Surfen via openVPN in einem Fremdnetz

ottosykora · 11. Aug 2013

Bin gerade an einem Standort wo ich nicht alles durchtesten kann, werde es aber noch machen.

Zuerst mal nur zu Info:

In der Arbeit habe ich ein separates DSL und ein lokales Netz um meine diversen Messgeräte etc zu verbinden. Das hat auch eine normale externe IP und intern ein 192.168.1.0 Netz. Damit gehe ich ins Internet.

Zu hause auch DSL, das erreiche ich mit meine dnydns. Port auf den OVPN durchgeschaltet, und alles so irgendwie nach den diversen Anleitungen erstellt.
Netz zu hause: 192.168.110.0

OVPN in der DS gibt an 10.8.0.0 für den Tunel

Von Anfang an hatte ich diverse Probleme, Verbindung klappte, jedoch als ich dann die DS in dem Windows Explorer einbinden woillte, ging es nicht weiter. Habe dann mit Leuten hier im Forum herausgefunden dass bei mir die route zu meinem Netz zu hause fehlt.
Habe dann nach diversen Ratschlägen probiert diese manuel nach der Verbindung einzugeben, und sieh da mein Heimnetz war da.

Habe dann versucht die Zeile mit dem route add.... in den CFG File am Ende einzugeben, das hat jedoch nicht viel geholfen.
Seit dem gebe ich es nachträglich 'von Hand' ein, also mit einem .bat auf dem Desktop.
Ich kann dann die DS in dem Explorer einbinden.

Was ich eben versuchen wollte: kann ich die Internet Verbindung auch nach aussen nutzen?
Wenn ich PPTP machen, dann scheint es irgendwie ohne was zu tun gehen. Ich surfe dann mit meinem Browser offenbar mit meiner IP des Anschlusses wo sich die DS befindet.
Schicke ich eine Mail, kann ich dem Header entnehmen dass der Sender an der externen IP der DS zu finden ist.
Bei OVPN geht es ab und zu, aber nur selten richtig. Entweder bekomme ich kein DNS oder komme nicht richtig raus aus dem lokalen Netz der DS.

also Netz lokal nicht gleich Netz DS

Anzeige · 31. Jul 2013

Hallo rseidewi,

Bücher und Hardware zum Thema gibt es bei Amazon: Surfen via openVPN in einem Fremdnetz

ottosykora · 11. Aug 2013

Habe nun gerade hier wo ich gerade bin auch den Client installiert und mache Versuche. Etrwas kommt mir komisch vor. Bei der Verbindung versucht es die Route zu 192.168.1.0 zu machen , dann wenn ich den route add dazugebe, ist zwar das dann drin aber die Route 192.168.1.0 zu 10.8.0 auch noch

Rich (BBCode):

Nach dem (mit Admin Priv) die Verbindung aufegbaut habe:

===========================================================================
Aktive Routen:
     Netzwerkziel    Netzwerkmaske          Gateway    Schnittstelle Metrik
          0.0.0.0          0.0.0.0         10.8.0.5         10.8.0.6     30
         10.8.0.0    255.255.255.0         10.8.0.5         10.8.0.6     30
         10.8.0.1  255.255.255.255         10.8.0.5         10.8.0.6     30
         10.8.0.4  255.255.255.252   Auf Verbindung          10.8.0.6    286
         10.8.0.6  255.255.255.255   Auf Verbindung          10.8.0.6    286
         10.8.0.7  255.255.255.255   Auf Verbindung          10.8.0.6    286
        127.0.0.0        255.0.0.0   Auf Verbindung         127.0.0.1    306
        127.0.0.1  255.255.255.255   Auf Verbindung         127.0.0.1    306
  127.255.255.255  255.255.255.255   Auf Verbindung         127.0.0.1    306
    188.61.47.101  255.255.255.255      192.168.1.1    192.168.1.112     10
      192.168.1.0    255.255.255.0   Auf Verbindung     192.168.1.112    266
      192.168.1.0    255.255.255.0         10.8.0.5         10.8.0.6     30
    192.168.1.112  255.255.255.255   Auf Verbindung     192.168.1.112    266
    192.168.1.255  255.255.255.255   Auf Verbindung     192.168.1.112    266
        224.0.0.0        240.0.0.0   Auf Verbindung         127.0.0.1    306
        224.0.0.0        240.0.0.0   Auf Verbindung     192.168.1.112    266
        224.0.0.0        240.0.0.0   Auf Verbindung          10.8.0.6    286
  255.255.255.255  255.255.255.255   Auf Verbindung         127.0.0.1    306
  255.255.255.255  255.255.255.255   Auf Verbindung     192.168.1.112    266
  255.255.255.255  255.255.255.255   Auf Verbindung          10.8.0.6    286
===========================================================================
Ständige Routen:
  Keine


nach route add :

IPv4-Routentabelle
===========================================================================
Aktive Routen:
     Netzwerkziel    Netzwerkmaske          Gateway    Schnittstelle Metrik
          0.0.0.0          0.0.0.0         10.8.0.5         10.8.0.6     30
         10.8.0.0    255.255.255.0         10.8.0.5         10.8.0.6     30
         10.8.0.1  255.255.255.255         10.8.0.5         10.8.0.6     30
         10.8.0.4  255.255.255.252   Auf Verbindung          10.8.0.6    286
         10.8.0.6  255.255.255.255   Auf Verbindung          10.8.0.6    286
         10.8.0.7  255.255.255.255   Auf Verbindung          10.8.0.6    286
        127.0.0.0        255.0.0.0   Auf Verbindung         127.0.0.1    306
        127.0.0.1  255.255.255.255   Auf Verbindung         127.0.0.1    306
  127.255.255.255  255.255.255.255   Auf Verbindung         127.0.0.1    306
    188.61.47.101  255.255.255.255      192.168.1.1    192.168.1.112     10
      192.168.1.0    255.255.255.0   Auf Verbindung     192.168.1.112    266
      192.168.1.0    255.255.255.0         10.8.0.5         10.8.0.6     30
    192.168.1.112  255.255.255.255   Auf Verbindung     192.168.1.112    266
    192.168.1.255  255.255.255.255   Auf Verbindung     192.168.1.112    266
    192.168.110.0    255.255.255.0         10.8.0.5         10.8.0.6     31
        224.0.0.0        240.0.0.0   Auf Verbindung         127.0.0.1    306
        224.0.0.0        240.0.0.0   Auf Verbindung     192.168.1.112    266
        224.0.0.0        240.0.0.0   Auf Verbindung          10.8.0.6    286
  255.255.255.255  255.255.255.255   Auf Verbindung         127.0.0.1    306
  255.255.255.255  255.255.255.255   Auf Verbindung     192.168.1.112    266
  255.255.255.255  255.255.255.255   Auf Verbindung          10.8.0.6    286
===========================================================================
Ständige Routen:
  Keine

fpo4711 · 11. Aug 2013

Also noch einmal zum mitlesen. DU BRAUCHST KEINE ROUTE MANUELL ANZULEGEN. Das macht OpenVPN selbst durch die Befehle push und pull in den Konfigurationen. Wichtig ist nur den OpenVPN-Client als Administrator zu starten und in der Config redirect-gateway stehen zu haben.

Gruß Frank

jahlives · 11. Aug 2013

@TS
das 192.168.110.0/24 scheint ja für den OpenVLN-Server lokal zu sein. Dann sollte es genau so gehen wie es Frank beschrieben hat. Der OVPN-Server pushed einfach jedem Client die Route für das Netz. Wobei ich mich gerade frage ob es den Push überhaupt braucht, wenn man dem Client den default GW auf den OVPN-Server stellt (redirect-gateway).

ottosykora · 11. Aug 2013

Ja, begreife ich, nur es macht es eben nicht. Siehe route print oben. Ohne manuell den route add zu geben komme ich nicht einmal auf das Netzt in dem die DS steht.

192.168.110.0 ist für den OVPN Server lokal, das ist richtig. Drin steht meine DS.

fpo4711 · 11. Aug 2013

Was für einen VPN-Clienten benutzt Du denn. Und zur Sicherheit den führst Du aus durch rechte Maustaste raufklicken und "Als Administrator ausführen".

Gruß Frank

fpo4711 · 11. Aug 2013

Ich hab mir auch nochmal deine Routingtabelle angesehen. Hier wird eine Route gesetzt und zwar zum 192.168.1.0/24 Kann das sein das Du das ohne externen Zugang versuchst. Das geht dann nicht. Sollte die DS aber vieleicht nur versehentlich ja mit einer zweiten IP aus dem lokalen Netz ausgestattet sein, dann in den allgemeinen Einstellungen des VPN Servers das interface auf das korrekte setzen. Ansonsten wie schon in #16 beschrieben die Configs prüfen oder mal hier posten. Brauchst ja nur deine externe Adresse entfernen. Ansonsten hab ich sie Dir ja schon korrekt gepostet brauchst die dann nur zu ersetzen.

Ich hab die Funktionsweise gerade nochmal geprüft. Das funktioniert alles so wie es soll. Mit Viscosity und OpenVPN GUI.

Gruß Frank

Edit: Jetzt bin ich doch noch darauf gekommen was Du vergurgt haben könntest. Du bist wahrscheinlich meinem Vorschlag in einem anderen Thread mit den Files im Verzeichnis ccd gefolgt. Dann kann ich Dir nur einen Tip geben iroute und route sind zwei paar verschiedene Schuhe.

ottosykora · 11. Aug 2013

version des Clients:

config geht so:

Rich (BBCode):

dev tun
tls-client

remote mydyndns 1194

# The "float" tells OpenVPN to accept authenticated packets from any address, 
# not only the address which was specified in the --remote option. 
# This is useful when you are connecting to a peer which holds a dynamic address 
# such as a dial-in user or DHCP client.
# (Please refer to the manual of OpenVPN for more information.)

#float

# If redirect-gateway is enabled, the client will redirect it's
# default network gateway through the VPN.
# It means the VPN connection will firstly connect to the VPN Server
# and then to the internet.
# (Please refer to the manual of OpenVPN for more information.)

redirect-gateway

# dhcp-option DNS: To set primary domain name server address.
# Repeat this option to set secondary DNS server addresses.

#dhcp-option DNS DNS_IP_ADDRESS

pull

proto udp
script-security 2

ca ca.crt

comp-lzo

reneg-sec 0

auth-user-pass

Ich starte den Client mit rechte Maus, als Admin ausführen
Resultat ist dann in dem ersten log oben.

Erst wenn ich den route add extra (auch als Admin) gebe, erscheint die Route 192.168.110.0 auch in dem route print. Ohne das habe ich keinen Zugriff auf das Netz wo sich die DS befindet.

Ich bin jetzt gerade in einem 192.168.1.0 Netz, die DS ist etwa 160km weiter und hat einen lokalen Netz 192.168.110.0

Wo soll ich was einstellen gehen? In der DS? Wo genau?

Ich kann via FTP, FTPS, Webdav, und sonst Filestation und was auch immer drauf zugreifen. Nut OVPN macht immer noch Ärger. Gar PPTP macht etwas was ich erwartet habe.

Edit: Jetzt bin ich doch noch darauf gekommen was Du vergurgt haben könntest. Du bist wahrscheinlich meinem Vorschlag in einem anderen Thread mit den Files im Verzeichnis ccd gefolgt. Dann kann ich Dir nur einen Tip geben iroute und route sind zwei paar verschiedene Schuhe.

also da bin ich mir jetzt nicht sicher um es geht.

Ich habe bis jetzt alle Experimente aus meinem 'Labornetz' in der Arbeit gemacht. Um irgendwelche Fehler die es mit diesem Labornetz haben kann zu eliminieren, habe ich heute den gleichen Client an meinem Wochenende Domizil installiert (w7) und alles frisch neu erstellt.
Aber die Resultate sind ziemlich gleich wie aus meinem Labornetz.

fpo4711 · 11. Aug 2013

Ich meinte die Config des Servers. Bei den Interfaces hab ich schon gesehen Du hast ja eine DS212j die hat nur eines. Somit hinfällig. In nder Config des Servers steht an erster Stelle zweimal ein "push ...." Einmal als Route für das lokale Netz und zum zweiten für den Tunnel. Siehe #16

Das sollte so aussehen

Rich (BBCode):

push "route 192.168.110.0 255.255.255.0"
push "route 10.8.0.0 255.255.255.0"

dev tun

zu finden unter /var/packages/VPNCenter/etc/openvpn/openvpn.conf

Und genau mit diesen beiden Befehlen wird dann die Route gesetzt. Hier kommst Du aber nur per Console oder WinSCP ran. Ansonsten weiß ich leider nicht wann die DS dieses Config neu schreibt. Vieleicht wenn Du den VPN-Server neu installierst. Und die ccd-files nutzt Du nicht?

Gruß Frank

fpo4711 · 11. Aug 2013

Mir ist auf jeden Fall ein Weg eingefallen, wie die Config neu geschrieben würde. Änder doch einfach mal die IP des Tunnels auf 10.8.1. Dann sollte die Config erneuert werden und alles müßte wieder chic sein.

Gruß Frank

ottosykora · 11. Aug 2013

OK, habe mich da mit ssh verbunden und ja, in dem Config des Servers steht 192.168.1.0 statt 110
Habe es dann versucht zu ändern, gespichert, dann nochmals ein Versuch mit der OVPN:

route print:

Rich (BBCode):

Aktive Routen:
     Netzwerkziel    Netzwerkmaske          Gateway    Schnittstelle Metrik
          0.0.0.0          0.0.0.0         10.8.0.5         10.8.0.6     30
         10.8.0.0    255.255.255.0         10.8.0.5         10.8.0.6     30
         10.8.0.1  255.255.255.255         10.8.0.5         10.8.0.6     30
         10.8.0.4  255.255.255.252   Auf Verbindung          10.8.0.6    286
         10.8.0.6  255.255.255.255   Auf Verbindung          10.8.0.6    286
         10.8.0.7  255.255.255.255   Auf Verbindung          10.8.0.6    286
        127.0.0.0        255.0.0.0   Auf Verbindung         127.0.0.1    306
        127.0.0.1  255.255.255.255   Auf Verbindung         127.0.0.1    306
  127.255.255.255  255.255.255.255   Auf Verbindung         127.0.0.1    306
    188.61.47.101  255.255.255.255      192.168.1.1    192.168.1.112     10
      192.168.1.0    255.255.255.0   Auf Verbindung     192.168.1.112    266
      192.168.1.0    255.255.255.0         10.8.0.5         10.8.0.6     30
    192.168.1.112  255.255.255.255   Auf Verbindung     192.168.1.112    266
    192.168.1.255  255.255.255.255   Auf Verbindung     192.168.1.112    266
        224.0.0.0        240.0.0.0   Auf Verbindung         127.0.0.1    306
        224.0.0.0        240.0.0.0   Auf Verbindung     192.168.1.112    266
        224.0.0.0        240.0.0.0   Auf Verbindung          10.8.0.6    286
  255.255.255.255  255.255.255.255   Auf Verbindung         127.0.0.1    306
  255.255.255.255  255.255.255.255   Auf Verbindung     192.168.1.112    266
  255.255.255.255  255.255.255.255   Auf Verbindung          10.8.0.6    286
===========================================================================
Ständige Routen:

Log des Clients:

Rich (BBCode):

Sun Aug 11 22:38:43 2013 OpenVPN 2.3.1 i686-w64-mingw32 [SSL (OpenSSL)] [LZO] [PKCS11] [eurephia] [IPv6] built on Mar 28 2013
Enter Management Password:
Sun Aug 11 22:38:52 2013 WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
Sun Aug 11 22:38:52 2013 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Sun Aug 11 22:38:52 2013 UDPv4 link local (bound): [undef]
Sun Aug 11 22:38:52 2013 UDPv4 link remote: [AF_INET]188.61.47.101:1194
Sun Aug 11 22:38:52 2013 WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this
Sun Aug 11 22:38:53 2013 [Snake Oil CA] Peer Connection Initiated with [AF_INET]188.61.47.101:1194
Sun Aug 11 22:38:55 2013 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0
Sun Aug 11 22:38:55 2013 open_tun, tt->ipv6=0
Sun Aug 11 22:38:55 2013 TAP-WIN32 device [LAN-Verbindung 2] opened: \\.\Global\{6229FFC7-0F10-458A-B6F3-B7C7B7EBE74A}.tap
Sun Aug 11 22:38:55 2013 Notified TAP-Windows driver to set a DHCP IP/netmask of 10.8.0.6/255.255.255.252 on interface {6229FFC7-0F10-458A-B6F3-B7C7B7EBE74A} [DHCP-serv: 10.8.0.5, lease-time: 31536000]
Sun Aug 11 22:38:55 2013 Successful ARP Flush on interface [25] {6229FFC7-0F10-458A-B6F3-B7C7B7EBE74A}
Sun Aug 11 22:39:00 2013 Initialization Sequence Completed

hier die cfg des Servers:

Rich (BBCode):

push "route 192.168.110.0 255.255.255.0"
push "route 10.8.0.0 255.255.255.0"
dev tun

management 127.0.0.1 1195

server 10.8.0.0 255.255.255.0


dh /var/packages/VPNCenter/target/etc/openvpn/keys/dh1024.pem
ca /var/packages/VPNCenter/target/etc/openvpn/keys/ca.crt
cert /var/packages/VPNCenter/target/etc/openvpn/keys/server.crt
key /var/packages/VPNCenter/target/etc/openvpn/keys/server.key

max-clients 5

comp-lzo

persist-tun
persist-key

verb 3

#log-append /var/log/openvpn.log

keepalive 10 60
reneg-sec 0

plugin /var/packages/VPNCenter/target/lib/radiusplugin.so /var/packages/VPNCenter/target/etc/openvpn/radiusplugin.cnf 
client-cert-not-required 
username-as-common-name
duplicate-cn

fpo4711 · 11. Aug 2013

VPN-Server auch neu gestartet. Also Aktiviert abhaken und wieder anhaken bei OpenVPN.

Gruß Frank

ottosykora · 11. Aug 2013

den VPN Server gestoppt und wieder gestartet.

Resulatat: (negative)

Rich (BBCode):

IPv4-Routentabelle
===========================================================================
Aktive Routen:
     Netzwerkziel    Netzwerkmaske          Gateway    Schnittstelle Metrik
          0.0.0.0          0.0.0.0         10.8.0.5         10.8.0.6     30
         10.8.0.0    255.255.255.0         10.8.0.5         10.8.0.6     30
         10.8.0.1  255.255.255.255         10.8.0.5         10.8.0.6     30
         10.8.0.4  255.255.255.252   Auf Verbindung          10.8.0.6    286
         10.8.0.6  255.255.255.255   Auf Verbindung          10.8.0.6    286
         10.8.0.7  255.255.255.255   Auf Verbindung          10.8.0.6    286
        127.0.0.0        255.0.0.0   Auf Verbindung         127.0.0.1    306
        127.0.0.1  255.255.255.255   Auf Verbindung         127.0.0.1    306
  127.255.255.255  255.255.255.255   Auf Verbindung         127.0.0.1    306
    188.61.47.101  255.255.255.255      192.168.1.1    192.168.1.112     10
      192.168.1.0    255.255.255.0   Auf Verbindung     192.168.1.112    266
    192.168.1.112  255.255.255.255   Auf Verbindung     192.168.1.112    266
    192.168.1.255  255.255.255.255   Auf Verbindung     192.168.1.112    266
    192.168.110.0    255.255.255.0         10.8.0.5         10.8.0.6     30
        224.0.0.0        240.0.0.0   Auf Verbindung         127.0.0.1    306
        224.0.0.0        240.0.0.0   Auf Verbindung     192.168.1.112    266
        224.0.0.0        240.0.0.0   Auf Verbindung          10.8.0.6    286
  255.255.255.255  255.255.255.255   Auf Verbindung         127.0.0.1    306
  255.255.255.255  255.255.255.255   Auf Verbindung     192.168.1.112    266
  255.255.255.255  255.255.255.255   Auf Verbindung          10.8.0.6    286
===========================================================================

habe einen IP check gemacht, da erscheint meine IP der Location wo meine DS zu hause ist. Also OK.
Kann jedoch kein Mail senden so weit, einige Seiten gehen, andere nicht.
Kann es nicht nachvollziehen.
Wie schon erwähnt, PPTP geht alles.

fpo4711 · 11. Aug 2013

Routen sind doch schonmal O.K. Dann vieleicht noch den Eintrag in der dritten Zeile der Server.conf von openvpn durch den Nameserver aus dem Servernetz ersetzen wie in #16 vorgeschlagen

Rich (BBCode):

push "dhcp-option DNS 192.168.110.254"

Die IP ist natürlich auf die entsprechende von Dir anzupassen. Übrigens hättest Du dir gleich den Thread #16 zu Gemüte geführt dann wären wir jetzt nicht bei #34

Gruß Frank

ottosykora · 11. Aug 2013

also in der DS habe ich als DNS mal offenbar manuell 192.168.110.1 eingestellt, das ist der Router dort.
Habe dort mal eingestellt was ich sonst so auch in anderen Geräten einstelle. Ist das so sinnvoll oder soll man es nicht einstellen?

Ich bin da immer noch ziemlich verwirrt was die VPN betrifft, bin auch schon Gruftie und somit etwas langsam im begreifen.

fpo4711 · 11. Aug 2013

Völlig korrekt so und jetzt noch folgende Zeile in die /var/packages/VPNCenter/etc/openvpn/openvpn.conf

Rich (BBCode):

push "dhcp-option DNS 192.168.110.1"

Dann sollte alles so laufen wie Du dir das wünschst.
Und nicht vergessen den Server danach nochmal neu zu starten.

Gruß Frank

ottosykora · 11. Aug 2013

ja, alles reingebastelt und ja, es geht, es scheint wirklich zu gehen, mein Thuderbird schickt Mails, und die haben im Header die IP der DS Netzes.

Hmm, muss mir da wohl einen persönlichen Tutorial dafür anlegen, das war nun schon etwas kompliziert für mich.

Frank, jetzt darfst du endlich schlafen gehen, hast es verdient, ich gebe ein asu wenn einmal...

ottosykora · 12. Aug 2013

und wenn du mal Zeit hast:

wie kommen die Einträge in die Server Conf sonst rein? Woher werden sie übernommen? Oder muss man es immer von Hand editieren?

Ja, früher war auch der DS Netz in einem 1.0 , wurde dann später zuerst auf 100.0 und dann noch später auf 110.0 geändert. Nach einem Netzwechsel wurde die ganze DS jeweils neu gestartet. Der VPN hat wohl davon nichts erfahren.
Prevetion gegen so was?

JuSu · 12. Aug 2013

Noch ein kleiner Hinweis:
Unter Win7 ist im Standard die "automatische Metrik" eingeschaltet, die per "eingebauter Intelligenz" versucht, die schnellste Route zu finden und einzuschalten - das ist leider nicht die VPN Route.
Das Thema hatte ich unter folgendem Link schon einmal erörtert:
http://www.synology-forum.de/showthread.html?32874-OpenVPN-mit-quot-dev-tap-quot-statt-quot-dev-tun-quot-wie-kann-man-das-einrichten&p=350310&viewfull=1#post350310

Ich hofe, das hilft.

Gruß
JuSu

fpo4711 · 12. Aug 2013

JuSu schrieb:
Noch ein kleiner Hinweis:
Unter Win7 ist im Standard die "automatische Metrik" eingeschaltet, die per "eingebauter Intelligenz" versucht, die schnellste Route zu finden und einzuschalten - das ist leider nicht die VPN Route.
Das Thema hatte ich unter folgendem Link schon einmal erörtert:
http://www.synology-forum.de/showthread.html?32874-OpenVPN-mit-quot-dev-tap-quot-statt-quot-dev-tun-quot-wie-kann-man-das-einrichten&p=350310&viewfull=1#post350310

In Falle von OpenVPN ist das völlig irrelevant, da das Standard-Gateway ersetzt wird und es somit gar keine andere Route gibt.

Gruß Frank