Eigen vpn-server met DD-WRT Router

[Sinna]

Op basis van de huidige situatie zoals door TS geschetst:

• In Mijn Telenet een port forward instellen voor 1194/udp naar 192.168.0.200. DMZ is niet nodig!
• Op de PC die via 3G verbonden is, de VPN-verbinding initiëren naar 86.128.76.210

Het LAN-gedeelte van de DD-WRT wordt niet gebruikt.
Door de port forward in te stellen krijg je géén toegang tot de web interface van de DD-WRT, tenzij via VPN verbonden.

[Sasuke]

Lijkt me nog altijd niet de volledige situatie ? Waar staat de NAS en met welk IP ? Als je de vpn verbinding zoals hierboven beschrijft ga je waarschijnlijk enkel toegang krijgen tot resources in het LAN gedeelte van je router waar vermoedelijk niks staat ?

Dus graag even puntje 1 en 5 herlezen van mijn eerdere post en de volledige informatie bezorgen. En just FYI ... Over 3G en met VPN ga je niet veel kunnen doen hoor of is dat om te testen thuis ?

[smikkeltjen]

Lijkt me nog altijd niet de volledige situatie ? Waar staat de NAS en met welk IP ? Als je de vpn verbinding zoals hierboven beschrijft ga je waarschijnlijk enkel toegang krijgen tot resources in het LAN gedeelte van je router waar vermoedelijk niks staat ?

Van zodra de VPN-verbinding in de situatie zoals hierboven beschreven lukt, is mijn probleem opgelost en moet ik enkel nog de toestellen die ik wil bereiken op de DD-WRT aansluiten hé. Of komt er toch meer bij kijken?

Over 3G en met VPN ga je niet veel kunnen doen hoor of is dat om te testen thuis ?

Dat was inderdaad gewoon om te testen. Verbinden via Wifree, Homespot, netwerk buren... had ik ook kunnen doen

Op basis van de huidige situatie zoals door TS geschetst:

• In Mijn Telenet een port forward instellen voor 1194/udp naar 192.168.0.200. DMZ is niet nodig!

En wat als ik toch (als was het maar tijdelijk) met PPTP wil werken i.p.v. met OpenVPN?
(De server stond eigenlijk daar al terug op ingesteld via de tutorial uit mijn eerste post)
Of gaat dat niet lukken?

[Sasuke]

Dan zou ik het inderdaad gewoon doen zoals hierboven. OpenVPN activeren op je DD-WRT, juiste poort(en) openzetten op MijnTelenet (geen DMZ gebruiken). En dan connecteren naar het WAN IP van je TelenetModem.

Je zou dan op je client/PC een IP adres moeten krijgen in het LAN gedeelte van je DD-WRT (192.168.1.1) en dan moet je naar alles kunnen connecteren dat achter je router staat.

Succes !

[smikkeltjen]

Dat had ik al geprobeerd enkele posts geleden, exact zoals beschreven hierboven (op het gebruik van dmz na omdat ik niet wist wat nu de juiste poorten waren om te forwarden), maar zonder succes.
En dan zou ik ook nog een manier moeten vinden om in te loggen met gebruikersnaam en wachtwoord i.p.v. met certificaten.

[Sasuke]

'Wat werkte er niet' ..; kreeg je een error in de VPN client, of kon je wel verbinden maar kreeg je geen IP of kon je niet naar je NAS ... ??

Echt man ... je hebt nu al een hoop posts geschreven maar nooit geef je de volledige informatie. Just a quick question, wanneer je die PC met je GSM verbind (3G) kan je dan surfen over 3G met die PC, én is hij zeker niet meer verbonden (met kabel) met je thuisnetwerk hé ?

In ieder geval ... honderden UB'ers zijn je al voorgegaan en in weze is OpenVPN hetzelfde qua setup (voor Telenet) als dat je een webserver naar buiten toe wil exposen.

[smikkeltjen]

In de desbetreffende post (open linkje) had ik gezegd dat de client (188.189.30.205, dus zeker niet verbonden met het thuisnetwerk) bij het verbinden telkens een connection time-out geeft. Ik weet dat dit heel vaag is, maar meer gedetailleerde kan ik in de logs ook niet vinden. Het feit dat er een connection time-out optreedt en niet iets dat explicitiet duidt op de VPN-server die onvindbaar is, deed mij gewoon denken aan het pingen dat ook een time-out geeft in plaats van "destination host unreachable", maar dat heeft klaarblijkelijk alleen maar voor verwarring gezorgd.

Mijn vraag is dus waar ik de relevante info (op de vpn-client of eventueel op de server) kan vinden om te achterhalen wat er fout gaat, want aan de opstelling zelf lijkt mij niks verkeerd

[Sasuke]

als ge die fout krijgt, staat de poort niet open. Is de poort effectief geforward naar het WAN IP van je DD-WRT ? (dus het 0.200 adres ... ? zeker niet 1.100 hé !)

[smikkeltjen]

Dat is zeker in orde.
Kan het misschien niet aan de sleutels liggen? Want de uitleg doet hier iets raars naar mijn mening.

Links is wat de uitleg zegt dat je moet ingeven in de velden, rechts zijn de velden die bij mij beschikbaar zijn.
En dit zijn de bestanden met sleutels die ik heb:

• ca.crt
• ca.key
• dh1024.pem
• client.crt
• client.csr
• client.key
• server.crt
• server.csr
• server.key

Iemand die weet wat waar moet ingegeven worden, of is het zoals het links staat toch juist?

[Sasuke]

CA cert ==> ca.crt
Public Server cert ==> server.crt
Private key ==> server.key
DH PEM ==> dh1024.pem

That's it ... de client.crt en client.key heb je nodig op je PC in de OpenVPN client.

[Sasuke]

Maar als het certificate gebonden zou zijn dan zou ofwel de OpenVPN daemon niet starten op je router (en komt de poort niet open), of ga je op client foutmeldingen krijgen ivm. certificaten (en dus niet connection timed out).

Nu, dat je een timeout krijgt ipv refused wil bedoelen dat de poort openstaat op je Telenet router, maar zegt dus niks over je DD-WRT. Die heeft ook een firewall, zet die automatisch de OpenVPN poort open in de firewall als je OpenVPN Daemon inschakelt (geen flauw idee ...)

[smikkeltjen]

We zijn al een stapje dichterbij denk ik : de OpenVPN GUI op de client pc (mijn pc die met het 3G-netwerk verbonden is ) maakt al verbinding met de VPN-server (als ik de DD-WRT uitschakel, wordt de verbinding meteen verbroken, dus da lijkt mij ok).
Het probleem was dat bij OpenVPN Config (waar op de linkse foto "see below" staat, naar het TCP-protocol werd gevraagd, terwijl ik op alle andere plaatsen UDP had ingevuld.
Toch duikt er weer een nieuw probleem op: bij de verbinding verschijnt: "toegewezen ip is 10.8.0.6" en wanneer ik mijn ip opzoek (via whatsmyip ofzo), staat er nog altijd 188.189.30.205 (de ip van mijn gsm).
Die 10.8.0.6 is blijkbaar iets van OpenVPN zelf.
Moet ik hieronder de logs plaatsen?

[Sasuke]

Dat IP kan correct zijn hoor. Je zou nu naar het 192.168.1.0 netwerk moeten kunnen verbinden. Probeer eens te pingen naar je NAS ?

[smikkeltjen]

Zoals verwacht geeft pingen naar de nas een time-out.
Omdat ik op mijn pc geen nieuwe netwerkadapter zie (wat normaal wel moet denk ik, of niet?) heb ik geprobeerd mijn gsm als client te gebruiken via de openVPN-applicatie. De verbinding wordt tot stand gebracht en het VPN-teken verschijnt bovenaan mijn scherm, maar nog steeds is mijn ip (via whatsmyip) 188.189.30.205. In de applicatie zelf staat:

• VPN IPv4: 10.8.0.6
• VPN IPv6: leeg
• user: leeg
• client IP: leeg
• server: 86.128.76.210
• server IP: 86.128.76.210
• port: 1194
• Protocol: UDPv4

Zou de fout niet weer in OpenVPN Config op de DD-WRT verscholen zitten? Dit is wat er momenteel in staat:

push &#-109;route 192.168.1.1 255.255.255.0&#-108;
server 10.8.0.0 255.255.255.0

dev tun0
proto udp
keepalive 10 120
dh /tmp/openvpn/dh.pem
ca /tmp/openvpn/ca.crt
cert /tmp/openvpn/cert.pem
key /tmp/openvpn/key.pem

# Only use crl-verify if you are using the revoke list &#-106; otherwise leave it commented out
# crl-verify /tmp/openvpn/ca.crl

# management parameter allows DD-WRT&#-110;s OpenVPN Status web page to access the server&#-110;s management port
# port must be 5001 for scripts embedded in firmware to work
management localhost 5001

De configuratie van de client is

client
dev tun
proto udp
remote 86.128.76.210 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
remote-cert-tls server
comp-lzo
verb 3

[Sasuke]

Wat je zie op je client is normaal. Dat het IP nog dat van je 3G is, is omdat je OpenVPN in SplitTunnel staat by default en dan moeten de VPN routes gedefinieerd worden (in leken termen). Echter is de route inderdaad niet goed gedefinieerd, staan precies wat rare tekens in de config.

Vervang push &#-109;route 192.168.1.1 255.255.255.0&#-108; door
push "route 192.168.1.0 255.255.255.0" (opgelet! quotes) of gewoon route 192.168.1.0 255.255.255.0 (zonder quotes)

en probeer opnieuw.

[smikkeltjen]

Bij de Firewall commands op de DD-WRT heb ik ook die speciale tekens

Code: Selecteer alles

iptables -I INPUT 1 -p udp &#-106;dport 1194 -j ACCEPT
iptables -I FORWARD 1 &#-106;source 192.168.1.0/24 -j ACCEPT
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT

Vervangen door...?

Code: Selecteer alles

iptables -I INPUT 1 -p udp dport 1194 -j ACCEPT
iptables -I FORWARD 1 source 192.168.1.0/24 -j ACCEPT
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT

In ieder geval, mocht het hierna nog steeds niet werken, is het misschien beter dat ik het maar voor beken houdt.
Iedereen, Sasuke in het bijzonder, ontzettend bedankt voor het mee helpen denken en het eindeloze geduld dat jullie met mij gehad hebben.
Mijn manier van uitleggen was achteraf gezien niet overal even duidelijk, waarvoor mijn oprechte excuses.

Groetjes en heel veel succes toegewenst met het bieden van hulp bij de iets (waarschijnlijk veel) nuttigere vragen dan de mijne
smikkeltjen

[Sasuke]

ja ik zou dat doen. Je hebt die dingen vermoedelijk vanaf een webpagine gecopieerd en dan durft er al wel eens een vertaling gebeuren