DD-WRT OpenVPN (bridge) verbindt, maar komt niet door

[Jarcol]

Hallo allemaal,

Ik heb maar weinig ervaring met OpenVPN, dus wees niet te hard ;-)

Ik heb geprobeerd een VPN verbinding op te zetten met een vriend die een paar straten verder op woont. Volgens de status is verbinding gemaakt, maar ik kom niet bij het externe netwerk. Hij kan niet bij mijn netwerk komen (bv. ping 192.168.1.1, of via een webpagina) en ik kan zijn netwerk ook niet bereiken.

Kan iemand alstublieft helpen dit op te lossen?

De specificaties:
Server
Router: Netgear WNDR3700 v2
DD-WRT: DD-WRT v24-sp2 (06/14/11) std - build 17201
LAN = 192.168.1.0 (start IP-address is 192.168.1.50)

Client
Router: Linksys WRT54GS
DD-WRT: DD-WRT v24-sp2
LAN = 192.168.10.0 (start IP-address is 192.168.10.50)


Status OpenVPN:
State
Server: CONNECTED: Local Address: Remote Address: Client: : Local Address: Remote Address:

Status
Common name: Client1
Real address: Friends_WAN_IP:2048
Virtual Address: 192.168.1.2
Bytes received: 9604
Bytes sent: 2284921
Connected since: Thu Nov 24 11:09:53 2011

---

Virtual Address: 192.168.1.2
Common name: Client1
Real Address: Friends_WAN_IP:2048
Last Ref: Thu Nov 24 11:10:17 2011


The setup, server-side
- Start OpenVPN Server: Enabled
- Start Type: WAN Up
- Config via: GUI
- Server mode: Bridge (TAP)
- DHCP Proxy-mode: Disabled
- Pool start IP: 192.168.1.2
- Pool end IP: 192.168.1.50
- Gateway: 192.168.1.1
- Netmask: 255.255.255.0
- Port: 1194
- Tunnel protocol: UDP
- Encryption Cipher: Blowfish CBC
- Hash Algoritm: SHA1
- Advanced options: Disabled
- Public Server Cert:
-----BEGIN CERTIFICATE-----
xxxx
-----END CERTIFICATE-----

- CA Cert:
-----BEGIN CERTIFICATE-----
xxxx
-----END CERTIFICATE-----

- Private Server Key:
-----BEGIN PRIVATE KEY-----
xxxx
-----END PRIVATE KEY-----

- DH PEM:
-----BEGIN DH PARAMETERS-----
xxxx
-----END DH PARAMETERS-----


Additional config, CCD-Dir DEFAULT file, TLS Auth Key and Certificate Revoke List zijn allemaal leeg.

Startup command
openvpn --mktun --dev tap0
brctl addif br0 tap0
ifconfig tap0 0.0.0.0 promisc up
mkdir -p /tmp/openvpn/ccd
echo "iroute 192.168.10.0 255.255.255.0" > /tmp/openvpn/ccd/Client1

Firewall command
iptables -A INPUT -i tap0 -j ACCEPT
iptables -I INPUT -p udp --dport 1194 -j ACCEPT


The setup, client-side
-Start OpenVPN client: Enabled
- Server IP/Name: *WAN IP*
- Port: 1194
- Tunnel Device: TAP
- Tunnel protocol: UDP
- Encryption Cipher: Blowfish CBC
- Hash algoritm: SHA1
- nsCertType: unchecked
- Advanced options: Disabled
- CA Cert:
-----BEGIN CERTIFICATE-----
xxxx
-----END CERTIFICATE-----

- Public Client Cert:
-----BEGIN CERTIFICATE-----
xxxx
-----END CERTIFICATE-----

- Publick Client Key:
-----BEGIN PRIVATE KEY-----
xxxx
-----END PRIVATE KEY-----

Firewall command
# Allow server-side and client-side hosts to ping routers endpoint
iptables -I INPUT 3 -i tun0 -p icmp -j ACCEPT
# Allow internal remote administration through HTTP
iptables -I INPUT 1 -i tun0 -p tcp --dport 80 -j ACCEPT
# Allow forwarding to other clients in the LAN
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT

Als jullie nog meer informatie nodig hebben hoor ik het graag!

Alvast bedankt voor de hulp!

[Verwijderd]

Ten eerste moet je de open vpn altijd via een ander netwerk en of vlan laten lopen dus (192.168.3.0 of 10.0.0.0 of 172.16.0.0)

En deze commando uit je startup config werkt dan ook niet :

"echo "iroute 192.168.10.0 255.255.255.0" > /tmp/openvpn/ccd/Client1"


Probeer dat is, en kijk anders is of pptp ondersteunt word, dat is veel makkelijker

mvg

[Jarcol]

Verwijderd schreef op donderdag 24 november 2011 @ 15:39:
Ten eerste moet je de open vpn altijd via een ander netwerk en of vlan laten lopen dus (192.168.3.0 of 10.0.0.0 of 172.16.0.0)

En deze commando uit je startup config werkt dan ook niet :

"echo "iroute 192.168.10.0 255.255.255.0" > /tmp/openvpn/ccd/Client1"


Probeer dat is, en kijk anders is of pptp ondersteunt word, dat is veel makkelijker

mvg

Bedankt voor je reactie!

Ik weet dat pptp veel makkelijker is, maar ik wil graag de mooie oplossing. Op het moment dat ik van het VPN-netwerk 192.168.3.0 maak, kan ik er vanaf mijn lokale netwerk ook niet bij.. ik wil juist twee (en in de toekomst nog meer) netwerken aan elkaar knopen!

Is het niet zo dat met Routed openvpn het verschillende netwerken moeten zijn en bij bridged juist hetzelfde?

[Miepermans]

Mag ik je 1 tip geven,... en dat is een serieuze,

Exporteer de certificaten eens en draai op jouw eigen pc een openvpn client,

Zo test je of de server zijn werk helemaal doet. Ik moet eerlijk zeggen dat ik openvpn op ddwrt zelf alleen maar gebruik i.c.m. een opensuse of debian server.

Je wilt je vpn pijp een totaal ander ip geven, of wil je de 2 netwerken aan beide zijnden bridgen ? Hiervoor heb je een andere aanpak nodig namelijk.

Heb je de manual al gelezen op : http://www.dd-wrt.com/wiki/index.php/OpenVPN
Hier heb ik HEEL veel info uitgehaald toen ik hiermee bezig was.

Ook haal ik veel kennis van : http://openvpn.net/index..../documentation/howto.html

Ik wil als het nodig is wel weer eens een ddwrt fonsportje opstarten om mijn client side config te bekijken.


-------------------------- EDIT!!!111

Ik zie ineens dat je in je halve config gebruik maakt van TAP devices ( L2 vpn ) en in de andere helft van TUN devices (L3 Routed vpn )

Trek deze config eens gelijk! dan weer even testen. in jouw geval wil je een routed vpn, dus je hebt aan beide kanten een TUN device nodig.


------------------------ EDIT2

Ik zal je dus meteen even antwoord geven op deze vraag :

Volgens de status is verbinding gemaakt, maar ik kom niet bij het externe netwerk. Hij kan niet bij mijn netwerk komen (bv. ping 192.168.1.1, of via een webpagina) en ik kan zijn netwerk ook niet bereiken.

De verbinding komt waarschijnlijk inderdaad tot stand, Echter config jij je eigen firewall niet op de juiste adapters. Je inkomend verkeer op de TAP adapter wordt dus volledig gedenied!

[ Voor 34% gewijzigd door Miepermans op 25-11-2011 09:38 ]

[Miepermans]

Verwijderd schreef op donderdag 24 november 2011 @ 15:39:
Ten eerste moet je de open vpn altijd via een ander netwerk en of vlan laten lopen dus (192.168.3.0 of 10.0.0.0 of 172.16.0.0)

En deze commando uit je startup config werkt dan ook niet :

"echo "iroute 192.168.10.0 255.255.255.0" > /tmp/openvpn/ccd/Client1"


Probeer dat is, en kijk anders is of pptp ondersteunt word, dat is veel makkelijker

mvg

Hey, Ik snap je opmerking, echter heb je niet helemaal gelijk. Dit is alleen van toepassing bij een L3 Routed VPN, bij L2 ( met 2 TAP adapters dus ) mag je wel in dezelfde range ( of subnet ) zitten. echter moet je dan heel goed naar je routeringen kijken ( en gebruik van Gateways enzo )