Jan 06, 2016, updated at 13:09:24 (UTC)

2052

Problm mit der ip weitergabe bei openvpn und ubuntu

hallo gemeinschaft

habe leider noch ein prob

wenn ich über eine ddns adresse über openvpn in mein lan möchte, dann ist die verbindungsanzeige auch auf grün und ich bekomme
eine ip beim client von 10.8.0.3 - leider komme ich von hier nicht weiter auf meine lan ip die in dieser art sind
192.168.2.....

ich habe in der sysctl.conf folgenden eintrag bzgl. ipforwarding drin
net.ipv4.ip_forward=1

könnt ihr mir bitte helfen

um zu testen geht mein client über eine handyverbindung ins web

C:\Users\haui>ipconfig

Windows-IP-Konfiguration

Ethernet-Adapter LAN-Verbindung 4:

Medienstatus. . . . . . . . . . . : Medium getrennt
Verbindungsspezifisches DNS-Suffix: meineadresse

Drahtlos-LAN-Adapter LAN-Verbindung* 2:

Medienstatus. . . . . . . . . . . : Medium getrennt
Verbindungsspezifisches DNS-Suffix:

Ethernet-Adapter Ethernet:

Verbindungsspezifisches DNS-Suffix:
Verbindungslokale IPv6-Adresse . : fe80::c9e9:27fa:bd28:d245%21
IPv4-Adresse . . . . . . . . . . : 10.8.0.3
Subnetzmaske . . . . . . . . . . : 255.255.255.0
Standardgateway . . . . . . . . . :

Drahtlos-LAN-Adapter Drahtlosnetzwerkverbindung 2:

Verbindungsspezifisches DNS-Suffix:
Verbindungslokale IPv6-Adresse . : fe80::ade4:f50d:ee04:2149%16
IPv4-Adresse . . . . . . . . . . : 172.20.10.6
Subnetzmaske . . . . . . . . . . : 255.255.255.240
Standardgateway . . . . . . . . . : 172.20.10.1

Tunneladapter Teredo Tunneling Pseudo-Interface:

Medienstatus. . . . . . . . . . . : Medium getrennt
Verbindungsspezifisches DNS-Suffix:

Tunneladapter isatap.{A95E5C5D-0698-4ECA-9E31-314CC8AC418B}:

Medienstatus. . . . . . . . . . . : Medium getrennt
Verbindungsspezifisches DNS-Suffix:

Tunneladapter isatap.{D4A9AFB8-DB93-4196-8770-2BCD4C8D96E2}:

Medienstatus. . . . . . . . . . . : Medium getrennt
Verbindungsspezifisches DNS-Suffix:

Please also mark the comments that contributed to the solution of the article

Content-Key: 292337

Url: https://administrator.de/contentid/292337

Printed on: April 23, 2024 at 19:04 o'clock

30 Comments

Latest comment

Hallo,

übermittelt der OpenVPN-Server auch die Route in das Netz?
Hat das Defaultgateway von deinem Netz auch eine Route zum Open-VPN-Netz?

Gruß

Chonta

wie kann ich das machen

welche dateien soll ich dir zeigen?

lieben gruss und danke für deine hilfe

Hallo,

in der Serverconf muss ein push "route DeinNetz DeineNetzmaske" drin stehen.
Damit gibt der VPN-Server dem Client das andere Netz bekannt.
Wenn der VPN-Server nicht das Defaultgateway ist muss im Gateway von dem Netz eine Route für das VPN Netz eingerichtet werden.

Gruß

Chonta

sysctl.conf
#

/etc/sysctl.conf - Configuration file for setting system variables
See /etc/sysctl.d/ for additional system variables.
See sysctl.conf (5) for information.

#

#kernel.domainname = example.com

Uncomment the following to stop low-level messages on console

#kernel.printk = 3 4 1 3

See http://lwn.net/Articles/277146/
Note: This may impact IPv6 TCP sessions too

#net.ipv4.tcp_syncookies=1

Uncomment the next line to enable packet forwarding for IPv4

net.ipv4.ip_forward=1

Uncomment the next line to enable packet forwarding for IPv6
Enabling this option disables Stateless Address Autoconfiguration
based on Router Advertisements for this host

#net.ipv6.conf.all.forwarding=1

#net.ipv6.conf.all.accept_redirects = 0

_or_
Accept ICMP redirects only for gateways listed in our default
gateway list (enabled by default)
net.ipv4.conf.all.secure_redirects = 1

Do not send ICMP redirects (we are not a router)

#net.ipv4.conf.all.send_redirects = 0
#

Do not accept IP source route packets (we are not a router)

#net.ipv4.conf.all.accept_source_route = 0
#net.ipv6.conf.all.accept_source_route = 0
#

Log Martian Packets

#net.ipv4.conf.all.log_martians = 1
#

etc/openvpn/server.conf

port 1194
proto udp
dev tun
sndbuf 0
rcvbuf 0
ca ca.crt
cert server.crt
key server.key
dh dh.pem
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 127.0.1.1"
keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log
verb 3
crl-verify /etc/openvpn/easy-rsa/pki/crl.pem

client
client
dev tun
proto udp
sndbuf 0
rcvbuf 0
remote 192.168.2.102 1194
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
comp-lzo
verb 3

Ist das Problem jetzt gelöst ?? Der Thread Owner hat es ja oben selber auf "gelöst" geklickt ??!!
Ansonsten sollte das Tutorial hier alle Fragen beantworten:
OpenVPN Server installieren auf pfSense Firewall, Mikrotik. DD-WRT oder GL.inet Router
Die Konfig ist auf allen OS identisch.

leider noch nicht gelöst

leider komme ich von hier nicht weiter auf meine lan ip die in dieser art sind 192.168.2.....

Das kann wie immer mehrere Gründe haben:

Die lokale Firewall dieser Geräte ist nicht angepasst. Aus dem VPN kommst du mit einer fremden Absender IP 10.8.0.x. Diese wird per default von den Endgeräten sofort geblockt sofern du deren lokale FW nicht entsprechend anpasst.
Wenn du pingst kann es daran liegen das ICMP deaktiviert ist. Bei Windows ist das ab Win 7 der Fall: https://www.windowspro.de/tipp/ping-windows-7-server-2008-r2-zulassen
Das was du uns leider in deiner sehr oberflächlichen Beschreibung nicht mitteilst: WO ist dein VPN Server lokalisiert ?? Ist das der Router ? oder ist das ein separater VPN Server im Netz ??

Wenn es letzteres ist, dann ist es klar:
Nehmen wir folgendes an:
Internet Router: 192.168.2.1
VPN Server: 192.168.2.254
Nun pingst du von diesem externen VPN Client mit der 10.8.03 einen PC im lokalen LAN 192.168.2.100. Dieser PC hat als Default Gateway den Internet Router 192.168.2.1 konfiguriert.
Das Paket kommt also an diesem PC an. Der quittiert das und will eine Ping Antwort an den Rechner 10.8.0.3 zurücksenden.
Dazu sieht er in seine Routing Tabelle da das Ziel ja NICHT im lokalen LAN ist (192.168.2.0) schickt er es also an sein Gateway.
Dort kommt es dann auch an.
Das Gateway wiederum sieht auch das das Ziel die 10.8.0.3 ist und sieht auch in seine Routing Tabelle.
Damit das Paket zum Ziel kommt muss es zwingend an den VPN Server gesendet werden, denn der kennt ja das 10.8.0.0er Netz
Jetzt hast du 2 Optionen:

1.) Router hat keine statische Route in das 10.8.0.0er Netz = IP Paket geht ins Internet ins Nirwana, denn 10er Netze sind private, nicht geroutete IP Netze = Verbindung schlägt fehl !
2.) Router hat eine statische Route in das 10.8.0.0er Netz = IP Paket geht zum VPN Server der es dann an den VPN Client forwardet = Verbindung klappt.

Fazit: Du hast ggf. die statische Route im Internet Router vergessen ??!
Traceroute (tracert) und Pathping sind hier immer deine besten Freunde zum Troubleshooten !!!
Siehe auch hier:
OpenVPN Server installieren auf pfSense Firewall, Mikrotik. DD-WRT oder GL.inet Router

Hast du alle diese 3 potentiellen Fehlerquellen sauber überprüft und ggf. korrigiert ??

was würdest du denn vorschlagen, was das sinnigste ist

ich habe es so, wie du beschrieben hast
router - bei dem habe ich ein portforwarding 1194 geht auf die ip des ubuntu openvpn servers 192.168.2.111

firewalls sind aus

router - bei dem habe ich ein portforwarding 1194 geht auf die ip des ubuntu openvpn servers 192.168.2.111

Ääähhh...ja und die statische Route in deinem Internet Router hast du konfiguriert ???
ip route 10.8.0.0 maske 255.255.255.0 gateway: 192.168.2.111

Außerdem: Welchen Port hast du denn geforwardet UDP oder TCP ?? Hoffentlich UDP, denn OpenVPN nutzt UDP für den SSL Tunnel !!

Was sagt denn ein Traceroute ???
Lass dir doch nicht alles einzeln aus der Nase ziehen und lies die Problembeschreibung oben !...

lieben dank
habe beide geforwardet udp und tcp
wo trage ich diesen term ein
ip route 10.8.0.0 maske 255.255.255.0 gateway: 192.168.2.111

TCP ist Unsinn und schafft ein unnötiges Sicherheitsloch im Router. OpenVPN nutzt nur UDP, was du ja auch in deiner Server Konfig sehen kannst mit "proto udp".

wo trage ich diesen term ein

Das war nur ein Beispiel für diese Routen Syntax insVPN Netz was du ja auch selber auch wider in der Server Konfig definiert hast: "server 10.8.0.0 255.255.255.0".
Generell gilt:
Zielnetz: 10.8.0.0, Maske Zielnetz: 255.255.255.0, Gateway zum Zielnetz: 192.168.2.111

Und bitte: LIES die Antworten oben durch !!! Dort steht doch ganz klar WO diese Route konfiguriert werden muss !
Sogar noch mit einem Paket Walk der Pakete in deinem Netz.
Damit auch du es nochmal lesen und hoffentlich verstehen kannst hier nochmal wiederholt:
Nehmen wir folgendes an:
Dein lokales Netzwerk: 192.168.2.0 /24
Dein Internet Router dort: 192.168.2.1
Dein VPN Serverdort: 192.168.2.254
Nun pingst du von diesem externen VPN Client mit der 10.8.0.3 einen PC im lokalen LAN 192.168.2.100 und wir verfolgen nun mal dieses Ping Paket im Netz....
Dieser PC der angepingt wird (192.168.2.100) hat ja als Default Gateway deinen Internet Router 192.168.2.1 konfiguriert.
Das Paket kommt also nun vom VPN Client an diesem PC an. Absender Adresse im Paket ist die 10.8.0.3 Zieladresse die 192.168.2.100. Der empfangende PC quittiert das Paket und will nun eine Ping Antwort an den Rechner 10.8.0.3 zurücksenden. Also schickt er ein Ping Paket mit jetzt Zieladress 10.8.0.3 und Absender IP 192.168.2.100 auf die Reise.
Dazu sieht er in seine Routing Tabelle da das Ziel ja NICHT im lokalen LAN ist (192.168.2.0) liegt und er es nicht direkt loswerden kann also schickt er es an sein Gateway 192.168.2.1 den Router denn der weiss ja wo es hinsoll....
Dort kommt es dann auch an.
Das Gateway wiederum sieht auch das das Ziel die IP Adresse 10.8.0.3 ist und sieht auch in seine eigene Routing Tabelle.
Damit das Paket zum Ziel (VPN Client) kommt muss es zwingend an den VPN Server gesendet werden, denn nur der kennt ja das 10.8.0.0er Netz
Jetzt hast du 2 Optionen:
1.) Router hat keine statische Route in das 10.8.0.0er Netz = IP Paket geht ins Internet ins Nirwana, denn 10er Netze sind private, nicht geroutete IP Netze = Verbindung schlägt fehl ! wie bei dir.
2.) Router hat eine statische Route in das 10.8.0.0er Netz = IP Paket geht zum VPN Server der es dann an den VPN Client forwardet = Verbindung klappt..
Fazit: Du hast ggf. die statische Route im Internet Router vergessen ??!
Also im Internet Router trägst du dort im Konfig Menü unter "Routing" diese statische Route ein !!

also meinst du zuersteinmal dien befehl, den ich ausführen muss
sudo route add -net 10.8.0.0 netmask 255.255.255.0 gw 192.168.2.111

so sieht der ping beim client aus
ipv4: 10.8.0.2
subnet 255.255.255.0
standardgateway:

Ich gebs auf....du kannst scheinbar nicht lesen

Man siehts auch an der fehlenden Orthografie der du nicht mächtig bist oder deine Shift Taste ist defekt ?!

Ein allerletzter Versuch:

In deinem Internet Router trägst du dort im Konfig Menü unter "Routing" diese statische Route ein !!

NICHT auf der Ubuntu Gurke !! Lies den Packet Walk oben !!! (Das fett Gedruckte !)
Oder bist du ein Foren Troll der nur vorgibt nicht lesen zu können... ???

bin gerade auf der suche - habe eine easybox von vodafone

ist die nat mapping table
NAT Mapping Table (NAT-Verknüpfungstabelle)

Die NAT-Verknüpfungstabelle zeigt die gegenwärtigen NAT-Adressverknüpfungen an.
Index Protocol Local IP Local Port Pseudo IP Pseudo Port Peer IP Peer Port
1 TCP 192.168.2.102 44458 92.210.66.12 44458 185.31.128.208 443
2 TCP 192.168.2.105 64893 92.210.66.12 64893 213.252.12.93 80
3 TCP 192.168.2.105 64932 92.210.66.12 64932 213.252.12.93 80

oder adress mapping
Verknüpfen von Adressen (Address Mapping)

Network Address Translation (NAT) ermöglicht es, IP-Adressen, die in einem privaten lokalen Netzwerk benutzt werden, mit einer oder mehreren Adressen, die im öffentlichen globalen Internet verwendet werden, zu verknüpfen. Dieses Leistungsmerkmal beschränkt die Anzahl öffentlicher IP-Adressen, die Sie von Ihrem ISP beziehen müßten. Es dient gleichzeitig der Sicherheit, indem verhindert wird, daß lokale IP-Adressen nach außen bekannt werden. Dabei können eine oder mehrere öffentliche IP-Adressen mit einem Pool von lokalen Adressen verknüpft werden.
Adressenverknüpfung (Address Mapping)
1 von 192.168.2. bis 192.168.2. verbinden mit öffentlicher IP-Adresse ...

habe eine easybox von vodafone

Uaarggghh....Igitt...

Megaschrott ! Bei dem Billigstsystem sind m.E. keine statischen Routen supportet. Wie leider so üblich bei dem billigen Provider Müll die die einem für umme hinstellen. Darf ja nix kosten deshalb auch nix Features....
Du hast 3 Optionen das dennoch zu lösen:

1.) Den Router mit was vernüftigem ersetzen (Fritzbox etc.)
2.) Eine Router Kaskade bauen mit einem 2ten billigen Router der statische Routen kann z.B. TP-Link 841N
3.) Eine statische Route auf ALLEN deinen Endgeräten eingeben.

Technisch die beste Lösung ist Option 1.)
Grauslig wirds schon bei 2.) klappt aber eben mit Zusatzkosten.
Wenn du Option 3 wählst um das mit Bordmitteln zu lösen wirds frickelig denn du musst auf den PCs im Netzwerk (sofern diese Winblows OS haben) folgendes Kommando in der Eingabeaufforderung eingeben:
route add 10.8.0.0 mask 255.255.255.0 192.168.2.111 -p
Ob diese Route dann in der Routing Tabelle des PC ist kannst du unter Winblows mit route print überprüfen !
Diese Konfiguration der statischen Route musst du auf allen Endgeräten in deinem lokalen Netz machen die du per VPN erreichen willst. Wie gesagt: Eigentlich Blödsinn wenn man einen gescheiten Router hat aber du hast keine Chance mit solch einem Schrottrouter wie deinem, außer eben mit dem Kaskaden Workaround 2 Router zu koppeln:
Kopplung von 2 Routern am DSL Port
Oder eben der Neubeschaffung eines Routers der diesen Namen auch verdient.

ist die nat mapping table

Was sollten uns jetzt diese 2 völlig unsinnigen Posts zum Thema NAT sagen ? Warst du jetzt mal kurzzeitig im falschen Film oder was ?
Wir sind hier in einem Administrator Forum (der Name ist Programm) und ALLE wissen hier was NAT ist. Warum also nochmal diese überflüssige Erklärung zu NAT...?
Da du ja etwas "schwerfällig" beim lesen bist. Nochmals....es geht hier im das Thema IP Routing und nicht um NAT. Nur nochmal um das zu klären.

hi - ich habe noch ne ganz alte hier 2170 - bei der dehts glaub ich nicht
hast du nen tipp

doch - anscheinend doch http://avm.de/service/fritzbox/fritzbox-2170/wissensdatenbank/publicati ...

sollte doch damit funzen

Ja, flashe die mit der aktuellsten Firmware von AVM, dann geht das.
Es geht aber auch mit deiner gruseligen Easybox wenn du die statische Route auf deinem per VPN zu erreichenden Endgerät eingibst wie oben beschrieben !
Beide Wege führen zum Erfolg !

kann ich vielleicht auch den avm hinter die easybox stellen

ich brauche die easybox wg telefonie

Telefonie geht auch mit der Fritzbox und allen anderen Routern die VoIP können !!!
Außerdem kann man auch imemr einen Adapter wie z.B.:
https://www.reichelt.de/CISCO-SPA112/3/index.html?ACTION=3&GROUPID=2 ...;
im LAN betreiben.
Auf Nachfrage rückt auch Vodafone die SIP Zugangsdaten raus.

Selber Schuld wer einen Router betreibt der nicht mehr in seiner eigenen Hoheit ist. In Snowdon Zeiten eigentlich ein absolutes NoGo....

kann ich vielleicht auch den avm hinter die easybox stellen

Ja, auch das wäre eine gangbare Lösung um das Problem zu fixen !
Bedeneke aber das du dann hier 2mal Port Forwarding für UDP 1194 machen musst !!
Kopplung von 2 Routern am DSL Port

Warum versuchst du es nicht erstmal mit der statischen Route auf dem Endgerät...nur um das erstmal generell zum Fliegen zu bringen ?!
Ist doch erstmal der einfachere Weg...

kannst du mir das bitte nochmal schreiben, wie genau die client.ovpn aussehen muss

aber wofür ist denn dieser term
iptables -t nat -A POSTROUTING -s 10.0.0.0/8 ! -d 10.0.0.0/8 -o eth0 -j MASQUERADE

kannst du mir das bitte nochmal schreiben, wie genau die client.ovpn aussehen muss

Einfach mal Tutorial lesen:
OpenVPN Server installieren auf pfSense Firewall, Mikrotik. DD-WRT oder GL.inet Router

aber wofür ist denn dieser term

Das macht unsinniges NAT im VPN Tunnel.
Da dein Server intern ist ist die Verwendung von iptables erstmal Unsinn. Schalte das bitte ab, denn das schafft dir erstmal unendlich viele Fussfallen und mögliche Fehler.
Kein iptables !! Deaktiviere also die Firewall im Rechner. Wenigstens erstmal für den Test um das zum Laufen zu bringen !!

Hast du die Weisheit mit dem Masquerading (iptables Kommando oben) hierher ?:
http://jankarres.de/2013/05/raspberry-pi-openvpn-vpn-server-installiere ...

Das ist nicht ganz falsch, denn der Trick bewirkt das der OpenVPN Server das interne VPN Netzwerk 10.0.0.0/8 auf die eth0 IP Adresse umsetzt.
Das ist dann der Workaround der einem den Aufwand mit den statischen Routen entweder in den Endgeräten oder dem Router erspart, denn die remoten VPN Clients tauchen im lokalen netz so mit der eth0 Schnittstelle des Servers auf also mit einer lokalen IP.
Gravierender Nachteil:
Du kannst vom internen Netz keine Verbindung zum Client aufbauen ! Das verhintert das NAT / Masquerading !
Gut, oft will man das auch gar nicht denn man will nur mit den Clients aufs lokale Netz und sonst nix.
Dann kann das natürlich so bleiben !

Log dich doch mal mit einem remoten VPN Client ein, denn das klappt ja nach deiner Aussage. Dann machst du auf dem etho Interface mal ein tcpdump während du vom Client irgendwas im netz pingst und checkst mal wo die Pakete vom Client bleiben.
Irgendwas ist da noch faul auf dem OVPN Server in deiner Konfig !
Folge sonst genau der RasPi Konfig oben...die führt sofort zum Erfolg !

German solved Question Linux Network Linux

Hotly discussed

Check of ZFW Firewallgleixnerd - 5 Comments

Wireguard VPN on UDM Pro behind Fritzbox - Handshake did not completejstricker - 3 Comments

How to set up and configure a Linux GRE tunnelAlexWisha - 3 Comments