pfSense met VPN server achter Experia Box

[JT]

Ik probeer een OpenVPN server op een pfSensebak bereikbaar te maken van buitenaf met een Experiabox ertussen. Volgens mij moet die Experiabox er sowieso tussenblijven voor de telefonie. Ik heb de pfSensebak in een DMZ gegooid met statische DHCP binding. Van binnenin het netwerk kan ik de OpenVPN server bereiken. Van buitenaf kan ik de server echter nog niet bereiken. Moet ik ook nog expliciet de poorten forwarden ofzo?

[Petervanakelyen]

Als je server in DMZ staat, moet je normaalgezien geen poorten forwarden. Hoe test je het geheel? Simpelweg verbinden met je extern IP-adres vanuit het netwerk waar je server draait werkt niet altijd vanwege NAT loopback.

[JT]

Laptop -> 3G wifi tethering -> DynDNS -> externe IP. Ik dacht later zelf nog, hoe weet de Experiabox dat het naar de machine in de DMZ moet? Daarom vroeg ik me af of ik nog expliciet moest forwarden. Of gaat er altijd maar 1 apparaat in de DMZ?

Edit: ja dus Ping lukt niet en OpenVPN ook niet van buitenaf

[ Voor 39% gewijzigd door JT op 22-12-2014 20:39 ]

[Petervanakelyen]

Op welke poort draai je OpenVPN, UDP/1194? Dat zou wel eens geblokkeerd kunnen worden door je (3G) provider.

[JT]

UDP / 58duizend nog wat.

Edit: vanaf thuisconnectie werkt het ook niet.

[ Voor 51% gewijzigd door JT op 22-12-2014 20:44 ]

[johnkeates]

Heb je een Experia Box V8? Dan kan je PPPoE bridging gebruiken zonder verlies van telefonie of TV (die gaan over een los circuit en VLAN). Ik heb dat met zowel DD-WRT als pfSense draaiend.

Wat OpenVPN over EB betreft: dat kan gewoon, ook met simpele port forwarding zonder DMZ. Dat heb ik bij enkele situaties ook zo draaien als de klant nog in z'n EB wil kunnen.

[JT]

Je bedoelt dat de server de internetverbinding zelf maakt? Ik hoop toch eigenlijk dat het zo gewoon kan gaan werken. Ik zal eens de firewall van die Experiabox checken (helaas is het bij vrijwilligerswerk waar ik naartoe moet, VPN connectie was juist om ervoor te zorgen dat ik op het netwerk kan zonder er fysiek naartoe te gaan ).

[mati1983]

Alternatief is kijken of je telefoonprovider gewoon via SIP aanbiedt.
In dat geval kun je een ATA oid (15-20€ op marktplaats) aan je netwerkje vastknopen en die ellendige experiabox vaarwel zeggen..

[JT]

Ik heb wellicht iets gevonden. In de firewall logs vind ik met regelmatig entries als deze:

code:

block   Dec 22 17:50:32     WAN     192.168.2.253:138       192.168.2.255:138       UDP
block   Dec 22 17:50:32     WAN     192.168.2.253:138       192.168.2.255:138       UDP
block   Dec 22 17:56:49     WAN     192.168.2.254:67        255.255.255.255:68      UDP

Op de WAN poort, daar zit de Experiabox op. Ook zie ik dat het gaat om adressen 253, 254 en 255. Schijnbaar worden deze gebruikt door de Experiabox. Zou het hier iets mee te maken kunnen hebben? Dat de Experiabox iets probeert door te sturen vanaf die adressen?

[Frogmen]

Uit ervaring weet ik dat je beter je server niet in de DMZ kan zetten maar heel gericht de benodigde poorten forwarden in je router..

[JT]

Hoezo zou ik geen server die bedoeld is als firewall en NAT-server in de DMZ moeten zetten?

[sjosz]

253 is waarschijnlijk een werkstation (kun je bij DHCP leases kijken), 254 is gateway (de Experia Box zelf), en 255 is broadcast adres.

[ Voor 4% gewijzigd door sjosz op 24-12-2014 19:19 ]

[JT]

253 is volgens iemand op het KPN forum de interne FTP server van de Experiabox zelf.