openvpn: gateways können sich nur gegenseitig erreichen

[r4pt0r]

Ich habe hier ein etwas nerviges Problem mit einem OpenVPN-Netz - wahrscheinlich überseh ich wieder mal nur nen einzelnen Baum vor lauter Wald...

Verbindungen zwischen den Netzen laufen, die Clients hinter den gateways können Problemlos miteinander Kommunizieren, aber die Gateways selbst können sich nur gegenseitig erreichen, nicht die Clients der gegenüberliegenden Netze.

server.conf:

Code: Alles auswählen

local <externe IP>
port 1194
proto udp
dev tun
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/server.crt
key /etc/openvpn/easy-rsa/keys/server.key
dh /etc/openvpn/easy-rsa/keys/dh1024.pem
server 10.20.30.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "route <netz A>"
client-config-dir ccd
route 10.20.30.0 255.255.255.0 
route <netz A>
route <netz B>
route <netz C>
client-to-client
keepalive 2 10
cipher BF-CBC        # Blowfish (default)
comp-lzo
persist-key
persist-tun
status /var/log/openvpn-status.log
log-append  /var/log/openvpn.log
verb 1

client:

Code: Alles auswählen

client
dev tun
proto udp
remote <server> 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/gatewayA.crt
key /etc/openvpn/easy-rsa/keys/gatewayA.key
ns-cert-type server
cipher BF-CBC
comp-lzo
verb 1
log-append /var/log/openvpn.log

policy für shorewall an beiden enden ist "vpn loc ACCEPT" und "loc vpn ACCEPT" und testweise log-level auf "info" - pings von client zu client tauchen an beiden gateways in den shorewall-logs auf, ebenso solche von client an gateway (egal ob im eigenen oder entfernten Netz). gateway zu gateway wird auch aufgezeichnet und funktioniert, aber gateway in entferntes netz taucht nichtmal am pingenden gateway in den logs auf - läuft also anscheinend direkt am sendenden gateway ins leere...

Routen passen an beiden Enden (sonst würde der client-Datenverkehr ja nicht laufen), werden auch bei Verbindungsaufbau korrekt gesetzt.

Für 3 Netze wäre das nicht weiter schlimm, da die gateways sowieso dedizierte Server sind, an einem Netz steht aber nur ein kleiner Server der sämtliche Aufgaben erfüllen soll, und daher auch die Server in den anderen Netzen erreichen können muss.

Hat jemand ne Idee woran es hängen könnte?