[OpenVPN]: Kein Zugriff auf das interne Netzwerk {Erledigt}

UCS - Univention Corporate Server
#1

Hallo zusammen,

ich habe momentan folgendes Problem.
Ich habe auf den UCS Core Server, den OpenVPN Server installiert und konfiguriert. Die Portweiterleitung auf den Router ist konfiguriert und ich kann auch eine VPN Verbindung, von extern aufbauen.

Ich kann den OpenVPN Server erfolgreich anpingen, allerdings keine anderen Geräte im LAN Netzwerk.
Anbei die Netzwerke:

Internes Netzwerk: 192.168.2.0/24
VPN Netz: 192.168.3.0/24
UCS Server:192.168.2.230
Gateway: 192.168.2.1

Auszug der routing Tabelle vom UCS (OpenVPN):
Kernel-IP-Routentabelle
Ziel Router Genmask Flags Metric Ref Use Iface
0.0.0.0 192.168.2.1 0.0.0.0 UG 0 0 0 ens18
172.17.0.0 0.0.0.0 255.255.0.0 U 0 0 0 docker0
192.168.2.0 0.0.0.0 255.255.255.0 U 0 0 0 ens18
192.168.3.0 0.0.0.0 255.255.255.0 U 0 0 0 tun0

Auszug /etc/openvpn/server.conf:

Constant values

dh /etc/openvpn/dh2048.pem
ca /etc/univention/ssl/ucsCA/CAcert.pem
cert /etc/univention/ssl/pandoria/cert.pem
key /etc/univention/ssl/pandoria/private.key
crl-verify /etc/openvpn/crl.pem
cipher AES-256-CBC
ifconfig-pool-persist ipp.txt
push “dhcp-option DNS 192.168.2.230”
push “dhcp-option DOMAIN lufiaworld.intranet”
keepalive 10 120
comp-lzo
persist-key
persist-tun
verb 1
mute 5
status /var/log/openvpn/openvpn-status.log
management /var/run/management-udp unix
dev tun
topology subnet

Values which can be changed through UDM

port 1194
server 192.168.3.0 255.255.255.0
server-ipv6 fdda:354e:65b6:b242::/64
proto udp
push “redirect-gateway def1”
duplicate-cn
plugin /usr/lib/openvpn/openvpn-plugin-auth-pam.so /etc/pam.d/vpncheckpass

push “route 192.168.3.0 255.255.255.0”

Es liegt nahe das es am Routing liegt, bin mir aber unsicher über die Befehle bzw ob es wirklich daran liegt.

Kann mir da jemand helfen?

Viele Grüße,
Matthias

#2

Moin,

das ist richtig. Die Hosts in 192.168.2/24 kennen das VPN Netz nicht, bzw. wissen nicht, dass dieses ueber die 192.168.2.230 geroutet werden muss und nicht ueber die 192.168.2.1.

Also auf allen Hosts, die aus dem VPN erreichbar sein sollen entweder

  • die Route ‘192.168.3/24 via 192.168.2.230’ hinterlegen (umstaendlich)
  • oder auf diese Route aus dem Default-GW hinterlegen (gibt dann immer Redirects)
  • oder die VPN-Hosts auf der 192.168.2.230 per NAT auf die 192.168.2.230 mappen (Zugriffe lassen sich nicht mehr einzelnen VPN Hosts zuordnen)
#3

Vielen Dank für die schnelle Antwort. Ich habe das inzwischen umgesetzt und es funktioniert.

Viele Grüße,
Matthias

Mastodon