VPN benadert Apache over publiek IP

[secretdk]

tl;dr interne Apache webserver ziet VPN binnenkomen op het publieke adres in plaats van de toegewezen VPN IP.

Ik heb een aantal websites draaien met management services (webmin,transmission,phpmyadmin etc). Deze wil ik alleen in mijn interne netwerk bereikbaar hebben en extern via een VPN. Wat ik hiervoor gedaan heb is iedereen denyen behalve mijn interne 192.168 ip reeks.

Dit werkt prima in mijn interne netwerk en extern zijn de websites ook niet te bereiken. Als ik nu verbinding maak met mijn PPTP VPN met bijv IP 192.168.1.* en ik ga naar de afgeschermde websites, dan krijg ik ook forbidden te zien terwijl ik intern met de VPN zit.

Als ik in de Apache error logs kijk dan zie ik hem ook binnen komen via het externe publieke adres. Iemand enig idee hoe ik dit oplos en waar het mis gaat?

Hier nog wat screenshots van traceroute, mijn virtualhost config en de apache error logs.

[johnkeates]

Ten eerste: PPTP? Really? Waarom niet gewoon L2TP zonder encryptie als je toch geen security wil

Ten tweede: je routes zijn verkeerd, daarom werkt het niet.

Suggesties:

- Gebruik OpenVPN
- Gebruik IPSec of L2TP over IPSec

Stel dat je geen echte VPN wil gebruiken, dan kan je nog proberen gewoon je VPN te fixen. Voor PPTP betekent dat dat je op de server je routes die aan de clients gegeven worden moet verbeteren.

Verder heb je in je trace je gegevens niet bepaald afgeschermd. De ene keer heb je je IP weggehaald maar je DNS niet, en de andere keer je DNS wel maar je IP niet...

[secretdk]

De enige reden dat ik PPTP heb is omdat mijn router dat standaard ondersteund. Ik wist al dat het onveillig was. OpenVPN zie ik er nu toevallig ook bij staan dus ik zal mijn overstap wel maken.

Zal hij met OpenVPN wel de juiste route pakken of moet ik dat hier ook nog instellen?

EDIT: Ik zit nu op OpenVPN, maar heb nog steeds hetzelfde probleem. Hoe zorg ik ervoor dat hij de juist route pakt?

[ Voor 36% gewijzigd door secretdk op 11-10-2014 21:28 ]

[SambalBij]

Benader je die webserver wel op het interne IP?
Je krijgt met het VPN een tunnel naar je interne LAN, maar als je vervolgens het externe IP gaat opvragen gaat dat buiten de tunnel om.
(Aangezien je een traceroute laat zien naar een 'transmission.xxxxx.nl' die over het internet gaat, niet door je VPN zo te zien)

[secretdk]

Ik benader die webserver via het domein; transmission.domein.nl.
Hiermee hoopte ik dat hij hiervoor binnen het interne LAN zou blijven, maar blijkbaar gaat hij naar dit domein extern.

Ik weet wel dat ik hem kan benaderen d.m.v. het lokale IP, maar dan werken die virtualhosts niet.

EDIT: Tijdelijk probleem opgelost door mijn hosts file aan te passen op mijn telefoon en laptop;

192.168.1.3 transmission.domein.nl

Iemand nog een idee hoe ik de route van me VPN standaard dat laat doen zonder dat ik voor elk subdomein op elk apparaat aparte host entry's moet gaan maken?

[ Voor 34% gewijzigd door secretdk op 11-10-2014 23:28 ]

[SambalBij]

Je moet dan (bijv. op die webserver) zelf intern een DNS server opzetten. Op die interne server maak je ook het domein domein.nl aan. In die DNS zone zet je een A record voor transmission.domein.nl met als IP adres 192.168.1.3.

Vervolgens stel je op je VPN (router) in dat je dat interne IP meegeeft als DNS server voor het VPN.

Wanneer je geen VPN verbinding hebt zal transmission.domein.nl gewoon op de DNS server op internet worden opgezocht, en zal dat resolven naar het publieke IP adres. (wat nu ook al gebeurt)

Heb je echter wél de VPN verbinding, dan zal de PC dat adres gaan opzoeken via de opgegeven (interne) DNS server. Dan zal hij dat adres resolven naar 192.168.1.3, en wordt de server benaderd op het interne IP. Dan komt ie én langs de apache beperking voor interne adressen, én je virtualhosts zullen gewoon werken.

[secretdk]

Tuurlijk, dat ik daar zelf niet aan gedacht heb...
Bedankt voor de uitgebreide uitleg!

[secretdk]

Ik heb nu intern een DNS server draaien en de juiste zones aangemaakt.
VPN Clients krijgen nu ook die DNS server toegewezen.

Als ik nu naar transmission.domein.nl ga kom ik gewoon op de interne website en dat werkt gewoon goed.
Nu heb ik echter een aantal andere subdomeinen (webmin.domein.nl,phpmyadmin.domein.nl etc) waar hij nog steeds forbidden zegt.

Deze hebben precies dezelfde instellingen als het transmission.domein.nl subdomein. Ook staan deze gewoon in de DNS zone.

Cache clearen etc mocht niet baten. Waarom word hij voor deze subdomeinen dan niet rechtstreeks naar de webserver gestuurd?

[ Voor 7% gewijzigd door secretdk op 12-10-2014 15:24 ]

[mbaltus]

Je hebt wel de host-file entry weggehaald? Dus het werkt ook echt voor transmission.domein.nl?

Doe eens (met VPN tunnel up) een nslookup webmin.domein.nl, welk IP adres krijg je dan terug (intern of extern)

[Joolee]

Andere optie zou zijn om jouw externe ip adres te pushen als route welke via de vpn moet lopen. Dan benader je het externe ip adres maar verloopt dat via de VPN. Hangt een beetje van je router af of en hoe goed dat gaat werken. Je kunt het testen door met de hand even een route toe te voegen in je client.

https://openvpn.net/index...entation/howto.html#scope

[ Voor 23% gewijzigd door Joolee op 13-10-2014 09:06 ]

[secretdk]

mbaltus schreef op maandag 13 oktober 2014 @ 08:59:
Je hebt wel de host-file entry weggehaald? Dus het werkt ook echt voor transmission.domein.nl?

Doe eens (met VPN tunnel up) een nslookup webmin.domein.nl, welk IP adres krijg je dan terug (intern of extern)

Ja, inderdaad vergeten die host entry weg te halen. Het lijkt er op dat de VPN niet de interne DNS server gebruikt. Dit kan ik op mijn router ook eigenlijk niet apart instellen bij de VPN Server. Gaat om een Asus RT-N66u

Met een nslookup krijg ik het externe adres mee.

EDIT: Ik heb mijn VPN nu op PPTP weer gezet, hier kan ik wel handmatig DNS server aangeven en hier werkt het dus ook. Hier heb ik gewoon de DNS server 192.168.1.3 opgegeven waarna ik gewoon naar alle websites kan.

Mijn vraag is dan ook of het ook mogelijk is om die DNS server bij OpenVPN te forceren, want het ziet er naar uit dat hier de optie niet voor is.

[ Voor 30% gewijzigd door secretdk op 13-10-2014 09:47 ]

[mbaltus]

Je kunt in OpenVPN toch prima via DHCP extra opties zoals DNS servers pushen? https://openvpn.net/index.../documentation/howto.html

[secretdk]

mbaltus schreef op maandag 13 oktober 2014 @ 10:04:
Je kunt in OpenVPN toch prima via DHCP extra opties zoals DNS servers pushen? https://openvpn.net/index.../documentation/howto.html

Dat zal vast wel kunnen, maar ik heb geen idee waar ik dit moet doen op mijn router. In de interface staan een aantal settings die ik net gepost heb in een screenshot en verder kan je niet veel.

[terror538]

Kan je niet een hosts file uploaden naar je router? Dan zet je daar die aangepaste instellingen in, dikke kans dat je router gewoon zichzelf pusht als DNS server voor het interne domein en dat een aangepaste DNSmasq server is die gewoon eerst de hostsfile uitleest

[flipkipse]

In je customer config gewoon, ik heb het zo:

push "route 192.168.2.0 255.255.255.0"
push "dhcp-option DNS 10.168.1.1"

iptables -I INPUT 1 -p tcp --dport 443 -j ACCEPT
iptables -I FORWARD 1 --source 10.168.1.0/24 -j ACCEPT
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.168.1.0/24 -o br0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 10.168.1.0/24 -j MASQUERADE
iptables -I INPUT 3 -i tun0 -j ACCEPT
iptables -I FORWARD 3 -i tun0 -o tun0 -j ACCEPT