OpenVPN server op Synology: local subnet niet bereikbaar

[SAICRJMPM]

Als je de OpenVPN server op synology configureert dan forceert hij je een dynamic IP adres te pakken uit een ander subnet dan je lokale netwerk.

Dit betekent dat als ik met mijn iPhone een vpn verbinding opzet met de openVPN server op de NAS, de iPhone een IP adres krijgt dat buiten het subnet ligt van mijn eigen lokale network.

Als ik dan een video player (Infuse) star op mijn iPhone (na via openVPN met mijn NAS verbonden te zijn) dan krijg ik de DLNA server die ik op de NAS heb draaien niet te zien. Dat komt natuurlijk omdat de NAS een IP adres heeft in het subnet van mijn lokale netwerk en de iPhone een IP adres van de VPN server heeft gekregen buiten dit lokale netwerk. Dus die Infuse media player ziet die DLNA server niet die ik thuis op de NAS heb draaien.

Hoe kan ik nu als ik op vakantie ben via OpenVPN op mijn iPhone videos streamen naar de Infuse app via DLNA? Ik dacht als je met je NAS verbindt met openVPN dan kun je bij al je lokale resources. Dat is dus niet zo.

Waarom krijg ik eigenlijk van de VPN server niet gewoon een IP adres in het subnet van mijn lokale netwerk? Waarom staat synology dat in de configuratie niet toe?

[Trommelrem]

Wat is je route tabel?

[SAICRJMPM]

Enige wat ik ingesteld heb is dat ik de poort van openVN forward naar mijn NAS. En dat werkt, want kan gewoon verbinding maken via VPN. Ik heb niks anders ingesteld in de router.

Maar waarom doet Synology zo moeilijk? Bij de PPTP VPN server optie kun je wel een dynamic IP adres in je eigen lokale subnet toekennen. En als je dan met je iPhone verbinding maakt met de VPN server krijgt hij gewoon een IP adres in je lokale netwerk en kun je overal bij. Bij de openVPN server kan dit dus niet.

[ Voor 47% gewijzigd door SAICRJMPM op 15-08-2015 11:53 ]

[KillerAce_NL]

Post al je ip informatie, zoals je locale subnet en mask en de dynamsiche gegevens, ip en subnet en gateway.

[Bastien]

Route tabel op je synology bedoelt Trommelrem.

In de conffiguratie van OpenVPN is er volgens mij een optie om toegang te geven tot de server waarop OpenVPN draait, even daarop zoeken.

[SAICRJMPM]

Lokaal is 10.0.1.x, mask 255.255.255.0

Synology dwingt me dat VPN clients een adres krijgen in de range 10.8.0.x (ipv de 8 kan ik ook wat anders kiezen MAAR niet 10.0.1.x)

[SAICRJMPM]

Bastien schreef op zaterdag 15 augustus 2015 @ 11:53:
Route tabel op je synology bedoelt Trommelrem.

In de conffiguratie van OpenVPN is er volgens mij een optie om toegang te geven tot de server waarop OpenVPN draait, even daarop zoeken.

Ik heb geen route tabel ingesteld op de NAS. Ik zal dit gaan doen en testen. Dank je.
Maar vreemd dat het nodig is. Waarom kan de vpn client niet gewoon een IP adres in mijn lokale netwerk krijgen? Bij de PPTP VPN server kan het wel (maar die schijnt dan weer onveilig te zijn).

[Bastien]

SAICRJMPM schreef op zaterdag 15 augustus 2015 @ 11:56:

Ik heb geen route tabel ingesteld op de NAS. Ik zal dit gaan doen en testen. Dank je.

Dat lijkt mij sterk want dan komt er geen verkeer in en uit. Type gewoon eens route in via CLI.

Maar vreemd dat het nodig is. Waarom kan de vpn client niet gewoon een IP adres in mijn lokale netwerk krijgen? Bij de PPTP VPN server kan het wel (maar die schijnt dan weer onveilig te zijn).

Juist omdat dat niet veilig is. Je kunt bewust toegang geven tot de server als je dat wilt maar niet als standaard. Maar je kunt het wel inschakelen, beetje zoeken en je moet wel wat nuttige info over alle configuratieparameters van OpenVPN kunnen vinden.

[Ben(V)]

Je kunt gewoon alles in je normale subnet bereiken, alleen moet je het wel adresseren met het juiste ipadres.
Het probleem zit hem is dat rotte dlna protocol dat alleen maar binnen een lan werkt en niet routeerbaar is.

[dôh]

SAICRJMPM schreef op zaterdag 15 augustus 2015 @ 11:47:
Als je de OpenVPN server op synology configureert dan forceert hij je een dynamic IP adres te pakken uit een ander subnet dan je lokale netwerk.

Dit betekent dat als ik met mijn iPhone een vpn verbinding opzet met de openVPN server op de NAS, de iPhone een IP adres krijgt dat buiten het subnet ligt van mijn eigen lokale network.

Als ik dan een video player (Infuse) star op mijn iPhone (na via openVPN met mijn NAS verbonden te zijn) dan krijg ik de DLNA server die ik op de NAS heb draaien niet te zien. Dat komt natuurlijk omdat de NAS een IP adres heeft in het subnet van mijn lokale netwerk en de iPhone een IP adres van de VPN server heeft gekregen buiten dit lokale netwerk. Dus die Infuse media player ziet die DLNA server niet die ik thuis op de NAS heb draaien.

Hoe kan ik nu als ik op vakantie ben via OpenVPN op mijn iPhone videos streamen naar de Infuse app via DLNA? Ik dacht als je met je NAS verbindt met openVPN dan kun je bij al je lokale resources. Dat is dus niet zo.

Waarom krijg ik eigenlijk van de VPN server niet gewoon een IP adres in het subnet van mijn lokale netwerk? Waarom staat synology dat in de configuratie niet toe?

Waarom gebruik je niet gewoon DS File? Daar zit een ingebouwde video player in, speelt bijna elk formaat af. Gaat hier perfect icm OpenVPN op de Synology.

[SAICRJMPM]

dôh schreef op zaterdag 15 augustus 2015 @ 16:59:
[...]


Waarom gebruik je niet gewoon DS File? Daar zit een ingebouwde video player in, speelt bijna elk formaat af. Gaat hier perfect icm OpenVPN op de Synology.

Dank, dat werkt inderdaad.

Heb me inmiddels suf gezocht op Internet maar ik krijg het idee dat mijn oorspronkelijke idee gewoon niet kan. Omdat de broadcasts van de DLNA server het VPN subnet niet bereiken. Het kan alleen als zg TAD device maar Synology ondersteunt alleen TUN voor de openVPN server? Het groeit me allemaal boven de pet. Ik gebruik die DS File wel.

[Ben(V)]

Verstandig, dlna is toch bagger en heeft vaak ook allerlei problemen met codecs,ondertitels en audio formaten

[Andre_J]

Niet goed gelezen

[ Voor 92% gewijzigd door Andre_J op 15-08-2015 21:59 ]

[jeroen3]

Laat openvpn alle verkeer tunnelen.
Je kunt natuurlijk ook je eigen openvpn server config gebruiken, dit is gewoon een file waar je bij kan via ssh.

[Verwijderd]

Het is toch gewoon een kwestie van een route toevoegen van het subnet van je VPNServer (je LAN subnet) naar het subnet dat je VPN clients krijgen?

[SAICRJMPM]

Verwijderd schreef op zaterdag 15 augustus 2015 @ 23:10:
Het is toch gewoon een kwestie van een route toevoegen van het subnet van je VPNServer (je LAN subnet) naar het subnet dat je VPN clients krijgen?

Maar als je dat doet, betekent het toch dat een packet met bestemming je eigen lokale subnet aangeboden wordt aan het subnet van je VPN clients, en dus nooit hun bestemming in het lokale subnet bereiken, want je toegevoegde route overschrijft dan toch de normale routering? Of zeg ik nu iets geks? (nog nooit zelf routes toegevoegd.)

(Die DLNA server broadcast zichzelf nl alleen over het lokale subnet; als ik via routing tabel die adressen aan het VPN subnet aanbiedt dan zien mijn lokale computers het toch niet meer? Want de router stuurt het niet meer naar de lokale computers, maar naar dat andere subnet)

[ Voor 18% gewijzigd door SAICRJMPM op 16-08-2015 07:26 ]

[Verwijderd]

Wellicht is dit het antwoord op je probleem: https://secure-computing.net/wiki/index.php/OpenVPN/Routing
Komt er op neer dat je de subnets in je openvpn config zet met 'route subnet/xx'

[Ben(V)]

Allemaal onzin, dlna gebruikt een broadcast protocol en dat kun je niet routeren.

[johnkeates]

Wat je VPN server nu doet is correct: je hebt namelijk een tunnel netwerk. Dat is een ander netwerk dan het daadwerkelijke netwerk wat je aan de kanten van de tunnel hebt.

Wat je op je server moet doen is IP forwarding aanzetten en routing toestaan. Meestal zit er in het routing tabel al wel een setje routes om gewoon overal naartoe te kunnen op je LAN. Verder moet OpenVPN (de server kant) ook routes pushen voor 'andere' netwerken dan het tunnel netwerk, anders weet de client niet welke netwerken achter de tunnel liggen. De OpenVPN client zal dan bij het opzetten van de tunnel routes ontvangen naar de rest van je LAN, en die dan lokaal tijdelijk in je routetabel zetten zodat je computer dat netwerk kan bereiken.

Het is ook van belang om die netwerken toe te staan in je firewalls. Stel dat je een firewall op je Synology hebt, of op je client, dan staat die vaak standaard alleen het lokale LAN segment toe en verder niks. Dan moet je dus handmatig de subnets die je wil tunnelen toestaan aan de client kant en het tunnelnetwerk aan de server kant.

Daarnaast kan het ook helpen als de apparaten in je LAN weten dat je Tunnel bestaat zodat er ook pakketjes naartoe gaan als ze iets terugzeggen. Dat is namelijk niet altijd vanzelfsprekend als je VPN server niet op je router staat. Je moet vaak een extra statische route op je router toevoegen voor je Tunnel netwerk met als gateway je NAS. Dat is om dat je NAS het knooppunt is dat met de Tunnel communiceert.

Ben(V) schreef op zondag 16 augustus 2015 @ 16:10:
Allemaal onzin, dlna gebruikt een broadcast protocol en dat kun je niet routeren.

Maar je kan het wel tunnelen. Je kan met EoIP zelfs onzin als NetBIOS en IGMP de hele wereld rondsturen

[SAICRJMPM]

johnkeates schreef op zondag 16 augustus 2015 @ 16:17:
Verder moet OpenVPN (de server kant) ook routes pushen voor 'andere' netwerken dan het tunnel netwerk, anders weet de client niet welke netwerken achter de tunnel liggen.

Maar dat hoeft toch niet als ik in de client config file 'redirect-gateway' aanzet? Dan gaat de client per definitie al het verkeer door de tunnel sturen. De VPN server zorgt er dan voor dat het bij de correcte lokale computer terecht komt.

Ik kan inderdaad al mijn lokale IPs pingen (heb er niks voor hoeven doen, denk dat de VPN server dat autormatisch regelt in de standaard instellingen die Synology daarvoor configureert). Alleen die DLNA server is niet zichtbaar in de client en dat komt dus door die broadcast, die niet door de tunnel naar de client gaat, maar alleen lokaal blijft.

[ Voor 5% gewijzigd door SAICRJMPM op 16-08-2015 16:30 ]

[johnkeates]

SAICRJMPM schreef op zondag 16 augustus 2015 @ 16:29:
[...]
Maar dat hoeft toch niet als ik in de client config file 'redirect-gateway' aanzet?

Klopt, dan niet inderdaad.

SAICRJMPM schreef op zondag 16 augustus 2015 @ 16:29:
[...]
Alleen die DLNA server is niet zichtbaar in de client en dat komt dus door die broadcast, die niet door de tunnel naar de client gaat, maar alleen lokaal blijft.

Klopt, DLNA werkt niet cross-subnet, niet uit zichzelf. Maar met een IGMP Proxy moet dat wel lukken ;-)

Voorbeeldje met Juniper spul: http://www.juniperforum.com/index.php?topic=17703.0

Maar IGMPProxy is ook gewoon een Linux ding wat je prima op je NAS kan draaien.

[ Voor 11% gewijzigd door johnkeates op 16-08-2015 16:51 ]

[SAICRJMPM]

Wat ik me ineens bedenk. Op mijn router heb ik niks hoeven instellen. Dus hoe kan het antwoord dat een lokale pc naar de VPN client stuurt bij die client aankomen? Het destination IP address van dat pakket dat de lokale pc verstuurt is het virtuele IP adres van de VPN client, die dus in een ander subnet zit. Als mijn router dat krijgt dan weet hij toch niet wat hij ermee aanmoet? Hij kent dat subnet niet. Dus stuurt hij het door de WAN poort naar buiten ipv naar de NAS waar de VPN server het in kan bedden in een pakket bestemt voor de VPN client.

Synology NAS voegt toch geen route toe aan de routing tabel van mijn router? Hoe kan die daarmee communiceren? Of overschrijft de VPN server het afzender IP (dat virtuele IP van de client) met zijn eigen lokale IP, en op die manier komt het antwoord bericht weer netjes op de NAS terecht bij de server?

Of zou het zo werken: mijn router weet natuurlijk dat het oorspronkelijke pakket op zijn LAN poort binnenkwam (en niet de WAN) (ook al had het een voor hem vreemd IP adres uit een hem onbekend subnet). De router is dan zo slim om het antwoord via diezelfde LAN poort weer naar buiten te sturen? En zo komt het dan bij de NAS?

[ Voor 15% gewijzigd door SAICRJMPM op 16-08-2015 19:27 ]