OpenVPN-Paket

[MaxMuster]

Für die 7270 sieht das laut JohnDoe42 z.B. in den "hinteren" Beiträgen dieses Thread sollte es damit funktionieren, wenn man etwas "von Hand nacharbeitet"

 

[Arragon]

Dank deines Hinweises habe ich jetzt zwar die NAT Tabelle im Image, aber das MASQUERADE-Target - obwohl kompliert - findet seinen weg nicht ins Image. Ich habe es zu Testzwecken nach /tmp/flash/openvpn kopiert und per insmod geladen. Danach konnte ich erfolgreich vom LAN aus auf Netflix zugreifen. Hast du noch eine hilfreichen Hinweis wie ich diese letzte Hürde noch nehmen kann? Bzgl. der iptables-Befehle nehme ich mal an, dass man hier ifup/ifdown Skripte angeben könnte, damit entsprechende Regeln aktiviert/deaktiviert werden.

 

[MaxMuster]

wenn was nicht im Image landet, kannst du es zur Not per "fwmod_custom" Skript ins passende Verzeichnis kopieren, bevor das Image gebaut wird.

 

[CKone]

was leider nicht klappert ist das automatische starten nach dem Boot, hier
default: manuell
config1: automatisch
config2: automatisch
beides mit own_openvpn_config1 bzw 2 angelegt

wird im webif angezeigt und lässt sich dort auch kontrollieren, rc.openvpn_config 1/2 funktioniert auch, nur automatisch starten die Server nicht. Auch nicht wenn sie unter "diese selbst definierten dienste behandeln" dediziert als "openvpn_config 1 openvpn_config 2" eingetragen sind

jeman dazu ne Idee?

Danke, CKone

 

[RalfFriedl]

Vielleicht solltest Du den default automatisch starten?

Ich vermute, Du sprichst von external? "openvpn_config 1 openvpn_config 2" wird nicht funktionieren, weil die bei den Leerzeichen getrennt wird und als "openvpn_config" "1" "openvpn_config" "2" gelesen wird, nicht als "openvpn_config 1" "openvpn_config 2".
Du müsstest eine Datei anlegen, die dann die gewünschten Programme mit Parametern aufruft.

 

[CKone]

sorry mein Fehler, natürlich ohne Leerzeichen weil an selbigen getrennt wird:
openvpn_config1 openvpn_config2

Kann ich die beiden Aufrufe auf in die rc.custom einfügen oder ist der Stick dann noch nicht komplett bereit?

rc.openvpn_config1 start
rc.openvpn_config2 start

 

[RalfFriedl]

Ein USB Stick ist beim Start von rc.custom eher nicht verfügbar, deswegen gibt es die Dienste, die man mit external starten kann.

Es sollte ein Protokoll vom Start von external geben. Steht dort etwas drin?

 

[CKone]

nein ist leer, bevor ich den Haken im Webif rausgenommen hatte waren dort die Standarddienste ( opendd openvpn vsftpd samba ) vermerkt, wobei er keinen der Dienste aktiviert hat da sie ja allesamt auf manuell stehen - daher der Weg über die gecustomiseten Dienste nur seitdem ist das log leer.

Das mit der rc.custom klingt plausibel

 

[CKone]

mal was anderes: vom klang des Dateinamens wäre es geeigneter wenn ich die beiden Kommandos in die rc.external einfüge?

 

[RalfFriedl]

Ja, /tmp/flash/mod/rc.external wird ausgeführt, nachdem external eingebunden wird.

 

[CKone]

ok, also warum das mit "diese selbst definierten dienste behandeln" nix wird ist jetzt klar, steht gleich daneben das es nur mit den rc.* in /etc/init.d geht, diese liegen aber in /mod/etc/init.d/

http://freetz.org/screenshots/175?format=raw

also

#!/bin/sh
case "$1" in
load)
/mod/etc/init.d/rc.openvpn_config1 start
/mod/etc/init.d/rc.openvpn_config2 start
;;
unload)
;;
esac

oder besser load?

OT: Und wie kann ich diese verdammten Codetags hier finden....

 

[MysticJay2]

Hi,
wollt mich zwischenzeitlich nur mal melden.
OPVN läuft inzwischen, allerdings in einer TCP Client-Sever-Konfiguration mit Zertifikaten.
Über UDP scheinen sie sich nicht gefunden zu haben, obwohl alles korrekt aussah.
Die Dateien liegen auf dem USB-Stick und werden durch die debug.cfg kopiert und geladen.
Da die FB jetzt Client ist benötigen wir auch keine Modifikation der AR7 mehr.

Ich werde für die nächste Außenstelle mal rechtzeitig eine Freetz-Lösung mit integriertem OVPN aufbauen. Mal sehen wie das läuft.
Danke für den Support.

BTW: ich habe über den openVPN-Kanal ein Aastra 6773ip an eine OpenCOM 510 angebunden. Das 6773 hat ne lokale Konfiguration bekommen und meldet sich problemlos an.

- Mystic -
(Nur weil dies ja eigentlich ein VOID-Forum ist)

 

[RalfFriedl]

Die CODE Tags findet man im erweiterten Editor beim Symbol #, oder man schreibt sie einfach von Hand.

 

[CKone]

soweit ich das bisher beobachten kann funktioniert das mit der rc.external einwandfrei, vielen Dank dürs Brainstorming.

 

[komsec]

Macht es Sinn die Frage irgend-wo anders zu stellen?
MfG
komsec

 

[JeckyllHavok]

Freetz OpenVPN Tap Problem

Servus zusammen,
hab momentan erhebliche Probleme mein tap openvpn wieder in Betrieb zu nehmen.
Lief eigentlich alles bis zu einem "Zwangsupdate" durch AVM.

Also Freetz wieder kompiliert aber es geht nicht.
Nochmal komplett von vorne angefangen aber keine Chance. Der Tunnel zur FB wird zwar aufgebaut aber es klappt kein Ping usw..

Zu dem was ich vorhabe:
ich muss mich mit meinen mobilen Geräten im lokalen FB Netz befinden (brauch auch broadcasts deswegen kein tun)

tap0 ist auch in der ar7.cfg bei den bridge interfaces

Anbei meine Server Konfig:

proto udp
dev tap0
#Helperline for rc.openvpn to add tap0 to lan bridge
ca /tmp/flash/openvpn/ca.crt
cert /tmp/flash/openvpn/box.crt
key /tmp/flash/openvpn/box.key
dh /tmp/flash/openvpn/dh.pem
tls-server
port 1194
ifconfig 192.168.200.1 255.255.255.0
push "route-gateway 192.168.200.1"
push "route 192.168.178.0 255.255.255.0"
max-clients 5
mode server
ifconfig-pool 192.168.200.10 192.168.200.15
push "route 192.168.200.1"
tun-mtu 1500
mssfix
verb 3
cipher BF-CBC
comp-lzo
keepalive 10 120
cd /var/tmp/openvpn
chroot /var/tmp/openvpn
user openvpn
group openvpn
persist-tun
persist-key

Das ist mir im Client Log aufgefallen:

16:11:51 2014 C:\Windows\system32\route.exe ADD 192.168.178.0 MASK 255.255.255.0 192.168.200.1
Wed Mar 12 16:11:51 2014 Warning: route gateway is not reachable on any active network adapters: 192.168.200.1
Wed Mar 12 16:11:51 2014 Route addition via IPAPI failed [adaptive]
Wed Mar 12 16:11:51 2014 Route addition fallback to route.exe
Wed Mar 12 16:11:51 2014 env_block: add PATH=C:\Windows\System32;C:\WINDOWS;C:\WINDOWS\System32\Wbem

Und die client config

remote xx.xx.xx.xx
proto udp
dev tap
tls-client

ns-cert-type server
ca ca.crt
cert adminnexus.crt
key adminnexus.key
tls-auth static.key

tun-mtu 1500
mssfix
nobind
pull
cipher BF-CBC
verb 5
comp-lzo

 

[komsec]

OpenVPN: zwei Fritzbox-clienten, jeweils zwei IP-Adressen, jedoch gleiches WEB-UI?

Hallo, habe hier ein ganz komisches Problem. Habe zwei verschiedenen Fritzboxen der 73xx-Serie(mit den jeweiligen Netzwerke) im Klient-Modus über ein VPN-Server im Internet verbunden. Die Netzwerke sind 134.34.31.0, 134.34.32.0 hinter FB1 und FB2 jeweils. Default Gateway wurde bei den Fritzboxen nicht geändert. Das Ziel war nur eine sichere Kommunikation zwischen Netzwerke zu ermöglichen. Das Ziel war erreicht durch "freetzen" mit OpenVPN und setzten die Boxen in Klient-Modus mit tun-Interfaces. Die Boxen haben ja auch verschiedene interne VPN-IP-Adressen erhalten (im 10.8.0.0-Bereich). Nun funktioniert alles perfekt bis auf einen komischen Nebeneffekt. Und zwar wird über die beiden (verschiedenen: 134.34.31.1, 134.34.32.1) IP-Adressen der Boxen stets das WEB-Interface der Einen (der nächsten) angezeigt! Anscheinend ist ein Route-Problem. Traceroute zeigt für die beiden Adressen nur den Route-Eintrag zur nächsten Box. Der Weg zu den Fritzbox-Klienten wird jedoch korrekt aufgebaut. Ich verwende auch Dienste (VoIP), die direkt von der FB1 auf FB2 zugreifen. Es geht leider nicht. Da die Pakete anscheinend doch von der Fritzbox mit der Fritzbox-IP-Adresse versendet werden, und verlassen damit die Fritzbox nicht. Somit hilft das Ansprechen von FritzBoxen mit den internen VPN-Adressen auch nicht. Gibt es eine Lösung dafür?

MfG
Komsec

 

[MaxMuster]

Am Routing kann der "Nebeneffekt" eigentlich nicht liegen, denn ein Routingfehler kann nicht dazu führen, dass ein System auf eine "falsche" IP Adresse antwortet. Wenn das wirklich so ist (und nicht ein "eingebildeter Fehler" ;-) so von wegen fritz.box ist immer die nächste) solltest du die Configs posten, dann ist m.E. darin was "schief".

Zu VoIP über OpenVPN gibt es hier ein paar Beiträge. Ich meine das war so, dass die FB immer eine "feste" Absende-IP nutzt, egal, über welches Interface geroutet wird. Kann aber auch FW-Abhängig sein, da gab es auch schonmal was. Bei mir ging es mit älteren Firmwares zwischen einer 7170 und einer 7270.

 

[MaxMuster]

Die Frage ist, was beim Fehler vorher kommt, also welche IPs der TAP-Adapter bekommt und warum die Box der Meinung ist, 192.168.200.1 sei nicht zu erreichen.

 

[komsec]

Hallo. Das ist mit den configs gar kein Problem:
FB1:
route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
10.8.0.9 0.0.0.0 255.255.255.255 UH 0 0 0 tun0
xxx.xxx.xxx.xxx 0.0.0.0 255.255.255.255 UH 2 0 0 dsl #IP vom Provider
192.168.180.1 0.0.0.0 255.255.255.255 UH 2 0 0 dsl
217.237.150.188 0.0.0.0 255.255.255.255 UH 2 0 0 dsl
192.168.180.2 0.0.0.0 255.255.255.255 UH 2 0 0 dsl
217.237.151.142 0.0.0.0 255.255.255.255 UH 2 0 0 dsl
134.34.32.0 10.8.0.9 255.255.255.0 UG 0 0 0 tun0 # netzwerk von der FB2
134.34.31.0 0.0.0.0 255.255.255.0 U 0 0 0 guest # guest deaktiviert
134.34.31.0 0.0.0.0 255.255.255.0 U 0 0 0 lan
10.8.0.0 10.8.0.9 255.255.255.0 UG 0 0 0 tun0
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 lan
0.0.0.0 0.0.0.0 0.0.0.0 U 2 0 0 dsl

Firmware: 109.06.03 rev27365
Freetz: devel-11860


FB2:
route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
92.200.61.243 0.0.0.0 255.255.255.255 UH 3 0 0 dsl
192.168.180.1 0.0.0.0 255.255.255.255 UH 2 0 0 dsl
192.168.180.2 0.0.0.0 255.255.255.255 UH 2 0 0 dsl
10.8.0.15 0.0.0.0 255.255.255.255 UH 0 0 0 tun0
212.202.215.1 0.0.0.0 255.255.255.255 UH 2 0 0 dsl
212.202.215.1 0.0.0.0 255.255.255.255 UH 3 0 0 dsl
XXX.XXX.XXX.XXX 0.0.0.0 255.255.255.255 UH 2 0 0 dsl # IP vom Provider
212.202.215.2 0.0.0.0 255.255.255.255 UH 2 0 0 dsl
212.202.215.2 0.0.0.0 255.255.255.255 UH 3 0 0 dsl
134.34.32.0 0.0.0.0 255.255.255.0 U 0 0 0 lan
10.8.0.0 10.8.0.15 255.255.255.0 UG 0 0 0 tun0
134.34.31.0 10.8.0.15 255.255.255.0 UG 0 0 0 tun0 # netzwerk von der FB1
134.34.31.0 0.0.0.0 255.255.255.0 U 0 0 0 guest # guest aber deaktiviert
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 lan
0.0.0.0 0.0.0.0 0.0.0.0 U 2 0 0 dsl

Firmware: 131.06.03 rev27365
Freetz: devel-11860


Welche configs machen noch Sinn?