Wieder mal OpenVPN

[MaxMuster]

Wenn mehrere Clients mit einem IP-Server kommunizieren sollen, geht das natürlich nicht für alle über den gleichen serverseitigen Port.

Eine gewagte These, denke ich.
Der Netzwerk-Prozess (hier openvpn) kann anhand von Source IP und Port alle Verbindungen problemlos unterscheiden und nutzt als "seinen" Port immer den in der Config angegebenen (hier 1194). Der auch im Log angegebene Port (61003) ist der Port des Clients, also aus Client-Sicht der "Absende-Port", aus Server-Sicht der "Ziel-Port" dieser Verbindung...


Jörg

 

[LPW]

Hallo,

Eine gewagte These, denke ich.
Der Netzwerk-Prozess (hier openvpn) kann anhand von Source IP und Port alle Verbindungen problemlos unterscheiden und nutzt als "seinen" Port immer den in der Config angegebenen (hier 1194). Der auch im Log angegebene Port (61003) ist der Port des Clients, also aus Client-Sicht der "Absende-Port", aus Server-Sicht der "Ziel-Port" dieser Verbindung...

Es geht für OpenVPN nicht ums Unterscheiden; dieses Problem hat der Router, der ja eine Network-Address-Port-Translation durchführen muß.

Über jeden Port kann nur mit einem Partner kommuniziert werden, auch über Port 1194. Deshalb muß jeder Server die Kommunikation schnellstens auf einen nicht reservierten Port verlegen. Beim Client habe ich mich vertan, der kommuniziert natürlich schon bei der ersten Kontaktaufnahme über einen nicht reservierten Port, was der IP-Stack seines Betriebssystems sicherstellt.

Mit freundlichen Grüßen
LPW

 

[MaxMuster]

Über jeden Port kann nur mit einem Partner kommuniziert werden, auch über Port 1194.

... auch wenn es off-toppic wird, das ist so nicht richtig.
Eindeutig sein muss der "Partner" der Kommunikation mittels dessen IP und Port. Ankommen muss es immer auf dem zugeordneten Port der Applikation (wie sollte ansonsten auch NAT, eine Firewall usw funktionieren, wenn ein Server seinen Port im laufenden Betrieb "verändert"?).

Der Prozess (hier openvpn) muss seine Pakete immer auf dem richtigen Port, auf dem er lauscht, bekommen, ein eventueller NAT-Router muss dafür sorgen, dass die Übersetzung eindeutig ist (hier ist die Übersetzung ja eh hinfällig, da der Router selbst die offizielle IP besitzt und Endpunkt der Verbindung ist).

Wie auch der Prozess selbst so unterscheidet der Router bei einer "PAT" (Port Address Translation) anhand einer Tabelle mit vier (bzw. acht) Einträgen (jeweils Source- und Destination- IP und Port, diese eigentlich doppelt "original" und "übersetzt").

Wenn also die "offizielle IP" der Box z.B. 1.2.3.4 wäre und der OpenVPN-Server intern die 192.168.178.123 hätte, könnte eine Tabelle so aussehen, wenn von heise (193.99.144.85) und google (209.85.135.103) eine Verbindung bestände, selbst wenn beide Clients den gleichen Absende-Port nutzen (z.B. auch 1194, weil deren Config ohne "nobind" ist), sind die Tabellen eindeutig, weil sich die Absende IPs unterscheiden:

Source orginal      | Dest original | Source NAT/PAT      | Dest NAT/PAT

93.99.144.85:1194   | 1.2.3.4:1194  | 93.99.144.85:1194   | 192.168.178.123:1194
209.85.135.103:1194 | 1.2.3.4:1194  | 209.85.135.103:1194 | 192.168.178.123:1194

Nur wenn auch die Source-Adresse "genattet" wird könnte der Fall auftreten, dass intern auf der PAT Seite, die Absende-IP und -Ports nicht eindeutig sind und müssten dann verändert werden, damit intern eine eindeutige Situation bleibt (nehmen wir mal an, dass intern alle Adressen hinter der IP der Box, der 192.168.178.1, versteckt werden sollten). Dann müsste der Router auch den Source-Port verändern:

 Source orginal      |Dest original | Source NAT/PAT     | Dest NAT/PAT

 93.99.144.85:1194   | 1.2.3.4:1194 | 192.168.178.1:1194 | 192.168.178.123:1194
 209.85.135.103:1194 | 1.2.3.4:1194 | 192.168.178.1:4711 | 192.168.178.123:1194

Jörg