Pfsense openvpn server achter router, site to site onbereik

[shure-fan]

Goedemorgen mensen,

Ik ben bezig om een openvpn server neer te zetten puur op basis van pfsense,
Deze machine (via epia 700mhz) gaat puur en alleen openvpn doen, en de routing van pfsense is hierbij uitgeschakeld (system>>firewall/nat).

De verbinding komt binnen op de onboard netwerkaansluiting (wan) en heb in alle firewall rules ingesteld dat alle verkeer overal naartoe mag.

Ik gebruik meerdere ddwrt routers als client routers en heb ter test inmiddels de eerste tunnel (tun1) "up"
Up wil zeggen dat pfsense de verbinding heeft gemaakt en zie dat ook netjes binnen pfsense..

Maar wat ik niet voor elkaar krijg op dit moment.... Ik kan niks pingen...

Ik kan vanaf local niet remote pingen maar andersom ook niet.


Even een netwerk topology: internet komt binnen op mijn monowall box (DIE PRIMA WERKT EN STAAT NIET TER DISCUSSIE) vanaf mijn monowall gaat er een utptje naar mijn switch waar een poortje van naar pfsense gaat.

Binnen monowall heb ik het juiste poortje opengezet voor openvpn (verkeer komt prima binnnen op pfsense)

Ik kan alleen dus niet de apparatuur aan de remote kant benaderen en vermoed dat het aan de routing ligt, ik weet alleen even niet meer waar ik het zoeken moet.


Wat ik heb geprobeerd om dit op te lossen.

Ik heb de video van lawrence tech op youtube gebruikt om de openvpn server aan te maken en bij remote networks mijn remote site ingevuld

Daarnaast gegoogled naar "pfsense openvpn ddwrt client" en daar kwam een setup uit die ik vaker heb gebruikt en altijd werkte... Maar nu niet meer


Ip plan:

Thuis :192.168.0.x / 255.255.255.0
Remote: 192.168.10.x, 192.168.11.x en ga zo maar door
Tunnel: 192.168.20.x, 192.168.21.x, en ga zo maar door

Bedoeling is om meerdere ddwrt routers te voorzien van een vpn verbinding die terug verbinden naar huis
Tevens ook bedoelt om mijn gsm en ipad aan te melden als "road warrior"


@Verwijderd ... Heb jij misschien nog ideeen? Aangezien jij een erg leuke vpn setup hebt staan

[MasterL]

Heb je een static route aangemaakt op je Monowall machine die verkeer van 192.168.20. etc routeert naar je Pfsense machine?

[shure-fan]

MasterL schreef op woensdag 30 mei 2018 @ 11:51:
Heb je een static route aangemaakt op je Monowall machine die verkeer van 192.168.20. etc routeert naar je Pfsense machine?

Gister wel gedaan, maar vanochtend met troubleshooten weer verwijderd... Ik zet em er weer in

[Verwijderd]

shure-fan schreef op woensdag 30 mei 2018 @ 09:44:
@Verwijderd ... Heb jij misschien nog ideeen? Aangezien jij een erg leuke vpn setup hebt staan

Lees de handleiding?

• https://openvpn.net/howto.html
• https://community.openvpn.net/openvpn/wiki/RoutedLans

Ik kan alleen dus niet de apparatuur aan de remote kant benaderen en vermoed dat het aan de routing ligt, ik weet alleen even niet meer waar ik het zoeken moet.

Begin met ping tussen de tun interfaces. Daarna de destination interface. Zorg voor juiste `route ...`, `push "route ..."` en `iroute`. Wireshark/tcpdump is je vriend: Kijk of traffic de tun ingaat (ping vanaf vpn server naar client), en op het andere apparaat of het de tun verlaat.
Het is de taak van OpenVPN om de routes te beheren! Als OpenVPN niet weet welk netwerk geroute moet worden, dan negeert de interface dat verkeer (los van de firewall).

Verder raad ik een beter IP-plan aan. Ik zou binnen CIDR mask's blijven (gebruik b.v. `shorewall ipcalc x.x.x.x/24`). Het is met een firewall makkelijker om een /14, /16, /18 etc toe te staan. IP-adressen per tiental (192.168.10.0/24 tot 192.168.19.0/24) kost meer regels in de firewall, waardoor het trager en onoverzichtelijk wordt. Ik gebruik meerdere /22's voor VPN-servers (4 servers per VPN type [terminal,hardware,etc] met een /24).

Op mijn apparatuur gebruik ik Shorewall, waar ik standaard de volgende regels configureer (all except net):

code:

Ping/ACCEPT             all!net         all!net
AllowICMPs/ACCEPT       all!net         all!net

Ping/ACCEPT             all             fw
AllowICMPs/ACCEPT       all             fw

Afhankelijk van de routing table werkt ping altijd! Ik heb een /16 (uit 10/8) in gebruik voor mijn gehele netwerk (grotendeels in het 1e /17 deel van de /16).

[berenod]

Inderdaad, sowieso vanuit gaan dat je openvpn server het hele routing gebeuren beheert, en de correcte gegevens naar de clients stuurt (push route).
Zo kan je verschillende clients hebben die in aparte subnets zitten, en met de juiste routes en push route in je openvpn server kunnen alle clients mekaar pingen in alle mogelijke richtingen, over hun verschillende subnets heen zonder dat je verder iets in je clients moet instellen.

[ Voor 6% gewijzigd door berenod op 30-05-2018 19:37 ]

[shure-fan]

berenod schreef op woensdag 30 mei 2018 @ 19:37:
Inderdaad, sowieso vanuit gaan dat je openvpn server het hele routing gebeuren beheert, en de correcte gegevens naar de clients stuurt (push route).
Zo kan je verschillende clients hebben die in aparte subnets zitten, en met de juiste routes en push route in je openvpn server kunnen alle clients mekaar pingen in alle mogelijke richtingen, over hun verschillende subnets heen zonder dat je verder iets in je clients moet instellen.

Hoi, dat weet ik en ben bekend met openvpn en weet wat het kan en doet, echter zit ik nu met een routing probleem waar ik niet uitkom...


Vaak genoeg openvpn gebruikt om lokaties met elkaar te linken, echter was dat direct met een pfsense box aan de wan, Nu heb ik de box in het lan hangen... En daar kom ik niet uit

[terror538]

Begin eerst eens met middels SSH ingelogd op de pfsense bakken te pingen naar de endpoints aan de andere kant, zodra dat stukje werkt pingen vanaf de pfsense bakken naar de achterliggende netwerken aan de overkant.
Als dat alles werkt dan blijft alleen nog de routing binnen de default gateway van je lokale netwerken over

[shure-fan]

Punt is dat de pfsense alleen dienst doet als openvpn server, verder hoeft ie niets te doen.

Clienten zijn in dit geval meerdere ddwrt routers, en daar komen nog wat losse apparaten als mijn gsm en ipad bij (maar dat is voor later)


Ik wil graag eerst dat 1 ddwrt router benaderbaar is.


In pfsense komt de tunnel wel up, maar krijg er geen data overheen, kan de overkant (zowel tunnelnetwerk als lan netwerk) niet pingen

[terror538]

shure-fan schreef op woensdag 30 mei 2018 @ 20:17:
Punt is dat de pfsense alleen dienst doet als openvpn server, verder hoeft ie niets te doen.

Clienten zijn in dit geval meerdere ddwrt routers, en daar komen nog wat losse apparaten als mijn gsm en ipad bij (maar dat is voor later)


Ik wil graag eerst dat 1 ddwrt router benaderbaar is.


In pfsense komt de tunnel wel up, maar krijg er geen data overheen, kan de overkant (zowel tunnelnetwerk als lan netwerk) niet pingen

als je het tunnelnetwerk niet kan pingen (vanaf de pfsense bak dus) dan zit het probleem in 1 of beide pfsense bakken.

Zet op beide dozen de firewall compleet uit, breng de openvpn verbinding op en test dan vanaf de pfsense bak of de andere kant pingbaar is.

[Verwijderd]

shure-fan schreef op woensdag 30 mei 2018 @ 20:17:
In pfsense komt de tunnel wel up, maar krijg er geen data overheen, kan de overkant (zowel tunnelnetwerk als lan netwerk) niet pingen

"krijg er geen data overheen" is onduidelijk.

• Zie je packets de server verlaten (`tcpdump -i tunX` op de server)?
• Zie je packets op de client aankomen (`tcpdump -i tunX` op de client)? En stuurt de client dan een RST terug? Of wat zie je gebeuren?

Verder misschien eens je firewall disablen. En kijken of je IP forwarding aanstaat:

$ sudo sysctl net.ipv4.ip_forward
net.ipv4.ip_forward = 1

Zelf prefereer ik Shorewall om dit soort zaken te configureren, in shorewall.conf:

code:

IP_FORWARDING=Yes

^{Ik had jaren een eigen script om iptables te configureren. Tot ik Shorewall tegenkwam!}

[ Voor 5% gewijzigd door Verwijderd op 30-05-2018 22:12 ]

[shure-fan]

Verwijderd schreef op woensdag 30 mei 2018 @ 22:09:
[...]

"krijg er geen data overheen" is onduidelijk.

• Zie je packets de server verlaten (`tcpdump -i tunX` op de server)?
• Zie je packets op de client aankomen (`tcpdump -i tunX` op de client)? En stuurt de client dan een RST terug? Of wat zie je gebeuren?

Verder misschien eens je firewall disablen. En kijken of je IP forwarding aanstaat:

$ sudo sysctl net.ipv4.ip_forward
net.ipv4.ip_forward = 1

Zelf prefereer ik Shorewall om dit soort zaken te configureren, in shorewall.conf:

code:

IP_FORWARDING=Yes

^{Ik had jaren een eigen script om iptables te configureren. Tot ik Shorewall tegenkwam!}

Fantastisch, ga ik straks nog ff mee bezig