Über OpenVPN Verbindung ins Internet?

[Aod]

Hi Leute,
also ich bräuchte mal eure Hilfe.

Mein ziel ist das folgende, wenn ich bei Kollegen bin möchte ich gerne über eine VPN Verbindung zu meinem Router zuhause verbinden, und über diesen ins Internet.

Also als Hardware habe ich hier eine Fritz Box Wlan 3030 mit freetz software (seit heute drauf) und somit habe ich einen VPN server auf der Box.
Eingestellt habe ich es, bin mir aber nicht sicher ob alles richtig ist.

Derzeit kann ich von auserhalb die vpn verbindung aufbauen. Zumindest habe ich hier in OpenVPN GUI nichts gegenteiliges stehen?
Allerdings kann ich nach dem verbinden noch nicht auf denn router zugreifen, und es wird auch keine internetverbindung über das vpn hergestellt.

Also im moment ist alles wie folgt eingestellt:
Fritzbox wlan 3030 hat die IP 192.168.0.2 (bei mir standart)
Dazu habe ich eine virutelle ip 192.168.0.254 eingerichtet (im lokalen netz ist die fritzbox darunter schon erreichbar)
Auf die ip 192.168.0.254 habe ich dann denn port 1194 als udp/tcp weitergeleitet. Somit ist der vpn server erreichbar von aussen und klappt soweit auch.
In freetz ist unter vpn follgendes eingestellt:
Link zum Bild

Als config auf meinem notebook ist eingestellt:

remote meins.dyndns.org
proto udp
dev tun
ifconfig 192.168.200.2 192.168.200.1
route 192.168.0.0 255.255.255.0
secret "C:\\Program Files (x86)\\OpenVPN\\fritzbox.key"
tun-mtu 1492
float
mssfix
nobind
verb 3
keepalive 10 120

Soweit ist hoffentlich alles richtig?
Wenn ich dann beim kollegen bin, bin ich über wlan im internet, aber ich komme halt nicht auf meine fritz box drauf, und surfe leider nicht über diese.

Könnt ihr mir sagen was ich einstellen muss?
Mfg

 

[frank_m24]

Hallo,

verschoben nach freetz.

Der Thread-Titel ist irreführend, da es gar nicht um das Box VPN geht, sondern um OpenVPN. Erster Beitrag -> Ändern -> Erweitert, dann anpassen.

 

[mehle]

was sagt ping 192.168.200.1 und 192.168.200.2 wenn du den OpenVPN Kanal offen hast?

Ciao
Stephan

 

[Aod]

Hmm, also wen ich die 192.168.200.1 anpinge, kommt nichts durch.
Die 192.168.200.2 kann ich ohne probleme anpingen.

Allerdings bin ich mir nicht mehr so sicher ob er wirklich verbindet.
Mir ist aufgefallen das im gui oben links Connecting stehen bleibt.
Die log zeigt nur das an:

Fri Sep 25 17:37:06 2009 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Fri Sep 25 17:37:06 2009 Static Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Fri Sep 25 17:37:06 2009 Static Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Fri Sep 25 17:37:06 2009 Static Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Fri Sep 25 17:37:06 2009 Static Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Fri Sep 25 17:37:06 2009 ROUTE default_gateway=192.168.2.1
Fri Sep 25 17:37:06 2009 TAP-WIN32 device [LAN-Verbindung 2] opened: \\.\Global\{16A777A7-B462-4C50-958D-DB7D605D3B78}.tap
Fri Sep 25 17:37:06 2009 TAP-Win32 Driver Version 9.6
Fri Sep 25 17:37:06 2009 TAP-Win32 MTU=1500
Fri Sep 25 17:37:06 2009 Notified TAP-Win32 driver to set a DHCP IP/netmask of 192.168.200.2/255.255.255.252 on interface {16A777A7-B462-4C50-958D-DB7D605D3B78} [DHCP-serv: 192.168.200.1, lease-time: 31536000]
Fri Sep 25 17:37:06 2009 Successful ARP Flush on interface [17] {16A777A7-B462-4C50-958D-DB7D605D3B78}
Fri Sep 25 17:37:06 2009 Data Channel MTU parms [ L:1544 D:1450 EF:44 EB:4 ET:0 EL:0 ]
Fri Sep 25 17:37:06 2009 Local Options hash (VER=V4): '1db64539'
Fri Sep 25 17:37:06 2009 Expected Remote Options hash (VER=V4): '27d76c6d'
Fri Sep 25 17:37:06 2009 Socket Buffers: R=[8192->8192] S=[8192->8192]
Fri Sep 25 17:37:06 2009 UDPv4 link local: [undef]
Fri Sep 25 17:37:06 2009 UDPv4 link remote: 217.255.157.167:1194

Was mir auch komisch vorkommt ist, das wenn ich unter freetz in vpn von "statischer Schlüssel" auf "Zertifikate" stelle, startet der vpn dienst nicht mehr.
Und wenn ich unter einstellungen -> vpn irgend was einstellen will, steht überall das keine zugriffs rechte vorhanden sind.

Ich hoffe ihr könnt mir weiterhelfen, alleine komme ich hier nicht weiter, da ich noch totaler vpn neuling bin

 

[mehle]

Dein Log zeigt, dass keine Verbindung erstellt wurde. Es muss ein log-Eintrag mit "initiated" am Ende erscheinen. Im Moment will dein Client sich verbinden (er sendet Daten raus) aber der Server antwortet nicht.

re: Zertifikate - hast du Zertifikate eingetragen?

re: Zugriffsrechte: siehe Freetz-Wiki

Ciao
Stepan

 

[Aod]

-Zertifikate
Also ich habe bei denn ganzen VPN sachen wie:
OpenVPN: Box Cert
OpenVPN: Private Key
OpenVPN: CA Cert
OpenVPN: CRL
OpenVPN: DH Param

nichts eingetragen. Dort steht überall Konfiguration in der aktuellen Sicherheitsstufe nicht verfügbar!

Bei OpenVPN: Static Key ist allerdings was eingetragen, und das habe ich in der datei gespeichert:
secret "C:\\Program Files (x86)\\OpenVPN\\fritzbox.key"

-Zugriffsrechte
Dazu finde ich nur Diesen eintrag

Dort steht:
echo x > /tmp/flash/security
modsave
# with x being one of the following values:
# 0 : no restrictions
# 1 : only configuration files without shell commands might be edited
# 2 : no configuration files might be edited

Allerdings bringt mich das nicht weiter, da ich nicht weiß wie und wo ich was eingeben muss.

Eins ist mir allerdings aufgefallen, undzwar steht hier Unter Port Weiterleitung
Das eine forwardruleerstellt werden muss.
Das Format dafür ist: <Protokoll> <In IP>:<In IP-Port> <Out IP >:<Out IP-Port> Hier ist das erste "0.0.0.0" jeweils alles eingehende das zweite "0.0.0.0" steht für "die Box selbst". Der "ausgehende" Port ist hier wie der eingehende der Standardport von OpenVPN: 1194

Ich habe das jetzt mal in die forwarrules eingetragen, unter AVM firewall.
Heist das allerdings auch das ich der box die virutelle ip 0.0.0.0 geben muss?
Oder muss nur in der rule 0.0.0.0 stehen und die box kann die virutelle ip 192.168.0.254 behalten?

NACHTRAG:
Ok, ich habe mal ein paar sachen probiert. Ich habe jetzt in der AVM firewall die rule 0.0.0.0 eingetragen, und der box die virtuelle ip 192.168.200.254 gegeben.
Wenn ich jetzt beim kollegen bin und dort ins internet gehe, und dann OpenVPN gui starte, verbindet der client sich erfolgreich.
Ich kann sowohl 192.168.200.1 als auch 192.168.200.2 anpingen.
Wenn ich die 192.168.200.1 im browser angebe komme ich auch auf meine fritzbox drauf.

So, nun nur noch das letzte problem, wie stelle ich es ein, das dann nur die vpn verbindung über die internetverbindung meines kollegen geht, aber dann sämtlicher internet verkehr über meine box geht? Also übers vpn?

 

[MaxMuster]

Hi,

Nur über das VPN ins Internet geht so: "Per Hand" in der Client-Config mit "redirect-gateway" oder, wenn der Client die Infos vom Server erhält (push/pull), im Server "Clientverkehr umleiten" anwählen, das schickt den "redirect-gateway"-Befehl dann per push mit zum Client.

Jörg

 

[Aod]

Hi Leute,
an dieser stelle möchte ich mich mal kurz für eure hilfe bedanken.

Inzwischen habe ich es hinbekommen und es läuft alles soweit
Im grunde war mein erster fehler, das ich überlesen habe das die port freigabe für vpn auf der box mit 0.0.0.0 sein muss.

Und durch MaxMusters tipp mit "redirect-gateway" war ich schon fast am ziel.
An dieser stelle möchte ich aber für die nachwelt noch denn hinweiß geben, das wenn ich auf der client seite in der config "redirect-gateway" eintrage, das ganze keine auswirkung hat.
Ich habe mit etwas hilfe von google rausgefunden das ich in der client config "redirect-gateway def1" eingeben musste. Erst dadurch läuft bei mir jetzt der internet verkehr übers vpn.

Also danke für die tipps, läuft alles

 

[MaxMuster]

Moin,

nur zur Klärung: Mit dem Zusatz "def1" wird die Defaultroute nicht mit dem Standard 0.0.0.0/0 überschrieben, sondern es werden "zwei halbe Defaultrouten" (0.0.0.0/1 und 128.0.0.0/1) eingetragen.

def1 Use this flag to override the default gateway by using 0.0.0.0/1 and 128.0.0.0/1 rather than 0.0.0.0/0. This has the benefit of overriding but not wiping out the original default gateway.

Da die Nutzung von def1 "highly recommended" ist, werde ich das für die nächste Version als Standard mit aufnehmen...

Jörg