[Gelöst] Brauche einen Tipp für Freetz@Eumex300 IP und OpenVPN

[DJB]

Hi,
möchte gerne meine alte Eumex 300 IP als VPN-Server für OpenVPN einsetzen.

Die Eumex soll als Client-Box hinter einem Speedort-Router per LAN angeschlossen werden.

Habe mein Glück schon mit vielen Routern in Kombination mit gepatchter Firmware probiert (W920V, W721V, W701V, Eumex 300 IP), aber irgendwie klappt das bei keinem richtig...
vielleicht mache ich einen Fehler bei der Paketauswahl in Freetz. Das Resultat ist eigentlich immer, dass ich nicht mehr ins Webinterface komme. Wenn ich das richtig gelesen habe, liegt es an irgendwelchen SSL-Paketen.

Bei der Eumex kann ich die Firmware gar nicht erst flashen, weil hier die Meldung kommt, falsche Firmware.

Hat jemand einen TIPP für mich, welche Firmware und welche Freetz-Pakete ich brauche / auswähle oder entsprechend entfernen kann, wenn ich die 300 IP benutzen will?

Die soll später wirklich nur die Funktion OpenVPN Server haben, so dass ich mich im Urlaub in mein LAN verbinden kann, mehr muss die Eumex später nicht können...

 

[MaxMuster]

Die Eumex funktioniert eigentlich prima mit Freetz und auch mit OpenVPN. Entfernen der Hilfe sollte reichen, um OpenVPN drauf zu bekommen.
Die "SSL-Problematik" sollte nur auftreten, wenn du als "Experte" Ersetzen der AVM-SSL Library gewählt hast.

Wenn die Telekom-FW kein Freetz flashen lässt nute das ruKernelTool oder vom Freetz das "tools\push_firmware" tool.

 

[DJB]

OK....
also sollte ich wohl nicht Experte anhaken ;-)
d.h. über ruKerneltool die durch freetz erstellte kernel.image flashen, sollte funktionieren?

 

[MaxMuster]

ja, das sollte klappen

 

[DJB]

bekomme immer kernel image too big.. sind ca 600k zu viel...
da muss ich doch wohl mehr rauswerfen als die Hilfe...
Du hast nicht zufällig deine .config für mich ;-)

 

[MaxMuster]

Baue OpenVPN mit PolarSSL statt OpenSSL, das sollte gehen. Ein aktueller Build läuft gerade, .config folgt, wenn es durch ist.

STEP 3: PACK
  checking for left over Subversion directories
  integrate freetz info file into image
packing var.tar
creating filesystem image
  SquashFS block size: 65536 (64 kB)
merging kernel image
  kernel image size: 3768064 (max: 3866624, free: 98560)
packing images/300ip_04.33-freetz-devel-0_10490M.de_20130516-203717.image
done.

FINISHED

 

[DJB]

Nachdem ich gestern die ganze Nacht probiert habe, klappt es irgendwie trotzdem nicht.

erst bekam ich auch mit Deiner .config die Meldung Image to big, dann habe ich mal "make clean" gemacht. ;-)
nachdem das durch war, klappte die Image-Erstellung.

Das nächste Problem waren dann die Eumex 300 IP (habe 2 Stück hier zum Testen) ...
- Image ließ sich nicht mit dem ruKernelTool flashen, weil das Image auf der Eumex zu alt war und sich das Flash-Layout geändert hat.
- Also aktuellste Telekom Firmware über WebIF aufgespielt und neuer Versuch..

- Dann Flashen mit ruKernel-Tool erfolgreich, aber Box in reboot-Schleife (vergibt auch keine IP per DHCP).
- Per manueller IP komme ich auch nicht aufs Webinterface.
- Also Image noch mal erfolgreich mit ruKernelTool geflasht -> selbes Ergebnis...
- Das gleiche Spiel mit der 2. Eumex probiert (auch wieder Image zu alt....)
klappt auch nicht...
hast Du noch einen Tipp? hab ich vielleicht falsches Branding (avm) oder so?
oder gibt es Hardware, die komplett inkompatibel ist?

 

[DJB]

bin jetzt mittlerweise an der 3. Box ;-)

diese hatte ich von ein paar Jahren schon mal fritzisiert.
Dachte, dann wäre es ggf. einfacher freetz aufzuspielen.

Hier ist der FW-Stand 06.04.05 drauf.

Welche Schritte sind erforderlich, um freetz auf die Box zu bekommen?

Box-Informationen:
    ProductID:                 Fritz_Box_FON
    HWRevision:                58
    annex:                     B
    autoload:                  yes
    bluetooth:                 00:04:0E:FF:xx:xx
    bootloaderVersion:         0.18.01
    bootserport:               tty0
    cpufrequency:              150000000
    firmware_info:             06.04.05
    firmware_version:          avm
    firstfreeaddress:          0x94730258
    flashsize:                 0x00400000
    maca:                      00:04:0E:A4:xx:xx
    macb:                      00:04:0E:A4:xx:xx
    macdsl:                    00:04:0E:A4:xx:xx
    macwlan:                   00:04:0E:A4:xx:xx
    memsize:                   0x01000000
    modetty0:                  38400,n,8,1,hw
    modetty1:                  38400,n,8,1,hw
    mtd0:                      0x900C0000,0x903C0000
    mtd1:                      0x90010000,0x900C0000
    mtd2:                      0x90000000,0x90010000
    mtd3:                      0x903C0000,0x903E0000
    mtd4:                      0x903E0000,0x90400000
    my_ipaddress:              99.88.77.1
    req_fullrate_freq:         125000000
    prompt:                    AVM_Ar7
    reserved:                  00:04:0E:FF:xx:xx
    SerialNumber:              0000000000000000
    sysfrequency:              125000000
    urlader-version:           99
    usb_board_mac:             00:04:0E:A4:xx:xx
    usb_device_id:             0x5401
    usb_manufacturer_name:     AVM
    usb_revision_id:           0x0100
    usb_rndis_mac:             00:04:0E:A4:xx:xx

  Flash-/Speichergrößen:
    Flashsize:   4.194.304 Bytes (4.096 kB, 4 MB)
    Memsize:    16.777.216 Bytes (16.384 kB, 16 MB)
    mtd0:        3.145.728 Bytes (3.072 kB, 3 MB)
    mtd1:          720.896 Bytes (704 kB, 0,7 MB)
    mtd2:           65.536 Bytes (64 kB, 0,1 MB)
    mtd3:          131.072 Bytes (128 kB, 0,1 MB)
    mtd4:          131.072 Bytes (128 kB, 0,1 MB)

  ProductID:   Fritz_Box_FON
  HW-Revision: 58  => FRITZ!Box Fon

 

[DJB]

Nachtrag:
Im WebIF wird übrigens 06.04.15 statt .05 angezeigt...
Wer weiß was ich da vor 4 Jahren für einen Blödsinn gemacht habe.... ;-)

habe versucht die aktuellste FritzFon Firmware fritz.box_fon.en.06.04.49.image zu installieren, hier meckert die Box aber auch.... (keine passende Firmware)

auch die erstellte fritz.a300-avm.en.06.04.49.image lässt sich nicht (über WebIF) einspielen...

 

[MaxMuster]

Also, wenn du bereits eine neuere FW drauf hast/hattest (nicht bei der 04.15-er Box), kannst du ohne Bedenken die Einstellungen löschen lassen (mtd3/4). Ich vermute mal, da passt was nicht, was den Start verhindert.

Die obrige Eumex wurde scheinbar per FTP in eine FB umgewandelt (HWRevision 58 statt der 78 der Eumex, OEM avm statt tcom). Die würde ich erstmal so lassen und nicht auf eine höhere Version der FW schicken, weil dann in der neueren Firmware beim Update der "falsche Wert" in den Bootloader kommt.

Edit Bevor einer der Mods "motzt" noch ein Hinweis: Wenn du "Nachträge" oder Ergänzungen hast, bitte keinen neuen Beitrag erstellen, sondern per "Bearbeiten" dem letzten Beitrag hinzufügen.

 

[DJB]

OK,
werde meine Beiträge künftig editieren.

d.h. nach löschen mtd3 und 4 sollte es klappen?

mache ich das über adam2?

EDIT:
hier die Daten von der Box, die ich mit deiner .config gemacht hab...

  Box-Informationen:
    ProductID:                 Fritz_Box_Eumex300IP
    HWRevision:                78
    annex:                     B
    autoload:                  yes
    bootloaderVersion:         1.309
    bootserport:               tty0
    cpufrequency:              150000000
    firmware_info:             15.04.44
    firmware_version:          tcom
    firstfreeaddress:          0x946C0D14
    flashsize:                 0x00400000
    kernel_args:               annex=B
    maca:                      00:04:0E:6F:xx:xx
    macb:                      00:04:0E:6F:xx:xx
    macdsl:                    00:04:0E:6F:xx:xx
    macwlan:                   00:04:0E:6F:xx:xx
    memsize:                   0x01000000
    modetty0:                  38400,n,8,1,hw
    modetty1:                  38400,n,8,1,hw
    mtd0:                      0x90000000,0x90000000
    mtd1:                      0x90010000,0x903C0000
    mtd2:                      0x90000000,0x90010000
    mtd3:                      0x903C0000,0x903E0000
    mtd4:                      0x903E0000,0x90400000
    my_ipaddress:              192.168.2.1
    req_fullrate_freq:         125000000
    prompt:                    AVM_Ar7
    SerialNumber:              0000000000000000
    sysfrequency:              125000000
    urlader-version:           1309
    usb_board_mac:             00:04:0E:6F:xx:xx
    usb_device_id:             0x5401
    usb_manufacturer_name:     AVM
    usb_revision_id:           0x0100
    usb_rndis_mac:             00:04:0E:6F:xx:xx

  Flash-/Speichergrößen:
    Flashsize:   4.194.304 Bytes (4.096 kB, 4 MB)
    Memsize:    16.777.216 Bytes (16.384 kB, 16 MB)
    mtd0:                0 Bytes
    mtd1:        3.866.624 Bytes (3.776 kB, 3,7 MB)
    mtd2:           65.536 Bytes (64 kB, 0,1 MB)
    mtd3:          131.072 Bytes (128 kB, 0,1 MB)
    mtd4:          131.072 Bytes (128 kB, 0,1 MB)

mtd0 sieht etwas komisch aus....

EDIT2:
OK, konnte jetzt über ftp mtd3 und 4 mit empty überschreiben und jetzt klappt es nach dem Reboot....

jetzt muss ich nur noch das mit dem OpenVPN hinbekommen....

Du hast nicht zufällig einen Screenshot mit deinen Einstellungen ;-) ?

 

[MaxMuster]

Das kommt jetzt ganz auf deine Wünsche an ;-)
Die triviale Lösung ist, den Standard zu nutzen, der als Server für eine TUN-Verbindung mit Schlüssel fungiert. Für den OpenVPN-Client dann den "Static Key" herauskopieren und die IP 192.168.200.2 nehmen.
Der "Internetrouter" muss dann Port 1194 UDP zur Freumex weiterleiten.

 

[DJB]

Das kommt jetzt ganz auf deine Wünsche an ;-)
Die triviale Lösung ist, den Standard zu nutzen, der als Server für eine TUN-Verbindung mit Schlüssel fungiert. Für den OpenVPN-Client dann den "Static Key" herauskopieren und die IP 192.168.200.2 nehmen.
Der "Internetrouter" muss dann Port 1194 UDP zur Freumex weiterleiten.

ich brauche es ganz trivial... ;-)
will mich "nur" mit meinem iPhone und mit meinem iPad aus dem Ausland in mein lokales LAN einwählen.. das müsste doch mit OpenVPN gehen, oder?
habe auch eben schon Zertifikate erzeugt, bekomme aber "SSL read error: SSL Verification of the message MAC failed..."

Was muss ich denn bei den IP-Adressen so einstellen?

mein lokales Netz hier hat:
192.168.1.1-192.168.1.254

die Freumex hat (als IP-Client über LAN) in diesem Netz die IP .131 (per DHCP vom Router bekommen).

Daz Ziel ist:
Ich will per VPN mit einem iPhone und einem iPad bei bedarf auf meine Geräte (Haussteuerung, Kameras, Alarm, NAS etc.) zugreifen und ggf. (wenn das klappen sollte) auch ein SIP-App benutzen, dass eine IP-Adresse aus Deutschland voraussetzt (aber das ist nur optional).

Es soll also so sein, als wäre ich in meinem WLAN zuhause...

 

[MaxMuster]

Erstmal vorweg: Die Freumex soll ja Pakete weitergeleitet bekommen, dazu muss sie eine "eindeutige" und feste IP haben, also besser kein "DHCP"...

Dann willst/musst du vermutlich eine "Brücke" ins (W)LAN und keine geroutete Verbindung?!?
Dazu wäre eine "TAP" config nötig. Das ist etwas komplexer, hat mehr Overhead und ist "risiko-reicher". Also erstmal immer auf "manuell" lassen, bevor es nicht erfolgreich getestet auf "automatischen Start" gehen kann.

Du wählst dann also Brücke(TAP) und als "lokale IP" eine IP aus deinem LAN, außerhalb des DHCP-Bereiches (z.B. 192.168.1.222).
Du musst dann auch unbedingt dein LAN mit dem OpenVPN-TAP "brücken", ansonsten ist deine Box nicht mehr erreichbar!

Zu den Zertifikats-Fehlern kann ich so nichts sagen. Wie wurden die erstellt? Wann genau kommt die Meldung, also wie lautet der komplette Log?
Wie sehen die Configs auf Box und wie die beim Client aus, falls das "im Betrieb" auftritt.

 

[DJB]

ok... wenn ich wieder auf die Web-Oberfläche komme, dann versuche ich es umzustellen.

Denke ich habe da ein Verständnisproblem mit den IP-Adressen,
welche Angabe muss wo hin?
Kannst Du mir mal ein Bild von Deiner Maske machen?

tun vs. tap ist die Problematik, dass mir der passende iOS-Client dafür fehlt.

 

[MaxMuster]

Für das Verständnis haben wir extra ein Wiki eingerichtet, in dem auch das OpenVPN vorkommt ;-)

Ein Screenshot meiner Konfig hilft dir erstmal nichts, du willst ja deine Konfig wissen.
Die muss natürlich zur Client-Konfig passen, die ich aber nicht kenne und auch nicht "herleiten" kann (ich steh nicht so auf angebissenes Obst ;-)) und weiß nicht, ob das Ding einstellbar ist oder immer TUN oder TAP will...

Eine typische TAP-Konfig mit deinen "Nebenbedingungen" könnte dann so aussehen:


Soll auch der Internet-Verkehr der Clients durch das VPN laufen und bei der FB "rauskommen", dann muss noch der Haken gesetzt werden bei
"Jedes Paket des Clients umleiten".
Je nach Situation muss ggf. als "DNS-Server" die IP des DNS in deinem LAN (vermutlich die "Internetbox") angegeben werden in den Push-Optionen.

 

[DJB]

Ja, das ist das Problem das angebissene Obst kann nur "tun" .
Dachte dein screen sei nützlich, weil du ja auch eumex hinter Router betreibst...
Das wiki hab ich durch , also openvpn und freetz ..

Gibt es noch eine Anleitung für dummies , mit static key und Erklärung ?
Was brauchst du von mir für Angaben , gebe dir alles gerne auch per PN.

 

[MaxMuster]

Wenn du mir die Config nennst, die der Client hat, dann kann ich eine "passende" Server-Config dazu "basteln". Da steht ja (außer dem DynDNS-Namen) nix weiter sensibles drin, das kannst du hier einfach reinposten.

 

[DJB]

OK, mal von vorne ;-)
Ich habe noch keine Client Config, sondern versuche gerade verzweifelt aufzubauen...
Wollte den Server fertig machen und dann die Clients...

was ich schon habe, sind die erstellten Dateien....:
VPNserver01.key
VPNserver01.csr
VPNserver01.crt
key.txt
iphone.key
iphone.csr
iphone.crt
ipad.key
ipad.csr
ipad.crt
index.txt.attr
index.txt
dh1024.pem
ca.key
ca.crt
03.pem
02.pem
01.pem

Als VPN-Server-Hardware setze ich die Freumex ein, diese hängt jetzt per fester IP-Adresse (192.168.1.188 ) in meinem heimischen Netz und hat Internet-Zugriff über LAN.
Meine Internet-Box, mit Verbindung zum DSL hat die IP 192.168.1.2 und ist gleichzeitig auch DHCP.
Eine UDP-Portweiterleitung (Port 1194 auf 192.168.1.188 (Freumex) ) habe ich schon gemacht.
Habe mir jetzt noch guizmovpn als Client für iOS gekauft... in der Hoffnung, dass er auch TAP kann...

Ich möchte also von Grund auf neu anfangen und erstmal eine funktierende Server-Config haben.
Dem Client die Schlüssel zu geben müsste doch recht simpel sein, oder?

 

[MaxMuster]

Also, dann machen wir es so, wie oben schonmal beschrieben: OpenVPN als TAP wie im Screenshot.

Die "Client-Config" dazu mit den Cert-Dingen anaolg zu dieser Anleitung:

proto udp
dev tap
tls-client
remote <deindyndnsname>
pull
tun-mtu 1500
mssfix
verb 3
keepalive 10 120
persist-tun
persist-key

<ca>
Hier dein ca-cert
</ca>
<cert>
Hier dein Client-cert
</cert>
<key>
Hier dein Client-key
</key>