Heimnetzwerk über Server im Internet und OpenVPN erreichbar machen

Hi,

jetzt müsste ich erstmal wissen wie ich eine als gelöst markierte Frage wieder als ungelöst markieren kann =).

Ja ich habe als Heimserver ein RaspberryPi laufen. Den kann ich aber nicht mit anderer Software ausstatten weil hier bereits ein Raspbian läuft und ein RT von Codesys welches die Haussteuerung übernimmt. Das Raspbian/Debian bietet ja auch alle Möglichlkeiten. Der Router ist leider ein Technicolor von Unitymedia welcher keine VPN Möglichkeiten bietet und auch nicht modifizierbar ist. Aber selbst das hätte mich nicht weiter gebracht weil ich von außerhalb nicht via IPv4 aufs Netzwerk komme. IPv6 scheidet aus weil die Endgeräte vom VPN nur IPv4 unterstützen. Gedankt seis den Mobile-Providern die nur IPv4 anbieten.
Aber das Problem hier und die hoffentlich zu findende Lösung sollte mich auch im Verständnis der Netzwerktechnik etwas weiter bringen

Also muss ich eine Verbindung vom Heimnetzwerk nach außen zum Server aufbauen und dann mittels Bridges oder Routing eine Verbindung schaffen.

Hoffe kannst mir dennoch weiterhelfen.

Gruß

Wenn man es falsch konfiguriert, ja! Und genau das ist das Problem. Das das nicht möglich ist. Und das von Dir genannte Problem hätte ich mit DynDNS und Portweiterleitung auch bekommen. Und ich mache ja keine Ports öffentlich denn das RasPi verbindet sich über VPN nach außen zum OpenVPN-Server im Internet. Über diese Verbindung soll dann die Brücke zwischen VPN und Heimnetz zustande kommen.


Ja, könnte man. Man könnte aber auch zu einem Anbieter wechseln der eine native IPv4 anbietet.
Was ich damit sagen will ist: Es steht in keinem Verhältnis, ist mit Aufpreis verbunden und würde das Problem dennoch nicht lösen weil...


... genau, wir haben DS-Lite (Dualstack Lite).

Korrekt! Das würde klappen, wenn Mobilfunkanbieter IPv6 anbieten würden mit dessen Hilfe man dann auf den IPv6 Router zugreifen könnte.
In dem Fall könnte ich aber auch gleich im LAN mit IPv6 weitermachen anstelle auf IPv4 umzumodeln.


Der Provider meines Handys dient nur dem Internetzugriff. Ich will nicht aufs Handy zugreifen (was aber durch das VPN möglich werden würde).
Das Problem ist das ich durch diese IPv4 Beschränkung der Mobilfunkanbieter nicht auf den IPv6 fähigen Router zugreifen kann. Und IPv4 kann der Router nicht weil: DS-Lite.


Naja gut, ich bin halt davon ausgegangen das die Ursache für den von mir oben genannten, gangbaren Weg nicht hinterfragt wird.
Bin ja auch nicht an Alternativen interessiert, sondern an einer Lösung der Problemstellung da ich, auch von dir erwähnte Alternativen, bereits durchgegangen bin mit dem Entschluss das Diese Wege nicht gangbar sind.


Stimmt, das Wiki ist auch echt klasse gemacht. Leider funktionieren diese Wege nicht auf Grund o.g. Voraussetzungen.


DS-Lite. Die Endgeräte nutzen Android, Linux, iOS und Windows und das sollte hier auch nicht das Problem darstellen weil diese Endgeräte alle mit OpenVPN eingerichtet sind. Das einzige Problem besteht darin das iOS keine TAP-Devices unterstützt. Was aber wieder ein anders Thema ist.
Der Mobilfunkvertrag ist ein typischer wie er in Deutschland üblich ist. Also stecke ich hinter einem NAT des Providers. Spielt aber keine Rolle weil ich mich ja nur nach Außen zu meinem Server verbinden will.

Zum Verständnis evtl. noch hilfreich: Den Server im Internet habe ich mir extra gekauft als Relais zwischen den Endgeräten die sich über das VPN ins Heimnetzwerk einwählen sollen.

Und kleine Ergänzung:
Die Verbindungen von außen via Handy zum OpenVPN-Server funktioniert. Genauso wie die Verbindung vom RasPi zum OpenVPN-Server aus dem Lan ins Internet. Jetzt haperts irgendwo an den OpenVPN Einstellungen, den Brücken oder sonstwas. Die Grundinfrastruktur für die Datenwege wäre also (zum. nach meinem Verständnis) geschaffen.

Ich drücke mich manchmal etwas bescheiden aus

Gruß und guten Morgen

Ja das ist der Server der im Internet "steht". Richtig! Und das was du mir da geschickt hast ist 1:1 GENAU DAS was ich gerade versuche umzusetzen.
Nur das der VPN-Server zu der sich diese FIP-Box verbindet, auf meinem eigenem Server läuft. So habe ich garantiert alle Protokolle (durch TAP da Layer2) zur Verfügung und ungefilterten Traffic, es sei denn ich filtere selber via IPTables. Der Datendruchsatz ist mit eigenem Server garantiert besser und es kann keiner mitschnüffeln, ich bin flexibel, bessere Pings etc. pp. Über dieses Netzwerk soll dann nämlich auch eine kleine Zockerrunde laufen, mit Kollegen und ein paar alten LAN-Games.

Wie gesagt: Die Infrastruktur dieses Anbieters (FIP-Box) habe ich. "Lediglich" die Konfiguration ist das Problem.

Gruß

Ich vermute ich bin dem Problem auf der Spur. Es liegt höchst wahrscheinlich an falsch konfigurierten Bridges. Thema: Promisc-Mode.

Wenn ich's zum Laufen bekommen hab, stelle ich's hier rein mit Nero Skizze von der Topologie. Das macht's einfacher.

Wenn du einen Server im Internet hast geht es gänzlich ohne fremde Dienste.

So es läuft =D ich mach dann noch ne Zusammenfassung mit der Lösung wenn ich geschlafen habe.

Portmapper wird an keiner Stelle benötigt weil das VPN und Heimnetzwerk komplett miteinander verschmelzen. Aber ich verstehe Deinen Gedankengang. Du bist immernoch dabei das man von extern dann über den Relais-Server und einen hier "gemappten " Port auf das Heimnetzwerk zugreift. Wenn ich Dich richtig verstehe. Sodass der Server im Internet über eine Art Freigabe wie am Router einen offenen Port an die FIPBOX leitet.

Hier kommuniziert man aber sobald das VPN verbunden ist als ob man im heimischen WLAN wäre. Auch die DHCP leases werden ins VPN durchgedreht sodass das Handy welches sich von irgendwo auf der Welt zum VPN verbindet vom Router daheim eine IP zugewiesen bekommt.

Perfekt 8D

Problem war das die Bridges nicht in den Promisc-Mode versetzt waren.
So funktionierts jetzt:

Auf dem VPN-Gateway:

Auf dem OpenVPN-Server:

Das wars. Jetzt wird der gesamte Traffic zwischen den beiden NICs "geroutet".
Es kann sein das hier der Promiscmode bei einigen VPN Schnittstellen überflüssig ist, das muss ich noch testen.

Damit der Traffic auf Layer2-Ebene behandelt wird. Ich habe in dem Netzwerk Clients in unterschiedlichen Subnets vor allem auch weil hier Modbus-Buskoppler laufen, in einem anderen Subnet. Bridges wären hier (mit tun) dann auch nicht möglich gewesen! D.h. es hätte mit routing gelöst werden müssen und das wäre extrem kompliziert geworden mit den Routingeinträgen an jedem einzelnen Netzwerkteilnehmer plus Router (Hier wäre keine Modifikation möglich gewesen an der Routingtabelle).

Gruß - Marcel

Dabei bleibt ein Problem bestehen:
1. Ich habe keinen Zugriff auf den Router welcher die Adressvergabe übernimmt. Daher müsste ich beim normalen Routing jeden einzelnen Client anpassen UND den Router, was aber nicht möglich ist da der Router keine Zugriffsmöglichkeit zur Verfügung stellt.
2. Multicast und Broadcast würden nicht funktionieren, was bei DLNA, Zeroconf, DHCP etc. pp. aber von Nöten ist.
3. Ich bin mir über den Overhead im Klaren. Dieser ist aber minimal (Einige wenige KByte/s, wenn überhaupt).

Sollte es Probleme mit Multicast geben kann man das Netzwerk immernoch auf Unicast umstellen oder über IPTables filtern. Ist aber unwahrscheinlich da es ja von mir gewollt ist.

Wie gesagt, Hauptproblem ist der Fehlende Zugriff auf den Router im Netzwerk der die DHCP Leases verteilt. Jetzt könnte man einen weiteren Router einsetzen und denn diese Aufgabe übernehmen lassen. Tja, das ist aber ohne Weiteres nicht möglich mit der "### Kiste" von Unitymedia. Siehe: https://www.google.de/webhp?sourceid=chrome-instant&ion=1&espv=2 ...


Sehe ich nicht so: Siehe: DLNA, Zeroconf, diverse LAN-Spiele etc. pp. um nur einige wenige Gründe zu nennen. Dieser Traffic beschränkt sich auf ein Minimum.

Leider nicht.

Ein Ähnliches Szenario ist beim Hersteller im Übrigen beschrieben:
https://openvpn.net/index.php/open-source/documentation/miscellaneous/76 ...

Natürlich kann man mit dem Multi- und Broadcast Schindluder treiben. Aber es handelt sich hier um ein privates Netzwerk wo jeder der Zugriff hat bekannt ist. Da muss man mal Aufwand und Nutzen abwägen zumal es ohne Broadcast Probleme geben würde was diverse Dienste anbelangt. Aber das habe ich ja oben schon mehrfach aufgelistet.