OpenVPN mit Lan brücken -> Broadcast in 2 Subnetze

[Papi-2006]

Hallo,

ich hab jetzt schon ne ganze Weile OpenVPN im Einsatz. Mit Zertifikaten 2 Boxen miteinander alles kein Problem. Jetzt will ich jedoch das sich ein Client von seiner Maschine aus einwählt -> klappt auch er kann alles was sich hinter der Box befindet auch anpingen. Ich benötige jedoch auch Broadcasts damit jeder alle Computer in der Netzwerkumgebung sehen kann. Per pptp mit bcrelay hat das mal geklappt aber aktuell wohl auch nicht mehr. Auf der ServerBox habe ich jetzt noch Lan brücken entdeckt das nach den ganzen Anleitungen die ich gelesen hab wohl das richtige wäre:

/var/mod/root # brctl show
bridge name bridge id STP enabled interfaces
lan 8000.001f3fd8ef6f no ath0
eth0
tap0

Sobald ich den Haken LAN brücken gesetzt habe kann ich mich zwar noch einwählen aber nix mehr pingen. Weder die Fritzbox noch das was dahinter liegt. Ich hab noch was mit INPUT und FORWARD bei iptables gelesen allerdings bezieht sich das auf ein neues interface br0 das ich nicht habe. Muss das erst erstellt werden? Oder ist das das lan?

WINS hab ich bei der Samba Konfig und bei dnsmasq aktiviert.

Gruß

Tobias

 

[MaxMuster]

Ohne deine Konfig zu kennen, ist das reines Stochern im Nebel ...

Bekommt der Client denn noch eine IP? Die richtige?
Vom OpenVPN oder vom "Box-DHCP" (weil ja das TAP zum LAN gebrückt wurde)?

Jörg

 

[Papi-2006]

Die IP kriegt er vom OpenVPN dort hab ich ne Reservierung eingetragen. Hier die clientconfig

remote alcoven.dyndns.org
proto udp
dev tap
tls-client
ns-cert-type server
ca "C:\\open\\ca.crt"
cert "C:\\open\\client02.crt"
key "C:\\open\\client02.key"
tls-auth "C:\\open\\static.key" 1
tun-mtu 1500
mssfix
nobind
comp-lzo
cipher DES-EDE3-CBC
pull
verb 3

Client BS Windows 7 Open VPN Beta da die letzte stable nicht funktioniert hat.

 

[mcmic]

Hallo,

habe ähnliche Konfiguration am laufen:

W701 (gefreetzt) mit OpenVPN Server - mit "brctl" ins Lan gebrückt (tap0)

7170 OpenVPN Server - mit "brctl" ins Lan gebrückt (tap0)
7170 OPenVPN Client zur W701 - mit "brctl" ins Lan gebrückt (tap1)

Broadcasting geht einwandfrei. Sehe alle Rechner in der Netzwerkumgebung.
Auch Rechner (XP) die sich zusatzlich direkt ins OpenVPN einloggen.

 

[Papi-2006]

7170 OpenVPN Server - mit "brctl" ins Lan gebrückt (tap0)
7170 OPenVPN Client zur W701 - mit "brctl" ins Lan gebrückt (tap1)

tap0 ins Lan gebrückt macht er ja automatisch sobald ich in der gui den haken setze. Das mit dem tap1 hab ich jetzt ehrlich gesagt nicht verstanden auf den Clients wird automatisch eine route mit dem broadcast auf die virtuelle openvpn karte erstellt.

 

[mcmic]

Hmmm,

da ich auf meiner Box die Orginalfirmware habe, starte ich OpenVPN manuell, also ohne irgendeine GUI, und muß somit meine Netzwerkbrücke in der Box auch manuell erstellen.

Was ich damit aufzeigen wollte ist:
Es muß sowohl der auf der Server-Box, als auch auf der Client-Box, gebrückt werden (falls nicht schon geschehen)

Jede neue OpenVPN-Instanz in einer Box erzeugt ein neues TAP-Device, welches gegebenenfalls ebenfalls in die Brücke mit eingebunden werden muss
(daher TAP0 und TAP1 weil auf einer Box bei mir sowohl ein VPN-Server läuft, die Box aber gleichzeitig auf der anderen Box als Client eingeloggt ist).

 

[MaxMuster]

Die IP kriegt er vom OpenVPN dort hab ich ne Reservierung eingetragen.

Nur damit wir uns richtig verstehen: Er bekommt jetzt auch noch die richtige/reservierte IP? Es ging mir nicht um die Frage, was der Client bekommen sollte ;-).

Jörg

 

[Papi-2006]

Ok nochmal von vorne

Box hat 192.168.178.1
OpenVPN Server hat 192.168.200.1
Clients kriegen vom OpenVPN Server 192.168.200.220 - 230
Reservierungen für einzelne Clients werden richtig zugewiesen
Pingen ging die ganze Zeit schon nur Broadcasts nicht.

Ich hatte das so verstanden und die ganze Zeit probiert das Clients die hinter dem Server = Fritzbox sitzen nach der Einwahl der externen Clients per OpenVPN diese sehen müssten durch den Haken LAN brücken. Ich hab jetzt mal ganz doof mich auf dem Client hinter der Box auch per OpenVPN "eingewählt" und siehe da es funktioniert! Auch ohne WINS und Co. Über den IPTRAF auf der Box sehe ich auch das die Ports 137 und 138 weitergeleitet werden allerdings nur im OpenVPN Subnetz. Bin mir nicht mehr sicher aber Broadcasts funktionieren doch eh nur im gleichen Subnetz oder? Anderfalls bräucht ich einen WINS der sich zu nem anderen WINS repliziert?! Das wäre dann wohl die Variante wenn ich 2 Boxen miteinander verbinden würde?

 

[MaxMuster]

Wenn ich dein Problem richtig verstanden hatte, haben sich die Clients, nachdem du den Haken fürs Bridgen gesetzt hattes, anders verhalten (nicht mehr funktioniert).
Deshalb war meine Frage, ob die Clients in diesem Zustand, also mit gesetztem Bridging-Haken, auch wirklich weiterhin noch eine IP aus dem VPN-Kreis (192.168.200.220 - 230) bekommen. Oder ob die vielleicht als Ergebnis der Brücke statt dessen eine LAN-IP (192.168.178.x) bekommen hätten, was dann ein "Nichtfunktionieren" der VPN-IPs (192.168.200.x) erklärt hätte.

Jörg

 

[Papi-2006]

Nö IP haben die immer die richtige bekommen und pingen und Co ging auch nur eben keine Broadcasts die spezielle Spiele manchmal brauchen. Auswirkung ohne Broadcast ist eben das gehostete Spieleserver in der LAN-Lobby nicht gesehen werden. Jetzt funktioniert das aber einwandfrei. Interessant wäre halt noch wie es sich mit 2 Fritzboxen verhält zwischen denen liegt ja auch ein Transportnetzwerk. Vielleicht hat das schon jemand im Einsatz?

 

[MaxMuster]

Sobald ich den Haken LAN brücken gesetzt habe kann ich mich zwar noch einwählen aber nix mehr pingen. Weder die Fritzbox noch das was dahinter liegt.

O.k., das "nix mehr pingen" hatte ich dann wohl falsch interpretiert ;-)

 

[mcmic]

Interessant wäre halt noch wie es sich mit 2 Fritzboxen verhält zwischen denen liegt ja auch ein Transportnetzwerk. Vielleicht hat das schon jemand im Einsatz?

Öhm, hab ich das falsch verstanden? Ich dachet Du hast bereits 2 Boxen mit VPN verbunden?

 

[Papi-2006]

Hatte ich mal aber nur kurz. Aktuell ist nur meine Box OpenVPN Server und die Clients wählen sich per openvpn2.1-rc19+gui ein. Wenn das jetzt gut so klappt wär das ein Anfang. 2 Boxen verbinden macht halt mehr Sinn wenn Resourcen geshared werden sollen wie z. B. Netzwerkdrucker die können selbst ja schlecht nen Tunnel aufbauen ;-)

 

[mcmic]

Interessant wäre halt noch wie es sich mit 2 Fritzboxen verhält zwischen denen liegt ja auch ein Transportnetzwerk

Wie gesagt:
Bei mir laufen 2 Boxen die mit OpenVPN miteinander verbunden sind.
Läuft tadellos..... incl. Erreichbarkeit der Netzwerkdrucker, alle Teilnehmer (Netzwerkumgebung) usw.

DAS funktioniert also