HeimnetzInternerTraffic durch VPN routen

[the_wawa]

Moin,

Ich möchte gerne ein zweites Gateway in meinem Netz errichten. Dieses Gateway soll dann allen Traffic via einen VPN Tunnel leiten. Sprich ein paar meiner Rechner bekommen als "default gateway" dieses Gateway eingerichtet und all ihr Traffic soll dann via VPN geroutet werden.

Leider kann die Sophos UTM das nicht von hausaus. Ich hab schon pfSense virtualisiert und die VPN Verbindung dort eingerichtet, geht auch, doch leider routet es den Traffic nicht via VPN sondern garnicht mehr Hab davon nun nach einer Woche Tutorials lesen die Schnauze voll und fange noch mal von vorne an!

Netzwerktopologie:
Internet <-> Fritzbox <-> Sophos UTM <-> Internes Netz


Über irgendwelche Tipps und Ratschläge freue ich mich!

Gruß

 

[Loomes]

Ich habe sowas hier bei mir auch laufen, allerdings mit IPfire.
IPFire ist mit dem VPN verbunden und wenn ich an den Clients die IP Fire ip als Gateway und dns eintrage laufen sie über die VPN.
Ich kenne mich mit PFsense nicht aus, aber im Fall von IPFire muss man iptables natürlich wenn die vpn steht auch noch sagen das er alle Daten die ans Wan Interface gehen nach tun0 schiebt, ansonsten geht halt nix.

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o tun0 -j MASQUERADE

Villeicht hilfts dir ja weiter.

 

[inciter]

1. was sollen denn die Endpunkte der VPN sein? 2. Ist die FritzBox generell noch notwendig? 3. Welches VPN-Protokoll (PPTP, IPSec/L2TP, OpenVPN) ?

Vielleicht schon mal was zum Ausprobieren: Suche mal bei den VPN-Einstellungen nach NAT-Optionen, denn die FitzBox nattet bereits die Enpunkt-Adresse, sodass diese nicht mehr mit der vom DNS vermittelten übereinstimmt.

Ergänzung (23. Januar 2015)

Ich habe sowas hier bei mir auch laufen, allerdings mit IPfire.
IPFire ist mit dem VPN verbunden und wenn ich an den Clients die IP Fire ip als Gateway und dns eintrage laufen sie über die VPN.
Ich kenne mich mit PFsense nicht aus, aber im Fall von IPFire muss man iptables natürlich wenn die vpn steht auch noch sagen das er alle Daten die ans Wan Interface gehen nach tun0 schiebt, ansonsten geht halt nix.

iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o tun0 -j MASQUERADE

Villeicht hilfts dir ja weiter.

PFSense ist BSD-basierend und arbeitet nicht mit IPTables, sondern mit PF (Packet Filter). Daher auch der Name PFSense.

 

[the_wawa]

Moin und danke erstmal für die Antworten!

Also ich guck mir heut abend mal IPfire an!

@inciter
Ja die Fritzbox is notwendig weil darüber auch das Telefon(VoIP) läuft und ich zu Gunsten des Hausfriedens nicht am Telefon rumbasteln will/darf :/ aber vielleicht kommt die Fritzbox irgendwann mal weg.

meine Netzwerktopologie:



Gruß

 

[inciter]

Hihihi, das du nicht am Telefon rumspielen darfst, kann ich nachvollziehen.

Erst mal meine persönliche Meinung: PFSense ist meiner Meinung nach die derzeit beste FW-/Router-/UTM-Distro. Alle wünschenswerten Funktionen sind enthalten und alles kostenfrei. Darüber hinaus ist die Community sehr aktiv.

Aus deiner Skizze werde ich noch nicht so ganz schlau, aber wenn die beiden Endpunkte fest per VPN gekoppelt werden sollen, würde ich IPSec empfehlen. IPSec ist immer an L2TP gekoppelt, dass auf Hardware-Ebene arbeitet und entsprechend besondere Anforderungen hat, sobald es genattet werden muss. Dieses Thema ist komplex, deshalb verweise ich hier mal auf Wikipedia. Wichtig ist, dass die NAT-Optionen stimmen (Force, Transperent, usw.). Hier wirst du rumprobieren müssen. Die entsprechenden Regeln zu Routing und Ports müssen natürlcih ebenfalls passen. In IPFire ist das nichts Anderes - warum auch?

Kann man die FritzBox nicht zufällig als DSL-Modem konfigurieren. Dabei müsste die Telefonfunktion doch erhalten bleiben.

[EDIT:]
An euch beide... Mir erschließt sich der Sinn eurer Infrastruktur noch nicht so ganz. Ich frage aus neugier und weil ich gerne meinen Horizont erweitere. Vielleicht könnt ihr mir erklären, was ihr genau bezwecken wollt.

 

[Loomes]

Ich kann da nur für mich sprechen. In meinem Fall geht es einfach darum einen Client mit fester IP wahlweise durch einen VPN Tunnel zu jagen oder eben ganz normal über die Fritte einfach durch ändern des Gateway/DNS. Und ich spreche da jetzt z.B. von einem Smart TV oder einem Sat Receiver wo das benutzen des normalen openvpn Clients eben nicht möglich ist.