nur einseitige Verbindung bei fb2fb

[Madie]

Ich habe diverse Probleme bei meiner hier bestehenden Einrichtung der OpenVPN-Verbindung von Fritzbox zu Fritzbox. Vielleich weiß jemand Rat?

1. Eine Verbindung vom Server- zum Clientnetz ist nicht möglich, obwohl die Verbindung vom Client- zum Servernetz (fast) perfekt klappt. (Fast)Alle Rechner des Servernetzes stehen im Clientnetz zur Verfügung (ping, Netzwerkfreigaben, Http-Konfiguration der Fritzbox, telnet, ssh), kein Rechner des Servernetzes hat Zugriff auf die Rechner im Clientnetz oder die dort stehende Fritzbox (weder über ping noch sonst etwas). Da einzige was geht, ist ein ping über telnet von der Fritzbox im Servernetz auf die Fritzbox im Clientnetz mit der internen IP-Adresse dieser Fritzbox.

2. Im Servernetz steht u.a. auch ein (uralter) Compaq Prosignia Neoserver als Fileserver (hier läuft m.E. ein altes SCO-Unix mit Samba-Server), auf den man (während es bei allen anderen Rechnern möglich ist) nicht vom Clientnnetz zugreifen kann (egal welche IP-Adresse dem Neoserver zugewiesen wird, nicht einmal ping ist vom Clientnetz aus möglich, alle Rechner im Servernetz können jedoch pingen usw.).

3. Auch der testweise Zugriff von einem PC im Clientnetz direkt über installierten OpenVPN-Client auf das Servernetz funtioniert nicht.

Zu meiner Konfiguration:

In beiden Netzen stehen FritzboxFonWLan mit den IP-Adressen: FritzboxServernetz 192.168.1.11, FritzboxClientnetz 192.168.0.11. DHCP ist abgeschaltet, jeder Rechner hat (ist hier zwingend erforderlich) eine feste IP-Adresse nach dem Muster 192.168.1.X (Servernetz, auch der Neoserver) und 192.168.0.X (Clientnetz). Das Servernetz hat eine DynDns-Registrierung nach dem Muster XXX.dyndns.org.

Die Scripte auf den Boxen sehen so aus:

debug.cfg FritzboxServernetz:

#!/bin/sh

# start telnet deamon with password of web gui
/usr/sbin/telnetd -l /sbin/ar7login


while !(ping -c 1 www.tecchannel.de); do
sleep 7
done


# write 'secret.key' to file
cat > /var/tmp/secret.key << 'ENDSECRETKEY'

#
# 2048 bit OpenVPN static key
#
-----BEGIN OpenVPN Static key V1-----
...
-----END OpenVPN Static key V1-----

ENDSECRETKEY

# write 'server.ovpn' to file
cat > /var/tmp/server.ovpn << 'END-SERVER-OVPN'
#
dev tun0
dev-node /dev/misc/net/tun
ifconfig 192.168.200.2 192.168.200.1
tun-mtu 1500
float
mssfix

#Pfad zum Key File
secret /var/tmp/secret.key

#Protokoll auf TCP und Port 1194
proto tcp-server
port 1194

#Protokollierung auf 4
verb 4

#Routen setzen, bei route Subnetz des Clients
# bei push Subnetz des eigenen Servers eintragen
route 192.168.0.0 255.255.255.0
push "route 192.168.1.0 255.255.255.0"

#Verbindung erhalten
ping 15
push "ping 15"
ping-restart 120
push "ping-restart 120"

END-SERVER-OVPN

# Programmdatei nachladen
wget http://www.tecchannel.de/download/435560/openvpn

# ausfuehrbar machen
chmod +x /var/tmp/openvpn
chmod 0600 /var/tmp/server.ovpn
chmod 0600 /var/tmp/secret.key

# OpenVPN als Daemon starten
./openvpn --config ./server.ovpn &

ar7.cfg FritzboxServernetz enthält folgenden (letzten) Eintrag unter forwardrules

"tcp 0.0.0.0:1194 192.168.1.11:1194 0 # OpenVPN";

debug.cfg FritzboxClientnetz:

#!/bin/sh

# start telnet deamon with password of web gui
/usr/sbin/telnetd -l /sbin/ar7login


while !(ping -c 1 www.tecchannel.de); do
sleep 7
done


# write 'secret.key' to file
cat > /var/tmp/secret.key << 'ENDSECRETKEY'

#
# 2048 bit OpenVPN static key
#
-----BEGIN OpenVPN Static key V1-----
...
-----END OpenVPN Static key V1-----

ENDSECRETKEY

# write 'client.ovpn' to file
cat > /var/tmp/client.ovpn << 'END-CLIENT-OVPN'
ifconfig 192.168.200.1 192.168.200.2
dev tun
dev-node /dev/misc/net/tun
tun-mtu 1500
mssfix
persist-tun
persist-key

#Remote Adresse des Servers angeben
#muss entsprechend geaendert werden
remote XXX.dyndns.org

#Pfad zum Key File
secret /var/tmp/secret.key

# Check ob Äenderung in Firewall nötig
#Protokoll auf TCP und Port 1194
#Änderungen müssen auf Client- und Server-Seite gleich sein
proto tcp-client
port 1194


#da die Verbindung alle 24 Stunden getrennt wird
#soll regelmäßig kontrolliert werden ob die Verbindung noch steht
ping 15
ping-restart 120 

#der DynDNS-Name soll alle 60 Sekunden neu aufgelöst werden
#da OpenVPN sonst ständig versucht über die alte IP
#zu verbinden
resolv-retry 60 

#Protokollierungseinstellung
#4 ist optimaler Modus
verb 4

#Daemon sollte erst eingeschaltet werden wenn die
#Konfiguration passt
daemon

#Routen setzen, bei route Subnetz der Server-Box
# bei push Subnetz der eignen Client-Box eintragen
route 192.168.1.0 255.255.255.0
push "route 192.168.0.0 255.255.255.0"

END-CLIENT-OVPN

# load files

cd /var/tmp

wget http://www.tecchannel.de/download/435560/openvpn

# make them executable
chmod +x /var/tmp/openvpn
chmod 0600 /var/tmp/client.ovpn
chmod 0600 /var/tmp/secret.key

# start OpenVPN
./openvpn --config ./client.ovpn &

Schalte ich OpenVPN bei der FritzboxClientnetz aus und verwende den WindowsClient von OpenVPN dierekt auf einem PC im Clientnetz (IP: 192.168.0.51), verwende ich folgendes Script:

       # OpenVPN configuration file for
       # using a pre-shared static key.
       #       

       # Use a dynamic tun device. 
       dev tun 

       # Our remote peer
       remote XXX.dyndns.org

       # 10.1.1.5 is our local VPN endpoint
       # 10.1.1.6 is our remote VPN endpoint
       ifconfig 192.168.200.1 192.168.200.2

       # Our pre-shared static key
       secret secret.key

Vielleicht kann mir jemand sagen, was ich falsch mache?

Viele Grüße und vielen Dank

Madie

 

[HMZ]

HMMMM, das sieht mir stark nach einem Routing-Problem aus. Ich würde mal versuchen, das "192.168.0.0"-Netz auf den Bereich "192.168.2.0" umzustellen und die "route-" und "push-" Anweisungen in den Configs entsprechend anzupassen. Die Kombination des IP-Bereichs 192.168.0.0 mit der Netzmaske 255.255.255.0 macht nämlich eigentlich keinen Sinn, da die "0" in der IP-Adresse quasi eine Wildcard ist und und mit einer "0" in der Netzmaske korrespondieren müsste.

Gruß
Heiner

 

[Madie]

HMMMM, das sieht mir stark nach einem Routing-Problem aus. Ich würde mal versuchen, das "192.168.0.0"-Netz auf den Bereich "192.168.2.0" umzustellen und die "route-" und "push-" Anweisungen in den Configs entsprechend anzupassen.

Danke, das war die Lösung meines ersten Problems (Hätte ich eigentlich auch selbst drauf kommen können, daß die 0 hier als Maske verwendet wird, muß ich also eben alle IP-Adressen im Clientnetz umstellen).

Bleiben "nur" noch die anderen beiden Probleme:

1. Wie schaffe ich es, auf den Neoserver zuzugreifen. Es scheint so, als wenn er alle Zugriffe von IPs aus einem anderen Adress-Bereich vollständig abblockt und nichteinmal einen Ping zuläßt. Kann ich denn OpenVPN irgendwie so konfigurieren, daß es für den Neoserver so aussieht, als wenn die Anfrage aus dem gleichen Adress-Bereich kommt (ähnlich wie mit dem VPN-Treiber von MS, bei dem ja - wenn ich das richtig in Erinnerung habe - der Client bei Verwendung von PPTP eine IP-Adresse aus dem Servernetz zugewiesen bekommt)?

2. Wie man merkt, habe ich die Funktionsweise von OpenVPN noch nicht richtig verstanden: was stimmt an meiner Config-Datei für einen PC als Client ohne Box2Box-Verbindung nicht?

Madie

 

[AndreR]

Zum einen: wenn in keiner Config ein

PULL

vorhanden ist, bringen die

PUSH

Befehle garnichts.

Zum anderen: wenn aus dem Client-Netz eine Anfrage an den Neo-Server kommt, so wird dies (für den Neoserver) so aussehen, als würde die Fritzbox (OpenVPN-Server) die Anfrage stellen. Kannst du den Server von der Telnet-Konsle aus anpingen (nur IP, Namensauflösung im lokalen Netz funktioniert nicht!)

Und was genau funktioniert bei der PC-Konfig nicht? Ich sehe, es fehlen die Routen, also wirst du so keine Verbindung ins Server-Netz haben.. Und Optionen, wie

tun-mtu 1500
mssfix

sollten in beiden Configs auftauchen - sonst kann es zu Verbindungsproblemen kommen

 

[Madie]

Zum einen: wenn in keiner Config ein

PULL

vorhanden ist, bringen die

PUSH

Befehle garnichts.

Also, wenn ich in die client.ovpn ein

pull

setze, gibt es keine Verbindung mehr: kein Ping nichteinmal unter telnet von der Fritzbox im Servernetz aus.

Zum anderen: wenn aus dem Client-Netz eine Anfrage an den Neo-Server kommt, so wird dies (für den Neoserver) so aussehen, als würde die Fritzbox (OpenVPN-Server) die Anfrage stellen. Kannst du den Server von der Telnet-Konsle aus anpingen (nur IP, Namensauflösung im lokalen Netz funktioniert nicht!)

Ping (nur IP) auf den Neoserver funktioniert ausschließlich im Servernetz (auch unter telnet von der Fritzbox im Servernetz aus), auch ein Ping unter telnet auf der Fritzbox im Clientnetz scheitert. Auf den Neoserver kann ich leider nur per Webinterface zugreifen und hier kein Standardgateway eintragen, vielleicht liegt es auch daran.

Und was genau funktioniert bei der PC-Konfig nicht? Ich sehe, es fehlen die Routen, also wirst du so keine Verbindung ins Server-Netz haben.. Und Optionen, wie

tun-mtu 1500
mssfix

sollten in beiden Configs auftauchen - sonst kann es zu Verbindungsproblemen kommen

Probiere ich heute abend mal zu ergänzen und schicke evtl. die Fehlermeldungen.

Vielen Dank

Madie