VPN-Server in Box integrieren

Nur zur Sicherheit: Auch "richtig ergänzt", also die vorletzte Zeile mit "," am Ende und nur die letzte mit ";" ?!?
Danach ein ar7cfgchanged gemacht?
Jörg

Hallo Jörg,

danke der Nachfrage, "," und ";" sollten stimmen, habe ich zumindest daruaf geachtet (auch wenn das nicht 100% vor Fehlern schützt), danach habe ich zuerst ein "reboot" und später nach dem das nichts half noch ein "ar7cfgchanged" gemacht, auch die ar7.cfg habe ich nach dem Reboot nochmal mit cat überprüft, sollte eigentlich alles stimmen.
Beim Client bin ich mir halt lange nicht so sicher ob der noch was sendet, weil ich dort noch nichtmalgezielt nen Neustart auslösen kann, die Callmonitor- und Fritzbox-Push-mails(wöchentlich) sind da leider meine einzigen Indiezien.
Ich hätte besser ein System einrichten sollen, das mit wget zyklisch nach bestimmten Files auf dem FTP-Server sucht und daraufhin entsprechenden Aktionen einleitet (z.B. reboot.txt gefunden leitet reboot ein), hatte halt nicht gedacht das das noch so schwierig wird, nachdem der Versuch mit deinem Server so gut funktioniert hat.

P.S.: Wie ist das eigentlich mit der Portweiterleitung in der ar7.cfg muß ich die rausnehmen wenn ich mal probeweise auf den PC weiterleiten will oder steht die im Webinterface eingetragene Weiterleitung eh davor und wird bevorzugt behandelt?

.

Hallo,

Also mit dem openvpn-Client auf dem NSLU2(hier) klappt dieVerbindung mit meinem Server (192.168.200.1 und 192.168.200.2 lassen sich pingen) auch über die DynDNS-URL mit (soweit möglich) identischen Scriptrn und Config wie auf der FB7050, also müsste das jaauch gehen.
Habe noch einen Fehler im von debug.cfg aufgerufenen Startscript gefunden, zwar erst nach dem Start von openvpn aber vielleicht ist das ja trotzdem der Grund.
Kann das sein?
Mal sehen wie es nach dem nächsten reboot (Stromausfall) aussieht.

.

Hallo,

Also mit dem openvpn-Client auf dem NSLU2(hier) klappt dieVerbindung mit meinem Server (192.168.200.1 und 192.168.200.2 lassen sich pingen) auch über die DynDNS-URL mit (soweit möglich) identischen Scriptrn und Config wie auf der FB7050, also müsste das jaauch gehen.
Habe noch einen Fehler im von debug.cfg aufgerufenen Startscript gefunden, zwar erst nach dem Start von openvpn aber vielleicht ist das ja trotzdem der Grund.
Kann das sein?
Mal sehen wie es nach dem nächsten reboot (Stromausfall) aussieht.

.

chriwi schrieb:

P.S.: Wie ist das eigentlich mit der Portweiterleitung in der ar7.cfg muß ich die rausnehmen wenn ich mal probeweise auf den PC weiterleiten will oder steht die im Webinterface eingetragene Weiterleitung eh davor und wird bevorzugt behandelt?

Zum Vergrößern anklicken....

Da muss ich passen, das habe ich nie probiert, was bei "gleichen" Weiterleitungen passiert. Vielleicht nimmt er die ja auch gernicht erst an? Probieren ! ;-)

Ob ein Fehler im Script danach was bewirkt ist schwer zu sagen, das hängt vom Fehler ab. Die "wirklich schlimmen" sind die, die die Box quasi zumStillstand bringen, weil sie nie beendet werden...

Vielleicht solltest du noch zusätzlich überlegen, auf der Remote-Box einen dropbear (ssh-Server) zu installieren (lassen) und einen DynDNS Eintrag zu machen, dann kannst du, unabhängig von den VPN-Dingen, direkt auf die Box gelangen.

Jörg

Hallo Jörg,

geschafft


Wie gehofft steht der Tunnel seit dem Letzten Reboot.

Dropbaer ist schon drauf, ist ja nen DS-Mod drauf und Dropbear ist da ja wohl mit das wichtigste.
Leider hilft das nicht viel, das doppelte NAT ohne die Möglichkeit auf der 2. Ebene ein Portforwarding eintragen zu lassen (vor Ort weiß der Cheftechniker nichtmal was das ist ) macht DynDNS wertlos, ist sogar aktiev und ne eigene URL hatte vorsorglich auch schon eingerichtet, deshalb ist ja das VPN die einzige Lösung, sonst hätte ich mir ja garnicht so viel Arbeit gemacht.

Aber wie gehts jetzt eigentlich weiter? Mir ist das mit dem Routing nicht ganzklarichkann ja jetzt nur den Tunnel anpingen aber wie komme ich jtzt vom Server auf den Dropbaer des Clients ohne auf dem Server ein Routing einzurichten?

P.S.: Dreistigkeit siegt, ssh [email protected] funktioniert wunderbar. Selbst aufs Webinterface komme ich auf diesem Weg das ist ja schon mehr als ich mir auf anhieb erhofft hatte.

PPS: der Versuch über 192.168.200.1 von den Philippienen eine Sip-Verbindung über Das Telefonbuch der Fritzbox aufzubauen hat scheinbar dieFB7050 zum Absturz gebracht auch der dortlaufende Client desEmbedded-Uptime-Projekts schickt keine Requests mehr an den Server, jetzt heist es wohl wiede Warten auf den nächstenStromausfall .

ppps: Und der Tunnel steht wieder, scheinbar nach einem Automatischen reboot, vielleicht war einfach nur der Stromweg. ?)

.

Vieleicht schaust du dir die dynamischen DNS-Anbieter nochmal an. Es gibt einige, bei denen zum refresh der IP das Aufrufen einer URL reicht (und da meldet sich dann ja die "externe" IP). Die mit einem cronjob alle 5 Minuten mal "angesurft" sollte schon einiges an Erleichterung bieten ;-)

Jörg

Hallo Joerg,

du machst da noch einen Denkfehler, im Bezug auf DynDNS, es ist nicht das Problem der URL die richtige externe IP-Adresse zuzuweisen sondern spaeter mit dieser IP-Adresse etwas anzufangen, wenn die IP-Pakete zwar dort hingeschickt werden aber vom Router beim lokalen DSL-Provider nicht weitergereicht werden kommen sie auch nie auf dem Zielsystem an.

Ich habe jetzt das Routiong des Clients um die interne IP-Adresse meines NSLU2 erweitert auf diesem laeuft SER als sip-Server und dort habe ich erfolgreich server und Client-Fritzbox mit fiktiven Telefonnummern angememeldet, nur anrufen traue ich mich momentan noch nicht, auf den Philippienen ist es jetzt gerade 3 Uhr Nachts.

Da das Problem das in diesem Thread behandelt wird fuer mich ja jetzt geloest ist kehre ich mit meinen Telefonversuchen lieber zu meien Ursprungsthread zurueck, alles gute weiterhin hier.

Fuer die die es interessier wies weitergeht hier der Link auf meien Projektthread: http://www.ip-phone-forum.de/showthread.php?t=143409&highlight=projekt+Philippienen

.

Hallo,

jetzt habe ich leider schon wieder ein Problem, nach einem Neustart des Clients versteh ich mein Routing nicht mehr ?) das VPN steht wieder, 192.168.200.2(Clienseite des tun) laesst sich vom Server und von meinem NSLU2 (einziges Geraet das sich seit dem ersten verbindungsaufbau nicht neu beim DHCP der Fritzbox angemeldet hat (hat ausserdem ne feste IP)) aus anpingen, von allen anderen (ueber DHCP neu angemeldeten) Geraete bekommt der Ping keine Antwort und traceroute geht nur bis auf die Server-Fritzbox und liefert dann nurnoch Strnchen.
Woran liegt das und wie kann ich das aendern?

.

Wie hattest du denn die "Rückroute" für die Geräte aus dem Servernetz auf dem Client eingetragen? Schick zur Not nochmal die Client-Config.

Jörg

Hallo Joerg,

das ist wohl die Erklaehrung warum es zumindest mit dem NSLU2 klappt denn dessen IP-Adresse ist die einzige die vom Client geroutet wird (damit er sich auf dem dort liegenden ser-Server anmelden kann) muss ich also doch wieder das ganze 192.168.0.0-Netz routen, na gut, das ist wohl die Loesung.
Danke vfuer den Tip.

.

NEIN, tu das nicht! Dann ist alles wieder Verloren!!!
Die einzige Möglichkeit, wenn du wirklich "alles" nach Deutschland schicken willst, ist, dass du zuerst eine Hostroute einrichtest für den Zyxel-Router zum Internet und danach die Route für das LAN löscht und dann übers VPN einträgst.
Viel besser wäre es, wenn du dafür sorgen kannst, dass die in Frage kommenden Geräte in D, die das Gerät erreichn sollen, in einem Bereich liegen, den du dann aus dem Client-Netz "rausschneidest". Also du vergibst in D die Adressen 192.168.0.33 bis 192.168.0.62 und trägst dann im VPN eine Route ein für 192.168.0.32 255.255.255.224 zum VPN-Server.

Jörg

Hallo Jörg,

Danke Für deine Sorge, aber so wie du es befürchtetest habe ich es nicht gemeint, soviel habe ich jetzt schon verstanden und aus Schaden wird man ja bekanntlich klug.
Ich habe jetzt 2 Bereiche aus dem Clientnetz nach Deutschland gerouted das komplette Subnetz 192.168.1.0 (255.255.255.0) und den Anfsngs bereich der hiesigen DHCP-Adressen 192.168.0.16 (255.255.255.240) das klappt soweit wunderbar und Die Sipverbindung ist auch schon soweit getestet, das ich höre und sehe das esauf der anderen Seite Klingelt (Callmonitor has e-mail for me ) ist leider wieder niemand drangegangen ist aber nichts ungewöhnliches dort.
Jetzt habe ich noch 2 grundlegende Probleme, die sich vielliecht sogar auf 1 reduzieren lassen:
1. Verlust der VPN-Verbindung durch die hiesige Zwangstrennung und Neuvergabe der IP-Adresse, vermutlich wird die DynDNS-URL nur einmal am Anfang über den Nameserver aufgelöst und dann die IP-Adresse aus dem Cache verwendet oder es wird nach einer Zwngspause, bis die DSL-Verbindung und die DynDNS-Adresse wieder stehen, kein neuer Versuch des Verbindungsaufbaus unternommen.
2. Neuaufsetzen nach Stromausfall (kommt dort wie gesagt leider Täglich vor), dabei ist das Problem, das die FB7050 sich ja die Openvpn-Binary aus dem Internet laden muß, wenn sie aber Versucht das zu tun solange der ZYXEL-Router noch ca. 5 Minuten damit beschäftigt ist die DSL-Verbindung wieder aufzubauen (vielleicht sind auch die DSLAMS und Router beim Provider noch nicht wieder oben, der hat in der Regel ja dann auch Stromausfall), läuft wget in ein Timeout eh überhaupt etwasauszurichten ist.

Beide Probleme laufen darauf hinaus, das sowohl beim Einschalten als auch während des laufenden Betriebs die Verfügbarkeit des Servers hier in Deutschland geprüft werden muß um dann gegebenenfalls mit dem Download zu warten oder andererseits den VPN-Client mit neuer DNS-Auflösung neu zu starten.

Hat jemand diese Probleme vielleicht schon gelöst oder weis jemand wie man das machen kann? mir schwebt so ein zyklisches Script über Crondämon(ist der nicht sogar im DS-Mod drin?) oder notfalls mit wait das versucht den Server anzupingen und bei Timeout entsprechend weiter verfährt aber so aus dem Kopf kriege ich sowas nicht geschrieben, dazu reichen meine Scriptingkenntnisse nicht aus, ein Template könnte ich ja noch für meine Zwecke anpassen (mit viel Probieren und so) mehr aber leider nicht .

.

Ich schicke dir mal eine "Vorüberlegung":
Das Script sollte gleich beides tun: Die "Erreichbarkeit" des Internet überprüfen und dabei noch deine aktuelle IP direkt bei DynDNS zu erfragen.

Wenn du das als Script abspeicherst und per cron regelmäßig aufrufen lässt, solltest du in die richtige Richtung kommen.

Jörg

Hallo Jörg,

vielen Dank, das ist genau das was ich brauche die Feinarbeit sollte ich selbst hinkriegen und muß im Notfall halt nochmal nachfragen.
Bring ich dieses Script eigentlich irgendwo im Flash der FB7050 unter? Nachladen geht ja nicht sonst dreh ich mich ja im Kreis weil ich keinen Server habe.
Ich würde das File jetzt einfach mal mit cat nach /var/flash koieren und dann in der debug.cfg wieder mit cat nach /var und dann starten, geht das so?

Gibt es eigentlich irgentwelche Probleme mit SIP über VPN? und in meinem Fall meldet die FB7050 sich eigentlich mit 192.168.200.2 beim SER an oder mit ihrer lokalen IP(192.168.0.254) die natürlich vom Server nicht gerouted wird, weil es seine eigene ist, führt das zu Problemen?

.

Du hast auf der Box doch den ds-mod, oder? Dann kannst du das (wie übrigens auch die Keys und so) einfach dort ablegen und mit "modsave" speichern:

Ob das SIP durch VPN geht, weiß ich nicht (ich denke aber schon), hätte aber gedacht, das "reines SIP", ohne VPN performanter/besser wäre, was aber wohl nicht so war.
Die Box sollte sich mit der IP melden, die "zum SIP-Server" geht, also mit der VPN-IP (denke ich zumindest, ich weiß jedoch nicht, ob bei AVM da eine "Absende-IP" mitgegeben wird).

Jörg

Hallo Jörg,

> Die Box sollte sich mit der IP melden, die "zum SIP-Server" geht, also mit der VPN-IP.

für die Box auf der anderen Seite des VPNs stimmt das so wohl, nur habe ich jetzt umgekehrte problem die FB7170(hier) meldet sich mit ihnrer lokalen IP-Adresse beim lokalen SIP-Server an (ist ja richtig), die FB7050 bekommt dann aber diese Adresse zur Verbindungsaufnahme mitgeteilt bekommt dann aber einen Request von ter Tunnel-IP-Adresse und baut deshalb keine Verbindung auf.
Leider komme ich so selten auf die FB7050 das esmir noch nicht gelungen ist den Cron-Dämon einzurichten, somit zielht sich alles doch länger hin als ich dachte, vielleicht habe ich ja jetzt am Wochenende wieder mal ne möglichkeit dann was zu versuchen wenn dort auch jemand wach ist und nicht wieder jemand den Stecker vom ZYXEL-Router rausgezogen hat (wird leider jede Nacht gemacht).

.

Zwar nicht direkt zum ursprünglichen Thema, aber wenns hilft:

Dann ruf doch die Client-Box selbst an:

Kurzwahl einrichten für

<Die SIP-Nummer beim Client>@192.168.200.2

und die Wählen. Die Client-Box muss dafür eigentlich nichtmal einen SIP-Provider haben, das sollte immer gehen (in beiden Richtungen natürlich ;-))

Ich habe das bei mir mal für ein ähnliches Szenario gemacht: Beide Boxen hatten eine "Dummy-SIP" eingetragen (bei sich selbst). Dann gesagt, dass sie sich nicht registrieren soll (in voip.cfg "do_not_register" auf "yes" sollst wird das Log übervoll) und sich über die Kurzwahl auf diese Nummern anufen.

Jörg

Hallo Jörg,

danke für den Vorschlag, aber das funktioniert bei mir irgentwie nicht richtig, das habe ich schon versucht als ich noch beide Boxen hier zu Hause im Netz hatte, da hat das mit der Direktwahl übers Webinterface immer nicht geklappt, vielleicht hat da auch die Softwareversion die auf der FB7050 irgend ne Macke, ich habs dann immer nur über nen SIP-Server hinbekomen.

.

Nur zur Sicherheit, damit wir nicht aneinander vorbei reden: Ich meinte nicht die "Wahl über die GUI" sondern einen Eintrag der "Voip-Nummer" in den Kurzwahlen (Telefonbuch) der Box, die dann mit **7<xx> vom Telefon aus gewählt werden. Das sollte eigentlich immer gehen.

Jörg