[Problem] OpenVPN auf Fritz!Box 7170: Läuft, aber kann nicht connecten

[tech-]

Hallo Leute,

ich habe mir die letzten 4 Tage damit um die Ohren geschlagen, einen OpenVPN Server auf meiner Fritz!Box 7170 einzurichten. Ich habe sehr viele Threads zu dem Thema in diesem Forum gelesen, nun komme ich aber einfach nicht weiter und habe mich entschieden, selber um Rat zu fragen, da es hier ja anscheinend eine Menge Experten gibt.

Ich will OpenVPN im Bridging Modus nutzen und nehme dafür den Device tap0. Da die meisten Leute hier tun benutzen, ist es schwierig, aus den vorhandenen Threads spezifische Hilfe zu ziehen. Mein Ansatz basiert auf dieser Anleitung.

Der Status ist nun folgender: Ich kann OpenVPN auf der Box starten, das Log sieht für mich soweit okay aus. Ich kann aber nicht von außen connecten (TLS handshake timed out) und der entsprechende Port ist laut Portscan auch nicht offen. Ich weiß im Moment schlicht nicht weiter, glaube aber dass ich garnicht so weit von der Lösung entfernt sein kann. Ich würde mich sehr freuen, wenn mir jemand helfen könnte.

Meine Fritz!Box hat die Standard-IP 192.168.178.1. Ich wollte dem virtuellen Netzwerk die Adressen 192.168.178.50 bis 100 zuweisen. Der tap0 device hat die IP 192.168.178.222 bekommen. Habe irgendwo gelesen, dass es helfen kann, dem device eine eigene IP zu geben.

Hier die server.conf

# set the path to the tap device
dev tap0
dev-node /var/tmp/tap0
mssfix
tun-mtu 1500
 
# TCP or UDP server?
proto udp
port 11328
 
# CA and key files
ca /var/media/ftp/Imation-Swivel-01/openvpn/easy-rsa/keys/ca.crt
cert /var/media/ftp/Imation-Swivel-01/openvpn/easy-rsa/keys/server.crt
key /var/media/ftp/Imation-Swivel-01/openvpn/easy-rsa/keys/server.key
crl-verify /keys/crl.pem # this is opened after the chroot
 
# Diffie hellman parameters
dh /var/media/ftp/Imation-Swivel-01/openvpn/easy-rsa/keys/dh1024.pem
 
# bridge setup
server-bridge 192.168.178.1 255.255.255.0 192.168.178.50 192.168.178.100
mode server
tls-server
push "dhcp-option DNS 192.168.178.1"
 
ifconfig-pool-persist ipp.txt
client-to-client
 
# compression?
comp-lzo
 
# The maximum number of concurrently connected clients we want to
# allow.
max-clients 20
 
# It's a good idea to reduce the OpenVPN daemon's privileges after
# initialization.
user nobody
group nobody
 
# Put openvpn in a jail.
chroot /var/media/ftp/Imation-Swivel-01/openvpn

 
# The persist options will try to avoid accessing certain resources on
# restart that may no longer be accessible because of the privilege
# downgrade.
persist-key
persist-tun
 
# where to log
log-append /var/media/ftp/Imation-Swivel-01/openvpn/log/openvpn.log
 
# verbose level for debugging
;verb 4
 
# make sure the connection is kept alive
keepalive 10 120

Und hier das script, mit dem ich OpenVPN starte (startup.sh):

#!/bin/sh
# whats the base usb directory
BASE=/var/media/ftp/Imation-Swivel-01/openvpn

# Add a nobody user
echo 'nobody:x:65534:65534:nobody:/:/bin/false' >> /var/tmp/passwd
 
# Add some groups
echo 'root:x:0:' > /var/tmp/group
echo 'nobody:x:65534:' >> /var/tmp/group
 
# Create a tap device for openvpn
mknod /var/tmp/tap0 c 10 200
sleep 5
 
# Start openvpn
${BASE}/bin/openvpn --config ${BASE}/server.conf --daemon

# 5 mal 1 Sekunde warten, bis tap0 existiert
count=0
while [ $count -le 10 ] &&  ! ifconfig tap0 > /dev/null 2> /dev/null ; do 
        sleep 1
		echo 'waiting for tap0..'
        count=$(( $count + 1 ))
done

ifconfig tap0 192.168.178.222 up
#ifconfig tap0 up

# TAP bridgen
brctl addif lan tap0

# Start des telnet-daemons
echo Starting telnetd
/usr/sbin/telnetd -l /sbin/ar7login

# add fritz box itself in resolv.conf to resolv dhcp attached machines in your network
echo "nameserver 192.168.178.1" >> /var/tmp/resolv.conf

# warten, bis das DSL da ist
echo Waiting for internet connection
while !(ping -c 1 www.google.de); do
sleep 5
done

In der ar7.cfg habe ich den Port geforwarded und tap0 zu den bridging devices hinzugefügt. Der Status ist zur Zeit wie gesagt, dass tap0 und OpenVPN anscheinend soweit laufen, ich kann aber nicht connecten. Hier noch das Log vom OpenVPN start:

Fri Oct  5 00:22:07 2012 OpenVPN 2.1_rc1 mipsel-linux [SSL] [LZO2] [EPOLL] built on Jan  5 2007
Fri Oct  5 00:22:07 2012 TUN/TAP device tap0 opened
Fri Oct  5 00:22:08 2012 chroot to '/var/media/ftp/Imation-Swivel-01/openvpn' and cd to '/' succeeded
Fri Oct  5 00:22:08 2012 GID set to nobody
Fri Oct  5 00:22:08 2012 UID set to nobody
Fri Oct  5 00:22:08 2012 UDPv4 link local (bound): [undef]:11328
Fri Oct  5 00:22:08 2012 UDPv4 link remote: [undef]
Fri Oct  5 00:22:08 2012 Initialization Sequence Completed

Hier bin ich mir nicht sicher, ob es okay ist, dass "remote link" "undef" ist!?

Jegliche Hinweise sind willkommen!! Danke!

 

[waldoo]

Hat das einen Grund, dass du es nicht übers webinterface von freetz einrichtest?
Kannst du lokal auf den UDP Port zugreifen mit interner IP?

 

[tech-]

Hat das einen Grund, dass du es nicht übers webinterface von freetz einrichtest?

Das hat hauptsächlich den Grund, dass ich nach der oben verlinkten Anleitung vorgegangen bin, wo das eben "manuell" geht. Ich habe bisher kein freetz auf der Box. Wenn ihr meint, dass das deutlich einfacher ist, habe ich auch nix dagegen, das ganze über freetz zu probieren. Ich habe aber im Moment eigentlich das Gefühl, dass ich es fast geschafft habe - OpenVPN läuft ja auf der Box.

Kannst du lokal auf den UDP Port zugreifen mit interner IP?

Ich kann weder über einen Portscan von außen (Portscanner von heise.de) noch aus dem lokalen Netzwerk (NMAP) den VPN Port als offen sehen.
In der ar7.cfg habe ich folgende forward rule eingefügt:

udp 0.0.0.0:11328 0.0.0.0:11328 0 # OpenVPN

Hier könnte ich ja vielleicht auch die IP vom tap0 device eingeben müssen? Hat da jemand einen Plan? 0.0.0.0 sollte meinem Verständnis nach ja eigentlich für alles gelten, oder?

 

[MaxMuster]

Also, wenn das Portforwarding an de "richtigen Stelle" in der ar7.cfg ist, die Anführungszeichen dort sind, ebenso wie Komma (oder Semikolon) dahinter, und die Box nach der Änderung einmal neu gestartet wurde, solte das passen.

In der Config sind ein paar Dinge "doppelt", auf die Schnelle habe ich aber keine Fehler gesehen, es sollte also prinzipiell so gehen.

Kannst du denn die Box nach dem Start des OpenVPN auf der IP 192.168.178.222 erreichen? Damit wäre schonmal sicher gestellt, dass das mit der IP und dem Bridging funktioniert.
Mach doch ansonsten mal einen Start "per Hand" mit mehr Ausgaben ("verb 6"):

# laufenden Prozess schließen
killall openvpn
# ich bin faul, und kopiere ;-)
BASE=/var/media/ftp/Imation-Swivel-01/openvpn
${BASE}/bin/openvpn  --config ${BASE}/server.conf --verb 6

Dann vom PC aus openVPN auf "deinen" Box-Server starten, und im Log der Box die Reaktion ansehen (ich hoffe, habe alles drin, kannst natürlich auch eine Config-Datei machen):

openvpn  --remote 192.168.178.1 11328 --dev tap --comp-lzo --pull --ca <CA-File> --key <Key> --cert <Cert-File>