Openvpn 7170 zun 7170, kein Ping möglich

[lorenz82]

Hallo,
ich versuche 2 Fritzbox 7170 miteinander zu verbinden. Scheinbar klappt die Verbindung auch (der Client-Box wird eine IP zugewiesen), allerdings können sich die Boxes nicht gegenseitig anpingen. Die Portweiterleitung fürs VPN hab ich in die ar7.cfg eingetragen. Wenn ich mich mit einem Windows-Rechner an der Serverbox anmelde, klappt das anpingen auch, also sollte das Forwarding und die Zertifikate stimmen.

Hier erstmal die Netzwerkconfig:
Server:
-Netzwerk: 192.168.0.0, Netmask 255.255.255.0
-IP-Adresse der eth0: 192.168.0.1
-IP-Adresse der tap0: 192.168.0.1

Client
-Netzwerk: 192.168.200.0, Netmask 255.255.255.0
-IP-Adresse der eth0:192.168.200.83


Openvpn-Config auf dem Server

proto udp
dev tap
ca /tmp/flash/ca.crt
cert /tmp/flash/box.crt
key /tmp/flash/box.key
dh /tmp/flash/dh.pem
tls-server
tls-auth /tmp/flash/static.key 0
port 1194
mode server
ifconfig-pool 192.168.0.30 192.168.0.41
push "route 192.168.0.0 255.255.255.0"
client-to-client
ifconfig 192.168.0.1 255.255.255.0
push "route-gateway 192.168.0.1"
push "route 192.168.0.0 255.255.255.0"
max-clients 10
client-to-client
tun-mtu 1500
mssfix
log /var/tmp/debug_openvpn.out
verb 6
daemon
cipher AES-128-CBC
keepalive 10 120
management 127.0.0.1 7505

Openvpn-Config auf dem Client

proto udp
dev tap
ca /tmp/flash/ca.crt
cert /tmp/flash/box.crt
key /tmp/flash/box.key
tls-client
tls-auth /tmp/flash/static.key 1
remote remote.host.name
nobind
pull
tun-mtu 1500
mssfix
log /var/tmp/debug_openvpn.out
verb 6
daemon
cipher AES-128-CBC
keepalive 10 120
resolv-retry infinite
status /var/log/openvpn.log
persist-key
persist-tun

Der Routing-Table auf dem Client:

/var/tmp # netstat -rn
Kernel IP routing table
Destination     Gateway         Genmask         Flags   MSS Window  irtt Iface
192.168.180.1   0.0.0.0         255.255.255.255 UH        0 0          0 dsl
77.6.110.23     0.0.0.0         255.255.255.255 UH        0 0          0 dsl
192.168.180.2   0.0.0.0         255.255.255.255 UH        0 0          0 dsl
192.168.0.0     192.168.0.1     255.255.255.0   UG        0 0          0 tap0
192.168.0.0     0.0.0.0         255.255.255.0   U         0 0          0 tap0
192.168.200.0   0.0.0.0         255.255.255.0   U         0 0          0 lan
169.254.0.0     0.0.0.0         255.255.0.0     U         0 0          0 lan
0.0.0.0         0.0.0.0         0.0.0.0         U         0 0          0 dsl

arp -an auf dem Client:

/var/tmp # arp -an
? (192.168.200.203) at 00:17:A4:E7:9F:E1 [ether]  on lan
? (192.168.0.1) at <incomplete>  on tap0
? (192.168.200.202) at 00:11:09:5E:AD:53 [ether]  on lan

Was mich wundert ist, warum er die MAc-Adresse der eth0 auf dem Server nicht richtig auflösen kann.

arp -an auf dem Server:

? (192.168.0.30) at 0A:A0:0C:72:2F:11 [ether]  on lan
? (192.168.0.10) at 00:15:AF:D1:C9:6C [ether]  on lan

Die 192.168.0.30 ist die Client-Fritzbox

Sowohl auf der Client- als auch auf der Server-Fritzbox sind eth0 und tap0 gebrigded.


Als Anhang noch den Debuglog vom Client.


lorenz82

 

[MaxMuster]

Moin,

also, die Route für das Netz 192.168.0.0 (push "route 192.168.0.0 255.255.255.0") ist überflüssig, denn die Box ist ja selbst "Teil des Netzes".

Die beiden Tap-Devices sind auch auf beiden Seiten gebrückt? Auf die Brücke "lan"?


Jörg

 

[stinkstiefel]

remote "remote.host.name"?

 

[lorenz82]

Erstmal vielen Dank für die Antworten.

@Jörg: Route wird gelöscht...vielleicht lags ja dadran. Auf beiden Boxes sind sowohl die eth0- als auch die tap0-Schnittstelle auf die Bridge "lan" gebriged. Also im Logging vom Openvpn kommt keine Fehlermeldung. Vielleicht sollte ich nochmal das verbose erhöhen (momentan auf 6)?

@stinkstifel: ne...hab den Hostnamen geändert, da die Server-Box bei einem Bekannten von mir steht...und ich mir nicht sicher war, ob er möchte, dass ich hier den richten Hostnamen poste.

Hannes

 

[lorenz82]

Ich hab das Problem gelöst. Ich hatte ein kleinen Denkfehler.

Die beiden Fritzboxes 'hingen' in unterschiedlichen Subnets. Nachdem ich der Client-Fritzbox eine IP aus dem Subnet der Server-Fritzbox gegeben habe, konnte ich die Server-Fritzbox anpingen.


Hannes