OpenVPN Server über doppeltes NAT nicht erreichbar (Gastnetzwerk, Hotel, etc.)

[tracer83]

Hallo zusammen,

ich habe auf meiner DS (aktuellste DSM und VPN Server) OpenVPN aktiviert (manuell vergebener Port, UPD über den Router auf die DS getunnelt), DynDNS eingerichtet.

Von extern Einwählen funktioniert generell prima sowohl Windows wie Android können über OpenVPN verbinden es funktioniert über das Mobilnetz (O2, Vodafone, Telekom) sowie diverse DSL-Anbieter:

Geht: meine DS <> mein Router <> Internet <> fremder Router <> mein Endgerät
Geht: meine DS <> mein Router <> Internet <> mein mobiles Endgerät

Probleme gibt es immer dann, wenn im fremden Netz zwei NAT-Geräte hintereinandergeschalten sind, z.B. Private Gastnetzwerke, Hotelnetzwerke etc. - genau dort wo VPN am dringensten benötigt wird:

Geht nicht: meine DS <> mein Router <> Internet <> fremder Router <> LAN <> fremder AP mit eigenem DHCP <> mein Endgerät

Ich ging lange davon aus, dass es daran liegt, dass der VPN-Traffic gefiltert wird, aber das kann nicht sein, zum einen Funktioniert es über TCP Port 443 ebenfalls nicht (den dürfte vermutlich jede Firewall zulassen), zum anderen Funktioniert auch folgender Testaufbau nicht:

Geht nicht: meine DS <> mein Router <> Internet <> fremder Router (FritzBox) <> Gast-LAN Fritbox <> zweiter Router (TP-Link mit eigenem DHCP) <> mein Endgerät

Weder in der FritzBox noch im TP-Link Router sind Filter oder Portsperren aktiv. Surfen und alle weiteren Dienste (Skype, Mailserver, SSH, etc.) klappt problemlos, meine Router ist anpingbar, nur bekomme ich bei einem Einwahlversuch kein einziges Byte zurück, die Log der DS zeigt nichts an, der lokale VPN Client meldet je nach Software nach einigen Versuchen einen Timeout. Immer wenn auf der Seite des Endgerätes 2x DHCP / NAT hintereinander sind kommen die Pakete nicht durch.

Hat jemand eine Idee oder einen Vorschlag um das Problem zu lösen?

 

[jahlives]

das würde ich ja mal mit tcpdump auf deiner DS dahinter und den Traffic auf dem VPN Port ausgeben lassen. Dann die VPN-Verbindung von extern initiieren und gucken ob was reinkommt. Kommt nichts rein würde ich trotz allem darauf tippen, dass irgendwelche Filter im Remote Netz dazwischenfunken

 

[bvrulez]

Ich ging lange davon aus, dass es daran liegt, dass der VPN-Traffic gefiltert wird, aber das kann nicht sein, zum einen Funktioniert es über TCP Port 443 ebenfalls nicht (den dürfte vermutlich jede Firewall zulassen),

Hallo, ich habe ein ähnliches Problem und hatte auch die Firewall auf Arbeit in Verdacht, kann mir ebenfalls aber nicht vorstellen, dass 443 (den ich probiert habe) nicht freigegeben ist. Konntest Du das Problem denn analysieren?