Wie kann man einen Ubiquiti USG mit OpenVPN für eine Site-to-Site-Verbindung konfigurieren?

Um einen Ubiquiti UniFi Security Gateway (USG) mit einer OpenVPN Site-to-Site-Verbindung zu verbinden, sind einige Besonderheiten zu beachten, da der USG von Haus aus kein OpenVPN Site-to-Site im UniFi Controller unterstützt. Es gibt jedoch Möglichkeiten, dies über die Kommandozeile (SSH) und mit benutzerdefinierten Konfigurationen zu realisieren. Hier die grundlegenden Schritte:

**1. Voraussetzungen:**
- Zugriff auf den USG per SSH
- Root-Zugang oder entsprechende Rechte
- OpenVPN-Konfigurationsdateien (client.conf oder server.conf, Zertifikate, Schlüssel)
- UniFi Controller (für die Grundkonfiguration)

**2. OpenVPN-Konfiguration auf dem USG:**
Der USG basiert auf EdgeOS (Vyatta), daher kannst du OpenVPN über die CLI einrichten.

**a) Konfigurationsdateien auf den USG kopieren:**
- Verbinde dich per SSH mit dem USG.
- Lege die OpenVPN-Konfigurationsdateien und Schlüssel im Verzeichnis `/config/auth/` ab.

**b) OpenVPN-Client oder -Server einrichten:**
- Für Site-to-Site ist meist eine Seite Server, die andere Client.
- Beispiel für einen Client (auf dem USG):

```bash
configure
set interfaces openvpn vtun0 config-file /config/auth/client.conf
commit
save
exit
```

**c) Firewall und Routing anpassen:**
- Erlaube den OpenVPN-Verkehr (meist UDP 1194).
- Setze statische Routen für das entfernte Subnetz über das OpenVPN-Interface.

**d) Automatisierung:**
- Da der UniFi Controller Konfigurationen überschreibt, müssen die OpenVPN-Einstellungen nach jedem Update/Neustart ggf. per Skript wiederhergestellt werden. Das geht z.B. mit einem „config.gateway.json“-File im UniFi Controller.

**3. Beispiel für eine client.conf:**
```conf
client
dev tun
proto udp
remote <SERVER_IP> 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca /config/auth/ca.crt
cert /config/auth/client.crt
key /config/auth/client.key
remote-cert-tls server
cipher AES-256-CBC
comp-lzo
verb 3
```

**4. Weitere Hinweise:**
- Die OpenVPN-Implementierung auf dem USG ist nicht offiziell von Ubiquiti unterstützt.
- Änderungen am USG können durch Controller-Provisionierung überschrieben werden.
- Für produktive Umgebungen empfiehlt sich ggf. ein dedizierter OpenVPN-Server.

**Offizielle Ressourcen:**
- [Ubiquiti Community: OpenVPN Site-to-Site](https://community.ui.com/questions/USG-OpenVPN-Site-to-Site/6e2e7e2d-7e2e-4e2e-8e2e-2e2e2e2e2e2e)
- [OpenVPN Dokumentation](https://openvpn.net/community-resources/how-to/)

**Alternative:**
Falls du eine einfachere Integration möchtest, prüfe, ob IPsec Site-to-Site für deinen Anwendungsfall ausreicht, da dies nativ im UniFi Controller unterstützt wird.

**Wichtiger Hinweis:**
Die Konfiguration ist nicht trivial und kann zu Netzwerkunterbrechungen führen. Ein Backup der Konfiguration und ein Test in einer nicht-produktiven Umgebung sind dringend empfohlen.