OpenVPN-Verbindung instabil

[wissner-verlag]

Das Problem instabiler VPN-Verbindung wurde schon vereinzelt behandelt, aber dort gab es keine Antwort auf mein konkretes Problem.

Ich verbinde eine DS415+mit Systemversion DSM 6.2.3-25426 Update 3 aus dem Homeoffice per OpenVPN mit einer Firewall auf Basis von IPFire, die im Hauptoffice steht.
Die dort definierte OpenVPN-Verbindung konnte ich in der Diskstation importieren und die Verbindung wird korrekt aufgebaut.
Protokoll ist UDP und die Verbindung erfolgt zu einer fixen öffentlichen IP-Adresse über eine 50 MBit Leitung aus dem Homeoffice auf eine 10 MBit SDSL-Leitung auf der Seite der Firewall im Hauptoffice. Eine OpenVPN-Verbindung mit einem OpenVPN-Client funktioniert dauerhaft und fehlerfrei.
Die Diskstation ist per Netzerkkabel direkt an eine Fritz-Box angeschlossen, also keine WLAN-Strecke dazwischen.

#OpenVPN Client conf
tls-client
client
nobind
dev tun
proto udp
tun-mtu 1400
remote xxx.xxx.de 1196
cipher AES-256-CBC
auth SHA512
verb 3
remote-cert-tls server
verify-x509-name xxx.xxx.de name
mssfix 1200

Im Hauptoffice ist eine weitere Diskstation und ich nutze Hyperbackup um den Datenbestand aus dem Hauptoffice auf die Disktation im Homeoffice zu synchronisieren.
Das funktioniert auch. Ich musste nur die MTU mit mssfix von 1400 auf 1200 herabsetzen, damit das Hyperbackup über das VPN per UDP ordentlich läuft.

Die VPN-Verbindung ist so eingerichtet, dass sie sich automatisch neu verbindet, sollte die Verbindung verloren gehen.
Das scheint aber nicht zu funktionieren.
Nach gewissern (noch ungeklärter Zeit) zeigt die VPN-Verbindung im Homeoffice an, dass die VPN-Verbindung steht, aber die Hyperbackup-Software im Hauptoffice zeigt, dass der Synchronisationspartner "Offline" ist. Ich kann ihn auch tatsächlich nicht mehr anpingen.
Wenn ich das VPN im Homeoffice trenne und gleiche wieder neu verbinde funktioniert es wieder. Der Syncronisationsvorgang muss dann aber erst wieder von vorn anfangen.
Heute war es sogar soweit, dass auch das Neuverbinden nichts mehr geholfen hat. Auf seiten der Firewall konnte ich nachvollziehen, dass die Diskstation offensichtlich nicht die Verbindung zur Firewall aufgebaut hat, obwohl die Neuverbindung angezeigt wurde. Nach einem Neustart hat das VPN wieder Verbindung angezeigt, war aber nicht erreichbar. Auch hier musste erst das VPN noch einmal getrennt und neu verbunden werden. Dann hat es funktioniert.

Mir scheint, dass der OpenVPN-Client der Diskstation hier buggy ist. Das VPN auf Seiten der Firewall läuft ansonsten absolut problemlos.

Hat jemand irgendwelche Erfahrungen ähnlicher Art gemacht und evtl. eine Lösung für das Problem gefunden?

Bin für jeden Hinweis dankbar.

 

[blurrrr]

Wenn man etwas von "Hauptoffice" und "IPFire" liest , erweckt das ein wenig den den Eindruck, als wüsstest Du was Du tust... Frage wäre jetzt: Wenn Du schon mit IPFire durch die Gegend gurkst - warum nicht einfach an "beiden" Standorten, S2S-Tunnel und vernünftige Firewall-Regeln? Sorry, aber ich kenne so ziemlich "niemanden" (aus Fachkreisen), der solche Konstrukte fährt, sofern es nicht "zwingend" sein muss. "Zwingend" bedeutet, .... gibt es nicht... ?

Schau Dir vielleicht erstmal jenen hier an: https://openvpn.net/community-resources/reference-manual-for-openvpn-2-4/ (-> ping-restart / keepalive)

"wissner-verlag" ....eine GmbH und Co. KG... Da werden wohl ein paar Euros drin sitzen, damit man die Offsite-Backup-Geschichte "vernünftig" (und vor allem langfristig und schmerzfrei) lösen kann... ?

 

[wissner-verlag]

Schön wäre es ja, wenn die Euros so locker sitzen würden in diesen Zeiten. Tatsächlich hat uns C... schon einiges gekostet und wir kommen nicht in den "Genuss" von Fördergeldern.
Das S2S-VPN kann ich aufgrund der technischen Situation auf der Homeoffice-Seite leider nicht so einfach einrichten, ist aber am Ende des Tages vielleicht die beste Lösung. Mich hat nur irritiert, dasss das OpenVPN eigentlich funktioniert, aber irgendwann abbricht. Das mit dem ping-restart / keepalive schaue ich mir an. Evtl. ist das ja auch schon die Lösung. Momentan läuft nur gerade die Sicherung und wenn die schon mal läuft will ich nicht dazwischenfunken. Danke erst einmal für den Tipp.