MikroTik über LBS steuern | Edomi

[Janncsi]

Ja, die OVPN-Logs sind ausschließlich über die Firewall, ansonsten finde ich nichts mit ovpn in den Logs...

Habe deine ovpn-Datei auch genutzt, gleiches Ergebnis....

Anbei nochmal mein PPP-Profil
pp.png

Im Client wird immer angegeben, dass die Verbindung zurückgewiesen wurde.

Aber ehrlicherweise muss ich mittlerweile vermuten, dass es an etwas anderem liegt....gebe ich meine ipv6-Adresse bei einem Portscanner online ein, dann wird mir kein offener Port angezeigt, obwohl ich die Firewall komplett deaktiviert habe. Es ist echt zum Brechen....

/ip cloud print

gibt mir meine öffentliche ipv6-Adresse aus, mit dieser erreiche ich laut Firewall auch den Router....

[jonofe]

Aber sowas hier siehst du auch im Log, oder?

ovpn.PNG

Das OVPN File sieht erstmal ähnlich zu meinem aus:

proto tcp-client
remote vpn.*****.net
dev tun
nobind
persist-key
ca ca.crt
cert client.crt
key client.key
tls-client
ping 10
ping-restart 60
verb 3
cipher AES-256-CBC
auth SHA1
pull
auth-user-pass
route 10.0.60.0 255.255.255.0

Wie hast du denn OVPN Clients einem VLAN zugeordnet?

Deine OVPN Logs kommen von einer FW-Regel mit ACCEPT Action?

[Janncsi]

Anbei mal der Logausschnitt, den ich bekomme, wenn ich per Handy versuche zuzugreifen.

Was mich wundert ist, dass er versucht aufs interne Vlan zu kommen. (vlan_010), erwartet habe ich mein VPN-Vlan (vlan_099). Was mir bisher wichtig ist, ist dass ich zumindestens meinen Router von Außen mittels ipv6 erreiche.

log.png

Mein OVPN-File sieht wie folgt aus. Die Sterne sind lediglich von mir jetzt für die Veröffentlichung zugefügt

dev tun
proto tcp-client
remote vpn.wicht***.net 1194
resolv-retry infinite
nobind
persist-key
persist-tun
tls-client
ca CA.crt
cert CLIENT.crt
key CLIENT.key
cipher AES-256-CBC
auth SHA1
pull
auth-user-pass
route 10.0.99.0 255.255.255.0
ping 10
verb 3

[jonofe]

Was steht denn im Mikrotik Log?
Wie sieht dein ovpn File aus?

[Janncsi]

Vielleicht kann mir einer von euch helfen, der auch OpenVPN mit Mikrotik nutzt....

Sämtliche Anleitungen zum Thema OVPN bin ich durchgegangen mit dem Ergebnis, dass ich in meiner Firewall im Counter sehe, dass auf dem Port 1194 Anfragen ankommen. Leider wird aber jeder Verbindungsversuch mit dem Fehler "refused" im Client zurückgewiesen.

Zertifikate sind im Mikrotik erstellt und zertifiziert, Security-Profil ist erstellt, ebenso ein PPP-Profil und der OVPN-Server läuft auch. DHCP-Server für den angelegten Adresspool ist auch vorhanden.

Hat jemand eine Idee, wo ich noch suchen kann?!

[starwarsfan]

Hallo miteinander

Übrigens ich habe einfach mal testhalber den Ordner "sebastian" gelöscht und habe bisher keine negativen Auffälligkeiten gehabt das der LBS nicht mehr funktionierte.

Interessant! Wenn's den Ordner tatsächlich nicht braucht, dann kann ich das auch im Docker Image und im LXC Container so machen.

[skyacer]

Übrigens ich habe einfach mal testhalber den Ordner "sebastian" gelöscht und habe bisher keine negativen Auffälligkeiten gehabt das der LBS nicht mehr funktionierte.

Grüße

[skyacer]

Cool Danke es geht bei mir.

[jonofe]

Du kannst es so machen:

1. Der Firewall Regel im Mikrotik einen eindeutigen Kommentar geben (Firewall Regel in Winbox markieren und dann Strg+M drücken)

2. An E13 folgendes eingeben: fw|/ip/firewall/filter|comment|<Kommentar der Regel>|disabled (Platzhalter durch den Kommentar aus 1. ersetzen)

3. An A10 kommt ein JSON raus, dass den DISABLED-Status der Firewall Regel beschreibt, also entweder:

{"fw":"false"}

für ENABLED oder

{"fw":"true"}

für DISABLED

[skyacer]

Hi,

jetzt muss ich doch einmal nachfragen weil ich selbst anscheinend zu doof bin dafür. Gibt es einen Befehl den ich ausführen kann am LBS um zu sehen ob eine bestimmte Firewallregel aktiviert oder deaktiviert ist?

Grüße

[Janncsi]

Das klingt gut!!!!

Werde es dann auch gleich mal auf meinem Hex Lite testen

[givemeone]

Mag sein. Aber als Beta gibt es das schon und es funktioniert auch. Selbst mit der API. Am backup-LTE Router setze ich es schon ein, und es läuft dort seit Wochen stabil. Allerdings sind dort natürlich keine erweiterten Features genutzt, nichtmal die Firewall ist dort notwendig bzw. in Betrieb. Gehackt wurde er bisher jedenfalls nicht, trotz öffentlicher IP ;-).

Joe

[Janncsi]

Nun, schön dass es in ROS7 eine neue RestAPI gibt. Vielleicht kann dann auf dies bald verzichtet werden.

https://help.mikrotik.com/docs/display/ROS/REST+API

Also bisher dauerten volle Software-Versionen immer sehr sehr lange bei Mikrotik..... Ich denke vor Ende nächsten Jahres können wir kein ROS7 nutzen 🧐

[givemeone]

Nun, schön dass es in ROS7 eine neue RestAPI gibt. Vielleicht kann dann auf dies bald verzichtet werden.

https://help.mikrotik.com/docs/display/ROS/REST+API

[starwarsfan]

Hm, seltsam. Du kannst gerne mal ein Auge hier drauf werfen, vielleicht fällt Dir ja etwas auf, was bei den einzelnen Installationssteps falsch ist!?

Ich hole mir einmalig den Composer und installiere dann die anderen Komponenten. Allein der Image-Layer aus Zeile 117 ist dann 645M gross:

2021-04-05_NetRouterOS.png