problem besteht weiterhin.

Das Problem ist nicht das ICMP, das geht ja bei eingeschalteter Firewall. Das ist das einzigste was geht. Was nicht geht ist HTTP, RDP und eigentlich alles andere. ICMP geht.

Die Sache mit den statischen Routen geht leider nicht überall. Mein Server hat ein IMPI Interface und da kann man keine statische Route festlegen.

Seltsamerweise zeigt die Firewall im Router auch nichts an, dass was geblockt wurde ....

EDIT :

Habe jetzt mal die SIF im Bintec abgeschaltet. Die "normale" Firewall ist noch an. Jetzt gehts, ist aber auch nicht der Sinn der Sache. Möchte die SIF Firewall lieber an lassen.

Es könnte evtl daran liegen, dass der VPN Client über den Openvpn Server direkt den Ziel Rechner anspricht, der kennt die IP vom VPN Client (10.8.0.6) aber nicht und schickt seine Antwort brav an den Router, die SIF weis aber nichts von der Anfrage des VPN Clients, weil diese direkt an den Zielrechner ( ohne über den Router und somit auch die SIF) gegangen ist. Dann wirft die SIF das Antwortpacket einfach raus. (Leider auch ohne Eintrag im Syslog)

Könnte das ein richtiger Ansatz sein ? Dann muss die Openvpn Konfigs nur noch dazu bewegen alles über den Router abzuwickeln und dann müsste es ja gehen. Weis nur leider nicht, wie ich den Openvpn Client dazu bringe

EDIT :

Oh Mann, befasst man sich mit dem Mist fast ein Jahr lang nicht, fällt es einem wie Schuppen von den Augen. Jetzt gehts, auch mit SIF.

Die SIF hat mich erst drauf gebracht. Wohl logisch dass es nicht geht, warum war ich vor nem Jahr nicht soweit ? ^^
Hab im Openvpn Server eine Route auf meinen den Bintec Router im selben Subnetz gesetzt. Fritzbox Openvpn Server und Bintec hängen am selben Switch.

Das ist ne einigermassen saubere Lösung für mich, obwohl Omnipeek ständig mit "IP Local Routing" mault. Aber besser gehts leider nicht. Ich setze im Openvpn Server einfach eine Host Route auf die Geräte, bei denen man keine statischen Routen festlegen kann. Bei PCs kann man ne Netzwerk Route setzen. Bei der PS3 und dem IPMI Server geht das nicht und dann muss ne Route im Openvpn Server her. Ne Netzwerk Route im Openvpn Server ist noch unsauberer, man muss ja nicht den gesamten Traffic vom Tunnel doppelt über den Router schicken.

Hiermit ist dieses Problem GELÖST

Am zentralen Router (R1200) hab ich eine Network Route vergeben. 10.8.0.0 255.255.255.0 GW 192.168.1.252.
192.168.1.252 ist die Fritzbox mit dem Openvpn Server. In der Openvpn server.conf hab ich eine Route für den RDP PC. 192.168.1.10 255.255.255.0 GW 192.168.1.1.

Ohne die Route im Openvpn Server, wirft mir die SIF im zentralen Router die Antwork Pakete von 192.168.1.10 immer raus, weil die Anfrage dann direkt vom VPN Client über die Fritzbox direkt zum PC (192.168.1.10) geht.

Wenn ich die Route im Openvpn Server und im Zentralen Router weglasse und stattdessen ein statische Route auf dem PC festlege (10.8.0.0 255.255.255.0 GW 192.168.1.252) dann läuft es sauber und Omnipeek mault nicht.
Das Problem bei mir könnte sein, weil ich die Fritzbox nicht als zentralen Router verwende, sondern nur als Openvpn Server. Aber das wird auch so bleiben, weil ein R1200 doch was anderes ist als eine uralte FB ^^

Wenn es einen anderen, saubereren Weg gibt, währe ich über jeden Tip dankbar. Vielleicht übersehe ich irgend ein kleines Detail bei den Routen.