OpenVPN - TLS Handshake failed :-(

[altmetaller]

Hallo,

im Gartenhaus steht ein Router, der ein Android-Handy als Modem nutzt (Tethering). Dieser Router soll eine OpenVPN-Verbindung zu meiner pfSense aufbauen und deren Netze (LAN und DMZ) im Gartenhaus erreichbar machen.

Die Konfiguration auf der pfSense:

login-to-view
login-to-view
login-to-view
login-to-view

Die Konfigurationsdatei für den Router:

client

dev tunproto udp
remote meinepfsense.zapto.org 1194
resolv-retry infinite
nobind
persist-key
persist-tun

<ca>
-----BEGIN CERTIFICATE-----
Zertifikat von der CA (pfSense)
-----END CERTIFICATE-----
</ca>

<cert>
-----BEGIN CERTIFICATE-----
Client Zertifikat
-----END CERTIFICATE-----
</cert>

<key>
-----BEGIN PRIVATE KEY-----
Client privater Key
-----END PRIVATE KEY-----
</key>

remote-cert-tls server
key-direction 1
auth SHA256

<tls-auth>
-----BEGIN OpenVPN Static key V1-----
TLS-Key
-----END OpenVPN Static key V1-----
</tls-auth>

data-ciphers-fallback AES-256-CBC
verb 3

Im Gartenhaus erhalte ich folgende (Fehler-)Meldung:

login-to-view

Das Pendant auf dem Router:

Jul 30 14:55:29 	openvpn 	22412 	109.42.115.56:5677 TLS Error: TLS handshake failed
Jul 30 14:55:29 	openvpn 	22412 	109.42.115.56:5677 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity) 

Ich habe den TLS-Schlüssel (in meinem Beispiel unkenntlich gemacht) habe ich diesen per Cut and Paste aus dem Webinterface der pfSense gezogen und in die Konfigurationsdatei kopiert.

Die pfSense hängt als exposed Host an der FRITZ!Box. Laut Firewallregeln wird nichts geblockt (ich habe 1194 UDP eingehend freigegeben). Der OpenVPN Server ist für andere Clients erreichbar.

Kurzum: Ich sehe den Wald vor Bäumen nicht :-(

Gruß,
Jörg

[viragomann]

@altmetaller
Hallo,

ich würde erstmal überprüfen, ob die Pakete überhaupt am Server ankommen.
Entweder das Logging in der Firewall Regel und ebenfalls das der Default-Deny Regel aktivieren und dann schauen, ob die Public IP des Handys im Log auftaucht.
Oder besser mit Packet-Capture, wenn du auf beide Geräte gleichzeitig zugreifen kannst.

Wenn da was ankommt, sollte auch was im VPN log zu finden sein.
Ggf. den Verbosity Level auf Server und Client (verb) auf zumindest 4 erhöhen.

[altmetaller]

@viragomann said in OpenVPN - TLS Handshake failed :-(:

ich würde erstmal überprüfen, ob die Pakete überhaupt am Server ankommen.

Naja - wenn ich eine Fehlermeldung vom Server quote, werden sie das wohl…

Ich habe inzwischen - nach vielem Herumprobieren - eine funktionierende Konfiguration. Case closed.