openVPN site-to-site Verbindung zwischen zwei DS

[pmcl77]

Hallo,

Die letzten Tage habe ich viel darüber gelesen, wie man mit dem Synology openVPN Server eine Site-to-Site Verbindung einrichten kann. Vorab, ich benutze zwei DS (215j und 213j) und beide laufen zur Zeit mit DSM 5.2-5644 Update 3.

Der openVPN Server läuft auf der 215j und befindet sich im Subnet 192.168.178.0.
Der Client läuft auf der 213j und befindet sich im Subnet 192.168.2.0.
Die VPN Verbindung wird über eine dyndns Adresse aufgebaut und das funktioniert ohne Probleme, der Benutzer für die Verbindung ist "vpnuser".
Das VPN Subnet ist 10.11.12.0. Der Client bekommt nach dem Aufbau der Verbindung die dynmische IP 10.11.12.6.


Ich bin entsprechend den Anleitungen vorgegangen, welche ich auch hier im Forum gefunden hatte, z.B. diejenige von fpo4711 (z.B. http://www.synology-forum.de/showthread.html?49661-OpenVPN-2-Diskstations-Datensicherung-in-beide-Richtungen&p=395676&viewfull=1#post395676), der das auch immer sehr schön erklärt.

Wie gesagt funktioniert die VPN Verbindung und über die internen VPN IP's kann ich auch die andere DS in jeweils beide Richtungen erreichen/anpingen. Leider aber funktioniert es nicht, über die IP Adressen der jeweils eigenen Subnetze, also ich kann z.B. von der Server DS (192.168.178.12) nicht die client DS (192.168.2.100) anpingen oder darauf zugreifen.


Ich werde hier mal mein Setup und Config Dateien posten in der Hoffnung, dass jemand den Fehler erkennt Die Zeilen welche ich hinzugefügt habe markiere ich jeweils mit einem # dahinter.

/var/packages/VPNCenter/etc/openvpn/openvpn.conf auf der Server DS im Subnet 192.168.178.0

push "route 192.168.178.0 255.255.255.0" # hinzugefügt
push "route 10.11.12.0 255.255.255.0"
dev tun
route 192.168.2.0 255.255.255.0  # hinzugefügt
management 127.0.0.1 1195

server 10.11.12.0 255.255.255.0


dh /var/packages/VPNCenter/target/etc/openvpn/keys/dh1024.pem
ca /var/packages/VPNCenter/target/etc/openvpn/keys/ca.crt
cert /var/packages/VPNCenter/target/etc/openvpn/keys/server.crt
key /var/packages/VPNCenter/target/etc/openvpn/keys/server.key

max-clients 5

comp-lzo

persist-tun
persist-key

verb 3

#log-append /var/log/openvpn.log

keepalive 10 60
reneg-sec 0

plugin /var/packages/VPNCenter/target/lib/radiusplugin.so /var/packages/VPNCenter/target/etc/openvpn/radiusplugin.cnf
client-cert-not-required
username-as-common-name
duplicate-cn

status /tmp/ovpn_status_2_result 30
status-version 2
proto udp6
port 1194

/var/packages/VPNCenter/etc/openvpn/ccd/vpnuser Datei auf der Server DS erstellt und wie folgt befüllt. Die Zeile mit "push" habe ich hier auskommentiert, weil das irgendwie nicht funktioniert hat und habe es dann in die openvpn.conf eingetragen, dann scheint der Server den route auf den client gepushed zu haben.

iroute 192.168.2.0 255.255.255.0
#push "route 192.168.178.0 255.255.255.0 vpn_gateway"

Nach dem Aufbau der VPN Verbindung schaut die IP Routing Tabelle in der Server DS auch nicht verkehrt aus, wobei ich etwas irritiert bin, das beim betreffenden route die 10.11.12.2 als Gateway steht. Ich meine aber Irgendwo gelesen zu haben, dass das ok ist und vom VPN Server so gemanaged wird.



Auf dem Client sieht es auch nicht so schlecht aus:



Beim openVPN Server habe ich die Option "Clients den Server-LAN Zugriff erlauben" aktiviert, habs aber auch ohne probiert).
Bei dem Client habe ich die Optionen "Standard-Gateway auf der VPN-Verbindung verwenden" und "Anderen Netzwerkgeräten ermöglichen,..." jeweils durchprobiert.

Nach jeder Konfigurationsänderung habe ich den VPN Server bzw. die DS neu gestartet.


Ich habe auch die statischen Routen in den Routern erstellt, aber hier gehts ja erst mal darum, dass ich die Client DS nicht von der Server DS aus mit der eigenen IP ihres Subnetzes (192.168.2.100) ansprechen kann.

Ich hoffe, mir kann geholfen werden

Danke schon im Vorraus!
Philippe

 

[pmcl77]

So, da sich bis jetzt niemand gemeldet hat sorge ich einfach mal selbst für die Lösung

Offensichtlich bin ich der Anleitung nicht genau genug gefolgt und habe offenbar zwei entscheidende Zeilen in der openvpn.conf vergessen:

client-config-dir ccd
client-to-client

Beziehungsweise habe ich es nicht direkt vergessen, aber in der falschen openvpn.conf eingefügt.

Falsch: /var/packages/VPNCenter/target/etc/openvpn/openvpn.conf
Richtig: /var/packages/VPNCenter/etc/openvpn/openvpn.conf

Ein wohl kleiner aber feiner Unterschied! Ist ja auch gemein, überall liegen irgendwelche .conf files die zum Teil sogar gleich heißen.

Auf jeden Fall funktioniert es jetzt und ich kann nun mit den Subnetz-eigenen IP Adressen pingen und darauf zugreifen

 

[Fusion]

Wir haben halt alle auch ein Leben außerhalb des Forums.

Schönen Dank, dass du den Stolperstein gleich noch angefügt hast.

 

[pmcl77]

Ja kein Problem, war ja auch nicht böse gemeint. Hatte halt einfach in der Zwischenzeit den Fehler gefunden

 

[pmcl77]

Jetzt möchte ich gerne noch eine Frage anhängen:

Das Setup das ich oben erwähnt habe soll in erster Linie dazu dienen, die Daten von der "work" DS auf die (remote) backup DS zu sichern. (dazu würde ich die routes wohl wieder einschränken, denn wichtig war mir nur, dass die work DS die backup DS mit Ihrer statischen IP ansprechen kann. Es sei denn ich finde noch eine Anwendung für eine komplette site-to-site Vernetzung)

Gibt es Eurer Meinung nach Vor- bzw. Nachteile auf welcher der beiden DS der VPN Server laufen soll?

Ich dachte, dass es wohl einfacher ist, wenn der VPN Server auf der work DS läuft, da diese deutlich mehr laufen wird und ich so einfach den gleichen VPN Server für Verbindungen zum Zwecke des Datenzugriffs nutzen kann (vom Laptop bzw. Handy/Tablet aus). Die backup DS würde ich dann jeweils mit Zeitplan vor den geplanten Sicherungen aufstarten und die VPN Verbindung zum VPN Server (work DS) aufbauen. Wenn die Festplatten auf der backup DS dann wieder für eine gewisse Zeit geruht haben, kann ich diese ja wieder automatisch runterfahren.

Würdet Ihr das auch so einrichten oder gibt es Gründe den VPN Server besser auf der backup DS laufen zu lassen?

Danke im Voraus!

 

[jugi]

Backup-DS nicht, aber evtl Router oder eigener VPN-Router, damit die einzelnen Dienste unabhängiger sind (SPOF)