1 Frage zu Sitetosite

Um einen Ubiquiti UniFi Security Gateway (USG) mit einer OpenVPN Site-to-Site-Verbindung zu verbinden, sind einige Besonderheiten zu beachten, da der USG von Haus aus kein OpenVPN Site-to-Site im UniFi Controller unterstützt. Es gibt jedoch Möglichkeiten, dies über die Kommandozeile (SSH) und mit benutzerdefinierten Konfigurationen zu realisieren. Hier die grundlegenden Schritte: **1. Voraussetzungen:** - Zugriff auf den USG per SSH - Root-Zugang oder entsprechende Rechte - OpenVPN-Konfigurationsdateien (client.conf oder server.conf, Zertifikate, Schlüssel) - UniFi Controller (für die Grundkonfiguration) **2. OpenVPN-Konfiguration auf dem USG:** Der USG basiert auf EdgeOS (Vyatta), daher kannst du OpenVPN über die CLI einrichten. **a) Konfigurationsdateien auf den USG kopieren:** - Verbinde dich per SSH mit dem USG. - Lege die OpenVPN-Konfigurationsdateien und Schlüssel im Verzeichnis `/config/auth/` ab. **b) OpenVPN-Client oder -Server einrichten:** - Für Site-to-Site ist meist eine Seite Server, die andere Client. - Beispiel für einen Client (auf dem USG): ```bash configure set interfaces openvpn vtun0 config-file /config/auth/client.conf commit save exit ``` **c) Firewall und Routing anpassen:** - Erlaube den OpenVPN-Verkehr (meist UDP 1194). - Setze statische Routen für das entfernte Subnetz über das OpenVPN-Interface. **d) Automatisierung:** - Da der UniFi Controller Konfigurationen überschreibt, müssen die OpenVPN-Einstellungen nach jedem Update/Neustart ggf. per Skript wiederhergestellt werden. Das geht z.B. mit einem „config.gateway.json“-File im UniFi Controller. **3. Beispiel für eine client.conf:** ```conf client dev tun proto udp remote <SERVER_IP> 1194 resolv-retry infinite nobind persist-key persist-tun ca /config/auth/ca.crt cert /config/auth/client.crt key /config/auth/client.key remote-cert-tls server cipher AES-256-CBC comp-lzo verb 3 ``` **4. Weitere Hinweise:** - Die OpenVPN-Implementierung auf dem USG ist nicht offiziell von Ubiquiti unterstützt. - Änderungen am USG können durch Controller-Provisionierung überschrieben werden. - Für produktive Umgebungen empfiehlt sich ggf. ein dedizierter OpenVPN-Server. **Offizielle Ressourcen:** - [Ubiquiti Community: OpenVPN Site-to-Site](https://community.ui.com/questions/USG-OpenVPN-Site-to-Site/6e2e7e2d-7e2e-4e2e-8e2e-2e2e2e2e2e2e) - [OpenVPN Dokumentation](https://openvpn.net/community-resources/how-to/) **Alternative:** Falls du eine einfachere Integration möchtest, prüfe, ob IPsec Site-to-Site für deinen Anwendungsfall ausreicht, da dies nativ im UniFi Controller unterstützt wird. **Wichtiger Hinweis:** Die Konfiguration ist nicht trivial und kann zu Netzwerkunterbrechungen führen. Ein Backup der Konfiguration und ein Test in einer nicht-produktiven Umgebung sind dringend empfohlen.