Eenvoudige site 2 site VPN blijkt niet zo eenvoudig te ziijn

[MikeVanD]

Ik ben bezig om tussen mijn kantoor en mijn huis een vpn-verbinding te leggen, zodat ik op kantoor bij mijn servers thuis kan en vice versa. Dat is handiger dan constant van VPN wisselen afhankelijk van de locatie

Het internet verkeer wil ik via huis laten verlopen voor als ik op kantoor TV / Netflix / Videoland / etc. wil kijken zonder gezeur of het wel de juiste locatie is.

Ik heb op beide locaties een pc met de laatste versie van pfsense staan en op beide locaties is glasvezel aanwezig. Op kantoor heb ik 100Mb tot mijn beschikking (gedeelde lijn met eigen vlan) en thuis heb ik 1Gb.

Als eerste heb ik OpenVPN geprobeerd, maar geen van beide pfsense routers heb ik verbinding kunnen laten leggen met de andere. Mijn backup-nas staat op kantoor en werkt zonder problemen maanden achtereen met OpenVPN, echter site-to-site krijg ik niet aan de praat; zelfs de router als client-server niet.

Vanwege de snelheid heb ik mijn telefoon, laptop en desktop via WireGuard verbonden met de routers en dat is veel sneller dan OpenVPN, dus een logische vervolgstap is WireGuard als site-to-site VPN.
Het maken van een verbinding is geen enkel probleem. Echter er gaat geen data over de lijn; de teller stopt bij 49Kb

De firewall rules staan op alles van iedereen toestaan op de OpenVPN en WireGuard interfaces, maar er zijn geen states die iets verraden.

Ondertussen heb ik van zowel WireGuard als van OpenVPN meerdere stap-voor-stap handleidingen gevolgd, maar het lukt mij niet om verder te komen dan dat de beide routers elkaar zien.

Heeft iemand een tip voor een handleiding die een wél werkende VPN-verbinding oplevert? Bij voorkeur WireGuard vanwege de snelheid, maar aangezien alle pc's voorzien zijn van (iets oudere) i3 of i5 processoren die hardware compressie ondersteunen kan OpenVPN ook.

Zijn IPsec of L2TP alternatieven? Ik lees dat ze niet echt veilig zijn, maar wel veel gebruikt worden nog?
Tailscale heb ik ook bekeken, maar ben geen fan van een authenticatie server ergens op het internet die niet door mij beheerd wordt. Headscale biedt wel een alternatief, maar wil er eigenlijk helemaal niet zo veel tijd insteken.

Ben nu toch al 5 weken af en aan bezig en zo moeilijk zou het toch niet moeten zijn denk ik...

[jurroen]

Je geeft aan dat de lijn op kantoor gedeeld is en gescheiden door een eigen VLAN. Nu weet ik niet hoe het qua gateway/firewall zit - kun je hier zelf poorten op openzetten/port-forwarding configureren?

Als dat niet kan zou je een split VPN kunnen overwegen, waarbij de doos op kantoor een client is voor de VPN server die je thuis hebt staan - die vervolgens alleen verkeer naar een specifiek IP adres over de VPN routeert.

Als je dat wel kunt: het is niet alleen een kwestie van de VPN server instellen maar ook de poorten openzetten. Heb je al gekeken of dat werkt?

[MikeVanD]

Ik kan poorten laten openen of doorzetten als dat nodig is, maar voor mijn telefoon, laptop en desktop werkt het wel zonder aanpassingen. Van kantoor naar huis zou dan sowieso moeten werken, maar helaas.

Ik heb het idd geprobeerd om de pfsense router op kantoor dan maar 1 kant op te laten werken, maar zowel OpenVPN als Wireguard krijg ik niet werkend; OpenVPN doet helemaal niks en WireGuard maakt verbinding (groene handjes) maar verder is niks mogelijk.

Er lijkt iets in pfsense te zitten wat kennelijk anders werkt dan bij een "gewone" vpn-client

[jurroen]

Een site-to-site VPN is een hele andere architectuur dan het client-server model, daarbij moeten de poorten wel aan beide kanten open staan. Dus ik denk dat dit de reden is dat het (nog) niet werkt

[MikeVanD]

Thuis staan de poorten open. Op kantoor op mijn pfsense ook, maar het zou theoretisch dan nog in de switch of wat dan ook op kantoor kunnen zitten. Echter...

Volgens mijn logica zou het dan niet mogelijk moeten zijn om vanaf huis met mijn telefoon en laptop een vpn-verbinding naar kantoor te maken en dat lukt wel. Zowel OpenVPN als WireGuard.

Alleen niet met pfsense naar pfsense.

Ik ga morgenochtend ff met de installateur van het geheel bellen. Kijken wat die te zeggen heeft.

[Nobby]

Ik gebruik tailscale voor dit. Werkt echt super vanaf elke locatie, zelfs telefoons.

[MikeVanD]

Ja zoals ik al schreef heb ik daar ook naar gekeken, maar ben niet zo weg van een server "ergens" op internet die de authenticatie doet. Dan ben je altijd weer afhankelijk van de beschikbaarheid van die dienst, de beveiliging er van en of ze stiekem niet toch info doorverkopen als verdienmodel en dan komt ook nog privacy om de hoek kijken.

Dat is te omzeilen met headscale voor zover ik het zag, maar dat gaat me weer tig uren kosten om mij dat eigen te maken en op te zetten en ook dat moet weer beheert worden.

[nelizmastr]

jurroen schreef op zondag 16 juli 2023 @ 20:59:
Een site-to-site VPN is een hele andere architectuur dan het client-server model, daarbij moeten de poorten wel aan beide kanten open staan. Dus ik denk dat dit de reden is dat het (nog) niet werkt

Je kunt nog smokkelen door aan de ene kant (meest restrictieve) de VPN op alleen initiëren te zetten en de andere kant op responder, dan hoef je bijv. in geval van ipsec geen 500/4500 en esp door te laten inkomend en kun je toch een tunnel hebben.

Bij een dubbel NAT constructie in een gedeeld pand zonder eigen lijn of welwillendheid tot poorten open gooien zoiets moeten fabriceren en werkt OK.

[EverLast2002]

Dus je hebt een werkende site to site verbinding gemaakt (schrijf je zelf),
en dan ?
Wat en hoe test je vervolgens?
Heb je je laptop correct ingesteld met de juiste netwerk settings?

[MikeVanD]

Ik heb verbinding; WireGuard geeft op beide routers een groene handshake en verder niks. Geen states in beide firewalls (indicatie dat er iets niet lekker gaat) maar ook geen verbinding met de andere kant, ondanks dat de de betreffende IP-range alles mag in beider netwerken.
Er gaat ook zoe goed als geen traffic over. Het staat de hele avond aan en ik zit nu op 103Kb en dat was 49 rond 18u.

Ik heb de logging van de routers nagekeken maar kan daar niks vinden. Ik kan geen server aan de andere kant benaderen. Wel werkt het internet van beide locaties met elk hun eigen externe IP. Het internet verkeer wordt dus niet door de tunnel geleid.

Wat zou ik aan mijn laptop nog moeten instellen bij een site to site?

[hjtuinenburg]

Hier zijn zoveel mogelijke factoren. Ervan uitgaande dat de servers elkaar inderdaad zien en verbinding maken zegt eigenlijk dat de poorten en authentificatie ok zijn.

Dan gaat het dus waarschijnlijk over routing.

Zijn de twee subnetten verschillend va elkaar? Zijn de pfsense machines de default gateways van de twee netwerken?
Kunnen de twee pfsense machines elkaar wel pingen ( op het lan-ip en/of vpn-ip )?

[hjtuinenburg]

En kloppen de routeringstabellen van de beide pfsense machines?

[powerboat]

Site-2-site kan prima achter nat omdat dit ook een server cliënt opstelling is.

Thuis zet je op als server je moet wel vast ip hebben of iig een publiek beschikbaar ip adres en niet ge-nat bij je provider. Je kantoor (pfsense) configureer je als een cliënt. Deze doet dan een dailback naar je huis.

[nelizmastr]

Check ook je routetabel. Is er wel een route over de tunnel naar de betr. netwerken? Staat de metric goed ingesteld en wordt er niet meteen naar wan gerouteerd?

[jurroen]

Heb je heel toevallig deze guide gezien?

[MikeVanD]

hjtuinenburg schreef op zondag 16 juli 2023 @ 23:09:
Dan gaat het dus waarschijnlijk over routing.

Zijn de twee subnetten verschillend va elkaar?

yes! 10.1.10.1 en 10.7.1.1

Zijn de pfsense machines de default gateways van de twee netwerken?

euh... de gateway van de 1 is een Freedom server en van de ander een KPN-server. Andere Gateways heb ik niet.

Kunnen de twee pfsense machines elkaar wel pingen ( op het lan-ip en/of vpn-ip )?

Nee, beide lukt niet.

[Paul]

MikeVanD schreef op maandag 17 juli 2023 @ 09:29:
euh... de gateway van de 1 is een Freedom server en van de ander een KPN-server. Andere Gateways heb ik niet.

(default) "gateway" is een term die meestal gebruikt wordt om de default route aan te duiden. Als je met routers en VPN's speelt hoor je te weten (of leren) wat een routetabel is.

Kort gezegd dien je tegen de ene router te zeggen dat'ie 10.1.10.1/24 (even uitgaande van een /24) de VPN op moet sturen, en tegen de andere dat'ie 10.7.1.1/24 de VPN op moet sturen. Als je dat niet doet dan gaat het naar de default gateway (dus het netwerk van je provider op). Ook moet je opletten dat het verkeer niet ge-NAT wordt (maar als pfSense doorheeft dat het de VPN op moet raakt het als het goed is de NAT-regel niet).

[oef!]

Ik gebruik altijd de Angristan installer om wireguard op te zetten - werkt perfect en zonder issues. Laptops en telefoons connecten pijnloos via een ubiquitu edgerouter (met alleen maar een port forward) naar een thuis server. Config file ziet er zo uit:

[Interface]
PrivateKey = <hidden>
Address = 10.66.66.5/32, fd42:42:42::5/128
DNS = 192.168.1.2, 1.1.1.1

[Peer]
PublicKey = <hidden>
PresharedKey = <hidden>
AllowedIPs = 0.0.0.0/0, ::/0
Endpoint = hidden:51820

DNS gaat eerst naar pi-hole intern.


https://github.com/angristan/wireguard-install

[MikeVanD]

nelizmastr schreef op maandag 17 juli 2023 @ 07:37:
Check ook je routetabel. Is er wel een route over de tunnel naar de betr. netwerken? Staat de metric goed ingesteld en wordt er niet meteen naar wan gerouteerd?

Bij Diagnostics / Routes staan de ip-adressen er tussen, net als die van de andere vlans en vpn's, of bedoel je wat anders

[MikeVanD]

jurroen schreef op maandag 17 juli 2023 @ 09:04:
Heb je heel toevallig deze guide gezien?

yes! en gebruikt ook; de eerste keer en ook de laatste keer

[Paul]

Weet je wat een routetabel is / doet? Weet je wat een router doet? Edit: Ik besef met dat dit misschien agressiever overkomt dan ik het bedoel Ik bedoel het niet zo, maar het is wel handig om deze concepten te kennen als je met VPN's in de weer gaat.

Een router routeert pakketjes van de ene naar de andere interface. De routetabel zegt hoe dat moet gebeuren: "Pakketjes voor subnet X moeten worden afgeleverd op IP-adres Y"

Er zou dus (op de router waar 10.7.1.0/24 lokaal is) iets tussen moeten staan met:
Destination: 10.1.10.0/24
Gateway: Link#1234 (of mogelijk een IP-adres)

[ Voor 18% gewijzigd door Paul op 17-07-2023 09:47 ]

[MikeVanD]

Paul schreef op maandag 17 juli 2023 @ 09:39:
[...]
(default) "gateway" is een term die meestal gebruikt wordt om de default route aan te duiden. Als je met routers en VPN's speelt hoor je te weten (of leren) wat een routetabel is.

Kort gezegd dien je tegen de ene router te zeggen dat'ie 10.1.10.1/24 (even uitgaande van een /24) de VPN op moet sturen, en tegen de andere dat'ie 10.7.1.1/24 de VPN op moet sturen. Als je dat niet doet dan gaat het naar de default gateway (dus het netwerk van je provider op). Ook moet je opletten dat het verkeer niet ge-NAT wordt (maar als pfSense doorheeft dat het de VPN op moet raakt het als het goed is de NAT-regel niet).

ah... Ik zie dat "IPv4 Upstream gateway" op none staat. Moet ik per interface een gateway maken? Dan ga ik mij daar eerst in verdiepen.

[Paul]

MikeVanD schreef op maandag 17 juli 2023 @ 09:52:
ah... Ik zie dat "IPv4 Upstream gateway" op none staat. Moet ik per interface een gateway maken? Dan ga ik mij daar eerst in verdiepen.

Ik ben niet zo bekend met pfSense, ik heb geen idee op welk scherm dit staat of wat het doet, sorry.

[MikeVanD]

oef! schreef op maandag 17 juli 2023 @ 09:40:
Ik gebruik altijd de Angristan installer om wireguard op te zetten - werkt perfect en zonder issues.

Ik gebruik de WireGuard windows client hiervoor en sla het config bestand op en maak er dan een QR van.

[MikeVanD]

Paul schreef op maandag 17 juli 2023 @ 09:47:
Weet je wat een routetabel is / doet? Weet je wat een router doet? Edit: Ik besef met dat dit misschien agressiever overkomt dan ik het bedoel Ik bedoel het niet zo, maar het is wel handig om deze concepten te kennen als je met VPN's in de weer gaat.

Een router routeert pakketjes van de ene naar de andere interface. De routetabel zegt hoe dat moet gebeuren: "Pakketjes voor subnet X moeten worden afgeleverd op IP-adres Y"

Er zou dus (op de router waar 10.7.1.0/24 lokaal is) iets tussen moeten staan met:
Destination: 10.1.10.0/24
Gateway: Link#1234 (of mogelijk een IP-adres)

Ha! no offence taken :-)

Ik ben geen specialist in elk geval, maar kan mijn weg normaal gesproken wel vinden door mijzelf in te lezen en aan de hand van tutorials. WireGuard is wel nieuw voor mij en omdat het zo simpel ging met de client-server dacht ik dat het vast ook eenvoudig zou zijn

Ik ga eens even spitten in de gateways en routetabellen, want als ik het zo lees denk ik dat het probleem daar te vinden zou kunnen zijn.