FB 7270, Freetz 1.1, OpenVPN

[freakazoid75]

Hallo,

nach tagelangem Suchen im Internet bin ich fast soweit aufzugeben OpenVPN auf der Fritzbox mit Freetz 1.1 zum laufen zu bringen.
Ich möchte ein Internetgateway mit einem XP-Client über die Fritzbox mit Zertifikaten bereitstellen. Mit meinem bisherigen Windows OpenVPN-Server funktioniert das einwandfrei. Mit der Fritzbox komm ich trotz Freetz und Anleitung nicht klar. Es kommt keine Verbindung zustande.

Ich erhalte folgende Fehlermeldung:
Thu Jul 23 13:55:44 2009 OpenVPN 2.1_rc19 i686-pc-mingw32 [SSL] [LZO2] [PKCS11] built on Jul 16 2009
Thu Jul 23 13:55:44 2009 WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
Thu Jul 23 13:55:44 2009 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Thu Jul 23 13:55:44 2009 Attempting to establish TCP connection with 192.168.178.1:1194
Thu Jul 23 13:55:45 2009 TCP: connect to 192.168.178.1:1194 failed, will try again in 5 seconds: Connection refused (WSAECONNREFUSED)
Thu Jul 23 13:55:50 2009 SIGTERM[hard,init_instance] received, process exiting

Server Config:
# OpenVPN 2.1 Config, Sat Jan 1 01:13:15 CET 2000
proto tcp-server
dev tap0
#Helperline for rc.openvpn to add tap0 to lan bridge
ca /tmp/flash/ca.crt
cert /tmp/flash/box.crt
key /tmp/flash/box.key
dh /tmp/flash/dh.pem
tls-server
port 1194
mode server
ifconfig-pool 192.168.200.10 192.168.200.15
push "route 192.168.200.1 "
ifconfig 192.168.200.1 255.255.255.0
push "route-gateway 192.168.200.1"
push "route 192.168.178.0 255.255.255.0"
max-clients 5
tun-mtu 1500
mssfix
log /var/tmp/debug_openvpn.out
verb 3
daemon
cipher AES-256-CBC
keepalive 10 120


Client-Config:
remote 192.168.178.1 1194
proto tcp-client
dev tap
tls-client
ca ca.crt
cert client1.crt
key client1.key
tun-mtu 1500
mssfix
nobind
pull
cipher AES-256-CBC

 

[RalfFriedl]

Eine kleiner Tip zum Symbol "Böse" vor dem Titel Deines Beitrags:
Man bekommt eher Hilfe, wenn man Leute freundlich anspricht, als wenn man das böse tut.

 

[MaxMuster]

Hi,

Läuft der OpenVPN Dienst auf der Box? Vielleicht könntest du dessen Log mal posten (oben den "debug-Haken" setzen und OpenVPN starten, dann die Verbindung testen und Dienst wieder stoppen)?

Inhaltlich: Es ist keine gute Idee, eine Route für das Netz zu pushen, in dem du den Server erreichen willst (hier: push "route 192.168.178.0 255.255.255.0" im Zusammenhang mit remote 192.168.178.1 1194). Damit baust du eine "unedliche Schleife" weil der andere VPN-Endpunkt durch das VPN erreicht werden soll...

Jörg

 

[freakazoid75]

push route hab ich entfernt

Hier die Logdatei des Servers:
Sat Jan 1 01:13:15 2000 OpenVPN 2.1_rc15 mipsel-linux [SSL] [LZO2] [EPOLL] built on Jul 21 2009
Sat Jan 1 01:13:15 2000 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Sat Jan 1 01:13:16 2000 Diffie-Hellman initialized with 1024 bit key
Sat Jan 1 01:13:16 2000 TLS-Auth MTU parms [ L:1591 D:140 EF:40 EB:0 ET:0 EL:0 ]
Sat Jan 1 01:13:16 2000 TUN/TAP device tap0 opened
Sat Jan 1 01:13:16 2000 TUN/TAP TX queue length set to 100
Sat Jan 1 01:13:16 2000 /sbin/ifconfig tap0 192.168.200.1 netmask 255.255.255.0 mtu 1500 broadcast 192.168.200.255
Sat Jan 1 01:13:16 2000 Data Channel MTU parms [ L:1591 D:1450 EF:59 EB:4 ET:32 EL:0 ]
Sat Jan 1 01:13:16 2000 Listening for incoming TCP connection on [undef]:1194
Sat Jan 1 01:13:16 2000 Socket Buffers: R=[87380->131072] S=[16384->131072]
Sat Jan 1 01:13:16 2000 TCPv4_SERVER link local (bound): [undef]:1194
Sat Jan 1 01:13:16 2000 TCPv4_SERVER link remote: [undef]
Sat Jan 1 01:13:16 2000 MULTI: multi_init called, r=256 v=256
Sat Jan 1 01:13:16 2000 IFCONFIG POOL: base=192.168.200.10 size=6
Sat Jan 1 01:13:16 2000 MULTI: TCP INIT maxclients=5 maxevents=9
Sat Jan 1 01:13:16 2000 Initialization Sequence Completed
Sat Jan 1 01:16:27 2000 TCP/UDP: Closing socket
Sat Jan 1 01:16:27 2000 Closing TUN/TAP interface
Sat Jan 1 01:16:27 2000 /sbin/ifconfig tap0 0.0.0.0
Sat Jan 1 01:16:27 2000 SIGTERM[hard,] received, process exiting

 

[MaxMuster]

1. 192.168.178.1 ist auch die IP der Box? Dort sieht man keinen Verbindungsversuch. Mach doch mal ein "netstat" auf der Box.
2. Vor einem erfolgreichen Versuch musst du mit großer Sicherheit die Uhr der Box stellen, denn ich vermute mal, dass dein Zertifikat nicht am 1.1.2000 schon gültig war ;-)?

Jörg

 

[freakazoid75]

Ja, die IP ist 192.168..178.1 (für temporären Test)
Die Uhr habe ich eben mit "date" gestellt

netstat
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 localhost:8888 localhost:4162 ESTABLISHED
tcp 0 0 localhost:4162 localhost:8888 ESTABLISHED
tcp 0 2 fritz.box:23 192.168.178.2:2779 ESTABLISHED
tcp 0 0 localhost:1011 localhost:2168 ESTABLISHED
tcp 0 0 localhost:2168 localhost:1011 ESTABLISHED
Active UNIX domain sockets (w/o servers)
Proto RefCnt Flags Type State I-Node Path
unix 2 [ ] DGRAM 1298 /var/run/hostapd/ath0
unix 2 [ ] DGRAM 1596 /var/tmp/me_phonebook.ctl
unix 2 [ ] DGRAM 1602 /var/tmp/me_voipd.ctl
unix 2 [ ] DGRAM 1873 /var/tmp/me_igdd.ctl
unix 2 [ ] DGRAM 1654 /var/tmp/me_foncontrol.ctl
unix 2 [ ] DGRAM 52856 /var/tmp/me_multid.ctl
unix 2 [ ] DGRAM 982 /var/tmp/me_logic.ctl
unix 2 [ ] DGRAM 984 /var/tmp/me_ctlmgr.ctl
unix 2 [ ] DGRAM 1246 /var/tmp/me_libgsm.ctl
unix 2 [ ] DGRAM 1507 /var/tmp/me_dsld.ctl
unix 2 [ ] DGRAM 1521 /var/tmp/me_usermand.ctl
unix 3 [ ] STREAM CONNECTED 1745 /var/tmp/pb_event
unix 3 [ ] STREAM CONNECTED 1744 /var/tmp/pbctrl
unix 3 [ ] STREAM CONNECTED 1743
unix 3 [ ] STREAM CONNECTED 1742
unix 3 [ ] STREAM CONNECTED 1650 /var/tmp/pb_event
unix 3 [ ] STREAM CONNECTED 1649 /var/tmp/pbctrl
unix 3 [ ] STREAM CONNECTED 1648
unix 3 [ ] STREAM CONNECTED 1647

 

[MaxMuster]

Sorry, war zu kurz beschrieben. Benötigt wäre: "netstat -l"

 

[freakazoid75]

/var/mod/root # netstat -l
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 0.0.0.0:5060 0.0.0.0:* LISTEN


Hier müsste doch der 1194 Port offen sein. Im Freetz wird angezeigt, dass OpenVPN läuft. Auch ein Restart des Dienstes bringt nichts.

 

[MaxMuster]

Ja, sollte es...
Steht openvpn in der Ausgabe von "ps" ?
Ansonsten mal openvpn im Vordergund starten, um was zu sehen:

killall openvpn
cat /mod/etc/openvpn*.conf | grep -v daemon > /var/tmp/ovpn.conf
openvpn /var/tmp/ovpn.conf

Jörg

 

[freakazoid75]

hm...da meckert er, dass das Zertifikat verständlicher Weise wegen des Datums nicht gültig ist
Sat Jan 1 01:57:13 2000 192.168.178.2:3316 VERIFY ERROR: depth=1, error=certificate is not yet valid:
Hab aber das Datum ohne Reboot mit date umgestellt.
Welchen Befehl muss ich da mit welcher Syntax nehmen ?

 

[MaxMuster]

date -s "2009-07-24 13:00"

 

[freakazoid75]

Ich möchte die Fritzbox mit OpenVPN hinter einem vorhandenen Router betreiben. Was muss ich da anders konfigurieren ?

 

[MaxMuster]

Wenn die Box korrekt ins Internet routet, muss eigentlich nur die Port-Weiterleitung zur Fritzbox auf dem vorgelagerten Router eingestellt werden.
Sinnvoll wäre da auf der Box "Internet über LAN" mit "vorhandenen Zugang mitbenutzen".

Jörg

 

[freakazoid75]

Funktioniert der Internetzugang über LAN mit der Fritzbox auch über WLAN zum anderen Router ? Ich kann in der Weboberfläche nur LAN1 auswählen. Was müsste ich da konfigurieren ? Gibt es da Probleme mit OpenVPN ?

 

[Silent-Tears]

Internetzugang per WLan gibt es so direkt nicht. Das wäre dann der WDS-Mode. Das ist anders zu konfigurieren...

 

[freakazoid75]

Wird OpenVPN durch den WDS-Mode beeinträchtigt, da es ja auf einer zweiten Fritzbox läuft ?

 

[Silent-Tears]

Logischerweise schon, denn die Ports musst du auf der anderen Box freigeben.

 

[freakazoid75]

Die andere Box hat bereits die Portfreigabe für OpenVPN, wegen des alten OpenVPN-Rechners. Das kann ich ja dann bis auf die IP so lassen.

 

[freakazoid75]

Ich habe auf der Box mit Freetz in der ar7.cfg in den forwardrules folgenden Eintrag gemacht:
"tcp 0.0.0.0:1194 0.0.0.0:1194" muss ich den löschen, wenn eine Fritzbox vorgelagert ist ?

Ich frage deshalb, weil ich keine Verbindung bekomme. Eine Box hängt nun am DSL und ist als WDS Basis konfiguriert. Die andere Box ist als WDS Repeater konfiguriert und hat Freetz mit OpenVPN installiert. Übers Lan komm ich auf die Box mit Freetz.

 

[Silent-Tears]

Vielleicht bemühst du mal die Boardsuche zu den ar7.cfg-Sachen und findest heraus, dass ein Forwardung auf 0.0.0.0 eben genau die box meint, auf der das läuft, sprich sich selber. Was schliesst du nun daraus?