FritzBox als OpenVPN Client

[löwenfan60]

Nein, ich hab bis jetzt keine Verbindung zu anderen Netzen betrieben! Es ist halt so das ich die Fritzbox mit der IP 192.168.178.1 . Meine Mutter hat ebenfalls eine Fritzbox wo auch die IP 192.168.178.1 ist. Bei meinem Bruder läuft auch ne Fritzbox mit der selben IP. Deshalb dachte ich man kann das so einrichten das ich von mir zuhause aus alle Einstellungen vornehm en könnte und ich nicht jedesmal hinfahren müsste! Was wäre denn das beste dann für mich? So wie wir es zuletuzt hatten?

gruß Rainer

 

[MaxMuster]

Ich versuche es mal anders ;-)

Wenn du als "Postbote der Familie" unterwegs bist, ist es schön, wenn du nicht immer die Komplette Anschrift angeben musst, sondern eine Kurzform. Prima wäre dann:
Oma @ Haus-1
Bruder @ Haus-1
Schwester @ Haus-2
Onkel @ Haus-3
Enkel @ Haus-3

Dann kommen alle Briefe für Haus-1 in einen Umschlag und werden dorthin gebracht, ebenso für die anderen Häuser. Effizient und sicher.
Das ist "Routing"


Warum sollte es leichter sein, alles so zu beschriften:
Oma @ Haus
Schwester @ Haus
Onkel @ Haus

und du kopierst dir dann alle Briefe einmal für jedes Haus und schickst sie in alle Häuser. Dazu muss noch sicher sein, dass es genau einen Onkel gibt, genau eine Schwester ...
Das ist "Bridging"

Du solltest dir also einmal die Mühe machen, an zwei Orten ein anderes Netz zu nutzen. Sinnvoller Weise dort, wo wenige (oder keine) fest eingestellten PCs, Drucker usw. sind, sondern möglichst alles "automatisch" bezogen wird.

Nimm einfach bei einem das Netz 192.168.100.x und bei einem 192.168.101.x.

Das ist einmal Aufwand, aber danach wird alles viel einfacher.

Es ist einfach unmöglich, Netze zu verbinden, in denen die Adressen mehrfach sind. IP Adressen müssen eindeutig sein, da führt nunmal kein Weg dran vorbei.

Die einzige Möglichkeit wäre sonst, dass sich Geräte aus den anderen Netzen direkt mit deiner FB verbinden. Die nutzen dann komplett verschiedene Adressen (z.B. die 192.168.200.x); es kann sich dann aber immer nur das Gerät direkt mit der FB "unterhalten", auf Geräte hinter deiner FB kommen die nicht, denn z.B. ein Server in deinem LAN hat eine Adresse, die der PC "bei sich" im Netz vermuten würde.

Jörg

 

[löwenfan60]

Hallo Jörg, hast recht. Werde es so machen wie du mir rätst! Du meinst also ich soll meine Serverbox die IP 192.168.100.1 und der clientbox die IP 192.168.101.1 geben?! Das heißt ja dann das ich unter den erweiterten Clienteinstellungen die IP der Clientbox eintragen muß? Versteh ich das so richtig? Das ist echt der Wahnsinn so was einzurichten für jemanden wie mich! Für dich ist das sicherlich in 5Min. eingerichtet.

Könntest du mir denn keine Beispiel config für server u. client per PN schicken?
Das wäre echt ne große Hilfe für mich! Ich müsste ja dann auch wissen was für IP`s ich hinter der Clientbox vergeben muß und welche hinter der Sertverbox.

Gruß Rainer

 

[MaxMuster]

Moin,

also zunächst mal geht es um die "normalen" Netze, die in der AVM-GUI einzutragen sind:
Expertenansicht, dann unter Systemeinstellungen -> Netwerk -> IP-Einstellungen -> Button "IP-Adressen"


Hier bei einer Box 192.168.100.1 eintragen, bei der anderen 192.168.101.1 (Netzwerkmaske auf 255.255.255.0 belassen, auch die anderen Einstellungen für DHCP usw nicht verändern, alles ändert sich dabei automatisch richtig mit).

Danach musst du ggf. den PC eine neue IP beziehen lassen, weil sich ja das Netz geändert hat.

Danach sind die lokalen Netze alle unterschiedlich, und du kannst dich dem VPN zuwenden. Einstellung genauso, wie es bisher beschrieben war, es muss nur ggf. noch das Netz und der Zertifikatsname angepasst werden:


Die Config der Clients ist dann identisch, die beziehen alles vom Server ;-)


Jörg

 

[löwenfan60]

Hallo Jörg, danke das du mir ein Beispiel gegeben hast! Wie es aussieht funktioniert es einwandfrei! Im Log tauchen keine Fehler mehr auf. Eine Frage hätte ich noch, muß ich den Geräten hinter der Server bzw. Clientbox IP Adressen des jeweiligen Subnetzes geben oder muß ich ihnen eine aus der VPN Routing geben?

Gruß Rainer

 

[MaxMuster]

Die Geräte in den jeweiligen LANs einer Fritzbox müssen in dem LAN der Fritzbox sein, also entweder die IP automatisch von der Box beziehen über DHCP, oder fest einstellen, so dass bei der Box mit "normaler" IP 192.168.100.1 die PCs z.B. 192.168.100.12, 192.168.100.13 usw haben, jeweils die FB (192.168.100.1) als Gateway und DNS. Wie gesagt, DHCP wäre einfacher ;-)

Die Fritzboxen untereinander regeln dann, dass die jeweiligen anderen LANs durch das VPN erreicht werden.

Wenn du also im oben genannten Netz auf dem PC 192.168.100.12 bist, solltest du 192.168.178.12 anpingen können (wenn es diesen PC denn gibt ;-)) denn die lokale FB "weiß", dass das Netz 192.168.178.x durch das VPN zu erreichen ist.

Die "VPN-IP's" (192.168.200.x) werden nur von den Fritzboxen intern genutzt, für die anderen Geräte ist das Netz "egal".

Jörg

 

[löwenfan60]

Jetzt hab ichs endlich kappiert! Ohne dich hätte ich es aber nie geschafft das einzurichten!:groesste: Bin froh das es endlich läuft. Möchte mich nochmal bedanken für deine Mühe und vor allem für deine Geduld mit mir!!! Jetzt werd ich mich ans nächste Abenteuer stürzen, würde gerne übers Netz auf PC`s und Reciever zugreifen. Was gäbe es da für Möglichkeiten bzw. wo kann ich mich da erst einmal einlesen?

Gruß Rainer

 

[MaxMuster]

Zugriff auf PCs (wenn es Windows ist) geht z.B. indem du die IP des anderen PCs bei der "Suche" (nach Computern) eingibst. Dann sollte der PC (mit seinen Freigaben) gefunden werden. Oder in der "Eingabeaufforderung" kannst du "net use \\192.168.100.12\freigabe" nutzen, um die Freigabe mit Namen "freigabe" auf dem PC mit der IP 192.168.100.12 anzubinden. Evtl. müssen die jeweils anderen Netze noch in der Firewall der PCs "freigeschaltet" werden.

Zugriffe auf andere Dinge laufen eigentlich fast genauso, wie im LAN. Wenn also dein Receiver per HTTP zu erreichen ist, und du im LAN "http://receiver" aufrufst, sollte in den anderen Netzen "http://die.IP.vom.receiver" gehen....
Du must also vermutlich fast immer einfach statt dem Namen nur die IP nutzen (sofern du die nicht sowieso schon genutzt hattest).

Jörg

 

[löwenfan60]

Hallo Jörg, wie kann es sein das bei syslog zuerst die IP meines Clöienten sichtbar 2war und jetzt passiert gar nichts mehr! Kann es sein das die Verbindung unterbrochen wird? Wie kann ich die Verbindung aufrecht erhalten?
Hab mal den log kopiert, hab schon wieder so Linux und Error Einträge

 TCP/UDP: Closing socket
Apr 18 19:02:25 fritz daemon.notice openvpn[7811]: /sbin/route del -net 192.168.100.0 netmask 255.255.255.0
Apr 18 19:02:25 fritz daemon.warn openvpn[7811]: ERROR: Linux route delete command failed: could not execute external program
Apr 18 19:02:25 fritz daemon.notice openvpn[7811]: Closing TUN/TAP interface
Apr 18 19:02:25 fritz daemon.notice openvpn[7811]: /sbin/ifconfig tun0 0.0.0.0
Apr 18 19:02:25 fritz daemon.warn openvpn[7811]: Linux ip addr del failed: could not execute external program
Apr 18 19:02:25 fritz daemon.notice openvpn[7811]: SIGTERM[hard,] received, process exiting
Apr 18 21:02:26 fritz daemon.notice openvpn[9382]: OpenVPN 2.1.1 mipsel-linux [SSL] [LZO2] [EPOLL] [MH] built on Mar 26 2010
Apr 18 21:02:26 fritz daemon.warn openvpn[9382]: NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Apr 18 21:02:26 fritz daemon.notice openvpn[9382]: Diffie-Hellman initialized with 1024 bit key
Apr 18 21:02:26 fritz daemon.warn openvpn[9382]: WARNING: file '/tmp/flash/box.key' is group or others accessible
Apr 18 21:02:26 fritz daemon.notice openvpn[9382]: TLS-Auth MTU parms [ L:1558 D:138 EF:38 EB:0 ET:0 EL:0 ]
Apr 18 21:02:26 fritz daemon.notice openvpn[9382]: TUN/TAP device tun0 opened
Apr 18 21:02:26 fritz daemon.notice openvpn[9382]: TUN/TAP TX queue length set to 100
Apr 18 21:02:26 fritz daemon.notice openvpn[9382]: /sbin/ifconfig tun0 192.168.200.1 netmask 255.255.255.0 mtu 1500 broadcast 192.168.200.255
Apr 18 21:02:26 fritz daemon.notice openvpn[9382]: /sbin/route add -net 192.168.100.0 netmask 255.255.255.0 gw 192.168.200.11
Apr 18 21:02:26 fritz daemon.notice openvpn[9382]: Data Channel MTU parms [ L:1558 D:1450 EF:58 EB:135 ET:0 EL:0 AF:3/1 ]
Apr 18 19:02:26 fritz daemon.notice openvpn[9387]: chroot to '/tmp/openvpn' and cd to '/' succeeded
Apr 18 19:02:26 fritz daemon.notice openvpn[9387]: GID set to openvpn
Apr 18 19:02:26 fritz daemon.notice openvpn[9387]: UID set to openvpn
Apr 18 19:02:26 fritz daemon.notice openvpn[9387]: Socket Buffers: R=[108544->131072] S=[108544->131072]
Apr 18 19:02:26 fritz daemon.notice openvpn[9387]: UDPv4 link local (bound): [undef]
Apr 18 19:02:26 fritz daemon.notice openvpn[9387]: UDPv4 link remote: [undef]
Apr 18 19:02:26 fritz daemon.notice openvpn[9387]: MULTI: multi_init called, r=256 v=256
Apr 18 19:02:26 fritz daemon.notice openvpn[9387]: Initialization Sequence Completed
Apr 18 21:03:35 fritz ftp.info vsftpd[9457]: [root] OK LOGIN: Client "192.168.178.xx"
Apr 18 21:03:35 fritz ftp.info vsftpd[9459]: [root] FAIL CHMOD: Client "192.168.178.xx", "/etc/default.openvpn/openvpn.cfg 755"
Apr 18 21:04:04 fritz ftp.info vsftpd[9459]: [root] FAIL CHMOD: Client "192.168.178.xx", "/etc/default.openvpn/openvpn.cfg 755"
Apr 18 19:05:25 fritz daemon.err openvpn[9387]: event_wait : Interrupted system call (code=4)
Apr 18 19:05:25 fritz daemon.notice openvpn[9387]: TCP/UDP: Closing socket
Apr 18 19:05:25 fritz daemon.notice openvpn[9387]: /sbin/route del -net 192.168.100.0 netmask 255.255.255.0
Apr 18 19:05:25 fritz daemon.warn openvpn[9387]: ERROR: Linux route delete command failed: could not execute external program
Apr 18 19:05:25 fritz daemon.notice openvpn[9387]: Closing TUN/TAP interface
Apr 18 19:05:25 fritz daemon.notice openvpn[9387]: /sbin/ifconfig tun0 0.0.0.0
Apr 18 19:05:25 fritz daemon.warn openvpn[9387]: Linux ip addr del failed: could not execute external program
Apr 18 19:05:25 fritz daemon.notice openvpn[9387]: SIGTERM[hard,] received, process exiting

 

[MaxMuster]

Passiert das einfach so "im laufenden Betrieb"? Eigentlich sollte das so laufen, auch wenn die Clients nicht verbunden sind...

Wenn es weiter auftritt, ändere mal den Verb-Level auf 5, um mehr zu sehen...

Jörg