[Problem] OpenVPN: Verbindung zu Server wird nicht aufgebaut

[cmonty14]

Hallo!

Ich beschäftige mich mit dem Problem, dass keine Verbindung zum OpenVPN-Server aufgebaut wird.
Im Aufruf-Protokoll des Clients finde ich:

user@pc1-gigabyte /etc/openvpn $ openvpn client.conf 
Tue Nov 12 22:28:14 2013 OpenVPN 2.3.2 i486-pc-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [eurephia] [MH] [IPv6] built on Jun 21 2013
Tue Nov 12 22:28:14 2013 WARNING: file 'pc1-gigabyte.key' is group or others accessible
Tue Nov 12 22:28:14 2013 Socket Buffers: R=[180224->131072] S=[180224->131072]
Tue Nov 12 22:28:14 2013 UDPv4 link local: [undef]
Tue Nov 12 22:28:14 2013 UDPv4 link remote: [AF_INET]91.89.254.147:1194
Tue Nov 12 22:29:14 2013 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Tue Nov 12 22:29:14 2013 TLS Error: TLS handshake failed
Tue Nov 12 22:29:14 2013 SIGUSR1[soft,tls-error] received, process restarting
Tue Nov 12 22:29:14 2013 Restart pause, 2 second(s)
Tue Nov 12 22:29:16 2013 Socket Buffers: R=[180224->131072] S=[180224->131072]
Tue Nov 12 22:29:16 2013 UDPv4 link local: [undef]
Tue Nov 12 22:29:16 2013 UDPv4 link remote: [AF_INET]91.89.254.147:1194
^CTue Nov 12 22:29:38 2013 event_wait : Interrupted system call (code=4)
Tue Nov 12 22:29:38 2013 SIGINT[hard,] received, process exiting

Auf dem Server, der im Debug-Modus läuft, finde ich:

root@net2-FB7390:/var/mod/root# cat /var/tmp/debug_openvpn.out
Tue Nov 12 22:29:16 2013 TLS Error: cannot locate HMAC in incoming packet from [AF_INET]91.89.254.147:41751
Tue Nov 12 22:29:18 2013 TLS Error: cannot locate HMAC in incoming packet from [AF_INET]91.89.254.147:41751
Tue Nov 12 22:29:22 2013 TLS Error: cannot locate HMAC in incoming packet from [AF_INET]91.89.254.147:41751
Tue Nov 12 22:29:30 2013 TLS Error: cannot locate HMAC in incoming packet from [AF_INET]91.89.254.147:41751

Hier noch eine Beschreibung der Netzwerk-Architektur:

WAN <---> FB7570 <---> FB7390 <---> LAN

Auf der FB7570 ist ein Port-Forwarding von Port 1194 auf FB7390 eingerichtet.
Muss auf der FB7570 auch eine Firewall-Regel vorhanden sein, die den Port 1194 freigibt?

Auf der FB7390 ist ein Port-Forwarding von Port 1194 auf sich selbst eingerichtet und eine Firewall-Regel vorhanden.

Wie kann ich die Ursache des Fehlers weiter analysieren?
MIch würde zunächst interessieren, bis zu welchem Netzwerk-Gerät die Kommunikation vom Client funktioniert.

THX

 

[MaxMuster]

Wie kann ich die Ursache des Fehlers weiter analysieren?

Trivial: Die Fehlermeldung bei Google eingeben -> 1. Treffer ein Verweis auf dieses Forum -> Fehler beheben (TLS Auth dürfte der Fehler sein).

In der Zukunft: Poste bitte nicht nur die Fehlermeldung sondern vor allem die Configs, die zu einem Fehler führen, damit dir jemand helfen kann.

 

[cmonty14]

Dein Hinweis zur Fehlerursache trifft mit hoher Wahrscheinlichkeit zu.
Nach meinem Verständnis muss die Schlüsseldatei "static.key" auf dem Client verfügbar sein und in der client.conf zur TLS-Authentifizierung berücksichtigt werden.
Oder man deaktiviert TLS-Authentifizierung auf dem Server.

Ist dies soweit korrekt?

Welchen Vorteil bietet die Aktivierung von TLS-Authentifizierung?

THX