Tailscale auf OPNSense/pfSense

Hallo,

ich habe mir die Tage mal Tailscale auf der OPNSense angeschaut und war (da meine VPN-Konfigurationserfahrungen lange zurückliegen und eingerostet sind) sehr begeistert davon. Begeistert ist untertrieben, da mich die weiteren Möglichkeiten des Mesh-Netzwerkes regelrecht geflashed haben.

Nun schien das zunächst sehr erfolgreich und nur noch an einzelnen Einstellungen zu hapern, obwohl die Konfiguration bereits die Nutzung als Exit-Nodes problemlos ermöglichte. Wenn ich entsprechend der Beschreibungen/Doku das Tailscale-Interface aktivierte und die Firewall-Regeln entsprechend angepasst habe, führte dies immer wieder dazu, dass ich mich ausgesperrt habe und mich über die Konsole wieder entsperren durfte.

Natürlich glaubt man dann, dass man schlicht selber zu blöd ist, allerdings habe ich dann recht schnell gelesen, dass die Sensen und die BSD-Derivate diesbezüglich wohl bekannt buggy seien und dass das so nicht nur bei mir so auftritt, sondern ein generelles Problem der Sensen und BSD sei, da ihre Eigenheiten (durch sehr sicheres BSD-Handling) dazu führen, dass das nicht ordentlich finktioniert. Leider scheint auch Tailscale nicht sehr bemüht, bei den BSD-Derivaten für schnelle Abhilfe sorgen zu wollen.

So weit ich weiß, gab und gibt es verschiedene Workarounds, die sich in der Herangehensweise zum Teil sehr stark unterscheiden.

Da ich weiß, dass einige hier OPNSense und pfSense auf den VPSen laufen haben und ich sicher auch nicht der Einzige bin, der mit Tailscale oder anderen VPN-Overlay-Netzwerken hantiert, würde ich mich freuen, wenn mir jemand seinen Lösungsweg skizziert, es zum Laufen gebracht hat oder mir auch gern sagt "Alles kein Problem, liegt eindeutig an Dir".

Ich suche da grade den bestmöglichen Weg, da ich dieses VPN-Mesh-Netz wirklich gern zum Laufen bringen würde. (Übrigens habe ich auch bereits mit Zerotier getestet)

Keiner eine Idee? Bin ich der Einzige, der die Sensen bzw BSD mit Tailscale nutzen möchte, um die Netcup-RZs und mich selbst miteinander zu verbinden? So gehyped wie Tailscale ja grade ist, hätte ich ja schon gedacht, dass es da Vorerfahrungen gibt und man das Problem nicht abermals umschiffen muss. Liegt ja eigentlich zu nah.

Zitat von NaN

Ich habe keine *sense und kein Tailscale, aber vielleicht hilft es ja doch: Die Anleitung hast du gefunden und durchgearbeitet? Hast du deine clientseitige Konfiguration mal mit einer anderen Gegenstelle versucht, ohne dich da auch auszusperren?

Oh, ich habe zwar schon einige Anleitungen von Tailscale durchgespielt, die beschriebene Hybrid-Einstellung bereits probiert und mich durch die Tailscale-ACLs gearbeitet und gechecked, aber diese spezielle ACL da noch nicht gefunden. Danke dafür, das werde ich mal probieren.

Nein, andere Gegenstelle habe ich in dem Sinn bisher nur von der anderen Sense im Tailscale-Netz probiert, nicht vom Lappi aus gesehen. Dürfte aber aufgrund dessen auch keine anderen Ergebnisse liefern.

Diese spezielle ACL, die in der verlinkten Seite zu finden ist, wäre aber aufgrund der ACL-Policy von Tailscale ein sehr logischer Fehlergrund, weshalb ich Dir sehr dankbar für den Link bin. Das werde ich mit der nochmal probieren. 👍

Nachtrag für diejenigen, die auch darüber stolpen: Die oben verlinkte Seite funktioniert. Alternativ zur ACL kann man die Ports unter Outbound-NAT auch static für die Tailscale-Adressen setzen. Das ist sogar einfacher als die ACL von Tailscale zu benutzen, da die nicht dazu schreiben, in welchen Gültigkeitsbereich man diese bei ihnen einfügen soll.