openvpn werkt niet via TCP port 443 met raspberry pi server

[basidz]

goedemorgen,

ik heb hier een raspberry pi met een openvpn server draaien. alles prima, krijg via 3G verbinding met mijn LAN.
Maar veel wifi hotspots blocken de toegang via port 1194 en dus als ik verbonden ben met een free wifi hotyspot krijg ik geen verbinidng met mijn vpn server thuis. dus dacht ik, port aanpassen naar TCP 443. aangepast in config file openvpn server, .opvn files aangepast en portforwarding in de kpn xperiabox aangepast naar TCP 443.

maar helaas, met deze aanpassingen geen enkele verbining met de server, ook niet van binnen mijn LAN.

iemand een idee waarom UDP 1194 direct werkt maar TCP 443 niet?

thanks
gr bas

[Demo]

Staat poort 443 open van buitenaf? Draait er misschien al iets anders op de Pi op poort 443? (webinterface van het één of ander) Zo ja, kan je met SSLH aan de slag.

[basidz]

Hoe kan ik zien of oort 443 al gebruikt wordt?
En bedoel je anders een sslh verbinding met de Raspberr VPN server? Welke port is dat?

[lier]

Volgens mij kan je met netstat -lptn zien welke poorten open staan. Kan je je config file posten?

[RobinF]

Heb je de OpenVPN log al bekeken?

[basidz]

Al vanavond even logfile posten en config file

[basidz]

config file openvpn client windows:

client
dev tun
proto tcp
remote [WAN ip adres] 443
resolv-retry infinite
nobind
persist-key
persist-tun
key-direction 1
remote-cert-tls server
tls-version-min 1.2
verify-x509-name server name
cipher AES-256-CBC
auth SHA256
comp-lzo
verb 1
<ca>
-----BEGIN CERTIFICATE-----

logfile van de openvpn client:

Fri Jan 06 21:19:54 2017 OpenVPN 2.4.0 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [LZ4] [PKCS11] [AEAD] built on Dec 27 2016
Fri Jan 06 21:19:54 2017 Windows version 6.1 (Windows 7) 64bit
Fri Jan 06 21:19:54 2017 library versions: OpenSSL 1.0.2i 22 Sep 2016, LZO 2.09
Fri Jan 06 21:19:55 2017 WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this
Fri Jan 06 21:19:55 2017 TCP/UDP: Preserving recently used remote address: [AF_INET]wanipadres:443
Fri Jan 06 21:19:55 2017 Attempting to establish TCP connection with [AF_INET]wanipadres:443 [nonblock]
Fri Jan 06 21:21:55 2017 TCP: connect to [AF_INET]wanipadres:443 failed: Connection timed out (WSAETIMEDOUT)
Fri Jan 06 21:21:55 2017 SIGUSR1[connection failed(soft),init_instance] received, process restarting
Fri Jan 06 21:22:00 2017 TCP/UDP: Preserving recently used remote address: [AF_INET]wanipadres:443
Fri Jan 06 21:22:00 2017 Attempting to establish TCP connection with [AF_INET]wanipadres:443 [nonblock]
Fri Jan 06 21:24:00 2017 TCP: connect to [AF_INET]wanipadres:443 failed: Connection timed out (WSAETIMEDOUT)
Fri Jan 06 21:24:00 2017 SIGUSR1[connection failed(soft),init_instance] received, process restarting
Fri Jan 06 21:24:05 2017 TCP/UDP: Preserving recently used remote address: [AF_INET]wanipadres:443
Fri Jan 06 21:24:05 2017 Attempting to establish TCP connection with [AF_INET]wanipadres:443 [nonblock]
Fri Jan 06 21:26:05 2017 TCP: connect to [AF_INET]wanipadres:443 failed: Connection timed out (WSAETIMEDOUT)
Fri Jan 06 21:26:05 2017 SIGUSR1[connection failed(soft),init_instance] received, process restarting
Fri Jan 06 21:26:10 2017 TCP/UDP: Preserving recently used remote address: [AF_INET]wanipadres:443
Fri Jan 06 21:26:10 2017 Attempting to establish TCP connection with [AF_INET]wanipadres:443 [nonblock]
Fri Jan 06 21:28:10 2017 TCP: connect to [AF_INET]wanipadres:443 failed: Connection timed out (WSAETIMEDOUT)
Fri Jan 06 21:28:10 2017 SIGUSR1[connection failed(soft),init_instance] received, process restarting
Fri Jan 06 21:28:15 2017 TCP/UDP: Preserving recently used remote address: [AF_INET]wanipadres:443
Fri Jan 06 21:28:15 2017 Attempting to establish TCP connection with [AF_INET]wanipadres:443 [nonblock]

edit:uiteraard ipadres vervangen in vb door wanipadres

[ Voor 62% gewijzigd door basidz op 06-01-2017 21:40 ]

[lier]

Zou je (ook) de serverlog ook willen posten?

[basidz]

er zijn meerdere logs, maar bedoel je deze wellicht?? sys.log

Jan 6 20:17:07 raspberrypi dhcpcd[459]: eth0: soliciting an IPv6 router
Jan 6 20:17:07 raspberrypi ntpd[629]: Listen normally on 5 eth0 192.168.2.71 UDP 123
Jan 6 20:17:07 raspberrypi ntpd[629]: 5.2.75.146 interface 10.8.0.1 -> 192.168.2.71
Jan 6 20:17:07 raspberrypi ntpd[629]: 82.94.196.40 interface 10.8.0.1 -> 192.168.2.71
Jan 6 20:17:07 raspberrypi ntpd[629]: 95.46.198.21 interface 10.8.0.1 -> 192.168.2.71
Jan 6 20:17:07 raspberrypi ntpd[629]: 94.228.220.14 interface 10.8.0.1 -> 192.168.2.71
Jan 6 20:17:07 raspberrypi ntpd[629]: peers refreshed
Jan 6 20:17:07 raspberrypi ntpd[629]: 82.94.196.40 interface 192.168.2.71 -> 10.8.0.1
Jan 6 20:17:07 raspberrypi ntpd[629]: 95.46.198.21 interface 192.168.2.71 -> 10.8.0.1
Jan 6 20:17:07 raspberrypi ntpd[629]: 5.2.75.146 interface 192.168.2.71 -> 10.8.0.1
Jan 6 20:17:07 raspberrypi ntpd[629]: 94.228.220.14 interface 192.168.2.71 -> 10.8.0.1
Jan 6 20:17:08 raspberrypi dhcpcd[459]: eth0: Router Advertisement from fe80::56be:53ff:fe7c:84ce
Jan 6 20:17:08 raspberrypi dhcpcd[459]: eth0: adding address 2a02:a440:b262:1:6d33:9b8d:806d:dbb8/64
Jan 6 20:17:08 raspberrypi dhcpcd[459]: eth0: adding route to 2a02:a440:b262:1::/64
Jan 6 20:17:08 raspberrypi dhcpcd[459]: eth0: adding default route via fe80::56be:53ff:fe7c:84ce
Jan 6 20:17:08 raspberrypi dhcpcd[459]: eth0: requesting DHCPv6 information
Jan 6 20:17:08 raspberrypi kernel: [ 10.404243] Bluetooth: Core ver 2.21
Jan 6 20:17:08 raspberrypi kernel: [ 10.404300] NET: Registered protocol family 31
Jan 6 20:17:08 raspberrypi kernel: [ 10.404306] Bluetooth: HCI device and connection manager initialized
Jan 6 20:17:08 raspberrypi kernel: [ 10.404323] Bluetooth: HCI socket layer initialized
Jan 6 20:17:08 raspberrypi kernel: [ 10.404333] Bluetooth: L2CAP socket layer initialized
Jan 6 20:17:08 raspberrypi kernel: [ 10.404350] Bluetooth: SCO socket layer initialized
Jan 6 20:17:08 raspberrypi hciattach[442]: bcm43xx_init
Jan 6 20:17:08 raspberrypi hciattach[442]: Flash firmware /lib/firmware/BCM43430A1.hcd
Jan 6 20:17:08 raspberrypi hciattach[442]: Set Controller UART speed to 921600 bit/s
Jan 6 20:17:08 raspberrypi hciattach[442]: Device setup complete
Jan 6 20:17:08 raspberrypi systemd[1]: Started Configure Bluetooth Modems connected by UART.
Jan 6 20:17:08 raspberrypi systemd[1]: Starting Multi-User System.
Jan 6 20:17:08 raspberrypi systemd[1]: Reached target Multi-User System.
Jan 6 20:17:08 raspberrypi kernel: [ 10.410294] Bluetooth: HCI UART driver ver 2.3
Jan 6 20:17:08 raspberrypi kernel: [ 10.410308] Bluetooth: HCI UART protocol H4 registered
Jan 6 20:17:08 raspberrypi kernel: [ 10.410313] Bluetooth: HCI UART protocol Three-wire (H5) registered
Jan 6 20:17:08 raspberrypi kernel: [ 10.410412] Bluetooth: HCI UART protocol BCM registered
Jan 6 20:17:08 raspberrypi systemd[1]: Starting Update UTMP about System Runlevel Changes...
Jan 6 20:17:08 raspberrypi systemd[1]: Starting Load/Save RF Kill Switch Status of rfkill1...
Jan 6 20:17:08 raspberrypi systemd[1]: Starting Bluetooth service...
Jan 6 20:17:08 raspberrypi systemd[1]: Started Update UTMP about System Runlevel Changes.
Jan 6 20:17:08 raspberrypi systemd[1]: Started Load/Save RF Kill Switch Status of rfkill1.
Jan 6 20:17:08 raspberrypi bluetoothd[795]: Bluetooth daemon 5.23
Jan 6 20:17:08 raspberrypi systemd[1]: Started Bluetooth service.
Jan 6 20:17:08 raspberrypi systemd[1]: Starting Bluetooth.
Jan 6 20:17:08 raspberrypi systemd[1]: Reached target Bluetooth.
Jan 6 20:17:08 raspberrypi kernel: [ 10.598629] Bluetooth: BNEP (Ethernet Emulation) ver 1.3
Jan 6 20:17:08 raspberrypi kernel: [ 10.598652] Bluetooth: BNEP filters: protocol multicast
Jan 6 20:17:08 raspberrypi kernel: [ 10.598677] Bluetooth: BNEP socket layer initialized
Jan 6 20:17:08 raspberrypi systemd[1]: Startup finished in 1.562s (kernel) + 8.976s (userspace) = 10.539s.
Jan 6 20:17:08 raspberrypi bluetoothd[795]: Starting SDP server
Jan 6 20:17:08 raspberrypi dbus[454]: [system] Activating via systemd: service name='org.freedesktop.hostname1' unit='dbus-org.freedesktop.hostname1.service'
Jan 6 20:17:08 raspberrypi bluetoothd[795]: Bluetooth management interface 1.10 initialized
Jan 6 20:17:08 raspberrypi bluetoothd[795]: Sap driver initialization failed.
Jan 6 20:17:08 raspberrypi bluetoothd[795]: sap-server: Operation not permitted (1)
Jan 6 20:17:08 raspberrypi systemd[1]: Starting Hostname Service...
Jan 6 20:17:08 raspberrypi systemd-hostnamed[800]: Warning: nss-myhostname is not installed. Changing the local hostname might make it unresolveable. Please install nss-myhostname!
Jan 6 20:17:08 raspberrypi dbus[454]: [system] Successfully activated service 'org.freedesktop.hostname1'
Jan 6 20:17:08 raspberrypi systemd[1]: Started Hostname Service.
Jan 6 20:17:09 raspberrypi systemd[1]: Starting user-1000.slice.
Jan 6 20:17:09 raspberrypi systemd[1]: Created slice user-1000.slice.
Jan 6 20:17:09 raspberrypi systemd[1]: Starting User Manager for UID 1000...
Jan 6 20:17:09 raspberrypi systemd[1]: Starting Session c1 of user pi.
Jan 6 20:17:09 raspberrypi systemd[1]: Started Session c1 of user pi.
Jan 6 20:17:09 raspberrypi systemd[814]: Starting Paths.
Jan 6 20:17:09 raspberrypi systemd[814]: Reached target Paths.
Jan 6 20:17:09 raspberrypi systemd[814]: Starting Timers.
Jan 6 20:17:09 raspberrypi systemd[814]: Reached target Timers.
Jan 6 20:17:09 raspberrypi systemd[814]: Starting Sockets.
Jan 6 20:17:09 raspberrypi systemd[814]: Reached target Sockets.
Jan 6 20:17:09 raspberrypi systemd[814]: Starting Basic System.
Jan 6 20:17:09 raspberrypi systemd[814]: Reached target Basic System.
Jan 6 20:17:09 raspberrypi systemd[814]: Starting Default.
Jan 6 20:17:09 raspberrypi systemd[814]: Reached target Default.
Jan 6 20:17:09 raspberrypi systemd[814]: Startup finished in 49ms.
Jan 6 20:17:09 raspberrypi systemd[1]: Started User Manager for UID 1000.
Jan 6 20:17:09 raspberrypi avahi-daemon[453]: Leaving mDNS multicast group on interface eth0.IPv6 with address fe80::a2e3:9804:def2:bebe.
Jan 6 20:17:09 raspberrypi avahi-daemon[453]: Joining mDNS multicast group on interface eth0.IPv6 with address 2a02:a440:b262:1:6d33:9b8d:806d:dbb8.
Jan 6 20:17:09 raspberrypi avahi-daemon[453]: Registering new address record for 2a02:a440:b262:1:6d33:9b8d:806d:dbb8 on eth0.*.
Jan 6 20:17:09 raspberrypi avahi-daemon[453]: Withdrawing address record for fe80::a2e3:9804:def2:bebe on eth0.
Jan 6 20:17:10 raspberrypi ntpd[629]: Listen normally on 6 eth0 2a02:a440:b262:1:6d33:9b8d:806d:dbb8 UDP 123
Jan 6 20:17:10 raspberrypi ntpd[629]: Listen normally on 7 eth0 fe80::a2e3:9804:def2:bebe UDP 123
Jan 6 20:17:10 raspberrypi ntpd[629]: 5.2.75.146 interface 10.8.0.1 -> 192.168.2.71
Jan 6 20:17:10 raspberrypi ntpd[629]: 82.94.196.40 interface 10.8.0.1 -> 192.168.2.71
Jan 6 20:17:10 raspberrypi ntpd[629]: 95.46.198.21 interface 10.8.0.1 -> 192.168.2.71
Jan 6 20:17:10 raspberrypi ntpd[629]: 94.228.220.14 interface 10.8.0.1 -> 192.168.2.71
Jan 6 20:17:10 raspberrypi ntpd[629]: peers refreshed
Jan 6 21:31:10 raspberrypi systemd[814]: Time has been changed
Jan 6 21:31:10 raspberrypi systemd[1]: Time has been changed
Jan 6 21:31:11 raspberrypi systemd[1]: Starting Session c2 of user pi.
Jan 6 21:31:11 raspberrypi systemd[1]: Started Session c2 of user pi.
Jan 6 21:31:11 raspberrypi rsyslogd-2007: action 'action 17' suspended, next retry is Fri Jan 6 21:31:41 2017 [try http://www.rsyslog.com/e/2007 ]
Jan 6 21:31:15 raspberrypi avahi-daemon[453]: Invalid response packet from host 192.168.2.2.
Jan 6 21:31:45 raspberrypi avahi-daemon[453]: Invalid response packet from host 192.168.2.2.
Jan 6 21:31:45 raspberrypi rsyslogd-2007: action 'action 17' suspended, next retry is Fri Jan 6 21:32:15 2017 [try http://www.rsyslog.com/e/2007 ]
Jan 6 21:32:15 raspberrypi avahi-daemon[453]: Invalid response packet from host 192.168.2.2.
Jan 6 21:32:15 raspberrypi rsyslogd-2007: action 'action 17' suspended, next retry is Fri Jan 6 21:32:45 2017 [try http://www.rsyslog.com/e/2007 ]
Jan 6 21:32:45 raspberrypi avahi-daemon[453]: Invalid response packet from host 192.168.2.2.
Jan 6 21:32:45 raspberrypi rsyslogd-2007: action 'action 17' suspended, next retry is Fri Jan 6 21:33:15 2017 [try http://www.rsyslog.com/e/2007 ]
Jan 6 21:33:15 raspberrypi avahi-daemon[453]: Invalid response packet from host 192.168.2.2.
Jan 6 21:33:15 raspberrypi rsyslogd-2007: action 'action 17' suspended, next retry is Fri Jan 6 21:33:45 2017 [try http://www.rsyslog.com/e/2007 ]
Jan 6 21:33:45 raspberrypi avahi-daemon[453]: Invalid response packet from host 192.168.2.2.
Jan 6 21:33:45 raspberrypi rsyslogd-2007: action 'action 17' suspended, next retry is Fri Jan 6 21:34:15 2017 [try http://www.rsyslog.com/e/2007 ]
Jan 6 21:34:15 raspberrypi avahi-daemon[453]: Invalid response packet from host 192.168.2.2.
Jan 6 21:34:15 raspberrypi rsyslogd-2007: action 'action 17' suspended, next retry is Fri Jan 6 21:34:45 2017 [try http://www.rsyslog.com/e/2007 ]
Jan 6 21:34:45 raspberrypi avahi-daemon[453]: Invalid response packet from host 192.168.2.2.
Jan 6 21:34:45 raspberrypi rsyslogd-2007: action 'action 17' suspended, next retry is Fri Jan 6 21:35:15 2017 [try http://www.rsyslog.com/e/2007 ]
Jan 6 21:34:48 raspberrypi systemd[1]: Starting Session c3 of user pi.
Jan 6 21:34:48 raspberrypi systemd[1]: Started Session c3 of user pi.
Jan 6 21:35:15 raspberrypi avahi-daemon[453]: Invalid response packet from host 192.168.2.2.
Jan 6 21:35:15 raspberrypi rsyslogd-2007: action 'action 17' suspended, next retry is Fri Jan 6 21:35:45 2017 [try http://www.rsyslog.com/e/2007 ]
Jan 6 21:35:15 raspberrypi dhcpcd[459]: eth0: Router Advertisement from fe80::56be:53ff:fe7c:84ce

staat volgens mij niets in over openvpn.... en in de /home/pi/openvpn dir staat geen log file

[laurens0619]

Lokaal werkte t ook niet toch? Heb x eerder gelezen hier dat provider 443 blokkeerde (belgische provider) maar dat zou lokaal niets uit mogen maken

[T.Kreeftmeijer]

Maar als 1194 UDP is, dan moet 443 toch ook UDP zijn? Of heb je aangepast op de server TCP ipv UDP? Ja dus, zie ik in het eerste code blok. Werkt 443 UDP wel? Dus aanpassen in de portforwarding en op de server.

Al opnieuw opgestart?

[ Voor 40% gewijzigd door T.Kreeftmeijer op 06-01-2017 22:57 ]

[basidz]

ja alles aangepast, opnieuw opgestart etc. TCP 443 aangepast in server, .opvn file en portforwarding...
Ook met TCP 22 geprobeert maar geen verbinding. lokaal niet en niet via hotspot (via iphone)
udp 1194 werkt direct, geen enkel probleem.

heb nog geen verbinding proberen te maken via UDP 443

[jordje]

basidz schreef op vrijdag 6 januari 2017 @ 23:11:
ja alles aangepast, opnieuw opgestart etc. TCP 443 aangepast in server, .opvn file en portforwarding...
Ook met TCP 22 geprobeert maar geen verbinding. lokaal niet en niet via hotspot (via iphone)
udp 1194 werkt direct, geen enkel probleem.

heb nog geen verbinding proberen te maken via UDP 443

Dat zou ik eerst eens proberen, omdat TCP niet altijd even lekker werkt uit mijn ervaring. Daarnaast ook zoals eerder aangegeven even kijken met netstat of er niet al iets anders luistert op poort 443.

Wat je als laatste oplossing nog kan proberen is OpenVPN laten luisteren op 1194, en op je router externe port 443 forwarden naar 1194 intern. Dan kan je van buitenaf verbinden op 443 en zet je router het om naar 1194 voor OpenVPN.

[T.Kreeftmeijer]

jordje schreef op zaterdag 7 januari 2017 @ 01:09:
[...]


Dat zou ik eerst eens proberen, omdat TCP niet altijd even lekker werkt uit mijn ervaring. Daarnaast ook zoals eerder aangegeven even kijken met netstat of er niet al iets anders luistert op poort 443.

Wat je als laatste oplossing nog kan proberen is OpenVPN laten luisteren op 1194, en op je router externe port 443 forwarden naar 1194 intern. Dan kan je van buitenaf verbinden op 443 en zet je router het om naar 1194 voor OpenVPN.

Dat laatste is eigenlijk het beste. Dan heb je op de RPI geen last als port 443 openstaat.

[basidz]

Dank, ga ik vandaag even proberen!

[basidz]

schiet mij maar in de feestverlichting :-)

wat ik ook doe mbt tcp, het werkt niet, poort 443, 22 alles ook op de router ingesteld met port mapping inkomend 443 naar 1194 TCP.

ook met 22 zelfde resultaat:

Sat Jan 07 10:37:41 2017 OpenVPN 2.4.0 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [LZ4] [PKCS11] [AEAD] built on Dec 27 2016
Sat Jan 07 10:37:41 2017 Windows version 6.1 (Windows 7) 64bit
Sat Jan 07 10:37:41 2017 library versions: OpenSSL 1.0.2i 22 Sep 2016, LZO 2.09
Sat Jan 07 10:37:41 2017 WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this
Sat Jan 07 10:37:41 2017 TCP/UDP: Preserving recently used remote address: [AF_INET]86.80.203.83:22
Sat Jan 07 10:37:41 2017 Attempting to establish TCP connection with [AF_INET]wanipadres:22 [nonblock]

mocht iemand nog een briljante ingeving hebben :-)

[Minitrooper]

Wat met een firewall op de pi die roet in het eten gooit (service iptables stop) ?
Dat poort 22 niet werkt, lijkt mij logisch, daarop draait je SSH daemon. Zoals hierboven aangegeven, zet 'm op UDP poort 22, werkt ie dan nog niet?)

[basidz]

even zorgen dat we het doel niet voorbij streven, voor de duidelijkheid udp 1194 werkt top.
Maar het probleem is dat ik bij veel openbare wifi netwerken geen verbinding krijg met mijn vpn.
ik heb begrepen dat dat aan het UDP protocol ligt, vandaar de switch naar TCP.
of is dit niet waar? UDP 1194 is wat mij betreft prima, alleen dus beperking bij aantal openbare wifi netwerken, of is dit niet iets wat iedereen ziet??? want als meerendeel wel udp accepteerd op port 1194 is het wellicht overdreven al deze moeite te doen :-)

dank voor alle support!

[Tk55]

UDP zou niet uit moeten maken toch? Lijkt me zeer sterk dat UDP wordt geblokkeerd op open wifi netwerken. Ik ben zelf ook nog niet tegengekomen dat poort 1194 wordt geblokkeerd.

Is de OpenVPN server wel ingesteld om TCP te doen?

Edit: Dit zou moeten werken

Open

code:

/etc/openvpn/server.conf

Verander

code:

proto udp

naar

code:

proto tcp

bron:

If you want your OpenVPN server to listen on a TCP port instead of a UDP port, use proto tcp instead of proto udp (If you want OpenVPN to listen on both a UDP and TCP port, you must run two separate OpenVPN instances).

https://openvpn.net/index.../documentation/howto.html

Je kan dus niet zowel UDP als TCP draaien op 1 instance.

[ Voor 53% gewijzigd door Tk55 op 07-01-2017 11:41 ]

[Demo]

basidz schreef op zaterdag 7 januari 2017 @ 10:40:
mocht iemand nog een briljante ingeving hebben :-)

code:

netstat -tulpn

Als er al iets draait op 443, dan ga je het zeker niet aan de praat krijgen..

[Tk55]

De beste oplossing blijft daarom port forwarding van 443 extern naar 1194 intern. Hoef je niet default poorten op de pi te veranderen.