OPNsense WireGuard Route?
Ich baue mit WireGuard ein VPN von einer OPNsense zu einem MikroTik auf.
Funktioniert ohne Problemen. Jetzt möchte ich gerne den kompletten Traffic von einem bestimmtem Gerät durch das VPN leiten. Hab ich hinbekommen. Mein Problem ist aktuell, da ich ja in WireGuard bei den Allowed IPs das Netzt 0.0.0.0/0 angeben muss. Dadurch wird automatisch eine Route (0.0.0.0/0) in der OPNsense angelegt, was dazu führt das der Traffic von allen Geräten bei mir im Netzwerk durch das VPN geht.
Lösung 1:
Bei allen Firewall Regeln das Gateway von default auf das WAN Interface umstellen.
Ist mir persönlich zu viel Aufwand.
Lösung 2:
Die Route die durch WireGuard gesetzt wird manuell zu löschen unter den Routen.
Starte ich die OPNsense oder WireGuard neu wird diese wieder automatisch gesetzt.
Find ich nicht so geil.
Gibt es noch andere Möglichkeiten das zu lösen.
Eventuell mit NAT oder so.
1 Antwort
Hey!
Also für mein Verständnis:
Durch AllowedIPs = 0.0.0.0/0 wird eine Default-Route (0.0.0.0/0) automatisch von WireGuard erzeugt. Diese überschreibt die normale WAN-Route → gesamter Traffic geht durchs VPN.
Die Lösung 1 ist meiner Meinung nach die beste
WireGuard als Interface registrieren:
In OPNsense → Interfaces → Assignments → New Interface auf dein WireGuard-Device → speichern und aktivieren.
Wichtig ist dann Firewall Rule auf LAN:
-Erstelle eine neue Regel im LAN-Interface.
-Source: Das eine Gerät (z.B. IP deines Clients).
-Gateway: Wähle hier WireGuard Gateway.
Standard-Gateway nicht anfassen!! Alles andere bleibt auf „default“ → alle anderen Geräte gehen übers normale WAN.
Wichtig:
Wenn du WireGuard als Gateway für ein einzelnes Gerät verwendest, musst du sicherstellen, dass im Firewall → NAT → Outbound Modus auf „Hybrid“ oder „Manual“ gestellt ist.
Lösung 2:
Problem dabei:
Du willst den kompletten Internetverkehr für ein Gerät tunneln. Wenn du bei AllowedIPs nicht 0.0.0.0/0 nutzt, erreichst du das Ziel nicht vollständig. Also ungeeignet für deinen Fall.
Ansonsten als Notlösung also "Lösung 3" die Route Manipulieren per Shellscript/CRON (Notlösung)
Ein kleines Skript auf der OPNsense, das nach jedem Boot/Service-Start die unerwünschte Route löscht.