[wiregate] WireGate als OpenVPN Client?

[mikeeyy]

Hallo zusammen,

ich habe folgende Situation, mit der ich mich seit Tagen rumquäle, ohne das ich wirklich weiterkomme.

Stehe aktuell vor der Situation meine KNX Installation im neuen Haus remote per VPN und via ETS4 zu programmieren. Da vor Ort im Haus festes kein Internet verfügbar ist, bleibt mir nur eine UMTS Anbindung. Soweit so gut. Da ich das Wiregate hinter dem UMTS Router von extern aber nicht als VPN Server erreichen kann, muss das Wiregate de facto als VPN Client meinen OpenVPN Server "anrufen" und eine Verbindung initiieren. Mehrere Varianten habe ich bislang durchgespielt:

-dyndns auf heimischer fritz box (mit kabel deutschland anschluss) eingerichtet
- portforwarding auf synology von server eingerichtet
- versucht das wiregate hinter dem umts anschluss auf den heimischen synology vpn server connecten zu lassen. ohne erfolg

- debian root server bei strato angemietet und openvpn eingerichtet (mit zertifikaten)
- windows open vpn client eingerichtet -> verbindung zum open vpn root server = ok
- wiregate als openvpn client zur verbindung mit dem openvpn root server versucht einzurichten = ohne erfolg

bin so n bissl am ende mit meinem latein...

hat irgend jemand eine gute idee oder ein howto für die Einrichtung eines Wiregates als OpenVPN Client auf Zertifikatsbasis????

Danke im Voraus und beste Grüße!

[JuMi2006]

Ein Workaround, so wie ich es auf der Baustelle hatte, wäre ein Zugriff über Teamviewer. Das erfordert dann aber den/einen ETS-PC auf der Baustelle.
Ich hab mich damals ziemlich geärgert als ich feststellte dass ich keine öffentliche IP vom UMTS-Anbieter bekomme. Allerdings wollte ich nur mal nach dem Estrich sehen und gucken ob die Heizung noch läuft.

Theoretisch müsste es möglich sein da das Wiregate ja für das WartungsVPN auch der Client ist wenn ich nicht irre.

[makki]

Klar geht das, das Beispiel liegt schon auf dem WG: Das Wartungs-VPN

- /etc/openvpn/meinclient.conf anlegen (Beispiel: /etc/openvpn/wiregate-central.conf, das aber bitte nicht vermurksen!)
- Zertifikate irgendwo ablegen (/etc/openvpn/keys/meineca.crt, zert.crt, zert.key
- /etc/init.d/openvpn restart

Makki

[Ottorino]

Da vodafone meinen DSL-Wechsel verschlafen hat, mein Server von außen aber weiterhin erreichbar sein sollte, habe ich ein ähnliches Problem zu lösen gehabt.

Einfach und schnell ging es wie folgt:

- UMTS-Router baut Verbindung ins Internet auf
- Anmeldung bei airvpn.org - dort kannst Du Dir das komplette Paket aus Zertifikaten und conf-Dateien für OpenVPN generieren lassen
- damit baut der Server (bei Dir das wiregate) die Verbindung zu airvpn auf (klappte auf Anhieb)
- bei airvpn erhälst Du eine feste IP, unter der Dein Server nun erreichbar ist - vorrausgesetzt Du hast im Webinterface bei airvpn die richtigen Ports zum Forwarding eingetragen

Frank

[mikeeyy]

Klar geht das, das Beispiel liegt schon auf dem WG: Das Wartungs-VPN

Hi Makki,
das klingt doch mal gut.. Habe meine Konfig zusätzlich eingespielt und den dienst neu gestartet. Die zusätzliche Konfig wurde offenbar auch gezogen. Aber jetzt ne ganz blöde Frage oder ich stehe gerade auf dem Schlauch. Das Wartungs VPN muss ich ja händisch aktivieren. Jetzt will ich aber die Verbindung permanent initialisieren, wenn das WireGate On geht. Kann ja nicht ausschließen, dass mein Eli hier auf der Baustelle doch mal der Meinung ist den Strom zwischenzeitlich wieder abklemmen zu müssen ;-) Auch habe ich ja bei der UMTS Anbindung eine Zwangstrennung drin. Das müsste ebenfalls abgefangen werden.

Ideen? ;-)

Danke & Grüße!

[makki]

Es ist ziemlich simpel:
- Das OpenVPN Init-script startet alles in /etc/openvpn/*.conf
- Das deaktivieren des Wartungs-VPN benennt die wiregate-central.conf in wiregate-central.conf.disabled um und restartet OpenVPN, damit wirds nicht mehr gestartet und ist tot (und den monit, aber das brauch ma hier ned, das läuft..)
- Aktivieren ist "mv wiregate-central.conf.disabled wiregate-central.conf" + restart

-> Also solange die *.conf da liegt, "resolv-retry infinite" usw. da drin steht läuft das auch, um ganz sicher zu gehen in den monit eintragen:
cp /etc/monit/enable/openvpn-mgmnt /etc/monit/enable/openvpn-meinclient
kopieren, Inhalt anpassen (Name, PID-File)

und ein "monit reload".. Dann restartet der das bis zum jüngsten Tag jede Minute wenns nicht läuft..

Makki

[mikeeyy]

Vielen Dank!

[mikeeyy]

damit baut der Server (bei Dir das wiregate) die Verbindung zu airvpn auf (klappte auf Anhieb)

Hallo Frank,

nur damit ich das richtig verstehe. Du hast die airvpn config datei im wiregate als root und im openvpn verzeichnis eingebunden? Über das Webinterface wäre mir das auf die schnelle jetzt unklar. Kannst Du das ggf. bitte noch etwas konkretisieren, was Du getan hat um zu dem Ergebnis "klappte auf Anhieb" zu gelangen? ;-)

Danke & Grüße,
Mike

[mikeeyy]

Es funzt!!!

Also... Vielen Dank an alle.. habe jetzt die Makki Lösung umgesetzt und es schnurrt ;-)

Verbindung zum eigenen OPENVPN Root Server im I.Netz klappt. Zugriff mit Windows 7 Client und OpenVPN Config klappt auch. Etwas tricky war das mit dem Routing ins VPN Netz unter Windows 7. Hier mussten in der Config Datei noch die Einträge

push "redirect-gateway def1"
route-method exe
route-delay 2

gesetzt werden.

Grüße,
Mike

[StefanW]

Super, dann bitte noch den "gelöst" Haken setzen (grünes Menüband / Themen-Optionen).

[mikeeyy]

Hallo zusammen,

muss den Fred leider doch noch mal öffnen. VPN Verbindung zum WG klappt. Ich komme auf das Wab Interface drauf. Habe in der ETS eine neue Verbindung eingerichet mit der (VPN) IP des WG. Test laut ETS = OK.
Aber.... Zugriff zum Info auslesen, bzw. programmieren der Geräte in der ETS klappt nicht.
Info hier im WG KNX Log

2012-10-11 22:37:10.314,A_GroupValue_Write,15.15.255,3/2/2,01,,,,0,low,6,T_DATA_XXX_REQ,0 2012-10-11 22:37:10.346,A_GroupValue_Write,15.15.255,3/2/3,01,,,,0,low,6,T_DATA_XXX_REQ,0 2012-10-11 22:37:10.710,A_DeviceDescriptor_Read,1.1.254,1.1.2 ,,,,,0,system,5,T_DATA_CONNECTED_REQ,0 2012-10-11 22:37:10.744,,1.1.2,1.1.254,,,,,0,system,6,T_DISCO NNECT_REQ,0 2012-10-11 22:37:11.311,A_GroupValue_Write,15.15.255,3/2/1,01,,,,0,low,6,T_DATA_XXX_REQ,0 2012-10-11 22:37:11.330,A_GroupValue_Write,15.15.255,3/2/3,01,,,,0,low,6,T_DATA_XXX_REQ,0

Folgende Einstellungen sind auf dem WG aktiv:

Schnittstelle: AUTO (Anbindung via USB TPUART)
EIB-Adresse der lokalen Schnittstelle: 1.1.254
KNXnet/IP Server starten: ja
KNXnet/IP Tunneling Server aktiviert: ja

der Rest alles auf nein

Irgend welche Ideen??????

Danke & Grüße,
Mike

[makki]

- Ping geht?
- OpenVPN als Adminstrator ausgeführt?
- route -n -> (Client&Server) sagt?

Makki

[mikeeyy]

Hallo Makki,

die vpn Verbindung ist soweit ok. Ich komme darüber auf das wg und den router. Das klappt alles. Lediglich die ets zuckt rum. Was sagt denn der verbindungstest in der ets aus? Der war bei mir ja auch auf grün. Ist dns wichtig? Die Auflösung klappt auf dem wg nicht 100%ig. Habe aber alles nirgendwo mit statischen ip's konfiguriert und Zugriff erfolgt ebenfalls nur mittels ip.
Hmmm. Komisch. Stecke jetzt nicht in dem Thema Tunnel und routing drin. Via vpn erhält der ets Client eine ips 192.168.13.x das wg via vpn ebenfalls. Die eingestellte wg ip im dortigen netz kommt aus dem netz 192.168.1.x könnte hier ein Problem liegen?

danke und grüße,
Mike

Gesendet von meinem GT-P1000 mit Tapatalk 2

[mikeeyy]

ist ja krude... jetzt habe ich die ets auf einen anderen rechner neu installiert und bei dem klappt es(???) gleiche einstellungen.. das dumme ist nur, es bringt mir nix.. ist nicht mein rechner und den dongle nehme ich auch wieder mit... oh man..

[mikeeyy]

und wieder ein paar news.. selbst auf dem zweiten rechner läuft es nicht stabil. ich kann sporadig zwar die infos der geräte auslesen. aber nix programmieren. busmonitor allerdings läuft ohne probleme und logt fleißig mit. wenn ich programmieren will, sagt die ets immer "gerät mit der physischen adresse x.x.x kann nicht gefunden werden"...

im wg eib log finde ich dazu dann aber wieder solche infos

"2012-10-12 16:37:22.006,A_DeviceDescriptor_Read,1.1.255,1.1.1 8,,,,,0,system,5,T_DATA_CONNECTED_REQ,0"

danach hat er doch sehr wohl eine verbindung zum zielgerät, oder lese ich das falsch?

laufzeit eines pings via vpn vom ets rechner zum wg liegt zw. 150 und 160ms.. finde ich jetzt auch nicht so schlecht..