Wiregate VPN Anfänger

[Sandman60]

Also zu 99% liegt es nicht am Carrier, mache VPN u.a. auch via O2-Mobile. Habe gerade einen Fall auf Android, wo der OVPN rumspinnt, liegt wohl aber am nicht ganz standardisierten Android.

Tipp: Check mal das OVPN-Logfile was das so von sich gibt, dann kannst Du evtl. schon leichter eingrenzen wo Du den Hebel ansetzen kannst.

[swiss]

Hallo

Hast du UMTS mit NAT? Also so n Billigangebot wie von Tchibo? Dann ist es sehr gut möglich dass eingehende Verbindungen nucht möglich sind.

[adimaster]

O2 vpn

Hat es eigentlich schon jemand geschafft über das O2-Mobilfunknetz eine VPN-Verbindung zum Wiregate (mit den Standard-Einstellungen) aufzubauen?

Es wird zwar eine Verbindung erstellt (udp) und Pakete werden auch gesendet, aber keine empfangen.

Wenn ich jetzt 172.24.254.1 im Browser eingebe, kommt die Meldung:
"Couldn't reach the indicated web server."

Über WLAN (2 verschiedene DSL-Zugänge) funktioniert übrigens alles einwandfrei.

Hat jmd. einen Rat?

[firefox]

ok, gefunden. Perfekt.

https://knx-user-forum.de/forum/supp...wiregate/15669

[swiss]

Dieses Tutoreal existiert hier bereits im Forum. Ist von makki sehr gut geschrieben und hat bei mir auf anhieb geklapt. Ist aber schon eine Weile her (über 1 Jahr), wesshalb ich nicht mehr genau weiss wo es war.

Bitte einfach mal die SuFu danach befragen.

[firefox]

wäre es denn möglich, dass ihr ein kleines tutorial einstellt, wie man den openVPN im bridged mode einrichtet?

[StefanW]

Guten Morgen,

Ok, ich finde nur seltsam, dass das mit einem PPTP VPN Server auch ohne weitere Anpassungen funktioniert.

weil bei manchen PPTP-Implementierungen gebridged und nicht wie bei anderen VPN-Implementierungen geroutet wird.

Stefan

[firefox]

Ok, ich finde nur seltsam, dass das mit einem PPTP VPN Server auch ohne weitere Anpassungen funktioniert.

Du sagtest es gibt mehrere Möglichkeiten. Was würde denn noch bleiben?

[swiss]

Ja das ist soweit richtig. Es gibt da mehrere Möglichkeiten um das Problem zu lösen.

Du könntest z.B. einfach das WG dass dir als VPN Server dient bei den übrigen Netzwerkgeräten als Standartgateway eintragen. Und im WG selber dann als Standartgateway den Cisco Router. Dann wird der Netzwerkverkehr über das WG ins Internet geleitet und dieses entscheidet, ob die Daten durch einen offenen Tunnel oder direkt ins Internet müssen.

Dazu gibt es hier im Forum einen ganz guten Thread in dem die Einzelheiten erklärt werden. Ich weiss aber gerade nicht wo. Am besten enfach mal die SuFu nutzen.

[firefox]

verstehe ich das richtig, dass ohne eine statische route im heimnetz router eine verbindung zwischen vpn client und internem heimnetz client nicht möglich ist?

Mein Cisco EPC3208g kann das meines Erachtens nicht, was vermutlich erklärt warum ich nur Wiregate und Cisco Router anpingen kann.

[Jockel]

Eigentlich will ich das nicht...

Solange der iOS VPN Client aber den Bug mit den DNS-Anfragen hat muss ich den gesamten Verkehr durchs VPN leiten, damit die Auflösung der internen Namen klappt. Dann soll aber auch mit aktivem VPN der Zugriff aufs Internet funktionieren.

[makki]

Was ich nicht verstehe: Warum willst Du den Internet-Traffic übers VPN schleifen?
Von hehren Zielen mit Content-Filter etc. mal abgesehen macht das wenig Sinn, das was fürs LAN ist sollte übers VPN, der Rest direkt, weil auch das Masquerading macht den IE oder Adobe ne sicherer

Makki

[Jockel]

Hab es getestet und kann bestätigen, dass mit der Firewall Regel alles klappt, also der Zugriff über das VPN auf das interne Netz und das Internet, in beiden Fällen mit Namensauflösung. Als IP-Bereich muss natürlich der Bereich der Adressen des VPN-Servers angegeben werden (wie er in der VPN-Server Config steht).

Warum der Eintrag notwendig ist verstehe ich allerdings noch nicht so richtig, auch sonst kommen die Clients ja bis zum Router und der hat eine Default-Route aufs Internet. Zumindest müsste mit dem NAT jetzt die statische Route im Router zurück zum VPN eigentlich überflüssig sein.

Negative Effekte des Masqueradings konnte ich noch nicht beobachten, werde darauf aber in der nächsten Zeit vermehrt achten.

Vielleicht könnt Ihr ja noch etwas Licht ins Dunkel bringen?!

[Jockel]

Hast du die statische back Route im Router eingetragen?

Ja, die ist eingetragen. Nach meinem Verständnis sollte sonst ja auch die Kommunikation mit den internen Teilnehmern schon nicht klappen.



Im Netz habe ich noch Empfehlungen dieser Art:

iptables -t nat -A POSTROUTING -s 10.30.0.0/24 -o eth0 -j MASQUERADE

gefunden, damit das VPN-Gateway ein NAT für die Clients macht. Wozu das zusätzlich gut sein soll erschließt sich mir allerdings nicht so ganz, zum Router kommen die Clients ja. Ich werde es aber noch mal testen.

In den Logs meines Lancoms hab ich auch nichts gefunden, sonst hätte ich auf die Firewall getippt...

[2ndsky]

Die route sorgt dafür, dass das Netz hinter dem Wiregate und nicht nur das Wiregate ereichbar ist.

Es kam mir irgendwie bekannt vor... eigentlich hab ich das auch drin nur wohl nicht gepostet

Hast Du bei Dir vielleicht noch Firewall-regeln auf dem VPN-Server modifiziert die den Traffic passend weiterleiten?

Hast du die statische back Route im Router eingetragen?

Wenn der OpenVPN-Daemon nicht auf dem "Default-Gateway" des lokalen Netzes läuft, so muss auf letzterem (dem Default-Gateway/Router) noch eine Route erstellt werden, die den OpenVPN-Server als Gateway für das VPN festlegt.