OpenVPN + FB7050 als Server?

[Hasenmelker]

ping 10.8.0.1? ja

 

[MaxMuster]

Dann scheint das Portforwarding "das Problem zu sein".

Man sollte vielleicht versuchen, das direkt in die ar7.cfg zu schreiben, so wie AVM das macht auf die IP "0.0.0.0", damit bist du unabhängig von der virtuellen IP (kannst es aber auch nicht per GUI eintragen)....

sed 's/192.168.178.253:1194/0.0.0.0:1194/' /var/flash/ar7.cfg > /var/tmp/ar7.cfg

erzeugt dir (wenn das ganze per Ziel "192.168.178.253:1194" eingegeben wurde) in tmp eine Kopie. Schau die vorsichtshalber nochmal an, ob dort eine Zeile

"udp 0.0.0.0:1194 0.0.0.0:1194",

(evtl mit Kommentar "0 #blabla" dahinter) enthalten ist in /var/tmp/ar7.cfg. Wenn die da ist, kannst du diese Datei mit

cat /var/tmp/ar7.cfg > /var/flash/ar7.cfg

zurückschreiben.
EDIT: Du könntest auch einen Blick auf den FBEditor werfen, mit dem kann man diese Dateien auch extern editieren.

Jörg

 

[Hasenmelker]

Wenn ich "cat ar7.cfg" eingebe bekomme ich eine ziemlich lange liste die ich leider nicht ganz durchlesen kann. Gibt es in Telnet (wie in DOS) eine Art Pause nach jeder Seite, die man dann mit einem Tastendruck weiterlaufen lassen kann?

 

[MaxMuster]

Ich glaube nicht (oder kennt deine Box "more"? Dann geht "cat /var/tmp/ar7.cfg | more").

Versuche doch mal "putty" als Telnet Client (z.B. mit 5000 Zeilen Puffer).

Jörg

EDIT: ... so, muss für heute Schluss machen...

 

[Hasenmelker]

Okay nun ist der Befehl drinne. Jetzt müsste ich die FB "Reboot"?

 

[MaxMuster]

Ja, oder ein "ar7cfgchanged" eingeben (dabei wird Verbindung kurz gekappt).

Gute Nacht ;-)

 

[Hasenmelker]

Gute Nacht und schomal wieder vielen Dank. Vieleicht gibt es ja bald eine Lösung?!

Bye

 

[Hasenmelker]

Hallo...

so da ich nun nach 14 Stunden ein Erfolgserlebniss gut gebrauchen konnte, konnte ich es mir nicht nehmen lassen, Dir noch schnell zu schreiben: Es hat geklappt. Endlich!!!!
Und das auch von aussen.

Aber: Wars das schon oder gehts noch ein wenig weiter :-D . Sonst wird mir morgen noch langweilg.
1 bis 2 Fragen habe ich noch, die kommen aber dann wenn alles soweit fertig ist.

Bye und gute Nacht!

 

[MaxMuster]

Na, das ist doch was. Und langweilig wird es bestimmt nicht, jetzt kannst du zum einen deine Konfig ja langsam wieder "komplizierter" machen, zum andern hast du ja den Dropbear auch noch als Herausforderung offen ;-).

Aber wenn noch Fragen sind: Heraus damit (oder bei openvpn.net Stöbern, da finden sich noch mehr Beispiele und eigentlich auch häufig ganz gute Erklärungen zu Parametern und Einstellungen...)

Jörg

 

[Hasenmelker]

Also müsste die Server/ Client.ovpn umgebaut werden? Nehme ich dazu die Listen von "The-Contruct"?

Da gehen ja meine zwei Fragen hin. Möchte ja nun meine NAS einbinden. Müsste ich jetzt die IP des Gerätes in die Server.ovpn einbinden?

Was bringt mir Dropbear überhaupt?

Stefan

 

[LPW]

Hallo,

habe mich heute mir der Anleitung von Tecchannel auseinandergesetzt und mein Bestes gegeben.

Ich finde die Anleitung bei Tecchannel zum Einbau von OpenVPN nicht gut. Es geht mir dabei um den Gebrauch von OpenVPN.

Zum einen arbeitet der Text beispielhaft mit einem Szenario, für das man sich der Mühe einer Modifikation gar nicht unterziehen müßte: Wer zwei Fritz!Boxen an den Internetzugängen ihrer jeweiligen Besitzer verbinden will, kann mit dem ab Werk eingebauten IPsec-Verfahren arbeiten, zumal man mit "Fritz!Box-Fernzugang einrichten" die erforderlichen Konfigurationsdateien ungleich bequemer erzeugen und über die gewöhnliche Weboberfläche der Geräte auch in Betrieb setzen kann.
IPsec kommt nur dann nicht in Betracht, wenn ein IP-Tunnel (OSI-Layer 3) nicht ausreicht, wie etwa für manche netzwerkfähige Spiele oder WakeOnLAN. Dann greift man zu OpenVPN, betreibt es aber im Bridging-Modus auf OSI-Layer 2 und bekommt so praktisch ein "Ethernet-Kabel durch's Internet". Vielleicht wäre es aber auch lohnend und ressourcenschonender, die IPsec-Implementation von AVM durch sowas wie L2TP als Ethernet-Kabel zu ergänzen.

Schwerer noch aber wiegt meiner Ansicht nach, daß der Autor seinen Tunnel als TCP-Verbindung betreiben will. Auf der OpenVPN-Website (http://openvpn.net/) wird darauf hingewiesen, daß durch einen TCP-basierten Tunnel verlaufende TCP-Verbindungen sehr langsam werden können, weil sich bei einem solchen TCP-over-TCP-Betrieb unerwünschte "Interferenzen" zwischen den beiden Ebenen der Flußkontrolle bilden können. Die Verwendung von UDP senkt an dieser Stelle nicht nur den Overhead, sondern steigert auch noch ein wenig die Sicherheit.
TCP muß man eigentlich nur dann verwenden, wenn man auch als Gast in restriktiv konfigurierten fremden Netzen arbeiten möchte. Dann kann man den OpenVPN-Server auf dem TCP-Port 443 (https) hören lassen und so auch Webproxies umrunden. In diesem Szenario dürfte nämlich auch IPsec auf der Basis von "Fritz!Box Fernzugang" mit seinen beiden UDP-Ports 500 und 4500 regelmäßig versagen.

Mit freundlichen Grüßen
LPW

 

[Hasenmelker]

[Edit frank_m24: Fullquote auf das Notwendige beschränkt. Was soll denn ein "Hallo" und ein "MFG" im Zitat? Lies noch mal die Forumregeln.]

Ich finde die Anleitung bei Tecchannel zum Einbau von OpenVPN nicht gut. Es geht mir dabei um den Gebrauch von OpenVPN.

Hallo,

deshalb hat mir MaxMuster geholfen, meine Fritzbox, auch anders zu konfiguriert. Aber das hast Du ja bestimmt auch gelesen. Mit der "Tecchannel Anleitung" hat es bei mir nicht geklappt. Ich/ wir haben mit "The-Construct" gearbeitet.
Mittlerweile läuft das auch ganz gut. Jetzt muss ich nur noch ein wenig modifizieren. Mal sehen was da so kommt...

Bye

 

[Hasenmelker]

@MaxMuster:

Hattest Du meine Frage, weiter oben, gelesen?

Bye

 

[MaxMuster]

... jetzt ja ;-)

Wenn du die Server-Config ändern willst, müsstest du das immer in der "debug.cfg" machen.

Die Ergänzungen, die auf jeden Fall wohl noch sinnvoll für dich wären sind die Server-Einträge:

# Verbindungsparameter optimieren
tun-mtu 1500
mssfix
# falls dein Client waehrend der Verbindung eine "neue IP" bekommen kann
float
# Verbindung offen halten
ping 15
ping-restart 120

Auf der Client-Seite:

tun-mtu 1500
mssfix

# Wenn moeglich, Tunnel "wiederverwenden"
persist-tun
persist-key

# Verbindung offen halten
ping 15
ping-restart 120 

# DynDNS-Name nach 60 Sekunden neu auflösen (wg. Zwangstrennung beim Server)
resolv-retry 60

Die IP des NAS muss eigentlich nur auf der Client-Seite "bekannt gemacht" werden, z.B. über den "route " Eintrag (siehe z.B. Beitrag 22).


Den Dropbear brauchst du nicht unbedingt, aber du wolltest ja neue Herausforderungen ;-). Damit könntest du dich "sicher" über eine Consolen-Verbindung auf die Box verbinden, Dateien hin und her kopieren aber auch TCP-Verbindungen tunneln. Aber wie gesagt, brauchen tust du das nicht.



Jörg

 

[Hasenmelker]

da habe ich mal fix ne Frage:

Habe den Dropbear (auch ganz ohne Hilfe) eingefügt und er startet auch. Habe ihn jedoch erstmal wieder beendet (killall Dropbear).

Wie könnte ich ihn wieder "anwerfen" ohne die FB zu rebooten?

Bye

 

[MaxMuster]

indem du den Aufrufstring aus der debug.cfg "eintippst", vermutlich (wenn es vorher schonmal gelaufen hat):

/var/tmp/dropbear -p 22 -r /var/tmp/dropbear_rsa_host_key -d /var/tmp/dropbear_dss_host_key

Jörg

 

[Hasenmelker]

Perfekt! Wenn ich Dich nicht hätte ;-)

Werde nun mal ein wenig die Dateien bearbeiten und mal sehen wie das dann, und ob da alles so klappt. Vor allem der NAS-Zugriff!

 

[Hasenmelker]

Hallo...

hmm irgendwie habe ich das Problem das ich trotz eingefügter:

route 192.168.36.26 255.255.255.0 # IP NAS

im Clienten, nicht auf das Gerät komme. Wie muss ich denn überhaupt die IP eingeben damit ich zugriff auf das Gerät habe?

 

[MaxMuster]

Der Eintrag sollte entweder auf das Netz lauten

route 192.168.36.[B]0[/B] 255.255.255.0

oder auf die IP des NAS:

route 192.168.36.26 255.255.255.[B]255[/B]

Wie wird denn das NAS angesprochen? Per FTP oder "Windows Freigabe"? Letzeres kannst du dann nicht über den "Namen" machen sondern müsstest über die IP gehen in der Art:

net use x: \\192.168.36.26\wie_auch_immer_die\Freigabe\heisst

Jörg

 

[Hasenmelker]

Hallo...

eine Freigabe wird nicht bebraucht . Leider beherscht die Maxtor NAS (Shared Storage Plus) kein FTP. Daher müsste ich irgendwie auf die Ordner zugreifen. Per LAN kann ich das unter " \\hdd-mss\ordername. Und drinne bin ich...

Bye