OpenVPN op pfSense, FreeNAS onbereikbaar

[TommyboyNL]

Voor op het kantoor van een vereniging ben ik een servertje aan het klussen, maar ben tegen een raar probleem aangelopen. Ik zal eerst even de (simpele) situatie uitleggen:
Een PC draait ESXi, met daarop 2 VMs:
- pfSense als router, gateway en VPN server
- FreeNAS als FTP en CIFS server
Aan het netwerk hangen ook twee printers.

Subnet thuis: 192.168.1.0/24
Subnet kantoor: 192.168.20.0/24
Subnet tunnel netwerk: 192.168.21.0/24

Als ik lokaal zit (op kantoor dus) werkt alles gewoon:
- Het internet op
- De webinterface van pfSense bereiken
- De webinterfaces van de netwerkprinters bereiken
- De netwerkprinters gebruiken
- De webinterface van FreeNAS bereiken
- Via FTP en CIFS verbinden met FreeNAS

Als ik echter vanuit mijn huis over VPN een verbinding maak met kantoor, luistert FreeNAS helemaal niet meer. De printers werken echter prima. Ik heb (vanuit huis, dus over VPN) getest:
- De webinterfaces van pfSense en beide printers kan ik bereiken via hun 192.168.20.* IP
- Ik kan de printers opdracht geven om een testpagina af te drukken (of deze er ook daadwerkelijk uit is gekomen, weet ik morgenochtend, ik kreeg in elk geval geen foutmeldingen)
- Ik kan pfSense en de printers pingen
- SSH naar pfSense doos, pfSense doos kan FreeNAS pingen

Ik kan echter vanaf mijn thuisPC de freeNAS bak helemaal niet vinden. Hij reageert niet op ping, SSH, CIFS of FTP.
Waar moet ik dit probleem zoeken? Ik vermoed in FreeNAS, maar waar....

Ik heb terwijl ik verbonden ben over VPN even een ipconfig /all en een netstat -rn gedraait, wellicht nuttig:

code:

C:\Users\Tom>ipconfig /all

Windows IP-configuratie

   Hostnaam  . . . . . . . . . . . . : Cerberus
   Primair DNS-achtervoegsel . . . . :
   Knooppunttype . . . . . . . . . . : hybride
   IP-routering ingeschakeld . . . . : nee
   WINS-proxy ingeschakeld . . . . . : nee
   DNS-achtervoegselzoeklijst. . . . : xxxxxx

Ethernet-adapter voor Local Area Connection 5:

   Verbindingsspec. DNS-achtervoegsel:
   Beschrijving. . . . . . . . . . . : TAP-Windows Adapter V9
   Fysiek adres. . . . . . . . . . . : 00-FF-04-4C-64-AD
   DHCP ingeschakeld . . . . . . . . : ja
   Autom. configuratie ingeschakeld  : ja
   Link-local IPv6-adres . . . . . . : fe80::5c53:f408:a7f4:f6b4%41(voorkeur)
   IPv4-adres. . . . . . . . . . . . : 192.168.21.6(voorkeur)
   Subnetmasker. . . . . . . . . . . : 255.255.255.252
   Lease verkregen . . . . . . . . . : zaterdag 6 juli 2013 1:50:01
   Lease verlopen. . . . . . . . . . : zondag 6 juli 2014 1:50:01
   Standaardgateway. . . . . . . . . :
   DHCP-server . . . . . . . . . . . : 192.168.21.5
   DHCPv6 IAID . . . . . . . . . . . : 687931140
   DHCPv6-client DUID. . . . . . . . : 00-01-00-01-16-87-FA-4D-40-61-86-F4-67-5D

   DNS-servers . . . . . . . . . . . : fec0:0:0:ffff::1%1
                                       fec0:0:0:ffff::2%1
                                       fec0:0:0:ffff::3%1
   NetBIOS via TCPIP . . . . . . . . : ingeschakeld

Ethernet-adapter voor VirtualBox Host-Only Network:

   Verbindingsspec. DNS-achtervoegsel:
   Beschrijving. . . . . . . . . . . : VirtualBox Host-Only Ethernet Adapter
   Fysiek adres. . . . . . . . . . . : 08-00-27-00-04-8E
   DHCP ingeschakeld . . . . . . . . : nee
   Autom. configuratie ingeschakeld  : ja
   Link-local IPv6-adres . . . . . . : fe80::85cf:51e6:66e9:715c%24(voorkeur)
   IPv4-adres. . . . . . . . . . . . : 192.168.56.1(voorkeur)
   Subnetmasker. . . . . . . . . . . : 255.255.255.0
   Standaardgateway. . . . . . . . . :
   DHCPv6 IAID . . . . . . . . . . . : 520618023
   DHCPv6-client DUID. . . . . . . . : 00-01-00-01-16-87-FA-4D-40-61-86-F4-67-5D

   DNS-servers . . . . . . . . . . . : fec0:0:0:ffff::1%1
                                       fec0:0:0:ffff::2%1
                                       fec0:0:0:ffff::3%1
   NetBIOS via TCPIP . . . . . . . . : ingeschakeld

Ethernet-adapter voor Local Area Connection 4:

   Verbindingsspec. DNS-achtervoegsel: xxxxxx
   Beschrijving. . . . . . . . . . . : Realtek PCIe GBE Family Controller #2
   Fysiek adres. . . . . . . . . . . : 40-61-86-F4-67-5C
   DHCP ingeschakeld . . . . . . . . : ja
   Autom. configuratie ingeschakeld  : ja
   Link-local IPv6-adres . . . . . . : fe80::d1fd:bf:6f16:8cef%19(voorkeur)
   IPv4-adres. . . . . . . . . . . . : 192.168.1.8(voorkeur)
   Subnetmasker. . . . . . . . . . . : 255.255.255.0
   Lease verkregen . . . . . . . . . : zaterdag 6 juli 2013 1:43:24
   Lease verlopen. . . . . . . . . . : zaterdag 6 juli 2013 3:43:23
   Standaardgateway. . . . . . . . . : 192.168.1.1
   DHCP-server . . . . . . . . . . . : 192.168.1.1
   DHCPv6 IAID . . . . . . . . . . . : 507535750
   DHCPv6-client DUID. . . . . . . . : 00-01-00-01-16-87-FA-4D-40-61-86-F4-67-5D

   DNS-servers . . . . . . . . . . . : 192.168.1.1
   NetBIOS via TCPIP . . . . . . . . : ingeschakeld

code:

C:\Users\Tom>netstat -rn
===========================================================================
Interfacelijst
 41...00 ff 04 4c 64 ad ......TAP-Windows Adapter V9
 24...08 00 27 00 04 8e ......VirtualBox Host-Only Ethernet Adapter
 19...40 61 86 f4 67 5c ......Realtek PCIe GBE Family Controller #2
 18...40 61 86 f4 67 5d ......Realtek PCIe GBE Family Controller
  1...........................Software Loopback Interface 1
 11...00 00 00 00 00 00 00 e0 Microsoft Teredo Tunneling Adapter
 15...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter #2
 16...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter #3
 17...00 00 00 00 00 00 00 e0 Microsoft ISATAP Adapter #4
===========================================================================

IPv4 routetabel
===========================================================================
Actieve routes:
Netwerkadres             Netmasker          Gateway        Interface Metric
          0.0.0.0          0.0.0.0      192.168.1.1      192.168.1.8     10
        127.0.0.0        255.0.0.0         On-link         127.0.0.1    306
        127.0.0.1  255.255.255.255         On-link         127.0.0.1    306
  127.255.255.255  255.255.255.255         On-link         127.0.0.1    306
      192.168.1.0    255.255.255.0         On-link       192.168.1.8    266
      192.168.1.8  255.255.255.255         On-link       192.168.1.8    266
    192.168.1.255  255.255.255.255         On-link       192.168.1.8    266
     192.168.20.0    255.255.255.0     192.168.21.5     192.168.21.6     30
     192.168.21.1  255.255.255.255     192.168.21.5     192.168.21.6     30
     192.168.21.4  255.255.255.252         On-link      192.168.21.6    286
     192.168.21.6  255.255.255.255         On-link      192.168.21.6    286
     192.168.21.7  255.255.255.255         On-link      192.168.21.6    286
     192.168.56.0    255.255.255.0         On-link      192.168.56.1    276
     192.168.56.1  255.255.255.255         On-link      192.168.56.1    276
   192.168.56.255  255.255.255.255         On-link      192.168.56.1    276
        224.0.0.0        240.0.0.0         On-link         127.0.0.1    306
        224.0.0.0        240.0.0.0         On-link       192.168.1.8    266
        224.0.0.0        240.0.0.0         On-link      192.168.56.1    276
        224.0.0.0        240.0.0.0         On-link      192.168.21.6    286
  255.255.255.255  255.255.255.255         On-link         127.0.0.1    306
  255.255.255.255  255.255.255.255         On-link       192.168.1.8    266
  255.255.255.255  255.255.255.255         On-link      192.168.56.1    276
  255.255.255.255  255.255.255.255         On-link      192.168.21.6    286
===========================================================================
Permanente routes:
  Geen

IPv6 routetabel
===========================================================================
Actieve routes:
 Indien metrische netwerkbestemming      Gateway
  1    306 ::1/128                  On-link
 19    266 fe80::/64                On-link
 24    276 fe80::/64                On-link
 41    286 fe80::/64                On-link
 41    286 fe80::5c53:f408:a7f4:f6b4/128
                                    On-link
 24    276 fe80::85cf:51e6:66e9:715c/128
                                    On-link
 19    266 fe80::d1fd:bf:6f16:8cef/128
                                    On-link
  1    306 ff00::/8                 On-link
 19    266 ff00::/8                 On-link
 24    276 ff00::/8                 On-link
 41    286 ff00::/8                 On-link
===========================================================================
Permanente routes:
  Geen

[_eXistenZ_]

Heb je in pfSense wel een route naar 192.168.20.0/24 over de virtuele netwerkkaart? Of hangen ze direct met een eigen IP aan het netwerk, ipv via NAT? (Ik gebruik altijd VirtualBox waar je dat kan kiezen)

Ik vermoed iig dat je al het verkeer het fysieke netwerk op route waardoor de nas via vpn onbereikbaar is. Voeg maar eens een /32-route (dus 1 ip) toe naar de juiste netwerkadapter in pfSense :-)

[ Voor 35% gewijzigd door _eXistenZ_ op 06-07-2013 06:14 ]

[A1AD]

Een verkeerde gateway op je freenas veroorzaak hetzelfde probleem. Kijk dit eerst eens goed na.

[Hero of Time]

Zonder verder te kijken denk ik hetzelfde als _eXistenZ_. Je hebt pfSense en FreeNAS op dezelfde host draaien en die kunnen door de configuratie niet zo lekker onderling communiceren. De rest kan je wel bereiken, omdat dat buiten de ESXi machine draait. ESXi kan dus niet zo lekker intern routeren, check je configuratie van het netwerk erin even.

Wat zegt een traceroute/tracepath vanuit huis naar de pfSense, een printer en FreeNAS?

[TommyboyNL]

Ik zit nu nog thuis, en ga zo naar kantoor. Dan zal ik de config van ESXi en FreeNAS induiken.

De traceroutes vanuit huis:
Router:

code:

C:\Users\Tom>tracert 192.168.20.1

Traceren van de route naar 192.168.20.1 via maximaal 30 hops

  1    87 ms   199 ms   239 ms  192.168.20.1

De trace is voltooid.

Naar printer

code:

C:\Users\Tom>tracert 192.168.20.4

Traceren van de route naar SEC0015999CC86B [192.168.20.4]
via maximaal 30 hops:

  1    45 ms    37 ms    48 ms  SEC0015999CC86B [192.168.20.4]

De trace is voltooid.

FreeNAS:

code:

C:\Users\Tom>tracert 192.168.20.2

Traceren van de route naar 192.168.20.2 via maximaal 30 hops

  1     *        *        *     Time-out bij opdracht.
  2     *        *        *     Time-out bij opdracht.
  3     *        *        *     Time-out bij opdracht.
  4     *        *        *     Time-out bij opdracht.
  5     *        *        *     Time-out bij opdracht.
  6     *        *        *     Time-out bij opdracht.
  7     *        *        *     Time-out bij opdracht.
  8     *        *        *     Time-out bij opdracht.
  9     *        *        *     Time-out bij opdracht.
 10     *        *        *     Time-out bij opdracht.

Edit:
Ik zit inmiddels op kantoor.

In ESXi hangen de LAN inerface van de pfSense bak, de ethernet interface van de FreeNAS bak, en een fysieke NIC aan 1 vSwitch. Deze fysieke NIC zit aan een linkys router waarvan alle routerzaken uitgeschakeld zijn, waardoor deze alleen als switch en wireless AP fungeert. Hierop zijn de printers aangesloten met een kabel.

In ESXi kan ik naar mijn idee niks relevants configureren aan de vSwitch, wat mijn probleem op zou moeten lossen.

De FreeNAS bak krijgt via DHCP een IP toegewezen, maar ik zie nu dat hij geen default route kent... Vanaf de FreeNAS bak de google dns server (8.8.8.8) pingen werkt dan ook niet. Zal dat het probleem zijn? Ik ga dit in elk geval even proberen te fixen.

Edit2:
Zo, default route ingesteld, nu kan FreeNAS 8.8.8.8 pingen. Ik kom er ASAP op terug of dit het probleem opgelost heeft.

Edit3:
Ahwwww yeah! OpenVPN op mijn telefoon geinstalleerd, en kan nu over VPN over UMTS de webinterfaces van pfSense, FreeNAS en printers bereiken. De rest zal dus ook wel moeten werken.
A1AD, bedankt voor de tip van de gateway goed instellen in FreeNAS, ik ging er van uit dat dit automatisch goed zou gaan door DHCP. Niet dus.
De rest uiteraard ook bedankt voor de hulp!

[ Voor 33% gewijzigd door TommyboyNL op 06-07-2013 17:45 ]