Routing Openvpn über LTE und Fritzboxen

peter808

…schön, dann wirst Du Dich ja erst mal etwas einarbeiten müssen und das ist nicht in 5 Minuten gemacht.

ok, hatte ich nicht erwähnt. Ich war bereits genau nach der von Dir genannten Anleitung http://www.administrator.de/wissen/openvpn-server-installieren-dd-wrt-router-pfsense-firewall-123285.html vorgegangen.

Hatte auch ein klein wenig länger als 5 Minuten gedauert ;D

@orcape:

Die Zentrale hat eine feste IP oder Zumindest DynDNS, davon gehe ich aus und das reicht auch für eine LAN-to-LAN Kopplung!

Dyndns auf beiden Seiten.

@orcape:

Grundsätzlich brauchst Du, nur auf der Serverseitigen Fritte ein Portforwarding auf den Tunnelport / UDP.

Das hatte ich doch eigentlich schon, indem ich die pfsense in die DMZ gepackt hatte, oder? Habe aber trotzdem nochmals auf beiden Fritten ein UDP-forward auf 1194 der pfsense gesetzt, nun gut.

@orcape:

Wenn Du dann immer noch Fragen hast, solltest Du etwas mehr zu Deiner Config, Routingprotokolle, etc. posten.

Was genau brauch ihr?

@orcape:

Dein Szenario ist auf alle Fälle kein Problem, wenn´s richtig konfiguriert ist.. ;)

Das hört sich doch gut an. Als wir die ipfires vor ein Paar Jahren aufgesetzt hatten, gab es schon Hürden (mithilfe des tollen ipfire-Forums) auf LTE-Seite zu umschiffen (obwohl das damals wohl u.a. auch an den LTE-Anfangsproblemen der Provider lag).

peter808

Zentrale-subnet: 172.23.1.0/24
Einwahl-client-subnet: 172.23.200.0/24
ovpn-subnet: 10.0.8.0/24

Hier mal das ovpn-log von der Zentrale:


Mar 2 17:14:21	openvpn[33444]: Initialization Sequence Completed
Mar 2 17:14:21	openvpn[33444]: IFCONFIG POOL: base=10.0.8.4 size=62, ipv6=0
Mar 2 17:14:21	openvpn[33444]: MULTI: multi_init called, r=256 v=256
Mar 2 17:14:21	openvpn[33444]: UDPv4 link remote: [undef]
Mar 2 17:14:21	openvpn[33444]: UDPv4 link local (bound): [AF_INET]192.168.1.5:1194
Mar 2 17:14:21	openvpn[33444]: /sbin/route add -net 10.0.8.0 10.0.8.2 255.255.255.0
Mar 2 17:14:20	openvpn[33444]: /usr/local/sbin/ovpn-linkup ovpns1 1500 1541 10.0.8.1 10.0.8.2 init
Mar 2 17:14:20	openvpn[33444]: /sbin/ifconfig ovpns1 10.0.8.1 10.0.8.2 mtu 1500 netmask 255.255.255.255 up
Mar 2 17:14:20	openvpn[33444]: do_ifconfig, tt->ipv6=1, tt->did_ifconfig_ipv6_setup=0
Mar 2 17:14:20	openvpn[33444]: TUN/TAP device /dev/tun1 opened
Mar 2 17:14:20	openvpn[33444]: TUN/TAP device ovpns1 exists previously, keep at program end
Mar 2 17:14:20	openvpn[33444]: ROUTE_GATEWAY 192.168.1.1
Mar 2 17:14:20	openvpn[33444]: Socket Buffers: R=[42080->65536] S=[57344->65536]
Mar 2 17:14:20	openvpn[33444]: Diffie-Hellman initialized with 1024 bit key
Mar 2 17:14:20	openvpn[33444]: NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Mar 2 17:14:20	openvpn[33296]: MANAGEMENT: unix domain socket listening on /var/etc/openvpn/server1.sock
Mar 2 17:14:20	openvpn[33296]: library versions: OpenSSL 1.0.1k-freebsd 8 Jan 2015, LZO 2.08
Mar 2 17:14:20	openvpn[33296]: OpenVPN 2.3.6 i386-portbld-freebsd10.1 [SSL (OpenSSL)] [LZO] [MH] [IPv6] built on Dec 1 2014
Mar 2 17:14:19	openvpn[76875]: SIGTERM[hard,] received, process exiting
Mar 2 17:14:19	openvpn[76875]: /usr/local/sbin/ovpn-linkdown ovpns1 1500 1541 10.0.8.1 10.0.8.2 init
Mar 2 17:14:19	openvpn[76875]: Closing TUN/TAP interface
Mar 2 17:14:19	openvpn[76875]: /sbin/route delete -net 10.0.8.0 10.0.8.2 255.255.255.0
Mar 2 17:14:19	openvpn[76875]: event_wait : Interrupted system call (code=4)
Mar 2 17:14:13	openvpn[76875]: MANAGEMENT: Client disconnected
Mar 2 17:14:13	openvpn[76875]: MANAGEMENT: CMD 'quit'
Mar 2 17:14:12	openvpn[76875]: MANAGEMENT: CMD 'status 2'
Mar 2 17:14:12	openvpn[76875]: MANAGEMENT: Client connected from /var/etc/openvpn/server1.sock
Mar 2 17:14:04	openvpn[76875]: openvpn/x.x.x.x:23750 SENT CONTROL [openvpn]: 'PUSH_REPLY,route 172.23.1.0 255.255.255.0,route 172.23.200.0 255.255.255.0,route 172.23.1.0 255.255.255.0,route 10.0.8.1,topology net30,ping 10,ping-restart 60,ifconfig 10.0.8.6 10.0.8.5' (status=1)
Mar 2 17:14:04	openvpn[76875]: openvpn/x.x.x.x:23750 send_push_reply(): safe_cap=940

Und vom entfernten client:


Mar 2 17:14:05	openvpn[61051]: Initialization Sequence Completed
Mar 2 17:14:05	openvpn[61051]: /sbin/route add -net 10.0.8.1 10.0.8.5 255.255.255.255
Mar 2 17:14:05	openvpn[61051]: ERROR: FreeBSD route add command failed: external program exited with error status: 1
Mar 2 17:14:05	openvpn[61051]: /sbin/route add -net 172.23.1.0 10.0.8.5 255.255.255.0
Mar 2 17:14:05	openvpn[61051]: ERROR: FreeBSD route add command failed: external program exited with error status: 1
Mar 2 17:14:05	openvpn[61051]: /sbin/route add -net 172.23.200.0 10.0.8.5 255.255.255.0
Mar 2 17:14:05	openvpn[61051]: /sbin/route add -net 172.23.1.0 10.0.8.5 255.255.255.0
Mar 2 17:14:05	openvpn[61051]: /usr/local/sbin/ovpn-linkup ovpnc1 1500 1541 10.0.8.6 10.0.8.5 init
Mar 2 17:14:05	openvpn[61051]: /sbin/ifconfig ovpnc1 10.0.8.6 10.0.8.5 mtu 1500 netmask 255.255.255.255 up
Mar 2 17:14:05	openvpn[61051]: do_ifconfig, tt->ipv6=1, tt->did_ifconfig_ipv6_setup=0
Mar 2 17:14:05	openvpn[61051]: TUN/TAP device /dev/tun1 opened
Mar 2 17:14:05	openvpn[61051]: TUN/TAP device ovpnc1 exists previously, keep at program end
Mar 2 17:14:05	openvpn[61051]: ROUTE_GATEWAY 192.168.10.1
Mar 2 17:14:04	openvpn[61051]: /usr/local/sbin/ovpn-linkdown ovpnc1 1500 1541 10.0.8.6 10.0.8.5 init
Mar 2 17:14:04	openvpn[61051]: Closing TUN/TAP interface
Mar 2 17:14:04	openvpn[61051]: /sbin/route delete -net 172.23.1.0 10.0.8.5 255.255.255.0
Mar 2 17:14:04	openvpn[61051]: /sbin/route delete -net 10.0.8.1 10.0.8.5 255.255.255.255
Mar 2 17:14:04	openvpn[61051]: NOTE: Pulled options changed on restart, will need to close and reopen TUN/TAP device.
Mar 2 17:14:04	openvpn[61051]: Preserving previous TUN/TAP instance: ovpnc1
Mar 2 17:14:04	openvpn[61051]: OPTIONS IMPORT: route options modified
Mar 2 17:14:04	openvpn[61051]: OPTIONS IMPORT: --ifconfig/up options modified
Mar 2 17:14:04	openvpn[61051]: OPTIONS IMPORT: timers and/or timeouts modified
Mar 2 17:14:04	openvpn[61051]: PUSH: Received control message: 'PUSH_REPLY,route 172.23.1.0 255.255.255.0,route 172.23.200.0 255.255.255.0,route 172.23.1.0 255.255.255.0,route 10.0.8.1,topology net30,ping 10,ping-restart 60,ifconfig 10.0.8.6 10.0.8.5'
Mar 2 17:14:04	openvpn[61051]: SENT CONTROL [internal-ca]: 'PUSH_REQUEST' (status=1)
Mar 2 17:14:02	openvpn[61051]: [internal-ca] Peer Connection Initiated with [AF_INET]x.x.x.x:1194
Mar 2 17:14:02	openvpn[61051]: Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 2048 bit RSA
Mar 2 17:14:02	openvpn[61051]: Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Mar 2 17:14:02	openvpn[61051]: Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Mar 2 17:14:02	openvpn[61051]: Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Mar 2 17:14:02	openvpn[61051]: Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Mar 2 17:14:01	openvpn[61051]: VERIFY OK: depth=0, C=DE, ST=x, L=x, O=x, emailAddress=info@x.com, CN=internal-ca
Mar 2 17:14:01	openvpn[61051]: VERIFY OK: depth=1, C=DE, ST=x, L=x, O=x, emailAddress=info@x.com, CN=internal-ca
Mar 2 17:14:00	openvpn[61051]: TLS: Initial packet from [AF_INET]x.x.x.x:1194, sid=53c880bf cac9663b
Mar 2 17:14:00	openvpn[61051]: UDPv4 link remote: [AF_INET]x.x.x.x:1194
Mar 2 17:14:00	openvpn[61051]: UDPv4 link local (bound): [AF_INET]192.168.10.3

orcape

Hi Peter,
Zertifikate etc. passt alles…
Wenn der Tunnel steht, (Bsp.: Netz 10.10.2.0/24) sollte die IP des Servers 10.10.2.1, des Clients 10.10.2.2 sein.
Ist das nicht der Fall und hat der Client z.B. die 10.10.2.6 hast Du einen config Fehler (Multiclienttunnel, also mehrere Einzelclients). Dann bekommst Du Probleme mit dem Zugriff auf´s remote Netz.
Es ist eigentlich ganz simpel...
Server...
- auf dem WAN-Port der pfsense Regel erstellen
( IPv4 TCP/UDP source/ any Port/ any Destination/ WAN-address Port 1194 Gateway/ any )
- auf dem OpenVPN-Port
( erstellst Du erst mal eine any-to-any Rule Port/ any die Du später mit Tunnel-IP LAN, DMZ etc. modifizierst )
Client seitig läuft bei mir auf 3 Tunneln nur DD-WRT, dürfte auf das gleich rauskommen...

iptables -I INPUT -p udp --dport 1194 -j ACCEPT
iptables -I INPUT -i tun1 -j ACCEPT
iptables -I FORWARD -i br0 -o tun1 -j ACCEPT
iptables -I FORWARD -i tun1 -o br0 -j ACCEPT

…tun1 ist klar und br0 ist das LAN des Client-Routers.

Was die Servereinstellungen angeht dürfte auch klar sein...
peer-to-peer
Interface WAN
Port 1194
tun
udp
Zertifikatseinstellungen
Netze

..unter advanced....
push "route Server-LAN Subnetzmaske";

Bei Client Specific Override….

General information

ca und Client-Name
Tunnelnetz

Client setting

Advanced

iroute remotes Netz Subnetzmaske;

Wenn´s Probleme gibt, per ssh auf Server bzw. Client einloggen…

netstat -rn

gibt das Routingprotokoll aus.
In /var/etc/openvpn liegen die Configs und /var/etc/openvpn-csc ist die ccd also die Client-spezifischen Angaben.
Viel Erfolg…. ;)

Gruß Peter

PS.: sehe gerade, ich glaube Dir fehlen die Client spezifischen Einstellungen. Sonst sieht das erst mal nicht schlecht aus.:)

peter808

@orcape:

Wenn der Tunnel steht, (Bsp.: Netz 10.10.2.0/24) sollte die IP des Servers 10.10.2.1, des Clients 10.10.2.2 sein.
Ist das nicht der Fall und hat der Client z.B. die 10.10.2.6 hast Du einen config Fehler (Multiclienttunnel, also mehrere Einzelclients). Dann bekommst Du Probleme mit dem Zugriff auf´s remote Netz.

Danke erst mal für Deine Hilfe.

Also: alles von Dir angegebene hatte ich (glaube ich), die Sache mit dem Multiclienttunnel verstehe ich aber nicht.

orcape

Also: alles von Dir angegebene hatte ich (glaube ich), die Sache mit dem Multiclienttunnel verstehe ich aber nicht.

Der Eintrag…

client-to-client (hat nichts mit den Clients in Server+Client-LAN zu tun)

…in der Server.conf dient dem Herstellen eines Multiclienttunnels.
Eine Server-Instanz hat mehrere Clients, die sich auch untereinander Verbinden können.
Standort A Server, Standorte B und C Clients. Standort B kann mit C reden etc.
Normaler Tunnel - Server .1 Client .2
Multiclienttunnel - Server .1 .2 Client .5.6 hängt mit den virtuellen Schnittstellen zusammen und wird erweitert
wenn die Clients noch mehr werden.
Frage mich bitte nicht wieso das so ist, habe ich auch so meine negativen Erfahrungen machen müssen.
Man muss nicht immer alles verstehen, funktionieren muss es.:)
Gruß Peter

peter808

@orcape:

Der Eintrag…

client-to-client (hat nichts mit den Clients in Server+Client-LAN zu tun)

…in der Server.conf dient dem Herstellen eines Multiclienttunnels.

Ich stehe wieder ein bisschen auf dem Schlauch. Welchen "Eintrag" meinst Du? In der server1.conf findet sich so ein Eintrag nicht.

orcape

Ich stehe wieder ein bisschen auf dem Schlauch. Welchen "Eintrag" meinst Du? In der server1.conf findet sich so ein Eintrag nicht.

…den Eintrag benötigst Du nur, wenn Du an einem OpenVPN-Server mehrere OpenVPN-Clients betreibst und wenn diese -Clients miteinander kommunizieren sollen.
Das betrifft nicht Dein Szenario. Du verbindest nur 2 Netze über den Tunnel.
Da Du damit aber...
zum Bsp.: Client 3 vom Netz 192.168.23.0/24
mit Client 2 vom Netz 172.19.48.0/24
..verbinden kannst, wird....
client-to-client
…häufig falsch interpretiert und findet dann in einer Server.conf Verwendung, wo das gar nicht angebracht ist.
Also bei Dir, alles Tacco, Deine Config braucht kein client-to-client.
War wohl alles bissl viel auf ein mal…. ;D
Gruß Peter

peter808

netstat -rn sagt:

Routing tables

Internet:
Destination        Gateway            Flags      Netif Expire
default            192.168.1.1        UGS         em1
10.0.8.0/24        10.0.8.2           UGS      ovpns1
10.0.8.1           link#8             UHS         lo0
10.0.8.2           link#8             UH       ovpns1
127.0.0.1          link#6             UH          lo0
172.23.1.0/24      link#2             U           em0
172.23.1.1         link#2             UHS         lo0
172.23.200.0/24    10.0.8.2           UGS      ovpns1
192.168.1.0/24     link#3             U           em1
192.168.1.1        00:11:0a:53:3f:9b  UHS         em1
192.168.1.2        link#3             UHS         lo0

Internet6:
Destination                       Gateway                       Flags      Netif                                               Expire
::1                               link#6                        UH          lo0
fe80::%em0/64                     link#2                        U           em0
fe80::211:aff:fe53:3f9a%em0       link#2                        UHS         lo0
fe80::%em1/64                     link#3                        U           em1
fe80::211:aff:fe53:3f9b%em1       link#3                        UHS         lo0
fe80::%lo0/64                     link#6                        U           lo0
fe80::1%lo0                       link#6                        UHS         lo0
fe80::%ovpns1/64                  link#8                        U        ovpns1
fe80::230:5ff:fe20:9516%ovpns1    link#8                        UHS         lo0
ff01::%em0/32                     fe80::211:aff:fe53:3f9a%em0   U           em0
ff01::%em1/32                     fe80::211:aff:fe53:3f9b%em1   U           em1
ff01::%lo0/32                     ::1                           U           lo0
ff01::%ovpns1/32                  fe80::230:5ff:fe20:9516%ovpns1 U        ovpns1
ff02::%em0/32                     fe80::211:aff:fe53:3f9a%em0   U           em0
ff02::%em1/32                     fe80::211:aff:fe53:3f9b%em1   U           em1
ff02::%lo0/32                     ::1                           U           lo0
ff02::%ovpns1/32                  fe80::230:5ff:fe20:9516%ovpns1 U        ovpns1

Hilft das?

orcape

Da passt was nicht wirklich…
Die Routen auf dem Server sind OK so.....
10.0.8.1 Server, 10.0.8.2 Client
Beim Clientlog taucht...

usr/local/sbin/ovpn-linkup ovpnc1 1500 1541 10.0.8.6 10.0.8.5 init

Abgesehen davon das eine MTU Größe von 1500 mal zu Problemen führen kann…
...poste mal bitte die Ausgabe von...

netstat -rn

…auf dem Client.

peter808

Ok, mache ich gerne nachher, wenn ich dort bin. Melde mich dann abends wieder. Danke.

peter808

hier vom client:

Routing tables

Internet:
Destination        Gateway            Flags      Netif Expire
default            192.168.10.1       UGS         re0
10.0.8.1/32        10.0.8.5           UGS      ovpnc1
10.0.8.5           link#7             UH       ovpnc1
10.0.8.6           link#7             UHS         lo0
127.0.0.1          link#5             UH          lo0
172.23.1.0/24      10.0.8.5           UGS      ovpnc1
172.23.200.0/24    link#1             U           em0
172.23.200.1       link#1             UHS         lo0
192.168.10.0/24    link#2             U           re0
192.168.10.1       00:24:1d:2e:cc:08  UHS         re0
192.168.10.3       link#2             UHS         lo0

Internet6:
Destination                       Gateway                       Flags      Netif Expire
::1                               link#5                        UH          lo0
fe80::%em0/64                     link#1                        U           em0
fe80::1:1%em0                     link#1                        UHS         lo0
fe80::%re0/64                     link#2                        U           re0
fe80::224:1dff:fe2e:cc08%re0      link#2                        UHS         lo0
fe80::%lo0/64                     link#5                        U           lo0
fe80::1%lo0                       link#5                        UHS         lo0
fe80::6a05:caff:fe04:57d3%ovpnc1  link#7                        UHS         lo0
ff01::%em0/32                     fe80::1:1%em0                 U           em0
ff01::%re0/32                     fe80::224:1dff:fe2e:cc08%re0  U           re0
ff01::%lo0/32                     ::1                           U           lo0
ff01::%ovpnc1/32                  fe80::6a05:caff:fe04:57d3%ovpnc1 U        ovpnc1
ff02::%em0/32                     fe80::1:1%em0                 U           em0
ff02::%re0/32                     fe80::224:1dff:fe2e:cc08%re0  U           re0
ff02::%lo0/32                     ::1                           U           lo0
ff02::%ovpnc1/32                  fe80::6a05:caff:fe04:57d3%ovpnc1 U        ovpnc1

orcape

Hi,
so was in der Art hatte ich schon vermutet. :(
Du willst eine Point-to-Point Verbindung aufbauen, Server und ein remoter Standort, richtig ?
Dein Tunnel steht vermutlich, Du kommst aber nicht vom Server-LAN auf Client-LAN, richtig ?
Wie sieht Deine OVPN-Server-Seite in Bezug auf die Client-Spezific-Overrides aus ?
Poste mal noch die…

/var/etc/opnvpn/server1.conf

/var/etc/opnvpn/client1.conf

/var/etc/opnvpn-csc vom Server

Gruß Peter

peter808

@orcape:

Du willst eine Point-to-Point Verbindung aufbauen, Server und ein remoter Standort, richtig ?
Dein Tunnel steht vermutlich, Du kommst aber nicht vom Server-LAN auf Client-LAN, richtig ?

Zwei mal ja.

/var/etc/opnvpn/server1.conf

dev ovpns1
verb 2
dev-type tun
tun-ipv6
dev-node /dev/tun1
writepid /var/run/openvpn_server1.pid
#user nobody
#group nobody
script-security 3
daemon
keepalive 10 60
ping-timer-rem
persist-tun
persist-key
proto udp
cipher BF-CBC
auth SHA1
up /usr/local/sbin/ovpn-linkup
down /usr/local/sbin/ovpn-linkdown
local 192.168.1.2
tls-server
server 10.0.8.0 255.255.255.0
client-config-dir /var/etc/openvpn-csc
ifconfig 10.0.8.1 10.0.8.2
tls-verify "/usr/local/sbin/ovpn_auth_verify tls 'internal-ca' 1"
lport 1194
management /var/etc/openvpn/server1.sock unix
max-clients 1
push "route 172.23.1.0 255.255.255.0"
route 172.23.200.0 255.255.255.0
ca /var/etc/openvpn/server1.ca
cert /var/etc/openvpn/server1.cert
key /var/etc/openvpn/server1.key
dh /etc/dh-parameters.1024

/var/etc/opnvpn/client1.conf

Die existiert nicht im Verzeichnis auf dem Server.

/var/etc/opnvpn-csc

ifconfig-push 10.0.8.2 10.0.8.1
iroute 172.23.200.0 255.255.255.0

orcape

/var/etc/opnvpn/server1.conf

…sieht OK aus.

/var/etc/opnvpn-csc

…sieht OK aus.

/var/etc/opnvpn/client1.conf

Die existiert nicht im Verzeichnis auf dem Server.

…kann ja nicht, da musst Du schon auf dem Client gucken.. ;D

peter808

@orcape:

…kann ja nicht, da musst Du schon auf dem Client gucken.. ;D

Ups, die Transferleistung hatte ich vorhin auf die schnelle nicht erbracht ::) An die Datei komme ich aber erst wieder heute Abend.

Hast Du (auch ohne Kenntnis der client-Datei) eine Vermutung, wo das Problem sonst liegen könnte?

orcape

Hast Du (auch ohne Kenntnis der client-Datei) eine Vermutung, wo das Problem sonst liegen könnte?

Zum einen brauchst Du für Remote auch Firewall Regeln, die dir erlauben vom Tunnel auf das remote Netz zu kommen und für den WAN-Port eine für den Tunnelport.
Bei meiner Config, clientseitig (DD-WRT Router), hatte ich Dir diese schon gepostet.
Dann hast Du einen Tunnel laufen, der mit den remoten IP´s 10.0.8.6 10.0.8.5 ausgestattet ist.
Normalerweise sollte das bei einem Point-to-Point am Client nur die 10.0.8.2 sein. !!!
Ich hatte das Problem auch schon und habe dann keinen direkten Zugriff auf´s remote Netz bekommen, zumindest keinen direkten.
Das heißt, wenn Du per ssh in der Lage bist, Dich auf die IP 10.0.8.6 zu verbinden.
Damit wärst Du auf der remoten pfSense und solltest Dich von da aus auch auf die remote LAN-IP 172.23.200.1 (wenn das die Router-IP des remoten LAN ist) bzw. auf einem Client (FW aus) des remoten LAN einloggen können.
Wenn das so funktioniert, steht der Tunnel, ist aber ein Multiclienttunnel. (siehe einen der vorherigen Post von mir)
So kommst Du nicht direkt auf´s remote LAN, also muss da noch irgendwas an Deiner config nicht stimmen.
Ich tippe aber mal trotzdem auf den Server bzw. Client-Spezific-Overrides im GUI.
Bring trotzdem mal die Client-conf….
Gruß Peter

peter808

hier die client1.conf:

dev ovpnc1
verb 2
dev-type tun
tun-ipv6
dev-node /dev/tun1
writepid /var/run/openvpn_client1.pid
#user nobody
#group nobody
script-security 3
daemon
keepalive 10 60
ping-timer-rem
persist-tun
persist-key
proto udp
cipher BF-CBC
auth SHA1
up /usr/local/sbin/ovpn-linkup
down /usr/local/sbin/ovpn-linkdown
local 192.168.10.3
tls-client
client
lport 0
management /var/etc/openvpn/client1.sock unix
remote xxx.dyndns.org 1194
ifconfig 10.0.8.2 10.0.8.1
route 172.23.1.0 255.255.255.0
ca /var/etc/openvpn/client1.ca 
cert /var/etc/openvpn/client1.cert 
key /var/etc/openvpn/client1.key 
resolv-retry infinite

peter808

@orcape:

Zum einen brauchst Du für Remote auch Firewall Regeln, die dir erlauben vom Tunnel auf das remote Netz zu kommen und für den WAN-Port eine für den Tunnelport.

Die hatte ich auch auf client-Seite für den Port 1194 auf WAN und OpenVPN-Seite doch erstellen lassen, meinst Du die?

@orcape:

Dann hast Du einen Tunnel laufen, der mit den remoten IP´s 10.0.8.6 10.0.8.5 ausgestattet ist.
Normalerweise sollte das bei einem Point-to-Point am Client nur die 10.0.8.2 sein. !!!

Und wie kann ich das ändern? Ich muss doch im Webconfig für den Tunnel einen Adressbereich angeben, eine einzelne IP nimmt er nicht.

orcape

Und wie kann ich das ändern?

Gute Frage, nächste Frage…

Ich muss doch im Webconfig für den Tunnel einen Adressbereich angeben, eine einzelne IP nimmt er nicht.

Richtig, bei Dir…

10.0.8.0/24

Die Clientconfig sieht ja nicht schlecht aus, bis auf 2 Einträge.
Leider kann ich die nur mit DD-WRT vergleichen…

ca /tmp/openvpncl/ca.crt
cert /tmp/openvpncl/client.crt
key /tmp/openvpncl/client.key
management 127.0.0.1 16
management-log-cache 100
verb 3
mute 3
syslog
writepid /var/run/openvpncl.pid
client
resolv-retry infinite
nobind
persist-key
persist-tun
script-security 2
dev tun1
proto udp
cipher aes-128-cbc
auth sha1
remote "statische-IP" 1194
comp-lzo yes
tls-client
tun-mtu 1342
mtu-disc yes
ns-cert-type server
fast-io
tun-ipv6
tls-auth /tmp/openvpncl/ta.key 1
tls-cipher TLS-RSA-WITH-AES-128-CBC-SHA

Im Client GUI hast Du hoffentlich nur den Client konfiguriert und nicht noch Advanced-Einträge ?
Das…

ifconfig 10.0.8.2 10.0.8.1
route 172.23.1.0 255.255.255.0

…ist Server-Sache und gehört da eigentlich nicht rein.

peter808

DU BIS MEIN HELD ! ES LÜPPT !!!!

Also:

@orcape:

Und wie kann ich das ändern?
Gute Frage, nächste Frage…

Ich habe den Adressbereich mit 10.0.8./31 auf zwei IP-Adressen beschränkt

Und dann:

@orcape:

Das…
ifconfig 10.0.8.2 10.0.8.1
route 172.23.1.0 255.255.255.0
…ist Server-Sache und gehört da eigentlich nicht rein.

…diese von Dir genannten Einträge im config-file auskommentiert.

Nun läuft das VPN beidseitig mit allem, was wir brauchen (RDP, SSH etc.).

NOCHMALS TAUSEND DANK :) :) :) :) :) :) :) :) :) :) :) :) :)