OVPN Server auf Windows mit Redirect Gateway

[snaxilian]

Ein Laie frickelt sich nicht ein solches komplexes Setup zusammen. Ergo setze ich natürlich voraus, dass gewisses Grundwissen vorhanden ist oder man willens und fähig ist, sich dieses anzueignen.
Auf deinem Bild in #36 sieht man sogar den Menüpunkt für die statischen Routen und ja für site2site wirst die Config auf dem VPS bzgl. OVPN anpassen müssen.
Eine gute Übersicht und den Aufbau der Routingtabelle gibt der deutsche Wiki Eintrag zu dem Thema: https://de.wikipedia.org/wiki/Routingtabelle

Aus dem Bauch heraus würde ich sagen du hast 2 Möglichkeiten:
1. Zwischen privaten Netzwerken und dem OVPN-Interface der pfSense wird geroutet, dann kann die Portweiterleitung am VPS direkt auf die Ziel-IP zeigen und du musst am VPS entsprechend einen Routingeintrag setzen damit der VPS weiß, dass er das Ziel-Subnetz über das OVPN-Interface der pfSense erreicht.
2. Die pfSense macht zwischen privaten Subnetzen und dem OVPN-Interface NAT. Dann würde die Portweiterleitung am VPS auf das OVPN-Interface der pfSense zeigen und du brauchst am VPS keine weiteren Routingeinträge. Aber du musst dann auf der pfSense neben dem NAT noch eine weitere Portweiterleitung einrichten vom OVPN-Interface zum eigentlichen Zielsystem.

Am Ende frickelst du dir hier etwas zusammen, das viele gerne vermeiden: Ein doppeltes NAT. Kannst ja aus Spaß mal nur die Forensuche hier zu dem Thema verwenden. Rein aus netzwerktechnischer Sicht ist ein schönes sauberes Routing einem mehrfachen NAT vorzuziehen.

 

[Bob.Dig]

@snaxilian Dann wähle ich Variante 1. 😉
Ich habe dafür eine statische Route gesetzt, diese zeigt auf die Client-IP der pfSense (Gateway)... ist das überhaupt richtig, hab noch nie eine Rute gesetzt. Das Interface auf dem Bild ist das OVPN-Interface. Windows hat mir auch nur gestattet eine /32 zu setzen, größer ging nicht.

Ich vermute aber leider, dass OVPN bei mir noch nicht richtig läuft, da ich vermutlich dort auch irgendwo mein Zielnetzwerk in die Config kriegen muss, was mir bisher nicht gelungen ist.

Ergänzung (4. Oktober 2020)

Irgendwie sehe ich den Wald vor Bäumen nicht mehr, wenn ich sowohl Traffic über den VPS ausleiten will, als auch Traffic vom VPS einleiten will, ja wie kann das überhaupt gehen. Vielleicht muss ich doch NATen?

 

[Bob.Dig]

2. Die pfSense macht zwischen privaten Subnetzen und dem OVPN-Interface NAT. Dann würde die Portweiterleitung am VPS auf das OVPN-Interface der pfSense zeigen und du brauchst am VPS keine weiteren Routingeinträge. Aber du musst dann auf der pfSense neben dem NAT noch eine weitere Portweiterleitung einrichten vom OVPN-Interface zum eigentlichen Zielsystem.

Dang! Das hat funktioniert, danke! Bin mir auch nicht mehr sicher, ob es überhaupt anders ginge. Supi!!
Ob ich das auch noch mit einem IPv4zu6 hin bekäme? Muss ich mal schauen.

 

[Bob.Dig]

Ob ich das auch noch mit einem IPv4zu6 hin bekäme? Muss ich mal schauen.

netsh interface portproxy scheint nur tcp zu unterstützen. Was mache ich aber, wenn ich udp traffic 4to6 umleiten will (außer auf linux zu wechseln)? 😥
protocol - Protocol to use. Currently only TCP is supported.

 

[snaxilian]

Entweder musst dir eine passende Software suchen, die diese Dienste anbietet oder wie du schon selbst festgestellt hast ist Windows Server hier das falsche Werkzeug für das Problem.
Wenn du ja schon zuhause eine pfSense nutzt warum installierst dann nicht einfach opnSense/pfSense auf dem VPS?

 

[Bob.Dig]

@snaxilian Ich möchte auf dem VPS halt auch Services laufen lassen, mit dem OS, mit dem ich mich noch am besten auskenne.

Aber selbst mit pfSense wüsste ich nicht wirklich, wie ich die gewünschte, aber nicht benötigte, Funktionalität herstellen könnte, was aber bei mir nichts heißt. 😉

 

[snaxilian]

Wenn der VPS nested virtualization erlaubt nutze hyper-v und lass die pfsense (oder irgendein Linux mit aktiviertem port forwarding) virtualisiert laufen oder nutze dafür einen zweiten. Du brauchst dafür ja kein Highend, da tut es vermutlich jeder kleine VPS ab 2,50€/Monat.

mit dem OS, mit dem ich mich noch am besten auskenne.

Paradebeispiel für Maslows Hammer.

 

[Bob.Dig]

Wenn der VPS nested virtualization erlaubt nutze hyper-v und lass die pfsense (oder irgendein Linux mit aktiviertem port forwarding) virtualisiert laufen oder nutze dafür einen zweiten.

Sicher richtig. Hab aber eh kaum echte Anwendungsfälle, schon das mit der E-Mail ist eher Spielerei, daher möchte ich nicht mehr bezahlen. Ich suche ja immer nach Anwendungsfällen für mich, aber finde nix essentielles.
Also das normale NATen in Windows Server ist ja eigentlich recht einfach, sogar komplett im GUI. Die Funktionalität ist halt schon älter, das waren noch Zeiten, wo es alles mit GUI gab. 😁

 

[Bob.Dig]

Ob ich das auch noch mit einem IPv4zu6 hin bekäme? Muss ich mal schauen.

@snaxilian Irgendwie bin ich ja auch blind und realisiere jetzt erst, dass ich das Problem ja schon durch OVPN und NAT gelöst habe und keinen Portmapper, geschweige denn 4zu6 oder 6zu4 oder wie immer sich das schimpft, bräuchte...
😄 (Wenn es mal wieder länger dauert)

 

[Bob.Dig]

Ich möchte das gleiche nun mit Wireguard für Windows machen, aber im WinServer wird mir nirgends der Adapter zum NATen angezeigt. Ist es irgendwie möglich?
Vielleicht hat @Masamune2 eine Idee.