OpenVPN GW2GW kein Web und SSH Zugriff per Tunnel möglich

    Hallo zusammen,

    folgendes Problem: Wir betreiben einen OpenVPN-Server mit der Endian 2.4.1 Community Firewall im geroutetem Modus. Es besteht eine GW2GW Verbindung zu einer zweiten Endian Version 2.5.1 Community. Ping geht, RDP geht, der Tunnel steht also. Was mir nun allerdings Kopfzerbrechen bereitet, ist folgendes: Gegenseitiger Zugriff per Webinterface wie auch per SSH über den VPN-Tunnel ist nicht möglich. Hat jemand eine Idee wo es da noch klemmen könnte?

    Vielen Dank im voraus! :)

    Meine Config für den VPN-Server:

    ; daemon configuration
    daemon
    mode server
    tls-server
    proto udp
    port 1194
    multihome
    user openvpn
    group openvpn
    cd /var/openvpn
    client-config-dir clients
    script-security 2 system
    ; tunnel configuration
    dev tap0
    ; not bridged
    server 192.168.63.0 255.255.255.0
    push "route 192.168.100.0 255.255.255.0"
    passtos
    comp-lzo
    management 127.0.0.1 5555
    keepalive 8 30
    tun-mtu 1500
    tun-mtu-extra 32
    mssfix 1450
    persist-key
    persist-tun
    persist-local-ip
    persist-remote-ip
    ; logging and status
    writepid /var/run/openvpn/openvpn.pid
    ifconfig-pool-persist openvpn.leases
    status /var/log/openvpn/openvpn-status.log
    verb 1
    client-connect "/usr/local/bin/dir.d-exec /etc/openvpn/client-connect.d/"
    client-disconnect "/usr/local/bin/dir.d-exec /etc/openvpn/client-disconnect.d/"
    ; certificates and authentication
    dh /var/efw/openvpn/dh1024.pem
    pkcs12 /var/efw/openvpn/pkcs12.p12
    ns-cert-type client
    auth-user-pass-verify "/usr/bin/openvpn-auth" via-file
    username-as-common-name
    client-to-client

    Config auf der Zweiten Endian:

    ; daemon configuration
    daemon
    mode server
    tls-server
    proto udp
    port 1194
    tmp-dir /var/tmp
    multihome
    user openvpn
    group openvpn
    cd /var/openvpn
    ; client-config-dir clients
    script-security 2 system
    ; tunnel configuration
    dev tap0
    ; bridge to GREEN
    server-bridge 192.168.4.201 255.255.255.0 192.168.4.1 192.168.4.200
    push "route-gateway 192.168.4.201"
    ; don't push global networks
    passtos
    comp-lzo
    management 127.0.0.1 5555
    keepalive 8 30
    tun-mtu 1500
    tun-mtu-extra 32
    mssfix 1450
    persist-key
    persist-tun
    persist-local-ip
    persist-remote-ip
    ; logging and status
    writepid /var/run/openvpn/openvpn.pid
    ifconfig-pool-persist openvpn.leases
    status /var/log/openvpn/openvpn-status.log
    verb 1
    client-connect "/usr/local/bin/openvpn-client-connect"
    client-disconnect "/usr/local/bin/openvpn-client-disconnect"
    up "/usr/local/bin/dir.d-exec /etc/openvpn/ifup.server.d/"
    down "/usr/local/bin/dir.d-exec /etc/openvpn/ifdown.server.d/"
    ; certificates and authentication
    dh /var/efw/openvpn/dh1024.pem
    pkcs12 /var/efw/openvpn/pkcs12.p12
    ns-cert-type client
    auth-user-pass-verify "/usr/bin/openvpn-auth" via-file
    username-as-common-name

    Nachtrag: Zugriff auf Webinterfaces, zb. Netzwerkdrucker und SSH auf andere Linux Maschinen, funktioniert über den Tunnel, hab ich grad getestet. Nur warum komme ich über den Tunnel nicht auf das Webinterface der jeweils anderen Endian???

    Viele Grüße,
    Alex

    Ok, wenn der Tunnel funktioniert kann das schonmal nicht die Ursache sein.
    Sprichst Du die Remote-EFW auch über den richtigen Port an? Defaultmässig wäre das 10443.

    Gruß
    Meisen

    Guten Morgen Meisen,

    vielen Dank für deine Antwort :-). Ja, ich greife auf die EFW per https://192.168.1.201:10443 zu. Zu Testzwecken habe ich auch zusätzlich noch die Firewall in allen Zonen komplett deaktivert. Ich bekomme nur Zugriff auf das Webinterface, wenn ich mich per RDP auf eine Windowsmaschine durch den VPN-Tunnel auf das Netz dahinter einwähle und von dort aus auf obige Adresse zugreife. Sehr suspekt :-\

    Das ist in der Tat suspekt. Ich komme sowohl bei den OpenVPN-Verbindungen wie auch IPSec via IP auf die Weboberfläche.
    Was sagen denn die Logfiles?