vafk18
Goto Top

Zwei Netzwerke über WireGuard in einem Netz verbinden?

Guten Tag,

ist es möglich, zwei Standordte über WAN so zu verbinden, daß zwei pfSense and den jeweligen beiden Internetanschlüssen der zwei Standorte eine VPN-Verbindung über WireGuard aufbauen und die Hosts an beiden pfSense die IP aus dem gleichen Netz, z.B. 192.168.1.0/24 beziehen? So daß wenn z.B. ein Host vom Standort A an Standort B umzieht und über eine feste IP-Adresse verfügt, er sofort am Standort B einsatzbereit ist.

Danke und Grüße

Content-ID: 672181

Url: https://administrator.de/forum/zwei-netzwerke-ueber-wireguard-in-einem-netz-verbinden-672181.html

Ausgedruckt am: 31.03.2025 um 00:03 Uhr

Lochkartenstanzer
Lochkartenstanzer 27.03.2025 aktualisiert um 06:15:35 Uhr
Goto Top
Moin,

Du willst L2TP/IPSec nicht wireguard. face-smile

wie oft müssen denn Eure Server umziehen?

lks

PS: This note describes how to connect two networks/devices/VMs over public network using Wireguard with Layer 2 support (ARP, IPv6 link-local, etc).

PPS: Beachte, daß bei einer L2-Kopplung über VPN der ganze Broadcasttraffic über das VPN propagiert wird und daß das eine "dünne" Internetanbindung, insbesondere bei asymmetrischer Anbindung, schnell verstopft.
aqui
aqui 27.03.2025 aktualisiert um 15:36:21 Uhr
Goto Top
Du willst L2TP/IPSec nicht wireguard
Entweder das oder der TO hat eine schlampige VPN Adressplanung gemacht und leider einfache RFC1918 Banalnetze verwendet bzw. aus Faulheit ohne (VPN) Weitsicht die Default LAN Adressierung beibehalten. face-sad
Kurze Antwort:
JA, das klappt aber du musst erhebliche (Konfig) Klimmzüge in Bezug auf Source und Destination NAT machen weil du Traffic wegen der Absender- und Ziel IP Gleichheit der lokalen LAN Netze natürlich bidirektional NATen musst.
Zum Rest hat Kollege @Lochkartenstanzer ja schon alles gesagt bzw. die Wireguard Fallstricke erklärt das WG Tutorial im Detail.

Die deutlich bessere Lösung ist zu mindestens auf einer Seite die IP LAN Adressierung anzupassen um dir damit die aufwendige NAT Konfig zu ersparen und so der unglücklichen Adressgleichheit sicher aus dem Wege zu gehen damit eine eindeutige Wegefindung garantiert ist.
Idealerweise nimmt man sich dafür die Location mit am wenigsten LAN Clients bzw. wo die Masse der statischen IP Adressen am kleinsten ist.
Generell ist eine Migration auf eine neue IP Adressierung problemlos und schnell erledigt, weil das Gros der Nutzer fast immer DHCP nutzt und damit ohne großen Aufwand automatisch neue IP Adressen erhält.

Scheitert aus irgendwelchen Gründen die IP Adressumstellung an politischen oder anderen Hürden, ist zu mindestens mit der OPNsense eine sehr einfache Lösung gegeben indem man mit VxLAN ein Bridging zwischen den beiden Locations konfiguriert. Außer das man sich auf eine saubere DHCP IP Adressvergabe ohne Überschneidungen standortübergreifend konzentrieren muss ist sonst nichts weiter zu tun und man kann die Netze so belassen wie sie sind. Was ja auch das Ziel ist...

Bei solchen Rahmenbedingungen ist ein VxLAN Bridging über den VPN Tunnel dann immer die beste Wahl. Für dich aber vermutlich leider keine Option denn die pfSense hat im Gegensatz zur Schwester OPNsense das VxLAN Feature (noch) nicht implementiert und m.E. ist auch kein Package dafür verfügbar.
Wie das einfach und schnell umzusetzen ist erklärt dir ein entsprechendes Praxistutorial hier im Forum was so ein Setup zw. einer OPNsense und einem Mikrotik Router beschreibt.
VxLAN Bridging über VPN Tunnel
Lochkartenstanzer
Lochkartenstanzer 27.03.2025 um 19:24:04 Uhr
Goto Top
Zitat von @aqui:

Du willst L2TP/IPSec nicht wireguard
Entweder das oder der TO hat eine schlampige VPN Adressplanung gemacht und leider einfache RFC1918 Banalnetze verwendet bzw. aus Faulheit ohne (VPN) Weitsicht die Default LAN Adressierung beibehalten. face-sad

Ich denke der TO stellt sich das eher so vor.das er ein großes Netz hat, das sich über beide Standorte erstreckt und er das über L2-VPN verbunden hat.

Das geht sowohl vorzugsweise mit IPSEC als auch mit Wireguard, ohne daß man da wild herumNATten muß. Allerdings ist bei wireguard mehr Handarbeit angesagt, wie aus dem obigen Link zu GitHub ersichtlich ist.

Ihm sind aber augenscheinlich die Probleme nicht bewusst, die man sich mit so einem Konstrukt auf Dauer einhandelt.

lks
aqui
aqui 28.03.2025 aktualisiert um 17:43:08 Uhr
Goto Top
Das geht sowohl vorzugsweise mit IPSEC als auch mit Wireguard
Nein, das ist technisch falsch. Insbesondere WG ist ein rein geroutetes VPN was mit Bordmitteln keinerlei Bridging zulässt. Wie sollte das deiner Meining nach gehen? IPsec im ESP Tunnelmode mit einigen Abstrichen ebenso.

Sicher lässt sich das nur mit OpenVPN im Bridging Mode:
https://openvpn.net/community-resources/ethernet-bridging/
und eben über den Umweg eines verschlüsselten VxLAN Tunnels machen.
Die andere Alternative wäre dann bidirektional mit NAT arbeiten was dann aber in eine schwer managebare Konfig mündet.

Der allereinfachste Weg das zu fixen ist die IP Adressierung an eine VPN konforme anzupassen.
Aber kein Feedback vom TO zu der Thematik ist ja auch ein Feedback! face-sad
Lochkartenstanzer
Lochkartenstanzer 28.03.2025 um 23:43:43 Uhr
Goto Top
Zitat von @aqui:

Das geht sowohl vorzugsweise mit IPSEC als auch mit Wireguard
Nein, das ist technisch falsch. Insbesondere WG ist ein rein geroutetes VPN was mit Bordmitteln keinerlei Bridging zulässt. Wie sollte das deiner Meining nach gehen?

Mit Birdmitteln nicht, aber im obigen link auf Github sieht man, wie man eine L2-Bridge zwischen zwei wireguardendpunkten durch den Tunnel aufbaut. Diese Bridge kann man natürlich auch auf das gesamte LAN erweitern. Ob man das auch so machen will, steht wieder auf einem ganz anderen Blatt (Arger mit v6, Broadcast und vielem mehr.)

lks
aqui
aqui 29.03.2025 aktualisiert um 08:31:29 Uhr
Goto Top
wie man eine L2-Bridge zwischen zwei wireguardendpunkten durch den Tunnel aufbaut.
Da hast du ohne Zweifel Recht!
Der Verfasser der Anleitung verwendet verwendet kein VxLAN sondern ein GRE Tunnelinterface um darüber zu bridgen. Technisch ist das mehr oder minder die gleiche Vorgehensweise nur das eine andere Tunneltechnik genutzt wird. GRE oder auch VTI Tunnel beschreibt auch ein hiesiges Tutorial.
Alles aber wie ein bidirektionales NAT Design ein erhöhter Aufwand dem man mit einer einfachen Änderung der Adressierung und damit einem deutlich einfacheren VPN Setup aus dem Wege gehen kann. Für eine langfristige und stabile Lösung ist das sicher der beste Weg sofern das umsetzbar ist und nicht andere gravierendere Dinge dagegen sprechen.
Das weiss aber wohl nur der TO der sich ja nicht äußert zu der Thematik. face-sad