mopskiller
Goto Top

Mikrotik OpenVPN Server und Windows Client - Routing Probleme

Hallo alle zusammen,

ich habe zur Zeit eine kleine Testkonfiguration für ein späteres Netzwerk aufgebaut: Ich habe einen Lancom Router, der ein lokales Intranet aufspannt und den Zugriff ins Internet regelt. In diesem "Lancom Netzwerk" hängt ein Mikrotik Cloud Core Router, der wiederum zwei weitere Netzwerke mit NAT aufspannt. Da ich nun von dem Lancom Netzwerk nicht ohne weiteres in das Mikrotik Netzwerk komme, will ich das ganze mit einem VPN regeln. Mit SSTP und L2TP/IPsec funktioniert das auch ohne Probleme, allerdings will meine Lösung mit OpenVPN nicht so richtig funktionieren. Ich kann zwar, die Geräte im Mikrotik Netzwerk aus dem Lancom Netzwerk heraus anpingen, allerdings nur weil ich die spezielle Routen der Config mitgegeben habe. Außerdem wird der gesamt Internet Traffic noch über das Lancom Netzwerk geleitet, was ich so nicht beabsichtige.

Hier die Konfiguration:
Lancom Netzwerk: 192.168.0.0/24
Mikrotik IP im Lancom Netzwerk: 192.168.0.130
Mikrotik Netzwerke: 192.168.100.0/24; 192.168.155.0/24; 192.168.156.0/24

Ich weiß, für manche mag das eine komische Konfiguration sein aber wie gesagt, es ist nur ein Testaufbau und er soll auch soweit bestehen bleiben.

Hier die Skript Auszüge für die Konfiguration vom Mikrotik:

Ich habe für das OpenVPN Netzwerk das große Netz 10.100.10.0 genommen, aber gemäß der Website in lauter 2er Paare aufgeteilt. Hier nur beispielhaft gezeigt:
/ip pooladd name=ovpn1 next-pool=ovpn2 ranges=10.100.10.1-10.100.10.2/certificateadd name=ca-template common-name=ovpnl days-valid=3650 key-size=4096 key-usage=crl-sign,key-cert-signadd name=server-template common-name=server-ovpn days-valid=3650 key-size=4096 key-usage=digital-signature,key-encipherment,tls-serveradd name=client-template common-name=client-ovpn days-valid=3650 key-size=4096 key-usage=tls-client/certificatesign ca-template name=ca-certificate-opvpnsign server-template name=server-certificate-opvpn ca=ca-certificate-opvpnsign client-template name=client-certificate-opvpn ca=ca-certificate-opvpn/certificateexport-certificate ca-certificate-opvpn export-passphrase=""export-certificate client-certificate-opvpn export-passphrase=12345678/pppprofile add name="ovpn-profile" use-encryption=yes local-address=ovpn1 dns-server=192.168.100.1 remote-address=ovpn1secret add name=user-ovpn profile=ovpn-profile password=password/interface ovpn-server serverset default-profile=ovpn-profile certificate=server-certificate-opvpn require-client-certificate=yes auth=sha1 cipher=aes128 enabled=yes

Die Konfiguration des Clients sieht so aus:
clientdev tunproto tcpremote 192.168.0.130 port 1194resolv-retry infinitenobindpersist-keypersist-tunca cert_export_ca-certificate-opvpn.crtcert cert_export_client-certificate.crtkey cert_export_client-certificate.keyremote-cert-tls servercipher AES-128-CBCauth SHA1auth-user-passverb 3route 192.168.155.0 255.255.255.0 10.100.10.1route 192.168.156.0 255.255.255.0 10.100.10.1route 192.168.100.0 255.255.255.0 10.100.10.1

Ich hoffe, das reicht grundsätzlich an Informationen, wenn nicht, seht es mir nach, ist mein erster Eintrag hier ;)

Ich bin ja davon überzeugt, dass es ein Routing Problem vom Client her ist, allerdings habe ich langsam echt keine Idee mehr, wo genau ich suchen soll. Ich hoffe ihr könnt mir vielleicht weiterhelfen oder einige Denkanregungen geben....

Schon mal ein herzliches Dankeschön!
Viele Grüße
Mopskiller

Content-Key: 343884

Url: https://administrator.de/contentid/343884

Ausgedruckt am: 19.03.2024 um 11:03 Uhr

Mitglied: 133417
Lösung 133417 19.07.2017 aktualisiert um 17:51:32 Uhr
Goto Top
Ich kann zwar, die Geräte im Mikrotik Netzwerk aus dem Lancom Netzwerk heraus anpingen, allerdings nur weil ich die spezielle Routen der Config mitgegeben habe.
Das kannst du hier leider nicht anders machen da sich beim Mikrotik keine weiteren Routen in die Server-Config eintragen lassen welche auf den Client gepusht werden (die Option besteht noch nicht).
Außerdem wird der gesamt Internet Traffic noch über das Lancom Netzwerk geleitet, was ich so nicht beabsichtige.
Lege einfach in der Client-Config das Default-GW auf den Tunnel.
redirect-gateway def1

Alles in allem ist die OpenVPN-Implementation auf dem MK gelinde gesagt, leider Schrott.

Gruß
Mitglied: Mopskiller
Mopskiller 20.07.2017 um 09:24:25 Uhr
Goto Top
Erstmal Dankeschön für die schnelle Antwort und deine Mühen face-smile
Zitat von @133417:

Das kannst du hier leider nicht anders machen da sich beim Mikrotik keine weiteren Routen in die Server-Config eintragen lassen welche auf den Client gepusht werden (die Option besteht noch nicht).

Ich habe eher daran gedacht für jedes einzelne Netzwerk hinter dem Mikrotik einen Tunnel aufzubauen. Also eine Opne VPN Verbindung und darauf dann drei Tunnel. Geht das? Ein anderer Gedanke war, ob ich dem Mikrotik vielleicht irgendwie mitteilen kann, welche seiner Interfaces jetzt zum VPN gehören und welche nicht...


Zitat von @133417:
Lege einfach in der Client-Config das Default-GW auf den Tunnel.
redirect-gateway def1

Nun ja, hab ich schon probiert. Danach geht gar nichts mehr. Dann kann ich weder meine Geräte anpingen noch hab ich Internet Zugriff :/

Dass die Open VPN Umsetzung schrott ist, hab ich leider auch schon feststellen müssen. Trotzdem wollte ich es versuchen umzusetzen, weil es an sich ja ne Lösung für so ziemlich jedes Betriebssystem ist...

Gruß