[Frage] (Freetz) Fritzbox 7412 OpenVPN Client

[pascalts]

Moin!

Ich habe auf meiner kleinen AVM Fritzbox 7412 erfolgreich freetz (ohne ng) geflasht mit den zusätzlichen Paketen von openvpn, openssh und nano. Derzeit versuche ich den gesamten Internetverkehr durch einen openvpn-Tunnel zu leiten, die Fritte soll also als openvpn-client laufen. Ich habe ein Abo bei surfshark, deren openvpn-Konfiguationen haben bisher immer gut funktioniert bei mir.

Nun scheite ich ein wenig an der Konfiguration. Ich kann, dank der neuen GUI ( https://freetz.github.io/wiki/packages/openvpn.html#NeuesimpleGUIGUI2 ) meine config direkt "reinwerfen". Dann kann ich den Deinst starten. Das klappt alles soweit gut, das Tunnel-Interface wird angelegt und wenn ich mich per SSH einwähle und eine Traceroute starte, dann sehe ich auch, dass die Daten über den Tunnel laufen.

ABER: Alle angeschlossenen LAN- und WLAN-Geräte kommen ab dem Moment nicht mehr ins Internet. Ich vermute das es da noch ein Routing-Problem gibt, oder ich eine Konfiguration missverstanden oder übersehen habe. Kann mich jemand aufklären?

Hier meine Config:

client
dev tun
proto udp
remote [ZENSUR.de] 1194
resolv-retry infinite
remote-random
nobind
tun-mtu 1500
tun-mtu-extra 32
mssfix 1450
persist-key
persist-tun
ping 15
ping-restart 0
ping-timer-rem
reneg-sec 0

remote-cert-tls server

auth-user-pass [PFAD/ZUR/DATEI]

#comp-lzo
verb 3
pull
fast-io
cipher AES-256-CBC

auth SHA512

<ca>
-----BEGIN CERTIFICATE-----
[ZENSUR]
-----END CERTIFICATE-----
</ca>
key-direction 1
<tls-auth>
#
# 2048 bit OpenVPN static key
#
-----BEGIN OpenVPN Static key V1-----
[ZENSUR]
-----END OpenVPN Static key V1-----
</tls-auth>

Gruß

Pascal

PS: Hier das Syslog:

n  3 13:42:48 fritz daemon.notice openvpn[10089]: OpenVPN 2.4.9 mips-unknown-linux-gnu [SSL (OpenSSL)] [LZO] [AEAD] built on Jan  1 2021
Jan  3 13:42:48 fritz daemon.notice openvpn[10089]: library versions: OpenSSL 1.0.2u  20 Dec 2019, LZO 2.10
Jan  3 13:42:48 fritz daemon.warn openvpn[10090]: WARNING: --ping should normally be used with --ping-restart or --ping-exit
Jan  3 13:42:48 fritz daemon.notice openvpn[10090]: Outgoing Control Channel Authentication: Using 512 bit message hash 'SHA512' for HMAC authentication
Jan  3 13:42:48 fritz daemon.notice openvpn[10090]: Incoming Control Channel Authentication: Using 512 bit message hash 'SHA512' for HMAC authentication
Jan  3 13:42:48 fritz daemon.notice openvpn[10090]: TCP/UDP: Preserving recently used remote address: [AF_INET][ZENSUR]:1194
Jan  3 13:42:48 fritz daemon.notice openvpn[10090]: Socket Buffers: R=[229376->229376] S=[229376->229376]
Jan  3 13:42:48 fritz daemon.notice openvpn[10090]: UDP link local: (not bound)
Jan  3 13:42:48 fritz daemon.notice openvpn[10090]: UDP link remote: [AF_INET][ZENSUR]:1194
Jan  3 13:42:48 fritz daemon.notice openvpn[10090]: TLS: Initial packet from [AF_INET][ZENSUR]:1194, sid=[ZENSUR]
Jan  3 13:42:48 fritz daemon.warn openvpn[10090]: WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this
Jan  3 13:42:49 fritz daemon.notice openvpn[10090]: VERIFY OK: depth=2, C=VG, O=Surfshark, CN=Surfshark Root CA
Jan  3 13:42:49 fritz daemon.notice openvpn[10090]: VERIFY OK: depth=1, C=VG, O=Surfshark, CN=Surfshark Intermediate CA
Jan  3 13:42:49 fritz daemon.notice openvpn[10090]: VERIFY KU OK
Jan  3 13:42:49 fritz daemon.notice openvpn[10090]: Validating certificate extended key usage
Jan  3 13:42:49 fritz daemon.notice openvpn[10090]: ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
Jan  3 13:42:49 fritz daemon.notice openvpn[10090]: VERIFY EKU OK
Jan  3 13:42:49 fritz daemon.notice openvpn[10090]: VERIFY OK: depth=0, CN=[ZENSUR]
Jan  3 13:42:49 fritz daemon.warn openvpn[10090]: WARNING: 'link-mtu' is used inconsistently, local='link-mtu 1633', remote='link-mtu 1581'
Jan  3 13:42:49 fritz daemon.warn openvpn[10090]: WARNING: 'cipher' is used inconsistently, local='cipher AES-256-CBC', remote='cipher AES-256-GCM'
Jan  3 13:42:49 fritz daemon.warn openvpn[10090]: WARNING: 'auth' is used inconsistently, local='auth SHA512', remote='auth [null-digest]'
Jan  3 13:42:49 fritz daemon.notice openvpn[10090]: Control Channel: TLSv1.2, cipher TLSv1/SSLv3 ECDHE-RSA-AES256-GCM-SHA384, 2048 bit RSA
Jan  3 13:42:49 fritz daemon.notice openvpn[10090]: [[ZENSUR]] Peer Connection Initiated with [AF_INET][ZENSUR]:1194
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: SENT CONTROL [ZENSUR]]: 'PUSH_REQUEST' (status=1)
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: PUSH: Received control message: 'PUSH_REPLY,dhcp-option DNS [ZENSUR],dhcp-option DNS [ZENSUR],redirect-gateway def1,sndbuf 524288,rcvbuf 524288,explicit-exit-notify,block-outside-dns,route-gateway 10.8.8.1,t
Jan  3 13:42:50 fritz daemon.err openvpn[10090]: Options error: Unrecognized option or missing or extra parameter(s) in [PUSH-OPTIONS]:7: block-outside-dns (2.4.9)
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: OPTIONS IMPORT: timers and/or timeouts modified
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: OPTIONS IMPORT: explicit notify parm(s) modified
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: OPTIONS IMPORT: --sndbuf/--rcvbuf options modified
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: Socket Buffers: R=[229376->458752] S=[229376->458752]
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: OPTIONS IMPORT: --ifconfig/up options modified
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: OPTIONS IMPORT: route options modified
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: OPTIONS IMPORT: route-related options modified
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: OPTIONS IMPORT: --ip-win32 and/or --dhcp-option options modified
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: OPTIONS IMPORT: peer-id set
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: OPTIONS IMPORT: adjusting link_mtu to 1656
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: OPTIONS IMPORT: data channel crypto options modified
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: Data Channel: using negotiated cipher 'AES-256-GCM'
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: Outgoing Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: Incoming Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: TUN/TAP device tun0 opened
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: TUN/TAP TX queue length set to 100
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: /sbin/ifconfig tun0 10.8.8.11 netmask 255.255.255.0 mtu 1500 broadcast 10.8.8.255
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: /sbin/route add -net [ZENSUR] netmask 255.255.255.255 dev dsl
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: /sbin/route add -net 0.0.0.0 netmask 128.0.0.0 gw 10.8.8.1
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: /sbin/route add -net 128.0.0.0 netmask 128.0.0.0 gw 10.8.8.1
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: Initialization Sequence Completed

 

[Insti]

Bei der Fritzbox weiß ich es nicht, aber ich stelle das bei Geräten die als VPN Gateway laufen sollen über iptables ein.

sudo iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
sudo iptables -A FORWARD -i tun0 -o enp4s0 -m state --state RELATED,ESTABLISHED -j ACCEPT
sudo iptables -A FORWARD -i enp4s0 -o tun0 -j ACCEPT

enp4s0 müsstest du mit der LAN Interface Bezeichnung der 7412 ersetzen.

 

[pascalts]

Moin! Danke erstmal. Ja, so kenne ich das auch, aber die Fritte hat kein iptables. Sie nutzt ja /sbin/route...:

Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: /sbin/ifconfig tun0 10.8.8.11 netmask 255.255.255.0 mtu 1500 broadcast 10.8.8.255
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: /sbin/route add -net [ZENSUR] netmask 255.255.255.255 dev dsl
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: /sbin/route add -net 0.0.0.0 netmask 128.0.0.0 gw 10.8.8.1
Jan  3 13:42:50 fritz daemon.notice openvpn[10090]: /sbin/route add -net 128.0.0.0 netmask 128.0.0.0 gw 10.8.8.1

Vielleicht muss ich statt "dsl" (was das adsl interface ist) noch eth0 hinzufügen.. könnte ich probieren.