FB 7170 mit OpenVPN Client für nur einen Client

[HSchlueter]

Hallo Experten,

mit diesem Thema schlage ich mich seit einiger Zeit herum und benötige (vorerst) einmal eine Aussage, ob das, was ich mir vorstelle, mit relativ einfachen Mitteln überhaupt möglich ist.
Ich habe auch Foren, HowTos und Tutorials ohne Ende angelesen, aber m.E. noch nicht das richtige gefunden. Falls mir was durchgegangen ist, bitte ich um Hinweis und Entschuldigung

Auf meiner FB 7170 habe ich Freetz inkl. den üblichen empfohlenen Paketen und OpenVPN als einzige Ergänzung erfolgreich eingebunden.

Folgendes habe ich vor:
- OpenVPN soll als Client agieren und sich in ein entferntes Netz einwählen (on demand, siehe nächster Punkt)
- es soll nur ein anforderndes Gerät bzw. ein anfordernder Client an der FB mit fester IP (z.B. 192.168.178.88, über LAN nicht WLAN) über die VPN Verbindung gerouted werden
- der Client an der FB kann kein VPN (weil kein Computer), daher die Idee des Routens über die FB.
- der übrige Verkehr soll komplett unangetastet bleiben und über die "normalen" Wege gehen (als hätte ich die FritzBox grad ausgepackt und angeschlossen). Den Traffic möchte ich einfach nicht über diese VPN Route laufen lassen..

Nun zu den Fragen:
1) Reicht dazu die Verbindung aus OpenVPN und den FritzBox-Standardmitteln (Routen)?
2) Wenn nein: muss ich iptables dafür verwenden?
3) Ist OpenVPN in dem Fall evtl. sogar oversized oder deplaziert?
4) Funktioniert das überhaupt "on demand", d.h. funktioniert OpenVPN so, dass es die Verbindung erst aufbaut, wenn eine Anforderung hereinkommt?

Ich hoffe, die Fragen sind richtig platziert, falls nicht, bitte entsprechenden Hinweis geben...

Ansonsten schonmal vielen Dank für alle Antworten!!!
Sorry, nicht mein Fachbereich das ganze und die Unterlagen aus dem Studium hab ich vor langer Zeit dem Recycling zugeführt.

Danke & Gruß
PHS

 

[HSchlueter]

War die Frage zu blöd?

Habe mich durch gefühlt zu viele Foren gewühlt und bisher nicht ganz geschnallt, wie man das realisieren kann.
Etwas weiter bin ich: OpenVPN stellt erfolgreich eine Verbindung her (mit den nach der Installation vorgegebenen IP-Adressen).

hier mal die conf:

client
dev tun
fast-io
persist-key
persist-tun
nobind
remote xxx.xxxxxx.xxx 1194
pull
comp-lzo
tls-client
tls-remote server
ns-cert-type server
tls-auth <standard-pfad> 1
ca <standard-pfad>
cipher AES-256-CBC
verb 3
mute 10
auth-user-pass <pfad zu datei>

Nun die Frage: was muss ich wie und wo an zusätzlichen Routen einrichten, damit der Traffic eines an die FB angeschlossenen Geräts immer über die VPN-Verbindung läuft und auch der gesamte Traffic von der VPN-Verbindung an dieses Gerät geleitet wird??
Klingt doch eigentlich einfach, ich hänge aber komplett fest.

Für Hilfe wäre ich extrem dankbar!!!

HSchlueter

 

[sf3978]

.. und auch der gesamte Traffic von der VPN-Verbindung an dieses Gerät geleitet wird??
...

Versuch es mal mit iptables und Destination-NAT (D-NAT).

 

[RalfFriedl]

Auf einer 7170 ist iptables und NAT gefährlich.

Mit entsprechenden Routing-Einträgen könnte es aber funktionieren, iptables ohne NAT zu verwenden. Je nach den sonstigen Gegebenheiten vielleicht auch ganz ohne iptables.

 

[MaxMuster]

Welche Möglichkeiten hast du, am Server etwas einzustellen (oder einstellen zu lassen)???.

 

[HSchlueter]

danke für die Antworten!

wegen der häufig angesprochenen Probleme mit iptables auf der 7170 hoffe ich das vermeiden zu können. (naja, und wg der konfiguration)

@RalfFriedl: zu welchen "sonstigen Gegebenheiten" benötigst Du Infos, um das beurteilen zu können? (screenshots, code etc kann ich leider erst Freitag liefern)

@MaxMuster: absolut gar keine. Einwählen und danke, mehr geht nicht.

 

[stinkstiefel]

Einwählen und danke, mehr geht nicht.

Dann gehts nicht ohne NAT.

Edit sagt: Vielleicht doch wenn man mit cpmaccfg split ein Interface der 7170 von den restlichen abtrennen und dieses mit dem VPN-Interface brücken könnte. Der betreffende Client wird dann nur an den entsprechenden LAN-Port angeschlossen.

 

[RalfFriedl]

zu welchen "sonstigen Gegebenheiten" benötigst Du Infos?

Du bräuchtest auf dem Server eine Route, die 192.168.178.88 (Dein internes Gerät) über den VPN-Tunnel an Deine Box leitet.

 

[HSchlueter]

mit cpmaccfg split ein Interface der 7170 von den restlichen abtrennen

Genau! Oder ich bestell mir einfach sowas: Mini VPN Router

Ist einfach nicht Thema und Zeit zum reinfuchsen hab ich leider auch nicht.