OPNsense routing über zwei VPNs

Hallo!

Ich stehe gerade auf dem Schlauch bzgl. Routing zwischen zwei VPNs verbunden über eine OPNsense.

Ausgangssituation:
Da bei mir Starlink nun die einzige Alternative darstellt was den Speed betrifft, nenne ich dies nun seit einigen Tagen mein Eigen.
Da Starlink aber nur CG-NAT unterstützt, ich aber über VPN von außen in mein LAN muss, hab ich nun einen vServer von Hetzner mit OPNsense in Betrieb genommen.
Zuhause bei mir läuft eine pfSense (192.168.13.0/24) hinter dem Starlink.

Ich habe nun einen openVPN site to site-Tunnel zwischen der pfsense (Starlink) und der OPNsense (Hetzner) aufgebaut, dies funktioniert alles so weit (Tunnelnetz 10.11.0.0/24). Unter IPv4 Remote Network der OPNsense (Hetzner) habe ich die 192.168.13.0/24 von meinem LAN eingetragen.
Ich kann über den Ping der OPNsense (Hetzner) auch zu IP-Adressen vom 192.168.13.0/24-Netz erfolgreich pingen.

Nun zu meinem Gedankenproblem:
Damit ich nun von außen auf mein LAN komme, hab ich in der OPNsense (Hetzner) einen zweiten openVPN road warrior-Tunnel (Tunnelnetz 10.10.0.0/24) eingerichtet mit dem der Client eine Verbindung aufbaut. Dies funktoinert auch so weit und ich komme über die 10.10.0.1 auf das OPNsense GUI.
Unter IPv4 Local Network der OPNsense (Hetzner) habe ich die 192.168.13.0/24 von meinem LAN der pfSense eingetragen.

Ich komme jetzt vom Client aus nicht auf das 192.168.13.0/24-Netz der pfSense.
Irgendeine Route fehlt mir hier noch, oder das IPv4 Local Network ist vermutlich kompletter Stuss, ich komme aber trotz googlen nicht darauf.

Anbei noch ein paar Grafiken...

Bitte gebt mir etwas Input wo ich hier am Holzweg bin.

Vielen Dank!

Grüße

Martin

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 1254004243

Url: https://administrator.de/contentid/1254004243

Ausgedruckt am: 22.11.2024 um 14:11 Uhr

11 Kommentare

Neuester Kommentar

Bist du sicher, dass es so kompliziert sein muss?
Du hast bei Starlink ja IPv6 — und alle deutschen Mobilfunknetze sind mittlerweile IPv6-Enabled, du könntest also per IPv6 direkt zugreifen.

Ich bin leider in Österreich , da sieht es leider noch nicht so gut aus...

Moin,
hast du denn das Tunnelnetz deiner RoadWarrior-Verbindung (10.10.0.0/24) in deiner Site-To-Site-Konfiguration mit angegeben? Sonst kennt die pfSense keine Route für den Rückweg der Pakete und schickt diese direkt an Starlink (und damit ins Nirvana).
VG

Du bist in der Tat auf dem Holzweg was deine Konfig anbetrifft. Der Hetzner Server ist der OpenVPN Server sowohl für dein Site-to-Site VPN als auch für deinen remoten Client. Es ist völliger Quatsch dort einen 2ten Tunnel zu etablieren. Beide, Client und S2S, sharen dann ein gemeinsames internes OpenVPN Netz und jeder kann dann jeden erreichen ! Guckst du hier:
Zwei Mobilfunkrouter (TP-Link MR200) per VPN verbinden, ev. per externen VPN-Gateway (VPS-Server)

Grundlagen zu OpenVPN, wie immer, hier:
Merkzettel: VPN Installation mit OpenVPN

Verfolge die Kette, nicht raten, sondern analysieren. Schau auf jeden Rechner und Router per tcpdump oder Wireshark, ob der Ping rein kommt und auch an der richtigen Schnittstelle auch weiter bzw. raus geht. Ich könnte mir vorstellen, dass es bei einem Rechner ins Internet weitergeleitet bzw raus geleitet wird.

Danke @BirdyB, genau das wars

Danke @aqui, es funktioniert nun dank @BirdyB alles, jedoch vereinfache ich die Dinge immer weiter wenn es möglich ist.
Das heißt ich kann sowohl beim site2site, als auch beim road warrior openVPN Server das gleiche Netz eintragen, z.B. 10.10.0.0/24?

jedoch vereinfache ich die Dinge immer weiter wenn es möglich ist.

Dann widersprichst du dir aber selber. Mit einem 2ten Tunnel verkomplizierst du das überflüssiger- und unnötigerweise alles ! Aber egal...warum einfach machen wenn es umständlich auch geht...!