OpenVPN configuratie faalt - Netwerken

zondag 11 september 2016 11:07

Acties:

Topicstarter

Dag tweakers

Sinds kort heb ik een Netgear Nighthawk R7000 router geïntroduceert in mijn thuisnetwerk. Deze heeft de mogelijkheid om een ingebouwde VPN server te enablen. Ik zou graag van deze functionaliteit gebruik maken, maar ik slaag er niet om deze correct te configureren.

Scenario:
Mijn provider is Telenet (België). Deze leveren een modem-router aan, die enkel te configureren is via het webportaal dat je ontvangt wanneer je naar telenet.be/mijntelenet zou surfen. Hierachter heb ik dan mijn R7000 geschakeld, statisch ip 192.168.0.10 gegeven. Deze R7000 gaat vervolgens ip addressen uitdelen in de 192.168.1.0/24 range. Concreet heb ik tussen mijn Telenet modem/router en R7000 dus een 192.168.0.0/24 subnet, en de rest van mijn apparaten zitten op een 192.168.1.0/24 subnet. Zie hiervoor ook de situatieschets hier beneden. In mijn Telenet modem/router staat 192.168.0.10 geconfigureerd als DMZ. Ook worden poort 80, 443, en 12973, 12974 geNAT naar 192.168.0.10.

Afbeeldingslocatie: https://i.imgur.com/70M03eA.png

Afbeeldingslocatie: https://i.imgur.com/70M03eA.png

Op mijn R7000 heb ik vervolgens de VPN service ingeschakeld. Mijn configuratie file ziet ermomenteel als volgt uit.

code:

client
dev tap
proto tcp
remote <mijn_publiek_ip_address> 12974
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
cipher AES-128-CBC
comp-lzo
verb 5
ifconfig 192.168.1.231 255.255.255.0
redirect-gateway def1

Ik gebruik Tunnelblick om de VPN verbinding op te starten. Deze geraakt wel verbonden, en geauthenticeerd, maar mijn publiek IP address veranderd niet naar het publiek IP address van mijn thuisnetwerk. Ik check dit door bv met de hotspot van mijn telefoon te verbinden, en de browsen naar https://www.whatismyip.com/.

Heeft iemand een idee waarom deze configuratie faalt?

Mijn logfiles zien er als volgt uit
*.openvpn.script.log

code:

1	Sun Sep 11 10:42:45 2016 *Tunnelblick: openvpnstart starting OpenVPN

*.openvpn.log

code:

Sun Sep 11 10:42:46 2016 OpenVPN 2.3.11 x86_64-apple-darwin [SSL (OpenSSL)] [LZO] [PKCS11] [MH] [IPv6] built on Aug 25 2016
Sun Sep 11 10:42:46 2016 library versions: OpenSSL 1.0.2h  3 May 2016, LZO 2.09
Sun Sep 11 10:42:46 2016 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:1337
Sun Sep 11 10:42:46 2016 Need hold release from management interface, waiting...
Sun Sep 11 10:42:46 2016 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:1337
Sun Sep 11 10:42:46 2016 MANAGEMENT: CMD 'pid'
Sun Sep 11 10:42:46 2016 MANAGEMENT: CMD 'state on'
Sun Sep 11 10:42:46 2016 MANAGEMENT: CMD 'state'
Sun Sep 11 10:42:46 2016 MANAGEMENT: CMD 'bytecount 1'
Sun Sep 11 10:42:46 2016 MANAGEMENT: CMD 'hold release'
Sun Sep 11 10:42:46 2016 WARNING: using --pull/--client and --ifconfig together is probably not what you want
Sun Sep 11 10:42:46 2016 WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
Sun Sep 11 10:42:46 2016 Socket Buffers: R=[131072->131072] S=[131072->131072]
Sun Sep 11 10:42:46 2016 Attempting to establish TCP connection with [AF_INET]<mijn_publiek_ip_address>:12974 [nonblock]
Sun Sep 11 10:42:46 2016 MANAGEMENT: >STATE:1473583366,TCP_CONNECT,,,
Sun Sep 11 10:42:47 2016 TCP connection established with [AF_INET]<mijn_publiek_ip_address>:12974
Sun Sep 11 10:42:47 2016 TCPv4_CLIENT link local: [undef]
Sun Sep 11 10:42:47 2016 TCPv4_CLIENT link remote: [AF_INET]<mijn_publiek_ip_address>:12974
Sun Sep 11 10:42:47 2016 MANAGEMENT: >STATE:1473583367,WAIT,,,
Sun Sep 11 10:42:47 2016 MANAGEMENT: >STATE:1473583367,AUTH,,,
Sun Sep 11 10:42:47 2016 TLS: Initial packet from [AF_INET]<mijn_publiek_ip_address>:12974, sid=9ba8c84e 1516aa71
Sun Sep 11 10:42:47 2016 VERIFY OK: depth=1, C=TW, ST=TW, L=Taipei, O=netgear, OU=netgear, CN=netgear, emailAddress=mail@netgear.com
Sun Sep 11 10:42:47 2016 VERIFY OK: depth=0, C=TW, ST=TW, O=netgear, OU=netgear, CN=netgear, emailAddress=mail@netgear.com
Sun Sep 11 10:42:47 2016 Data Channel Encrypt: Cipher 'AES-128-CBC' initialized with 128 bit key
Sun Sep 11 10:42:47 2016 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Sun Sep 11 10:42:47 2016 Data Channel Decrypt: Cipher 'AES-128-CBC' initialized with 128 bit key
Sun Sep 11 10:42:47 2016 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Sun Sep 11 10:42:47 2016 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 1024 bit RSA
Sun Sep 11 10:42:47 2016 [netgear] Peer Connection Initiated with [AF_INET]<mijn_publiek_ip_address>:12974
Sun Sep 11 10:42:49 2016 MANAGEMENT: >STATE:1473583369,GET_CONFIG,,,
Sun Sep 11 10:42:50 2016 SENT CONTROL [netgear]: 'PUSH_REQUEST' (status=1)
Sun Sep 11 10:42:50 2016 PUSH: Received control message: 'PUSH_REPLY,route 192.168.1.0 255.255.255.0,route-delay 5,redirect-gateway def1,route-gateway dhcp,ping 10,ping-restart 120'
Sun Sep 11 10:42:50 2016 OPTIONS IMPORT: timers and/or timeouts modified
Sun Sep 11 10:42:50 2016 OPTIONS IMPORT: route options modified
Sun Sep 11 10:42:50 2016 OPTIONS IMPORT: route-related options modified
Sun Sep 11 10:42:50 2016 OpenVPN ROUTE: OpenVPN needs a gateway parameter for a --route option and no default was specified by either --route-gateway or --ifconfig options
Sun Sep 11 10:42:50 2016 OpenVPN ROUTE: failed to parse/resolve route for host/network: 192.168.1.0
Sun Sep 11 10:42:50 2016 TUN/TAP device /dev/tap0 opened
Sun Sep 11 10:42:50 2016 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0
Sun Sep 11 10:42:50 2016 MANAGEMENT: >STATE:1473583370,ASSIGN_IP,,192.168.1.231,
Sun Sep 11 10:42:50 2016 /sbin/ifconfig tap0 delete
ifconfig: ioctl (SIOCDIFADDR): Can't assign requested address
Sun Sep 11 10:42:50 2016 NOTE: Tried to delete pre-existing tun/tap instance -- No Problem if failure
Sun Sep 11 10:42:50 2016 /sbin/ifconfig tap0 192.168.1.231 netmask 255.255.255.0 mtu 1500 up
Sun Sep 11 10:42:55 2016 NOTE: unable to redirect default gateway -- VPN gateway parameter (--route-gateway or --ifconfig) is missing
Sun Sep 11 10:42:55 2016 Initialization Sequence Completed
Sun Sep 11 10:42:55 2016 MANAGEMENT: >STATE:1473583375,CONNECTED,SUCCESS,192.168.1.231,<mijn_publiek_ip_address>

zondag 11 september 2016 11:44

Acties:

jant

Even uit mijn hoofd

ifconfig directive heb je alleen nodig bij client-to-client configuraties.
Wat voor (openvpn) device draait er op de server, dus tun of tap? Deze moeten gelijk zijn.
Als je op je interne netwerk wilt komen zul je nog een route moeten pushen.

Een album per dag; een selectie: https://open.spotify.com/playlist/6s3nNLl8pJpCwLR3LPligA?si=dddc51153b2a49e8

zondag 11 september 2016 11:47

Acties:

Thralas

Goed lezen.

Eerste aanwijzing dat dit niet gaat werken:

code:

1	Sun Sep 11 10:42:46 2016 WARNING: using --pull/--client and --ifconfig together is probably not what you want

En inderdaad:

code:

1
2
3

Sun Sep 11 10:42:50 2016 OpenVPN ROUTE: OpenVPN needs a gateway parameter for a --route option and no default was specified by either --route-gateway or --ifconfig options
Sun Sep 11 10:42:50 2016 OpenVPN ROUTE: failed to parse/resolve route for host/network: 192.168.1.0
Sun Sep 11 10:42:55 2016 NOTE: unable to redirect default gateway -- VPN gateway parameter (--route-gateway or --ifconfig) is missing

Gooi die ifconfig directive er eens uit, je zou verwachten dat hij dan via DHCP een IP pakt (zie de options de de server pusht).

@hierboven: server lijkt TAP, ivm. route-gateway dhcp

zondag 11 september 2016 11:53

Acties:

_root

Waarom staat er op regel 1 een statement dat het een client is?

Verder ben ik niet gek op TAP devices (Bridge netwerk), probeer hier TUN van te maken, een gerouteerd device.
En waarom TCP ? UDP is vaak de beste optie ivm snelheid.

[ Voor 14% gewijzigd door _root op 11-09-2016 12:06 ]

PVoutput 3250 WP

zondag 11 september 2016 12:25

Acties:

nurdo

Topicstarter

jant schreef op zondag 11 september 2016 @ 11:44:
Wat voor (openvpn) device draait er op de server, dus tun of tap? Deze moeten gelijk zijn.

De ingebakken OpenVPN server in de R7000 ondersteunt zowel tun als tap.

[ Voor 6% gewijzigd door nurdo op 11-09-2016 12:26 ]

zondag 11 september 2016 12:28

Acties:

nurdo

Topicstarter

Ik ben er inmiddels in geslaagd de verbinding tot stand te brengen. Hiervoor heb ik onderstaande regels moeten toevoegen aan mijn client configuratie.

code:

1
2
3

ifconfig 192.168.1.221 255.255.255.0
route-gateway 192.168.1.1
dhcp-option DNS 8.8.8.8

Ook heb ik inmiddels onderstaande aanpassing gemaakt zodat ik ook met mijn iOS apparaten kan verbinden. Deze ondersteunen schijnbaar geen tap.

code:

dev tun

Pagina: 1

Reageer