[wiregate] Remote Programmierung via Wiregate (OpenVPN)

[spookyt.]

Hi,

ich habe einen IP-Router, über welchen ich lokal mit der ETS programmieren kann. Soweit nix besonderes. Ein WG ist vorhanden. IP Tunneling via eibd im Wiregate (per TPUART am Bus) und Busmonitor klappt auch.

Nun will ich OpenVPN einrichten:
Was funzt: Ich kann mich über eine UMTS Verbindung mit OpenVPN einloggen und komme auch aufs WebIF. Statische Route (im Router) habe ich auch gesetzt und in den VPN Server-Einstellungen im WG auch ein push route (in mein lokales Netz). Scheint zu funktionieren, ich komme ja über das WG auch in mein lokales Netz (HS, WG Webif, etc.)

Was allerdings über die VPN-Verbindung nicht klappt, ist der Buszugriff über Routing (über meinen IP-Router im lokalen Netz) oder auch über Tunneling (via eibd im Wiregate).

Was ist mit 3671-3672 ? Diese habe ich versucht im Router als Port-Weiterleitung einzutragen - aber das ist bestimmt falsch.

Irgendwas scheint doch noch zu fehlen in meiner Konfig, aber was?
Fehlt vielleicht noch die Rückroute??

[makki]

Was ist mit 3671-3672 ? Diese habe ich versucht im Router als Port-Weiterleitung einzutragen - aber das ist bestimmt falsch.

Das auf keinen Fall, das führt das VPN ad-absurdum..

-> Routing kann nicht gehen (Multicast wird nicht über das VPN geroutet)
-> Tunneling sollte aber sowohl via IPR als auch WG
- KNXnet/IP Server&Tunneling im WG aktiviert?
- Ping geht zum IPR?
- Um Geschichten mit der Rückroute auszuschliessen: mal auf die VPN-Server IP des WG gehen (Default 172.24.254.1) statt der LAN-IP
- ETS nach dem Verbindungsaufbau (re)starten, die mag das meist nicht so besonders wenn sich Schnittstellen ändern, nachdem Falcon gestartet wurde.

Makki

[spookyt.]

Mit meinen "echten" IP Router funktioniert das offenbar auch nicht mit der Mulicast-Kommunikation über VPN. Kann man das prinzipiell möglich machen?

Heißt das eigentlich, ich könnte lokal das WG als IP-Router verwenden und zusätzlich via VPN eine Tunneling Verbindung aufbauen?

KNXnet/IP Server&Tunneling sind aktiviert.

Was bedeutet denn die "IP-Adresse KNXnet/IP Tunneling (EIBD_PORT_IPT) " ? Wo muss ich denn hinpingen für die Tunneling Verbindung? In der ETS wird ja automatisch die IP des WG eingetragen. Ich dachte ja eig., man müsste die EIBD_PORT_IPT verwenden? Wieso geht es mit der WG IP? Vielleicht kannst du den Unterschied der beiden mal erklären.

Ich habe mit der ETS3 und 4 probiert..wobei die 4 eine echte Zicke ist.

>- Um Geschichten mit der Rückroute auszuschliessen: mal auf die >VPN-Server IP des WG gehen (Default 172.24.254.1) statt der LAN-IP

Den Punkt verstehe ich nicht. Sollte ich da auch ohne aktive VPN Verbindung hinpingen können?

PS: WG335. Kannst gern ma gucken. 1/3/6 ist mein Küchenlicht ;-)

PPS: äh Win7/64 übrigens...lokal geht aber alles.

[makki]

Mit meinen "echten" IP Router funktioniert das offenbar auch nicht mit der Mulicast-Kommunikation über VPN. Kann man das prinzipiell möglich machen?

Technisch, theoretisch ja. In der Praxis ist aber IP-Multicast (KNXnet/IP Routing) schon im LAN so schmerzvoll das man immer Tunneling verwenden wollen wird.

Heißt das eigentlich, ich könnte lokal das WG als IP-Router verwenden und zusätzlich via VPN eine Tunneling Verbindung aufbauen?

Klar, nur bitte den Routing-Server nicht gleichzeitig mit dem IPR in derselben Linie verwenden sonst gibt das eine schöne Telegramm-Schleife(Loop)..

Was bedeutet denn die "IP-Adresse KNXnet/IP Tunneling (EIBD_PORT_IPT) " ?

Das wäre nur für den Cleintseitigen Buszugriff, also wenn das WG statt per TP-UART via Tunneling auf den Bus kommen soll.

Den Punkt verstehe ich nicht. Sollte ich da auch ohne aktive VPN Verbindung hinpingen können?

Nein, nur mit VPN.

Ansonsten mal ein paar Screenshots, VPN-Client Logs, eib.log beim Zugriffsversuch, die erklären oft mehr als 1000 Worte

Makki

[spookyt.]

Hier mal ein paar Screens. Die ETS meldet mir beim Verbindungsversuch nur ein "Verbindung fehlgeschlagen" zurück...da gibt es ja kein Log.
Was wäre noch intressant?

[makki]

Das sieht alles ganz gut aus..
Ping wäre nur Interessant: erreicht man die FB (Default-GW) und den IP-Router..
Und obs mit 192.168.3.1 aus der ETS besser geht (ist aber dasselbe Thema..)

Möglicherweise noch lustige Personal-Firewalls/Tools auf dem PC die es besonders "gut meinen"?
VPN-Client als Admin gestartet? Sonst darf er die Routen evtl. am Client nicht einschieben.
Ansonsten geht das eigentlich schmerzfrei, sogar mit der Win7/Beta64

Makki

[spookyt.]

Das sieht alles ganz gut aus..
Ping wäre nur Interessant: erreicht man die FB (Default-GW) und den IP-Router..
Und obs mit 192.168.3.1 aus der ETS besser geht (ist aber dasselbe Thema..)

VPN Verbindung aufgebaut:
Ping zur FB (meinem default GW) geht, also zur 192.168.178.1.
Ping zum WG 192.168.178.45 geht auch.
Ping zur 192.168.3.1 geht auch.

Wenn ich die 192.168.178.45 in der ETS als Tunneling IP eingebe, kommt "keine Verbindung", bei der 192.168.3.1 meldet er mir ein OK zurück!
Damit kann ich auf den Bus schreiben, aber nicht vom Bus lesen.

Ich entnehme dem, dass die Route vom VPN-Wiregate-Netz in mein Fritzbox-Netz nicht richtig funzt...zumindest der Rückweg nicht?! Ich habe aber nochmal in der FB geguckt, da sieht das doch aber richtig aus, gelle?

[makki]

Ich tippe wiegesagt auf eine FW im Client, der Rest sieht gut aus.

Makki

[spookyt.]

Ich tippe wiegesagt auf eine FW im Client, der Rest sieht gut aus.

Makki

Hmpf. Ich komme der Sache nicht wirklich näher. "Client" ist mein Laptop. Win7/64. Angemeldet als Admin, Windows Firewall komplett deaktiviert, Antivir Guard deaktiviert, VPN Verbindung ohne Fehlermeldung aufgebaut.
Mehr Firewall-Software läuft da eigentlich nicht.

Da ich ja einen VPN Tunnel aufbaue, ist die Fritzbox komplett außen vor, oder?
Kann in der Wiregate VPN-Konfig noch irgendwas falsch sein? (lokal geht es ja)

[makki]

Hmm, mir gehen langsam die Ideen aus.
Wenn der (Web-)Zugriff z.B. auf die FB geht, ist es sicher kein IP/VPN/Konfig-Problem.. Pragmatisch könnte man nun sagen solange es ETS->VPN-IP geht ist ja gut aber..

Schuss ins Blaue:
Du wählst Dich nicht "zufällig" aus dem selben lokalen LAN oder einem mit ebenfalls 192.168.178.0/24 dort per VPN ein? Oder vielleicht auf der LAN-Schnittstelle 192.168.178.x statisch konfiguriert? Irgend sowas.. oder eine inkontinenz der ETS, IP scheint ja zu gehen..

Makki

[spookyt.]

Hi,

ich wähle mich ja über einen mifi-Router ein. Der hat die 192.168.1.1...habe auch mal 192.168.179.1 probiert...führt aber beides nicht zum Erfolg.
Der vergibt Adressen per DHCP im Bereich x.x.x.100- 200.

Kannst du dir bitte mal die VPN-Konfig aus dem WG (335) ziehen und versuchen dich zu verbinden?

[spookyt.]

noch eine Ergänzung: ich kann mich mit meinem ipod über utms auf die fritzbox direkt per vpn verbinden (kein openvpn, sondern ipSec). Dann kann ich auch die Verbindung zur 192.168.178.45:3671 aufbauen.

Wie gesagt, mich würde interessieren, ob es z.b. von dir aus klappt. Dann muss ich den Fehler eindeutig in meinem Laptop suchen - wobei ich schon 2 verschiedene ausprobiert habe.

[makki]

Also, IP seitig scheint alles 100% ok.

Probleme:
0) dyndns stimmte nicht (vermutlich anderes Thema, hab mir die IP hintenrum "besorgt"
1) der eibd (Tunneling-Server) antwortet als 192.168.3.1 (VPN-Server IP) auch wenn er mit 192.168.178.45 (LAN IP) angesprochen wurde. Geht dann natürlich nix -> Muss ich noch etwas genauer Untersuchen, dürfte aber in die Bug-Ecke gehen..
Sollte nur kein Showstopper sein, weil man kann ja einfach die VPN-IP 192.168.3.1 verwenden..
2) der andere IPT 192.168.178.36 sagte aktuell schlicht das er schon belegt ist, sonst alles normal.
3) Nach einem Telegramm ist im Busmonitor auf ..3.1 aber auch Schluss. Nicht gut.. Ob das ein ETS/Falcon-"Feature" ist oder was anderes muss ich weiter suchen gehen, ziemlich unschlüssig. Lt. tcpdump/Wireshark gehen die Packerl raus und kommen auch an
Melde mich..

Makki

[makki]

Konnte es so noch nicht direkt nachvollziehen, andere gehen, eine Frage:
Ist auf dem Rechner nur die ETS3 oder auch parallel die ETS4 installiert? (wegen dem Falken, so wie hier bei mir)

Mich dünkt nämlich das es - wie so oft - nicht einer, sondern mehrere Problemkreise sind die wir da haben..
Wiegesagt: IP-seitig ist nach meinen Captures alles in Butter, der Kreis der verdächtigen ist recht eng aber so richtig beweisen kann ichs noch nicht..

Makki

[spookyt.]

Ist auf dem Rechner nur die ETS3 oder auch parallel die ETS4 installiert? (wegen dem Falken, so wie hier bei mir)

Mich dünkt nämlich das es - wie so oft - nicht einer, sondern mehrere Problemkreise sind die wir da haben..

die .36 ist mein ganz normaler IP Router. Die Tunneling Verbindung ist glaub ich vom eibd für misterhouse belegt, wenn mein mac mini läuft. Da ist also alles normal.

Ja, auf beiden Rechnern, die ich ausprobiert habe, ist ETS3 und 4 installiert.
Hast du einen Rechner, wo nur entweder oder drauf ist?

Nur am Rande, weil wir das in dem anderen Thread (https://knx-user-forum.de/wiregate-b...g-routing.html) bisher nicht verfolgt haben: Über die WG Tunneling Verbindung kriege ich mit der aymonitor knx app übrigens auch bei mir jedes Telegramm immer wieder hintereinander angezeigt. der Eib.log des WG zeigt es korrekterweise nur 1x an. Bin mir aber nicht sicher, wessen Baustelle das ist. Ich glaube mit meinem normalen IPR gehts.