Wireguard "Pfsense <-> Raspberry" Routing Probleme

[deslout!]

Hallo zusammen,
Ich nutze aktuell noch eine Fortigate Firewall zu Hause und möchte eine Wireguard s2s Verbindung mit meinem Proxmox Server aufbauen, worauf eine pfsense installiert ist. Da die Fortigate kein Wireguard unterstützt, habe ich einen Raspberry pi mit Wireguard installiert und leite den Wireguard Port mit NAT an den Raspbi weiter.

Die Wireguard Verbindung steht und der Handshake läuft. Ich kann aber das verwendete Wireguard Netz in beide Richtungen nicht pingen. Zum besseren Verständnis habe ich versucht, die Situation mit einem Chart zu visualisieren.

Auf der Fortigate und der pfsense habe ich zwei statische Routen erstellt. (Siehe Bild)

Danke im Voraus.

 

[madmax2010]

zeig doch mal bitte
ip route get
und
mtr
zwischen den peers

 

[kieleich]

ist der hetzner server, vom raspi aus erreichbar, dann brauchst du gar keine port weiter leitung bzw die kann sogar stören

deine routen verstehe ich nicht dein gateway wäre doch wenn dann die .0.2?

 

[deslout!]

zeig doch mal bitte
ip route get
und
mtr
zwischen den peers

root@raspberrypi:/etc/wireguard# ip route get 172.16.0.1
172.16.0.1 dev wg0 src 172.16.0.2 uid 0
cache
root@raspberrypi:/etc/wireguard#


mtr bleibt bei 172.16.0.1 leer.

Ergänzung (4. März 2022)

ist der hetzner server, vom raspi aus erreichbar, dann brauchst du gar keine port weiter leitung bzw die kann sogar stören

deine routen verstehe ich nicht dein gateway wäre doch wenn dann die .0.2?

Du Meinst die Route der Fortigate? Aber die Forti kennt das Netz 172.16.0.0/24 ja gar nicht?

 

[madmax2010]

ok, zeig mal auf allen 3 geraeten die volle routing table
auf der fotigate, dem raspi und bei hetzener
ip route show
vielleicht einfacher als kleinschrittig zu debuggen

 

[riversource]

Ich vermute das Problem im Wireguard Setup. Wie sehen die Allowed IPs auf beiden Seiten aus?

 

[deslout!]

Hier stand Mist

 

[0-8-15 User]

Ich kann aber das verwendete Wireguard Netz in beide Richtungen nicht pingen.

Hast du in pfSense die Firewall Regeln auf dem WireGuard Interface entsprechend deiner Bedürfnisse angepasst?

pfsense:
10.17.17.0/24

Hast du in VPN / WireGuard / Peers unter Adress Configuration die Allowed IPs entsprechend deiner Bedürfnisse angepasst?

 

[deslout!]

Hast du in pfSense die Firewall Regeln auf dem WireGuard Interface entsprechend deiner Bedürfnisse angepasst?

Ja, die Regeln und die allowed ips sind definiert.

 

[riversource]

Gibt es Logmeldungen der Wireguard Instanzen?

Die beiden Wireguards routen vollwertig, also es gibt keine NAT Regeln für die WG Netze, richtig?

Ich kann aber das verwendete Wireguard Netz in beide Richtungen nicht pingen.

Was genau waren das für Ping Kommandos? Wo wurden sie abgesetzt? Wie weit kommt ein Traceroute auf die jeweilige Adresse?

 

[deslout!]

Gibt es Logmeldungen der Wireguard Instanzen?

Die beiden Wireguards routen vollwertig, also es gibt keine NAT Regeln für die WG Netze, richtig?


Was genau waren das für Ping Kommandos? Wo wurden sie abgesetzt? Wie weit kommt ein Traceroute auf die jeweilige Adresse?

Es gibt keine NAT Regeln.

Tracert von Pfsense zu 172.16.0.2:
CGNAT Address * *
Hetzner Gateway * *

 

[riversource]

Der Trace auf der PFSense ist sehr aufschlussreich. Die sucht nämlich das 172er Netz nicht auf dem WG Interface, sondern vermutlich auf dem Default Gateway. Jedenfalls ist der erste Hop eine CGNAT Adresse (wo auch immer die herkommt auf einem Hetzner System), und der zweite Hop ist eine öffentliche IP aus dem Hetzner Netz.

Also auf der PFSense ist das Routen-Setup komplett fehlerhaft. Sie ist sich nicht bewusst, dass es einen Weg ins 172.16er Netz gibt.

 

[deslout!]

Das Setup für die Statischen Routen sollte aber meiner Meinung nach stimmen?
Der Gateway ist erstellt und die beiden statischen Routen ebenfalls.

 

[riversource]

Wo kommen die statischen Routen denn her? Hast du die von Hand angelegt? Vor allem eine statische Route auf 172.16.0.0/24 sollte nicht nötig sein, die sollte sich von allein durch die Allowed IPs von Wireguard ergeben.

Ist diese komische grafische Oberfläche die einzige Analysemöglichkeit? Ein paar Kommandos auf der Shell (ip route, ip addr) wären jetzt wertvoll.

 

[deslout!]

Hier stand Mist.

 

[riversource]

Da ist eine Hostroute 172.16.0.1/32 auf tun_wg0 und eine weitere Route 172.16.0.1 ohne Subnetzmaske auf lo0 - also auf dem localhost Interface. Aber es gibt keine Route auf 172.16.0.0/24, wie sie erforderlich wäre, und die Route auf lo0 macht vermutlich Ärger. Von der Route auf 10.17.17.0/24 sieht man auch nichts.

 

[deslout!]

ist es möglich, dass die default route mit 0.0.0/0.0.0.0 alles abfängt, egal welche Einträge darunter vorhanden sind?

 

[riversource]

Je spezifischer die Route, desto eher wird sie berücksichtigt. Das wird es also nicht sein.

Es ist ja offensichtlich, dass das Routensetup auf der PFSense im Moment Unsinn ist. Vielleicht arbeitet PFSense im Hintergrund mit Policy based Routing, und die fehlenden Routen sind in irgendeiner anderen Tabelle. Aber die Route auf lo0 macht so definitiv keinen Sinn.

 

[deslout!]

ist der hetzner server, vom raspi aus erreichbar, dann brauchst du gar keine port weiter leitung bzw die kann sogar stören

deine routen verstehe ich nicht dein gateway wäre doch wenn dann die .0.2?

Deine Antwort war so früh und trotzdem habe ich es übersehen. Natürlich ist die Route von der pfsense die 0.2 und nicht die 0.1.

Danke für eure Hilfe.

 

[whispet]

Raspberry PI:
root@raspberrypi:~# ip route show
default via 10.17.17.1 dev eth0 proto dhcp src 10.17.17.67 metric 202
10.10.10.0/24 dev wg0 scope link
10.17.17.0/24 dev eth0 proto dhcp scope link src 10.17.17.67 metric 202
172.16.0.0/24 dev wg0 proto kernel scope link src 172.16.0.2
...

Vorsicht beim verstecken/zeigen deiner IPs.... Mal versuchst Du sie unkenntlich zu machen (man weiß aber trotzdem was da steht) und manchmal sind sie so zu sehen.