OpenVPN - Tunnel steht, aber keine Verbindung (Ping etc)

Phantom1410 · 8 Nov. 2007

Hallo,

ich hoffe ich poste in die richtige Kategorie...

Hier erstmal mein Szenario:

Ich habe 2 Netzwerke. Ein Netzwerk A mit 192.168.2.0 / 255.255.255.0, sowie das Netzwerk B mit dem gleichen IP-Rang und Maske. Nur diese Netzwerke sind 20km auseinander - also absoult getrennt.

In dem Server-Netzwerk (Netzwerk A):
Server-IP: 192.168.2.1
Router: 192.168.2.2

So, jetzt habe ich nach dem hier zu findenen Tutorial den VPN-Server eingerichtet. Der Server hat folgende config:

Code:

dev tun
ifconfig 10.1.0.1 10.1.0.2
up ./server.up
tls-server
mode server
server 192.168.2.0 255.255.255.0
push "route 192.168.2.0 255.255.255.0"
cipher AES-256-CBC
dh /etc/openvpn/dh2048.pem
ca /etc/openvpn/ca.crt
cert /etc/openvpn/server.crt
key /etc/openvpn/server.key
; port 1194
; user nobody
; group nogroup
status /etc/openvpn/status.log
; comp-lzo
; ping 15
verb 3Jeder Client hat folgende Konfiguration:

Code:

dev tun
remote [DynDNS-Adresse]
pull
tls-client
port 1194
comp-lzo

cipher AES-256-CBC

ca c:\\Programme\\OpenVPN\\config\\ca.crt
cert c:\\Programme\\OpenVPN\\config\\notebook.crt
key c:\\Programme\\OpenVPN\\config\\notebook.key
verb 3

So, jetzt meine Fragen.

Wenn ich den OpenVPN starte, dann ist der Server IM Netzwerk nur noch über VPN erreichbar, ist das normal / richtig? Müssen alle User auch intern einen VPN Client benutzen?

Wenn ich dann auch noch den Client starte und mich NICHT IM NETZWERK A befinde, sondern im Netzwerk B, kommt eine erfolgreiche Verbindung zu stande und ich kann noch im Internet surfen. Doch es funktioniert kein Ping.

Ich habe im Router in Netzwerk A einen Virtual Server (Port forwarding) mit der Regel:

public port 1194
private port 1194
dest ip: 192.168.2.1 (Server im Netzwerk A)

Meine server.up ist genau die gleiche, wie sie im Tutorial steht. Allerdings steht im Tutorial eine seltsame IP-Adresse (10.0.1.0) statt (10.1.0.0). Ist das ein Fehler? Selbst wenn ich die, meiner Meinung nach, richtige IP dort eintrage, bekomme ich keinen Ping. Mache in mit den IPs was falsch?

Code:

#!/bin/bash
route add -net 10.0.1.0 netmask 255.255.255.0 gw $5

Muss ich beim Client noch zwingend eine Route eintragen (Clients sind alle Windows XP - Bei Vista gibt's da auch ein Problem bei automatischen setzen der Route, da keine Rechte vorhanden sind, obwohl ich die cmd.exe mit Admin-Rechten starte)

Wow... das war's erstmal. Ich hoffe hab habe alles genau genug beschrieben

Danke im Voraus!

nbkr · 8 Nov. 2007

Wenn Du in beiden Standorten die gleiche IP Range hast, dann wird das nichts mit der Konfiguration. Du brauchst dann ein "Briged VPN".

Das kann OpenVPN auch: http://openvpn.net/bridge.html

Phantom1410 · 8 Nov. 2007

Ok,

das schaue ich mir an. Ist er normal, dass man NUR NOCH via VPN-Client auf den Server zugreifen kann, sobald der Server läuft?

Reicht mein Portforwarding im Router aus?

nbkr · 8 Nov. 2007

Phantom1410 schrieb:
Ok,

das schaue ich mir an. Ist er normal, dass man NUR NOCH via VPN-Client auf den Server zugreifen kann, sobald der Server läuft?

Nein, das ist nicht normal.

Reicht mein Portforwarding im Router aus?

Ja, müsste soweit passen.

Phantom1410 · 8 Nov. 2007

Hm... und wo liegt das der Konfigurationsfehler? Ich finde ihn leider nicht. Suche schon seit mehreren Tagen!

nbkr · 8 Nov. 2007

Das liegt daran, dass Du das gesamte Netz das Du lokal hast auch als VPN Netz nutzt. Das kommt sich in die Quere. Nimm fürs VPN ein anderes Netz. 192.168.3.0/24 z.B.

Phantom1410 · 8 Nov. 2007

Ok, ich werde jetzt erstmal das Bridging einstellen und eine neue IP-Range einstellen!

Bis danN!

Phantom1410 · 8 Nov. 2007

Ok, jetzt habe ich alles soweit gemacht, dennoch kleine Probleme...

Hier ist meine startbridge.sh

Code:

[Beschränkt auf das Wesentliche]

eth="eth0"
eth_ip="192.168.2.1"
eth_netmask="255.255.255.0"
eth_broadcast="192.168.2.255"

Jetzt starte ich die Brücke und den VPN-Server, die Verbindung kommt zu stande, aber ich habe keinen Zugriff auf das Internet. Demzufolge kann ich auch nur bei der Client.conf eine statische IP, kein DynDNS angeben.

Wie muss meine server.up aussehen, wenn der Server die IP 192.168.2.1 und das Gateway (der Router, der mit dem INet-Verbunden ist) 192.168.2.2 hat.

Achso: An welcher Stelle kann ich für das VPN-Netz einen anderen IP-Bereich wählen?

Wenn ich in der server.conf den Eintrag habe:

Code:

server-bridge 192.168.2.1 255.255.255.0 192.168.3.100 192.168.3.254

Kommt beim Starten die Fehlermeldung, dass es Netzwerke aus verschiedenen Subnetzen sind und der Server startet nicht? Was muss ich genau abändern?

Danke für die Hilfe und Geduld *g*