OpenVPN - unerklärliches Verhalten

[Boris83]

Hallo zusammen,

ich bin neu im Forum und zwar sehr interessiert aber nicht sehr versiert in Sachen Netzwerk. Die Suche ergab bei mir leider keine Treffer zu meinem Problem, so dass ich mich entschieden habe diesen Thread zu erstellen.

Kurz zu meinem Setup: Ich betreibe eine DS220+ hinter einer FritzBox Cable 6490 mit echtem Dual Stack. Als DDNS-Dienst nutze ich MyFritz. Um mein Netzwerk von Außen zu erreichen habe ich den OpenVPN-Server installiert und komunizierte über UDP Port 443. Die Komprimierung ist eingeschaltet und der LAN-Zugriff wird gewärt. Ansonsten habe ich die Standardeinstellungen beibehalten.

Meine Fritzbox hat die 192.168.188.1, das NAS hat eine feste IP (über Fritzbox vergeben) und alle erforderlicheh Ports sind (soweit ich weiß) freigeben. Ich verwende ein selbst signiertes Zertifikat.

Bevor ich zu meinem Problem komme möchte ich noch kurz aufzählen was funktioniert.
Ich kann mit meinem Smartphone aus dem Netz des Mobilfunkanbieters einen Tunnel aufbauen und habe vollen Zugriff auf mein Netzwerk. Ich kann auch mit meinem Smartphone aus dem WLAN eines Telekomanschlusses mit Speedport-Router einen Tunnel aufbauen und habe vollen Zugriff.

Und nun zu meinem Problem:
Ich kann aus dem WLAN eines Vodaphone-Kabelanschlusses über Smartphone und Laptop einen Tunnel aufbauen allerdings habe ich keinen Zugriff auf mein Netzwerk. Ich kann meinen Router nicht anpingen und auch meine DS nicht. Das Netzwerk dieses Routers ist auch nicht identisch zu meinem, die dortige FritzBox hat die 192.168.178.1. Es sollte also keine Überschneidung geben (Es sei denn ich habe etwas übersehen). Der Tunnel, der Aufgebaut wird ist IPv4, wie ich dem Log entnehmen konnte.

Jetzt stehe ich auf dem Schlauch. Ich kann mir darauf keinen Reim bilden und wäre sehr dankbar über Eure Hilfe.

Vielen Dank im Voraus,
Boris

 

[blurrrr]

Um mein Netzwerk von Außen zu erreichen habe ich den OpenVPN-Server installiert und komunizierte über UDP Port 443

Vermutlich 443 damit es durch das ein oder andere durchgeht, aber ich muss Dich leider enttäuschen... wenn Du "https" faken willst, muss es schon "TCP" sein (nicht UDP). Bringt da also nicht soviel... ??

Du solltest mal folgendes prüfen (im problematischen Fremdnetzwerk mit eingewähltem VPN)...:

1) Routing - Überprüf mal die Routingtabelle Deines Clients (Eingabeaufforderung "route print"). Dort muss die Route zu Deinem Heimnetzwerk drin stehen (als Schnittstelle muss dort die IP des virtuellen VPN-Adapters stehen)
2) Routing - Schau nach, an welcher Stelle es hakt - via "tracert <z.B. Deine NAS-IP>". Somit siehst Du auch direkt, ob die Pakete den "richtigen" Weg nehmen.

 

[Boris83]

Hallo blurrrr,

vielen Dank für den Hinweis. Ich werde das die Tage mal testen und berichten. Hinsichtlich der Wahl des Ports liegst Du richtig, ich wollte https faken. Mit TCP habe ich dann aber ein wenig Geschwindigkeitseinbuße. Mal sehen, was am Ende wichtiger ist. Bislang hatte ich ja auch so keine Probleme, also sollte es mit UDP eigentlich passen.

Grüße
Boris

 

[blurrrr]

Ich wiederhol mich gern: Es passt "nicht". Solche Dinge sind "festgelegt" und "HTTPS" bedeutet schlichtweg "443/TCP" (nicht UDP).

Guckste hier: https://de.wikipedia.org/wiki/Hypertext_Transfer_Protocol_Secure



HTTPS läuft also nur über TCP. Wenn Du HTTPS faken willst, dann aber doch was ganz anderes machst, ist es faktisch kein HTTPS. Der wirklich "einzige" Fall, wo Dir so eine Nummer helfen könnte, wenn am anderen Ende solche.... mh... sagen wir mal "spezielle" Admins hocken, die in ihren Regeln gesagt haben: "443/TCP+UDP" darf raus. Wenn es in entsprechenden Firewalls schon vorhandene Definitionen gibt, wird HTTPS "immer" 443/TCP sein.

Soviel zur Theorie (und zur eigentlichen Praxis), was Du damit jetzt machst, bleibt ganz Dir überlassen, viel Erfolg weiterhin!

 

[Boris83]

Hallo zusammen,

ich habe es endlich mal geschafft ein paar Tests durchzuführen. Hier ein Auszug aus "print route"

IPv4-Routentabelle
===========================================================================
Aktive Routen:
Netzwerkziel Netzwerkmaske Gateway Schnittstelle Metrik
0.0.0.0 0.0.0.0 192.168.178.1 192.168.178.36 25
10.8.0.0 255.255.255.0 10.8.0.5 10.8.0.6 257
10.8.0.1 255.255.255.255 10.8.0.5 10.8.0.6 257
10.8.0.4 255.255.255.252 Auf Verbindung 10.8.0.6 257
10.8.0.6 255.255.255.255 Auf Verbindung 10.8.0.6 257
10.8.0.7 255.255.255.255 Auf Verbindung 10.8.0.6 257
127.0.0.0 255.0.0.0 Auf Verbindung 127.0.0.1 331
127.0.0.1 255.255.255.255 Auf Verbindung 127.0.0.1 331
127.255.255.255 255.255.255.255 Auf Verbindung 127.0.0.1 331
178.200.71.115 255.255.255.255 192.168.178.1 192.168.178.36 281
192.168.178.0 255.255.255.0 Auf Verbindung 192.168.178.36 281
192.168.178.36 255.255.255.255 Auf Verbindung 192.168.178.36 281
192.168.178.255 255.255.255.255 Auf Verbindung 192.168.178.36 281
192.168.188.0 255.255.255.0 10.8.0.5 10.8.0.6 257
224.0.0.0 240.0.0.0 Auf Verbindung 127.0.0.1 331
224.0.0.0 240.0.0.0 Auf Verbindung 192.168.178.36 281
224.0.0.0 240.0.0.0 Auf Verbindung 10.8.0.6 257
255.255.255.255 255.255.255.255 Auf Verbindung 127.0.0.1 331
255.255.255.255 255.255.255.255 Auf Verbindung 192.168.178.36 281
255.255.255.255 255.255.255.255 Auf Verbindung 10.8.0.6 257

Soweit ich das sehe ist dort die VPN-Verbindung mit dem korrekten IP-Bereich. (192.168.188.0) via 10.8.0.5. Oder sehe ich das falsch?
"tracert" lieferte mir nur Zeitüberschreitung

Routenverfolgung zu 192.168.188.2 über maximal 30 Hops

1 * * * Zeitüberschreitung der Anforderung.
...
30 * * * Zeitüberschreitung der Anforderung.

Ich habe auch mal geprüft, wie die routen für die Verbindung über mein Iphone aussehen, dort klappt es. Hier habe ich die gleiche Zeile zum OpenVPN gefunden:
192.168.188.0 255.255.255.0 10.8.0.5 10.8.0.6 257
Via "tracert" bekomme ich aber interessanterweise auch nur Zeitüberschreitungen.

Wie ist das einzuordnen?

Grüße
Boris