OpenVPN ?Subnet/Routing? Problem

[sebi2112]

Hi,
Habe gerade mein erstes VPN eingerichtet habe aber noch ein paar Probleme da ich mich mit Subnets und Routung nich so auskenne...
Hier erstmal meine Config:

Server:

port 1194
proto udp
dev tun0
ca /tmp/openvpn/ca.crt
cert /tmp/openvpn/cert.pem
key /tmp/openvpn/key.pem
dh /tmp/openvpn/dh.pem
server 172.16.2.0 255.255.255.0
push "route 10.168.1.0 255.255.255.0
keepalive 10 120
comp-lzo
persist-key
persist-tun
verb 3

Client:

client
dev tun
proto udp
remote ******* 1194
;remote ******** 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca "C:/Program Files (x86)/OpenVPN/easy-rsa/keys/OpenVPN_CA.crt"
cert "C:/Program Files (x86)/OpenVPN/easy-rsa/keys/OpenVPN_Client1.crt"
key "C:/Program Files (x86)/OpenVPN/easy-rsa/keys/OpenVPN_Client1.pem"
ns-cert-type server
comp-lzo
verb 3
pull

OpenVPN Client Log:

Mon Jul 26 10:52:15 2010 OpenVPN 2.1.1 i686-pc-mingw32 [SSL] [LZO2] [PKCS11] built on Dec 11 2009
Mon Jul 26 10:52:15 2010 NOTE: OpenVPN 2.1 requires '--script-security 2' or higher to call user-defined scripts or executables
Mon Jul 26 10:52:15 2010 LZO compression initialized
Mon Jul 26 10:52:15 2010 Control Channel MTU parms [ L:1542 D:138 EF:38 EB:0 ET:0 EL:0 ]
Mon Jul 26 10:52:15 2010 Data Channel MTU parms [ L:1542 D:1450 EF:42 EB:135 ET:0 EL:0 AF:3/1 ]
Mon Jul 26 10:52:15 2010 Local Options hash (VER=V4): '41690919'
Mon Jul 26 10:52:15 2010 Expected Remote Options hash (VER=V4): '530fdded'
Mon Jul 26 10:52:15 2010 Socket Buffers: R=[8192->8192] S=[8192->8192]
Mon Jul 26 10:52:15 2010 UDPv4 link local: [undef]
Mon Jul 26 10:52:15 2010 UDPv4 link remote: 62.143.111.28:1194
Mon Jul 26 10:52:16 2010 TLS: Initial packet from 62.143.111.28:1194, sid=8a362202 2b292bb2
Mon Jul 26 10:52:16 2010 VERIFY OK: depth=1, /C=DE/ST=NRW/L=_x00M_x00_xFC_x00n_x00s_x00t_x00e_x00r/CN=_x00O_x00p_x00e_x00n_x00V_x00P_x00N_x00__x00C_x00A
Mon Jul 26 10:52:16 2010 VERIFY OK: nsCertType=SERVER
Mon Jul 26 10:52:16 2010 VERIFY OK: depth=0, /C=DE/ST=NRW/L=_x00M_x00_xFC_x00n_x00s_x00t_x00e_x00r/CN=_x00O_x00p_x00e_x00n_x00__x00V_x00P_x00N_x00__x00S_x00e_x00r_x00v_x00e_x00r
Mon Jul 26 10:52:16 2010 Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Mon Jul 26 10:52:16 2010 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Mon Jul 26 10:52:16 2010 Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Mon Jul 26 10:52:16 2010 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Mon Jul 26 10:52:16 2010 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Mon Jul 26 10:52:16 2010 [Open_VPN_Server] Peer Connection Initiated with 62.143.111.28:1194
Mon Jul 26 10:52:19 2010 SENT CONTROL [Open_VPN_Server]: 'PUSH_REQUEST' (status=1)
Mon Jul 26 10:52:19 2010 PUSH: Received control message: 'PUSH_REPLY,route 10.168.1.0 255.255.255.0,route 172.16.2.1,topology net30,ping 10,ping-restart 120,ifconfig 172.16.2.6 172.16.2.5'
Mon Jul 26 10:52:19 2010 OPTIONS IMPORT: timers and/or timeouts modified
Mon Jul 26 10:52:19 2010 OPTIONS IMPORT: --ifconfig/up options modified
Mon Jul 26 10:52:19 2010 OPTIONS IMPORT: route options modified
Mon Jul 26 10:52:19 2010 ROUTE default_gateway=192.168.0.1
Mon Jul 26 10:52:19 2010 TAP-WIN32 device [LAN-Verbindung 3] opened: \\.\Global\{2298ACA0-AF4A-4AAE-926D-4097B96A1E5D}.tap
Mon Jul 26 10:52:19 2010 TAP-Win32 Driver Version 9.6
Mon Jul 26 10:52:19 2010 TAP-Win32 MTU=1500
Mon Jul 26 10:52:19 2010 Notified TAP-Win32 driver to set a DHCP IP/netmask of 172.16.2.6/255.255.255.252 on interface {2298ACA0-AF4A-4AAE-926D-4097B96A1E5D} [DHCP-serv: 172.16.2.5, lease-time: 31536000]
Mon Jul 26 10:52:19 2010 Successful ARP Flush on interface [51] {2298ACA0-AF4A-4AAE-926D-4097B96A1E5D}
Mon Jul 26 10:52:24 2010 TEST ROUTES: 2/2 succeeded len=2 ret=1 a=0 u/d=up
Mon Jul 26 10:52:24 2010 C:\WINDOWS\system32\route.exe ADD 10.168.1.0 MASK 255.255.255.0 172.16.2.5
Mon Jul 26 10:52:24 2010 ROUTE: CreateIpForwardEntry succeeded with dwForwardMetric1=30 and dwForwardType=4
Mon Jul 26 10:52:24 2010 Route addition via IPAPI succeeded [adaptive]
Mon Jul 26 10:52:24 2010 C:\WINDOWS\system32\route.exe ADD 172.16.2.1 MASK 255.255.255.255 172.16.2.5
Mon Jul 26 10:52:24 2010 ROUTE: CreateIpForwardEntry succeeded with dwForwardMetric1=30 and dwForwardType=4
Mon Jul 26 10:52:24 2010 Route addition via IPAPI succeeded [adaptive]
Mon Jul 26 10:52:24 2010 Initialization Sequence Completed

Das Problem ist das ich den Server weder auf seiner VPN IP noch auf seiner Heimnetzwerk IP anpingen kann...
Bis gestern hat es noch einwandfrei funktioniert bis ich etwas an den Routen rumgespielt habe... die Habe ich aber mitlerweile wieder zurückgesetzt aber irgentwas muss ich wohl kaputt gemacht haben. Wär echt super wenn mir jemand helfen kann und den Fehler findet!
Zweite Frage. Bis gestern konnte ich den Server unter seiner VPN IP wie seiner Heimnetz IP anpingen. Wie schaffe ich es das ich auch auf Rechner im Heimnetz des Routers/VPN Server zugreifen kann bzw sie anpingen kann das hat nämlich nicht funktioniert.

Danke an alle die sich hier durchwühlen! Weiß zwar einiges aber so spezielle Netzwerk Sachen wie Subnets und Routing und so hab ich bisher nie gebraucht und ich Blick da nich so ganz durch.

sebi2112

 

[icebeer]

Hast Du die Route auf dem Server auch freigegeben? Also sowas in die Richtung:

iptables -t nat -F POSTROUTING
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -o eth0 -s 172.16.2.0 -j MASQUERADE

Ich gebe allerdings keine Garantie, dass der Code oben der richtige ist. Ich nutze OpenVPN lediglich, um aus öffentlichen (WLAN-)Netzwerken heraus sicher zu surfen. Du scheinst aber zwei interne (?) Netzwerke verbinden zu wollen?

 

[sebi2112]

Ich möchte von Unterwegs auf mein NAS zugreifen.

Also

Client ---(Tunnel--(Internet))--->DDWRT Router mit OpenVPN Server--->Heimnetzwerk mit NAS


Route freigegeben habe ich nicht müsste OpenVPN aber eigentlich auch automatisch machen...

 

[icebeer]

Ich hoffe, dass Du Dir davon keine allzu hohen Geschwindigkeiten erhoffst. Mehr als ein bis höchsten zwei Mbit/s würde ich von einem DD-WRT-Router da jedenfalls nicht erwarten. OpenVPN ist recht ressourcenhungrig und das SMB-Protokoll nicht gerade das schnellste...

Wenn es nur darum gehen soll mal die eine oder andere Datei zu holen, würde ich eher einen SSH-Tunnel aufbauen und die Files dann über das Webinterface des NAS holen. Das dürfte etwas performanter sein.

 

[sebi2112]

hohe Geschwindigkeiten werden ja eh schon durch den Upload der Internet Verbindung begrenzt. Es geht eher darum Dokumente immer zur Verfügung zu haben...

 

[hostile]

Wenn du nicht mal die VPN-Server-IP anpingen kannst, ist da ja was ganz im Argen. Wie sieht denn die Routing-Tabelle auf dem Client aus? Hast du ne FW auf dem Router?

IP-Forwarding ist bereits eingeschaltet, sonst würde er nicht mal Pakete vom LAN (wo das NAS steht) ins Internet routen. Maskieren muss man da auch nix. Eigentlich musst du dem Client nur sagen, dass dein NAS-LAN (10.168.0.0 schätz ich mal) über die VPN-Server-IP (Gateway) erreichbar ist. Über welches IF dein VPN-Server erreichbar ist, weiss dein Client-PC anhand der Routing-Tabelle. Wenn das Paket am VPN-Server angekommen ist, dann weiss der Router anhand seiner Routing-Tabelle, dass das NAS-LAN bei ihm angeschlossen ist und stellt das Paket zu. Auf dem weg zurück muss dein NAS ein Default-GW (Dein Router) oder eine Route haben, damit er das Antwort-Paket losschicken kann. Im Falle 2 muss dein NAS wissen, dass dein VPN-LAN über Gateway "Router-IP-Adresse" erreichbar ist. Am Router angekommen, weiss der Router ja, dass der Client über das VPN-IF erreichbar ist und schickt es da raus.


gruß
hostile

 

[sebi2112]

So mein erstes Problem ist schonmal gelöst.
Weiß der Geier wieso aber aus dem Heimnetz meiner Freundin kann ich meinen OpenVPN Server nicht anpingen. Aus der Uni gehts! Netzkonflikt kann es nicht sein sie hat als Heimnetz 192.168.1.0.

Mein einziges verbleibendes Problem ist, das ich bisher nur meinen OpenVPN Server/Router auf seiner VPN IP sowie seiner Lan IP anpingen kann, nicht aber mein NAS was hinter dem Router hängt. Weis da jemand was ich umstellen muss?

 

[hostile]

Wie sieht die Routing-Tabelle von deinem NAS aus?

gruß
hostile