Portweiterleitung zu einem weiteren Fli4l durch VPN Tunnel

[Christian Reiser]

Hallo zusammen.

Ist es möglich eine Portweiterleitung auf eine IP aus einer OpenVPN
Verbindung zu machen?

Beispiel:

Fli4l A hat eine feste IP 4 und eine OpenVPN Verbindung mit Fli4l B.
Fli4l B hat keine feste IP, der VPN Tunnel A-B funktioniert aber
zuverlässig. Jetzt wäre es schön, wenn Fli4l A eine Portweiterleitung in
das lokale Netz von Fli4l B durch den VPN Tunnel machen könnte. Einfach
die Portweiterleitung auf Fli4l A in das lokale Netz von Fli4l B zu
machen reicht nicht aus. Hat vielleicht jemand eine Idee wie ich meinen
Wunsch realisieren könnte?

Danke und Grüße
Christian.

[B. Sprenger]

Hi,
bisschen spät meine Antwort, aber ich probiere es mal.

Der Tunnel ist ja eine direkte Verbindung, so dass man gar keine
Portweiterleitung benötigt.
Richtiges Routing vorausgesetzt, sehen alle Clients in Netz A alle
anderen Clients in Netz B.
Somit ist eine Portweiterleitung Nonsense.
Wenn das nicht funktioniert ist die OpenVPN Konfiguration fehlerhaft.
Welche IP-Adressen (Subnetze) werden auf beiden Seiten des Tunnels
verwendet?
Welche IP-Adressen verwendet der Tunnel?
Wie sieht die Konf auf beiden Seiten aus?

Was meinst du damit dass der Fli4l keine feste IP-Adresse hat?
Vermutlich dass sich die externe IP-Adresse bei der Zwangstrennung
ändert? Die interne IP-Adresse ist schon fix?

[Hans Bachner]

Hallo Boris,

B. Sprenger schrieb am 11.01.2023 um 16:34:
> Hi,
> bisschen spät meine Antwort, aber ich probiere es mal.
>
> Am 10.11.2022 um 17:54 schrieb Christian Reiser:
>> Hallo zusammen.
>>
>> Ist es möglich eine Portweiterleitung auf eine IP aus einer OpenVPN
>> Verbindung zu machen?
>>

>> [...]

>
> Der Tunnel ist ja eine direkte Verbindung, so dass man gar keine
> Portweiterleitung benötigt.

> [...]

Ich habe die Frage anders verstanden. Ich denke, Christian geht es
darum, für eine von außen zum fli4l A aufgebaute Verbindung eine
Portweiterleitung einzurichten, deren Ziel nicht im LAN des fli4l A
liegt, sondern im LAN des über eine VPN-Verbindung erreichbaren fli4l B.

Ich habe noch nichts derartiges ausprobiert - aber reicht es nicht
einfach, wie bei einer Weiterleitung ins LAN einfach die Zieladresse
anzugeben, die halt über die OpenVPN-Verbindung erreichbar ist? Oder tun
sich da Stolpersteine auf dem Rückweg auf?

Hans.

[B. Sprenger]

Hallo Hans,>

> Ich habe die Frage anders verstanden. Ich denke, Christian geht es
> darum, für eine von außen zum fli4l A aufgebaute Verbindung eine
> Portweiterleitung einzurichten, deren Ziel nicht im LAN des fli4l A
> liegt, sondern im LAN des über eine VPN-Verbindung erreichbaren fli4l B.
>
> Ich habe noch nichts derartiges ausprobiert - aber reicht es nicht
> einfach, wie bei einer Weiterleitung ins LAN einfach die Zieladresse
> anzugeben, die halt über die OpenVPN-Verbindung erreichbar ist? Oder tun
> sich da Stolpersteine auf dem Rückweg auf?

Interessanter Ansatz
Ich denke das geht nicht.
Müsste man mal ausprobieren.
Aber die Zieladresse des Portforwardings liegt ja nicht im Netz des
FLi4l (A) sondern in einem anderen Netz (Fli4l B), daher vermute ich mal
dass man zumindest an den Firewall-Regeln herumbiegen müsste.
Das übersteigt aber meine Kenntnisse.

Mein Lösungsansatz:
Er müsste auf dem zweiten FLI4l eine weitere OpenVPN Verbindung
einrichten und der Client sich dann direkt mit dem zweiten Fli4l verbinden.


Nachdem ich mir das nochmal durchgelesen habe:
Vielleicht könnte man das Portforwarding auf eine Adresse aus dem
Adressbereichs des Fli4l(A) machen, und für diese Adresse (Subnetz
255.255.255.255) eine Route auf den Fli4L (B) setzen.
(Ist aber Spekulation)
Und ob dann der Rückweg funktioniert....

[Gerd Walter]

Hallo Christian,

Am 10.11.22 um 17:54 schrieb Christian Reiser:

Ich habe das vor kurzen bei mir ohne Fli4l realisiert, ich habe hier ein
gleiches Szenario.
War nicht einfach und geht immer noch nicht richtig.
Damit das funktioniert muss die SNAT gemacht werden, damit die Pakete
wieder an Fli4l A zurückgehen.

--
Gruß Gerd