Internetverkeer via OpenVPN laten lopen (pfsense)

[MikeVanD]

Afgelopen week ben ik bezig geweest met het installeren en configureren van pfsense op een intel i3 NUC en dat heb ik vrijwel geheel aan de praat gekregen; inclusief VLANs en ook OpenVPN werkt.

Echter wil ik het internetverkeer ook via de OpenVPN tunnel laten verlopen voor de externe apparaten en daar loop ik vast. Of ik heb een split tunnel of ik heb geen internet.

Op internet is veel te vinden hoe dit opgelost kan worden, maar dan is het vaak iets als "Je moet even de DNS beschikbaar stellen voor OpenVPN" of "Richt een manual outbound NAT in en dan werkt het", maar geen voorbeelden er bij die hout snijden. Vaak zijn er geen voorbeelden of zijn de voorbeelden van een aantal versies geleden en als ik dat dan probeer te reconstrueren naar de huidige versie, werkt het nog niet.

Oplossingen als "Redirect IPv4 Gateway" aanvinken werken niet; tenminste het vinkje alleen zorgt voor het totaal blokkeren van het internet; er zal dus nog iets meer moeten gebeuren (firewall? nat?)

Wie o wie heeft dé tip, want ik loop na 2 dagen in kringetjes volgens mij.

[lier]

MikeVanD schreef op zondag 7 augustus 2022 @ 15:20:
Echter wil ik het internetverkeer ook via de OpenVPN tunnel laten verlopen voor de externe apparaten en daar loop ik vast. Of ik heb een split tunnel of ik heb geen internet.

Wat is jouw definitie van geen internet? Gaat het alleen mis met het resolven (DNS) of komt het verkeer er echt niet? En hoe heb je het nu ingericht?
En waarom wil je alles over de VPN laten lopen? Zodat je publieke IP adres van thuis gebruikt wordt?

[True]

@MikeVanD je post is nu nogal vaagjes. Kun je wat meer informatie geven, je netwerk schetsen. Wat wil je precies bereiken en waarom wil je dit (mogelijk zijn er andere werkende oplossingen die gemakkelijker te bewerkstelligen zijn bijvoorbeeld).

Edit: En:

MikeVanD schreef op zondag 7 augustus 2022 @ 15:20:
Echter wil ik het internetverkeer ook via de OpenVPN tunnel laten verlopen voor de externe apparaten en daar loop ik vast. Of ik heb een split tunnel of ik heb geen internet.

Je wilt toch juist een split tunnel? Immers wil je internetverkeer via OpenVPN, daarmee impliceer je dat LAN-verkeer niet via de VPN moet, dus wil je een splittunnel.

Nogmaals, het is wat onduidelijk.

[ Voor 50% gewijzigd door True op 07-08-2022 16:24 ]

[MikeVanD]

Internet is voor mij alles wat buiten mijn lan zich afspeelt.

Wat ik kan zien is, dat het verkeer er niet komt Ik krijg na lange tijd een time-out dat de site/server niet bereikbaar is.

Het doel vab get Internet via de VPN tunnel is drieledig;
1) Toegang tot de servers bij mij thuis (dat werkt)
2) Anderen hoeven niet mee te kunnen kijken wat ik op zakelijke/openbare netwerken doe.
3) Openbare WiFi kan soms handig zijn, maar niet als je betalingen doet of inlogt op sites van klanten.

Ik heb een glasvezel internetaansluiting en dat is aangesloten op NIC1 van de i3 NUC waar pfsense en OpenVPN op draaien. NIC2 gaat naar de 5 poorts managed switch die de distributie naar de rest van de managed switches regelt (3 stuks; 16 poorts)

Het netwerk is in een aantal VLANs onderverdeeld die ik in de firewall van pfsense open of dicht zet voor verschillende gebruikers van OpenVPN. Dit werkt.

Het enige wat mij niet lukt is het internetverkeer van bijv. mijn telefoon via de tunnel te laten verlopen. Forceren via de def1-regel in de .ovpn werkt niet en de redirect aanvinken in pfsense ook niet.

de ovpn ziet er als volgt uit:

code:

dev tun
persist-tun
persist-key
data-ciphers AES-256-GCM:AES-128-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC
auth SHA256
tls-client
client
resolv-retry infinite
remote <ipadress> 443 udp4
nobind
verify-x509-name "OpenVPNserver_cert" name
auth-user-pass
remote-cert-tls server
explicit-exit-notify

Dit is zoals het uit pfsense gegenereerd wordt.

[nike]

Redirect IPv4 Gateway
Force all client-generated IPv4 traffic through the tunnel.

zo staat hij bij mij in pfsense en met de client export tool naar android, daar importeren.

Wellicht nog bij pfsense je dns van pfsense invullen bij de vpn config zodat je foon de dns van pfsense pakt

[ Voor 199% gewijzigd door nike op 07-08-2022 18:49 ]

[MikeVanD]

nike schreef op zondag 7 augustus 2022 @ 18:45:
Redirect IPv4 Gateway
Force all client-generated IPv4 traffic through the tunnel.

zo staat hij bij mij in pfsense en met de client export tool naar android, daar importeren.

Wellicht nog bij pfsense je dns van pfsense invullen bij de vpn config zodat je foon de dns van pfsense pakt

nope. bij mij werkt dat niet helaas.
vinkje bij "Force all client-generated IPv4 traffic through the tunnel" gezet en het IP-adres van pfsense binnen het vpn subnet gegeven en weg is internet. Komt pas weer terug nadat ik het vinkje uitgezet heb.

[MikeVanD]

Heel bijzonder...

Vandaag buitenshuis en even tijd voor een testje. Wanneer ik het .ovpn bestand op mijn laptop laad en "Force all client-generated IPv4 traffic through the tunnel" aanzet, de DNS van het vpn-vlan geef en de firewall zeg het verkeer door te laten, werkt het.

Laad ik hetzelfde .ovpn bestand op mijn iphone... geen internet. Het probleem lijkt dus bij de iphone te liggen.

[nike]

Ook niet vergeten bij rules bij openvpn een allow all regel maken.

[MikeVanD]

Die staat er en is actief :-)

Het verschil zit dus in hoe de iPhone er mee omgaat en alle andere apparaten. Vanmiddag ook nog een W10 desktop geprobeerd en dat werkte in één keer.

Blijft gek.

[MikeVanD]

ok, het lijkt te werken...

Tussen een vracht aan logboekmeldingen, stond 1 regeltje die nergens letterlijk is terug te vinden op internet;
NIP: no DNS provided. Ignoring match domains
De boodschap was wel helder.

Na wat verschillende settings geprobeerd te hebben, gewoon maar lomp "dhcp-option DNS xxx.xxx.xxx.xxxx" in de "Custom options" gezet en voilá het werkt op de iPhone... morgen ook even op de laptop proberen buitenshuis, kijken of die er niet van over de pis gaat, maar ik gok dat die daar geen probleem mee heeft. en anders maak ik 2 servers...