traller
Mar 07, 2014, updated at Mar 08, 2014 (UTC)
view6721
view20
1
Goto Top

DD-WRT als OpenVPN Server

GermanQuestionRouters, RoutingNetworks
Hallo,
ich habe einen DD-WRT Router (Netgear Router mit DD-WRT v24-sp2 (03/25/13) std) und wollte diesen als OpenVPN-Server laufen lassen. Ich bin dieser Anleitung hier gefolgt und OpenVPN Server installieren auf pfSense Firewall, Mikrotik. DD-WRT oder GL.inet Router bekomme eine Verbindung zwar hin (wird grün). Nur kann ich nicht in das eigentliche IP Netz (192.168.1.X) zugreifen ...

Die Server-Konfiguration sieht wie folgt aus:
port 15000
proto udp
dev tun0
ca /tmp/openvpn/ca.crt
cert /tmp/openvpn/cert.pem
key /tmp/openvpn/key.pem
dh /tmp/openvpn/dh.pem
server 172.16.2.0 255.255.255.0
push "route 192.168.1.0 255.255.255.0"  
push "dhcp-options DNS 192.168.1.1"  
keepalive 10 120
comp-lzo
persist-key
persist-tun
verb 3
Die Client-Konfiguration (Windows 7):
client
port 15000
proto udp
dev tun0
ca ca.crt
cert client1.crt
key client1.key
cipher AES-256-CBC
remote server.dyndns.org
resolv-retry infinite
nobind
persist-key
persist-tun
mute-replay-warnings
verb 3
mute 20
und auf dem Router selbst führte ich dann wie in der Anleitung folgendes aus
# Akzeptiert eingehende Anfragen am Port UDP 1194.
iptables -I INPUT 1 -p udp --dport 15000 -j ACCEPT

# Erlaubt den VPN Clients den Zugriff auf routerinterne Prozesse (Weboberfläche, SSH etc)
iptables -I INPUT 3 -i tun0 -j ACCEPT

# Erlaubt Verbindungen zwischen VPN Clients sofern "Client-to-Client" bei OpenVPN aktiviert ist. 
iptables -I FORWARD 3 -i tun0 -o tun0 -j ACCEPT

# Erlaubt Verbindungen vom lokalen Netz ins VPN Netz und umgekehrt (br0 steht für LAN und WLAN).
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT
Kann mir jemand sagen, was das Problem ist??? Im Grunde will ich im ersten Schritt, dass der Client von Extern auf das interne Netz zugreifen kann (am liebsten mit NetBIOS).
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 232016

Url: https://administrator.de/contentid/232016

Printed on: April 20, 2024 at 02:04 o'clock

20 Comments
Latest comment
Goto Top
Member: orcape
orcape Mar 08, 2014 at 07:09:56 (UTC)
Goto Top
Hi traller,
kommst Du denn per ping oder ssh (wenn sshd auf dem Router aktiviert ist) vom Client wenigstens auf den Router ?
Dann wären da noch die Logs und die Routingtabelle des Routers interessant, sonst wird das hier nur Rätsel raten.
Folgende Regel wäre nur bei einem Multiclienttunnel, für Dich also nicht zutreffend...
07. # Erlaubt Verbindungen zwischen VPN Clients sofern "Client-to-Client" bei OpenVPN aktiviert ist.
08. iptables -I FORWARD 3 -i tun0 -o tun0 -j ACCEPT
Auskommentieren oder weglassen.
Gruß orcape
heart1
Member: MrNetman
MrNetman Mar 08, 2014 updated at 10:21:51 (UTC)
Goto Top
Zugriff mit Netbios über Layer3 ist so nicht möglich. Eine Namensauflösung aus deinem entfernten Netz kannst du so einfach nicht erreichen.
Due verbindest zwei Netze mit Open-VPN. Die müssen unterschiedlich sein. Die angegebene IP des Zielnetzes macht mich stutzig, da sie häufig default ist und damit auf beiden Seiten sein könnte.
Prüfe das mal mit dem Befehl tracert zielnetz-IP.

Gruß
Netman
heart1
Member: matthew77
matthew77 Mar 08, 2014 at 15:35:18 (UTC)
Goto Top
Hallo,

ich würde die Firewall erst dann aktivieren, wenn die VPN-Verbindung ohne Probleme läuft und nicht vorher !!!

Ausserdem gehe ich davon aus, dass sich dein DD-WRT-Server hinter einem (DSL)Router befindet, dann brauchst du in dem Router
eine statische Route ins VPN-Netz, sonst, weiss der Router nicht, wie er das VPN-Netz erreichen kann, also im DSL-Rouer trägst du ein:

Zielnetz: 172.16.2.0 (VPN-Netz)
Netmask: 255.255.255.0
Gateway: <die ip adresse von DD-WRT>

Gruß
m
Member: orcape
orcape Mar 08, 2014 at 16:25:27 (UTC)
Goto Top
@matthew77,
Ausserdem gehe ich davon aus, dass sich dein DD-WRT-Server hinter einem (DSL)Router befindet, dann > brauchst du in dem Router eine statische Route ins VPN-Netz, sonst, weiss der Router nicht, wie er das
VPN-Netz erreichen kann
...das sich der TO bei der Beschreibung seiner Netzstruktur, nicht gerade mit "Ruhm bekleckert" hat, ist klar.
Er spricht hier aber nur einem Netgear Router mit DD-WRT. Nicht von einem vorgeschaltet Router.
Genau so gut kann da nur ein DSL- Modem stehen.
Selbst wenn dort ein Router steht, dann ist der Begriff statische Route wohl nicht korrekt, da meinst Du sicher ein Portforwarding.
Das ist aber bei einem OpenVPN-Tunnel nicht notwendig.
Gruß orcape
Member: Cthluhu
Cthluhu Mar 08, 2014 at 17:06:33 (UTC)
Goto Top
Hi,
Zitat von @orcape:
Selbst wenn dort ein Router steht, dann ist der Begriff statische Route wohl nicht korrekt, da meinst Du sicher ein
Portforwarding.
Das ist aber bei einem OpenVPN-Tunnel nicht notwendig.
Doch, wenn noch ein Router (oder so eine unsägliche Modem/Router Kombination wie man die von vielen Providern vorgesetzt bekommt) vorgeschalten ist muss schon Portforwarding betrieben werden. Zwar nicht auf dem Router auf dem OpenVPN läuft, sondern auf dem der davor hängt.

mfg

Cthluhu
Member: traller
traller Mar 08, 2014 updated at 17:21:22 (UTC)
Goto Top
Zitat von @Cthluhu:

Hi,
> Zitat von @orcape:
> Selbst wenn dort ein Router steht, dann ist der Begriff statische Route wohl nicht korrekt, da meinst Du sicher ein
> Portforwarding.
> Das ist aber bei einem OpenVPN-Tunnel nicht notwendig.
Doch, wenn noch ein Router (oder so eine unsägliche Modem/Router Kombination wie man die von vielen Providern vorgesetzt
bekommt) vorgeschalten ist muss schon Portforwarding betrieben werden. Zwar nicht auf dem Router auf dem OpenVPN läuft,
sondern auf dem der davor hängt.

mfg

Cthluhu

ich probiere das später alles mal aus, aber: Der Netgear Router hängt direkt über PPPoE Passthrough am Internet. Somit ist beim Modem kein Portforwarding notwendig. Also wirklich einfachste Netzwerkstruktur: Internet>Modem>Netgear-Router.

Das Modem ist zwar eigentlich ein Router, aber dort wurden keine Zugangsdaten eingetragen und alles mögliche bis auf PPPoE Passthrough deaktiviert.
Member: orcape
orcape Mar 08, 2014 updated at 17:22:42 (UTC)
Goto Top
@Cthluhu
Doch, wenn noch ein Router (oder so eine unsägliche Modem/Router Kombination wie man die von vielen Providern vorgesetzt bekommt)
vorgeschalten ist muss schon Portforwarding betrieben werden.
Da muss ich Dir leider widersprechen.
Ich betreue einen Kunden, der einen Vodafone-DSL-Anschluß mit einer Easy-Box hat.(statische IP´s Router-Betrieb) Am LAN der Easy-Box hängt ein WRT54 mit DD-WRT und OpenVPN mit seinem WAN-Anschluß.
Hier brauchte keine Portweiterleitung gemacht werden, der Tunnel funktioniert auch ohne den Port 1194 weiter zu leiten.
Ich bring da mal noch ein Zitat von Aqui....
aqui am 03.03.2014 um 20:13 Uhr
Da nützt die Passthrough-Weiterleitung nichts.
Womit Kollege orcape Recht hat ! Sie wäre auch überflüssiger Unsinn, denn OpenVPN ist ein SSL VPN Netzwerk.
Bei OpenVPN braucht rein gar nichts konfiguriert werden, da kann man beide Router einfach kaskadieren. Da immer der Client den VPN Aufbau
initiiert muss auch kein Port Forwarding konfiguriert werden im vorgeschalteten Router.
Gruß orcape
Member: traller
traller Mar 08, 2014 at 17:54:10 (UTC)
Goto Top
es funktioniert alles nichts. Trotz abgeschalteter Firewall ...
Member: MrNetman
MrNetman Mar 08, 2014 updated at 20:36:19 (UTC)
Goto Top
Darf ich dich nioch einmal an die oben erwähnten Basics erinnern.
Alles Nichts Oder ist eine alte Fernsehsendung - die könntest dir jetzt antun.
oder auch tracert!

Gruß Netman
Member: traller
traller Mar 08, 2014 at 20:29:13 (UTC)
Goto Top
Alles aus Sicht des Client
Ich habe ein Tracert versucht, kommt nur Zeitüberschreitung d. Anf., egal welche IP ich eingebe (außer die des Clients). ansonsten:
C:\Windows\system32>route print
===========================================================================
Schnittstellenliste
 28...........................Vodafone D2
 23...00 ff 7b 7d 7d 01 ......TAP-Windows Adapter V9
 15...xx xx xx xx xx xx ......Microsoft Virtual WiFi Miniport Adapter
 12...xx xx xx xx xx xx ......Intel(R) WiFi Link 5300 AGN
 19...xx xx xx xx xx xx ......VirtualBox Host-Only Ethernet Adapter
  1...........................Software Loopback Interface 1
 20...00 00 00 00 00 00 00 e0 Teredo Tunneling Pseudo-Interface
 25...00 00 00 00 00 00 00 e0 Microsoft-ISATAP-Adapter
 21...00 00 00 00 00 00 00 e0 Microsoft-ISATAP-Adapter #2
 22...00 00 00 00 00 00 00 e0 Microsoft-ISATAP-Adapter #3
 61...00 00 00 00 00 00 00 e0 Microsoft-ISATAP-Adapter #4
 14...00 00 00 00 00 00 00 e0 Microsoft-6zu4-Adapter
 27...00 00 00 00 00 00 00 e0 Microsoft-ISATAP-Adapter #6
===========================================================================

IPv4-Routentabelle
===========================================================================
Aktive Routen:
     Netzwerkziel    Netzwerkmaske          Gateway    Schnittstelle Metrik
          0.0.0.0          0.0.0.0   Auf Verbindung      2.206.51.162     31
     2.206.51.162  255.255.255.255   Auf Verbindung      2.206.51.162    286
        127.0.0.0        255.0.0.0   Auf Verbindung         127.0.0.1   4531
        127.0.0.1  255.255.255.255   Auf Verbindung         127.0.0.1   4531
  127.255.255.255  255.255.255.255   Auf Verbindung         127.0.0.1   4531
       172.16.2.1  255.255.255.255       172.16.2.5       172.16.2.6   4256
       172.16.2.4  255.255.255.252   Auf Verbindung        172.16.2.6   4511
       172.16.2.6  255.255.255.255   Auf Verbindung        172.16.2.6   4511
       172.16.2.7  255.255.255.255   Auf Verbindung        172.16.2.6   4511
      192.168.1.0    255.255.255.0       172.16.2.5       172.16.2.6   4256
     192.168.56.0    255.255.255.0   Auf Verbindung      192.168.56.1   4501
     192.168.56.1  255.255.255.255   Auf Verbindung      192.168.56.1   4501
   192.168.56.255  255.255.255.255   Auf Verbindung      192.168.56.1   4501
        224.0.0.0        240.0.0.0   Auf Verbindung         127.0.0.1   4531
        224.0.0.0        240.0.0.0   Auf Verbindung        172.16.2.6   4511
        224.0.0.0        240.0.0.0   Auf Verbindung      192.168.56.1   4502
        224.0.0.0        240.0.0.0   Auf Verbindung      2.206.51.162     31
  255.255.255.255  255.255.255.255   Auf Verbindung         127.0.0.1   4531
  255.255.255.255  255.255.255.255   Auf Verbindung        172.16.2.6   4511
  255.255.255.255  255.255.255.255   Auf Verbindung      192.168.56.1   4501
  255.255.255.255  255.255.255.255   Auf Verbindung      2.206.51.162    286
===========================================================================
Ständige Routen:
  Netzwerkadresse          Netzmaske  Gatewayadresse  Metrik
          0.0.0.0          0.0.0.0      192.168.1.1  Standard
          0.0.0.0          0.0.0.0      192.168.1.1  Standard
===========================================================================
Member: matthew77
matthew77 Mar 08, 2014 at 21:32:16 (UTC)
Goto Top
Wozu steht bei dir das Standard-Gateway 192.168.1.1 ?

Gruß
m
Member: traller
traller Mar 08, 2014 updated at 21:52:31 (UTC)
Goto Top
Zitat von @matthew77:

Wozu steht bei dir das Standard-Gateway 192.168.1.1 ?

Gruß
m

keine ahnung?? :D das ist der normale Gateway/ der Netgear-Router ...Kann sein dass es über den LAN- und WLAN-Anschluss kommt? Im internen Netzwerk sind die IPs fest vergeben.
Member: MrNetman
MrNetman Mar 09, 2014 at 02:49:40 (UTC)
Goto Top
Wenn ein tracert dir zeigt, dass du keinen Pfad hast, was kümmerst du dich dann um andere Parameter.
Nichterreichbarkeit muss zuerst behoben werden.
Also das Routing.

Und erzähl doch mal, welche Netze du verbinden willst und warum du die Funktion des default Gateway nicht kennst.
bekomme eine Verbindung zwar hin (wird grün). Nur kann ich nicht in das eigentliche IP Netz (192.168.1.X) zugreifen ...
das grün bezieht sich wohl auf deine Erfahrung.
Member: orcape
orcape Mar 09, 2014 at 08:30:16 (UTC)
Goto Top
Hi traller,
laut Deiner Routing-Tabelle läuft bei Dir ein Multiclient-Tunnel, mit dem man normalerweise mehrere remote Standorte verbinden kann.
Du brauchst aber einen remote Access, d.h. der Tunnel sollte serverseitig, also auf dem Netgear, die IP 172.16.2.1 und auf Deinem Windows-Client die IP 172.16.2.2 haben. Ob das dann die Ursache für Dein nicht funtionierendes Routing ist, wird sich zeigen.face-wink
Der Tunnel steht, sonst würde das nicht in der Routing-Tabelle auftauchen.
Da Du in Deiner server.conf keinen Eintrag "client-to-client" stehen hast, vermute ich, das Du Serverseitig ein ccd-File hast, welches diesen Eintrag fälschlicherweise aufweist.
In diesem ccd-File, welches bei DD-WRT unter /tmp/openvpn zu finden ist, sollte nur den Eintrag "ifconfig-push 172.16.2.2 172.16.2.1" beinhalten.
Verbinde Dich mit einem Client mit dem Netgear und kontrolliere dieses File mit Putty, eine direkte Änderung ist zwar möglich, beim nächsten boot des Routers aber wieder im Urzustand, da /tmp "flüchtig" ist. Normalerweise werden alle Einträge über den GUI gemacht, dadurch werden alle erforderlichen Parameter beim boot des Routers übernommen.
In die server.conf (GUI), solltest Du dann aber noch den Eintrag "client-config-dir /tmp/openvpn-ccd" machen.(Pfad entsprechend anpassen)
Das ein Multiclienttunnel beim Routing Probleme macht, wenn eigentlich nur ein remote Access vorhanden ist, habe ich schon mehrfach feststellen müssen.
Es liegt hier sicher eine Fehlkonfiguration des Tunnels vor, auch wenn dieser sich aufgebaut hat.
Was bedeutet übrigens dieses Netz 192.168.56.0 255.255.255.0 in Deiner Routing-Tabelle ?
Gruß orcape
Member: traller
traller Mar 09, 2014 updated at 15:47:13 (UTC)
Goto Top
im Ordner /tmp/openvpn/ccd ist keine einzige Datei und in /tmp/openvpn/ existieriert auch keine mit ccd ... Der Client bekommt auch immer automatisch die IP 172.16.2.6 ....
das 192.168.56.1 ist wohl von Oracle Virtual Box.

auch hilft es nichts, client-to-client in die server.conf zu schreiben. sie finden sich einfach nicht ...
Member: traller
traller Mar 09, 2014, updated at Mar 10, 2014 at 10:56:51 (UTC)
Goto Top
Hallo,
ich hab es fast ans laufen bekommen. Netzwerk intern ist die 192.168.1.1 und VPN-LAN die 192.168.66.1. DHCP ist im internen Netzwerk deaktiviert. Vom Client komme ich über 192.168.1.1 in das Webinterface vom Router. Aber weiter komme ich auch nicht, ein Accesspoint unter 192.168.1.2 ist nicht erreichbar etc.
Die Konfiguration sieht aktuell wie folgt aus:
3751cb45d261fd3960aacf689e93659a

Server:
port 1194
proto udp
dev tun0
ca /tmp/openvpn/ca.crt
cert /tmp/openvpn/cert.pem
key /tmp/openvpn/key.pem
dh /tmp/openvpn/dh.pem
server 192.168.66.0 255.255.255.0
push "route 192.168.1.0 255.255.255.0"  
push "dhcp-options DNS 192.168.1.1"  
keepalive 10 120
comp-lzo
client-to-client
persist-key
persist-tun
verb 3
iptables:
# Akzeptiert eingehende Anfragen am Port UDP 1194.
iptables -I INPUT 1 -p udp --dport 1194 -j ACCEPT

# Erlaubt den VPN Clients den Zugriff auf routerinterne Prozesse (Weboberfl&#-28;che, SSH etc)
iptables -I INPUT 3 -i tun0 -j ACCEPT

# Erlaubt Verbindungen zwischen VPN Clients sofern "Client-to-Client" bei OpenVPN aktiviert ist. 
iptables -I FORWARD 3 -i tun0 -o tun0 -j ACCEPT

# Erlaubt Verbindungen vom lokalen Netz ins VPN Netz und umgekehrt (br0 steht f&#-4;r LAN und WLAN).
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT

Client:
client
dev tun
proto udp
remote server.dyndns.org 1194
;remote mein-vpn-server.dyndns.org 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
ns-cert-type server
comp-lzo
verb 3
route print vom Client:
Fehler, richtig ist 2 Posts weiter unten.

Wenn ich push "route "192.168.1.0 255.255.255.0" durch 'push "redirect-gateway def1"' ersetze, funktioniert gar nichts mehr, also nichts mehr erreichbar. Wie bekomme ich es nun noch hin, dass der Router auch das interne LAN weiter leitet?
Member: orcape
orcape Mar 10, 2014 at 04:41:09 (UTC)
Goto Top
Hi,
im Ordner /tmp/openvpn/ccd ist keine einzige Datei
...dann füge mal "ifconfig-push 192.168.66.2 192.168.66.1" in die Server.conf ein und schau ob er dann ein Tunnelnetz mit 2 IP´s macht.
Ich verstehe zwar nicht, warum Du nun Dein Tunnelnetz von...
172.16.2.0/24 auf 192.168.66.0/24 geändert hast ?...ist so schon verwirrend genug.face-wink
Deine Client Routing-Tabelle weist übrigens einen Fehler auf (fett)....
192.168.6.0 255.255.255.0 192.168.66.5 192.168.66.6 4256
..ausserdem fehlt eine Route auf 192.168.1.0/24.
Du kannst also so gar nicht in dieses Netz kommen.
Gruß orcape
Member: traller
traller Mar 10, 2014 at 10:59:24 (UTC)
Goto Top
> im Ordner /tmp/openvpn/ccd ist keine einzige Datei
...dann füge mal "ifconfig-push 192.168.66.2 192.168.66.1" in die Server.conf ein und schau ob er dann ein
Tunnelnetz mit 2 IP´s macht.
dann kommt TLS Handshake failed und nichts funktioniert mehr ...
Ich verstehe zwar nicht, warum Du nun Dein Tunnelnetz von...
172.16.2.0/24 auf 192.168.66.0/24 geändert hast ?...ist so schon verwirrend genug.face-wink
ist halt so :p
Deine Client Routing-Tabelle weist übrigens einen Fehler auf (fett)....
> 192.168.6.0 255.255.255.0 192.168.66.5 192.168.66.6 4256
..ausserdem fehlt eine Route auf 192.168.1.0/24.
Du kannst also so gar nicht in dieses Netz kommen.
Fehler beim Kopieren. so ist richtig:
C:\Users\admin>route print
===========================================================================
Schnittstellenliste
 53...........................Vodafone D2
 27...00 xx xx xx xx xx ......TAP-Windows Adapter V9
 15...00 xx xx xx xx xx ......Microsoft Virtual WiFi Miniport Adapter
 12...00 xx xx xx xx xx ......Intel(R) WiFi Link 5300 AGN
  1...........................Software Loopback Interface 1
 20...00 00 00 00 00 00 00 e0 Teredo Tunneling Pseudo-Interface
 23...00 00 00 00 00 00 00 e0 Microsoft-ISATAP-Adapter
 21...00 00 00 00 00 00 00 e0 Microsoft-ISATAP-Adapter #2
 22...00 00 00 00 00 00 00 e0 Microsoft-ISATAP-Adapter #3
 14...00 00 00 00 00 00 00 e0 Microsoft-6zu4-Adapter
 24...00 00 00 00 00 00 00 e0 Microsoft-ISATAP-Adapter #5
===========================================================================

IPv4-Routentabelle
===========================================================================
Aktive Routen:
     Netzwerkziel    Netzwerkmaske          Gateway    Schnittstelle Metrik
          0.0.0.0          0.0.0.0   Auf Verbindung      2.200.73.245     31
     2.200.73.245  255.255.255.255   Auf Verbindung      2.200.73.245    286
        127.0.0.0        255.0.0.0   Auf Verbindung         127.0.0.1   4531
        127.0.0.1  255.255.255.255   Auf Verbindung         127.0.0.1   4531
  127.255.255.255  255.255.255.255   Auf Verbindung         127.0.0.1   4531
      192.168.1.0    255.255.255.0     192.168.66.5     192.168.66.6   4256
     192.168.66.0    255.255.255.0     192.168.66.5     192.168.66.6   4256
     192.168.66.4  255.255.255.252   Auf Verbindung      192.168.66.6   4511
     192.168.66.6  255.255.255.255   Auf Verbindung      192.168.66.6   4511
     192.168.66.7  255.255.255.255   Auf Verbindung      192.168.66.6   4511
        224.0.0.0        240.0.0.0   Auf Verbindung         127.0.0.1   4531
        224.0.0.0        240.0.0.0   Auf Verbindung      192.168.66.6   4511
        224.0.0.0        240.0.0.0   Auf Verbindung      2.200.73.245     31
  255.255.255.255  255.255.255.255   Auf Verbindung         127.0.0.1   4531
  255.255.255.255  255.255.255.255   Auf Verbindung      192.168.66.6   4511
  255.255.255.255  255.255.255.255   Auf Verbindung      2.200.73.245    286
===========================================================================
Ständige Routen:
  Netzwerkadresse          Netzmaske  Gatewayadresse  Metrik
          0.0.0.0          0.0.0.0      192.168.1.1  Standard
===========================================================================
Der Client ist Windows 7, eine deaktivierte Windows Firewall bringt aber nichts. So mit leitet der Server wohl die Anfragen einfach nicht weiter. Fehlt irgendetwas bei iptables??
Member: traller
traller Mar 10, 2014 updated at 11:37:53 (UTC)
Goto Top
Fehler behoben. Von Client Seite aus ist nun auch das interne Netz unter 192.168.1.0 erreichbar. Ich habe die iptables verändert zu:
iptables -I INPUT 1 -p udp --dport 1194 -j ACCEPT
iptables -I FORWARD 1 --source 192.168.66.0/24 -j ACCEPT
iptables -I INPUT 1 -i tun2 -j ACCEPT
iptables -A FORWARD -i tun2 -j ACCEPT

iptables -I FORWARD -i br0 -o tun2 -j ACCEPT
iptables -I FORWARD -i tun2 -o br0 -j ACCEPT

iptables -t nat -A POSTROUTING -j MASQUERADE

# Dieses hier wurde aus dem administrator.de Tutorial hinzugefügt, damit über das VPN auch der Router erreichbar ist.
iptables -I INPUT 3 -i tun0 -j ACCEPT
der Tipp war hier http://www.dd-wrt.com/phpBB2/viewtopic.php?p=879529#879529

Kann man bei meiner Server/Client-Config irgendwie noch die Sicherheit erhöhen??
Member: Nickelino
Nickelino Sep 30, 2014 updated at 11:11:29 (UTC)
Goto Top
Hallo, ich bin auch gerade dabei mein OpenVPN-Server einzurichten. Ich habe jetzt schon wirklich diverse Anleitungen durchgearbeitet. Diese hier ist die letzte gewesen. Es kann nicht sein, dass auf jeder Seite geschrieben wird, dass es klappt, aber niemand postet eine vollständig funktionierende Config. Diese hier funktioniert auch nicht richtig. Mit den Zertifikaten habe ich keine Probleme.

Die Verbindung kann hergestellt werden.

Jetzt ist es so, dass ich zuletzt die Server-Config und Firewall-Regeln von Traller eingefügt habe. Natürlich habe ich meine Config soweit angepasst. Der einzige Unterschied ist bei mir, dass der DD-WRT-Router (TP-Link TL-WDR3600) hinter einer FrotzBox 7390 steckt und ich via Port-Forwarding den Tunnel auf Port 1194 weiterleite. Leider habe ich nach dem Copy-Pasten und speichern von Trallers Einstellungen keinen Zugriff mehr auf meine DD-WRT Web-GUI bzw. mit Putty auch nicht. Nmap zeigt, dass keine Ports offen sind. Die Gateway-Funktion läuft aber noch, ich kann noch im Internet surfen. Deshalb kann ich meine Konfig gerade nicht auslesen und hier reinstellen. Wenn ich später zu Hause bin, würde ich das dann noch nachträglich machen.

Ich möchte alle Leute, die ein vollstädnig funktionsfähiges OpenVPN auf ihrem DD-WRT zum laufen bekommen haben, dazu auffordern, einmal hier ihre Server-Config, ihre Clientconfig und ihre Firewallregeln zu posten. Natürlich auch in veränderter Form, um keine persönlichen Adressen etc. hier preiszugeben.

Ich bin es langsam Leid ständig irgendwelche Anleitungen, Forenbeiträge usw. durchzuarbeiten, ohne ein Erfolgserlebnis zu haben.

Es ist immer das Selbe: Clients werden ohne weiteres mit dem VPN-Server verbunden, jedoch haben die VPN-Clients keine Verbindung ins DD-WRT-LAN und keine Verbindung ins Internet.

Wenn Ihr der Meinung seid, es ist besser, wenn ich erstmal fürs Troubleshooting meine Configs hier poste, dann würde ich das heute abend versuchen. Ich muss erstmal wieder auf meinen Router kommen.

Ich hoffe wirklich, dass ihr Verständnis für meine Lage habt. Ich hänge jetzt schon seit fast 2 Wochen an dem Thema und komm nicht weiter.

Wie gesagt, wenn Ihr irgendwelche Daten braucht, oder etwas fehlt, dann fragt und ich werde es umgehend posten.

EDIT: Überall in den Anleitungen ist die Rede vom tun0-Adapter. Wenn ich meine ifconfig ausgegeben habe, dann war nur ein tun2 Adapter zu sehen, weshalb ich in mienen Regeln auch immer einen tun2-Adapter, statt tunß eingetragen habe. Ich bin mir zwar etwas unsicher, aber wenn man es logisch betrachtet, sollte es so funktionieren.

@traller: Du hast in diene Firewall-Regeln die Zeile von Administrator.de eingefügt: iptables -I INPUT 3 -i tun0 -j ACCEPT

Es verwirrt mich, dass hier auch ein tun0-Adapter un din allen anderen Zeilen tun2 hinterlegt wurde. Ist das einfach ein Fehler beim Copy-Pasten gewesen oder gehört das wirklich so?

Liebe Grüße

Nicke
GermanQuestionRouters, RoutingNetworks
Hotly discussed
gleixnerdCheck of ZFW Firewallgleixnerd - 3 CommentsAlexWishaHow to set up and configure a Linux GRE tunnelAlexWisha - 3 CommentsjstrickerWIREGUARD VPN ON UDM PRO BEHIND FRITZBOX - HANDSHAKE DID NOT COMPLETEjstricker - 3 CommentsDaniEnd of Support dates for Office 2016, 2019 Apps und Productivity ServersDani - 1 Comment