OpenVPN, Freetz, 2 Boxen

[clanforce]

Hallo,

seit Tagen wurschtel ich schon mit 2 Fritzboxen rum und komme einfach nicht weiter. Die Verbindung zwischen den Boxen funktioniert aber auf die Rechner komm ich einfach nicht. Anpingen geht auch nicht. Irgendwie scheint es mit dem Routing nicht so richtig zu klappen.

Meine config sieht zur Zeit so aus:

-------------------------------------------------------
Netzwerk 1
-------------------------------------------------------
Netzwerk
- 192.168.179.0 255.255.255.0

Fritzbox
- 192.168.179.100

Client PC1
- 192.168.179.1

OpenVPNServer (Fritzbox)
- Lokale IP 10.0.0.100 255.255.255.0
- DHCP-Range für Clients 10.0.0.1 10.0.0.1
- Lokales Netzwerk 192.168.179.0 255.255.255.0
- entferntes Netzwerk 192.168.178.0 255.255.255.0 10.0.0.100


-------------------------------------------------------
Netzwerk 2
-------------------------------------------------------
Netzwerk
- 192.168.178.0 255.255.255.0

Fitzbox
- 192.168.178.1

Client PC2
- 192.168.178.20

OpenVPN Client (Fritzbox)
- dyndns-Adresse des Servers
- entferntes Netzwerk 192.168.179.0 255.255.255.0 10.0.0.100


Was ist daran falsch? Kann mir jemand mal nen Screenshot schicken oder sagen, wie ich die Dinger konfigurieren muss?

thx

 

[sf3978]

seit Tagen wurschtel ich schon mit 2 Fritzboxen rum und komme einfach nicht weiter. Die Verbindung zwischen den Boxen funktioniert aber auf die Rechner komm ich einfach nicht. Anpingen geht auch nicht. Irgendwie scheint es mit dem Routing nicht so richtig zu klappen.
...

Versuch es mal mit vtun aus Freetz, wenn es "nur" um die Verbingung von 2 Boxen + Routing in das jeweilige Subnetz der Boxen, geht. Betr. Konfiguration und Routing, siehe diverse Beiträge hier im Forum.

 

[clanforce]

Es soll ja auch Broadcast übertragen werden und das geht, soweit ich gelesen hab, nur mit tap. Ich weiß nicht, welches Problem die Boxen haben. Anpingen geht jeweils nur von einer Seite auf den Server (10.0.0.100) bzw. die Clientbox (10.0.0.1). Danach ist Schluß. Ist denn die Konfiguration soweit ok?

 

[sf3978]

Es soll ja auch Broadcast übertragen werden und das geht, soweit ich gelesen hab, nur mit tap. ...

tap geht auch mit vtun.

 

[MaxMuster]

- Was erwartest du dir denn von Broadcast-Übertragung, wenn die IP-Netze nicht identisch sind?
- Wenn du auf beiden Seiten eine Route auf 10.0.0.100 wird das nicht gehen
- Wie ist denn deine Config wirklich (bitte posten)? So ist, wie du geschrieben hast, wird es wohl nicht gehen (z.B. "DHCP-Range für Clients 10.0.0.1 10.0.0.1" )...


Jörg

 

[clanforce]

Ich dachte, bei einer vpn-Verbindung müssen 3 verschiedene Netze vorhanden sein. Daher die unterschiedlichen Netze. Andere Routen hab ich auch schon probiert. Allerdings mit den verschiedenen Netzen.

Hier ist meine config:

#  OpenVPN 2.1 Config, Fri Oct  8 12:45:17 CEST 2010
proto tcp-server
dev tap0
ca /tmp/flash/openvpn/ca.crt
cert /tmp/flash/openvpn/box.crt
key /tmp/flash/openvpn/box.key
dh /tmp/flash/openvpn/dh.pem
tls-server
tls-auth /tmp/flash/openvpn/static.key 0
port 1194
push "dhcp-option DNS 10.0.0.100"
ifconfig 10.0.0.100 255.255.255.0
push "route-gateway 10.0.0.100"
mode server
client-config-dir /clients_openvpn
topology subnet
push "topology subnet"
max-clients  1
push "route 192.168.179.0 255.255.255.0 10.0.0.100"
route 192.168.178.0 255.255.255.0 10.0.0.1
ifconfig 10.0.0.100 255.255.255.0
push "route-gateway 10.0.0.100"
push "route 192.168.179.0 255.255.255.0"
max-clients 1
tun-mtu 1500
mssfix
log /var/tmp/debug_openvpn.out
verb 3
daemon
cipher BF-CBC
comp-lzo
keepalive 10 120
status /var/log/openvpn.log
chroot /tmp/openvpn
user openvpn
group openvpn
persist-tun
persist-key

Den dhcp-Range hab ich in der jetzigen config rausgeschmissen. Im Server-Log ist sonst ne Fehlermeldung
-->
OpenVPN ROUTE: OpenVPN needs a gateway parameter...
OpenVPN ROUTE: failed to parse/resolve...
<--
wenn ich einen dhcp-Range angebe. Die IP hab ich stattdessen in der erweiterte Clientkonfiguration eingetragen.

 

[MaxMuster]

Unterschiedliche Netze brauchst du beim Tunnel; für eine Brücke gibt es zur Client-Anbindung von Netzen kaum eine sinnvolle Anwendung, es sei denn eben, du hättest gleiche Netze an beiden Seiten.

Für das Routing zum/vom Client solltest du die erweiterte Client-Konfig nutzen.

Du solltest so (bei passende Client-Config) zumindest vjeweils gegenseitig die andere Box über die LAN-IP (192.168.x.x) erreichen können. Dann stimmt das Routing soweit.
Um auf die Geräte dahinter zu kommen, müssen die Firewalls auf den Geräten auch Zugriffe von dem jeweils anderen Netz zugelassen werden.

Bleiben zwei Fragen:
- Wofür Broadcasts?
- Gibt es Fehlermeldungen beim Client/wie ist dessen Config?

Hinweis: Configs bitte zwischen [noparse]

 und

[/noparse] einbetten, dann wird/bleibt es übersichtlich.

Jörg

 

[clanforce]

Mit nem Bekannten spiele ich gelegentlich über LAN und dazu wird Broadcast benötigt.

Hier noch die Client-Config:

#  OpenVPN 2.1 Config, Fri Oct  8 13:29:44 CEST 2010
proto tcp-client
dev tap0
ca /tmp/flash/openvpn/ca.crt
cert /tmp/flash/openvpn/box.crt
key /tmp/flash/openvpn/box.key
tls-client
ns-cert-type server
tls-auth /tmp/flash/openvpn/static.key 1
remote xx.xx.xx.xx 1194
nobind
pull
route 192.168.179.0 255.255.255.0 10.0.0.100
tun-mtu 1500
mssfix
log /var/tmp/debug_openvpn.out
verb 3
daemon
cipher BF-CBC
comp-lzo
keepalive 10 120
resolv-retry infinite
chroot /tmp/openvpn
user openvpn
group openvpn
persist-tun
persist-key

Fehlermeldungen gibt es keine. Trotzdem kann ich nicht die Client-IP (10.0.0.1) anpingen. Das Netz dahinter auch nicht.

So wie ich das jetzt verstehe, müssen beide Netze hinter Brücken gleich sein, z.B. 192.168.178.0.? Das hatte ich auch schon getestet. Allerdings ist bei dem Versuch, die Boxen zu verbinden, eine Box abgeschmiert. Daher hatte ich das wieder verworfen. Die Firewalls an den Geräten sind aus.

 

[MaxMuster]

Von wo geht das nicht? Von Geräten aus dem LAN oder von den Boxen?
Bitte zunächst mal versuchen, ob sich Client- und Server-Box gegenseitig anpingen können, einmal auf die "VPN-IP"s und auf die LAN-IPs.

Wenn das nicht geht, bitte Logs beim Verbindungsaufbau posten, ob die IPs und das Routing dann korrekt übernommen werden.

Jörg

 

[clanforce]

Ich kann das leider jetzt nicht testen. Ich pinge die Boxen später mal an und melde mich dann nochmal.

 

[clanforce]

Ich hab es jetzt hinbekommen. Und eigentlich war's ganz einfach. Alle Netze sind jetzt gleich. Die Box schmiert auch nicht mehr ab. Das hat wohl an den Routen gelegen. Ins gleiche Netz routen hat die Box wohl nicht so gerne. Jedenfalls ärger ich mich schon bissel, weil ich die letzten 3 Tage an den Dingern rumgewurschtelt hab. :blonk:

Trotzdem Danke nochmal für den Hinweis mit den gleichen Netzen.