VPN server opzetten, Ziggo weinig behulpzaam

[Verwijderd]

Goedemiddag!

Ik ben momenteel bezig om een VPN server op te zetten via een WRT54G met DD-WRT firmware. Na een paar dagen proberen, mislukken, 30/30/30 reset en opnieuw beginnen heb ik het lokaal eindelijk draaiend. Ik kan het WAN adres van mijn WRT54G instellen als VPN server en dan maakt hij verbinding. Ik kom ook via de VPN 'naar buiten' (ik kan websites bezoeken).
Ik kom echter niet van buiten naar binnen. Als ik ergens anders ben, kan ik geen verbinding maken met de VPN server (ik gebruik hiervoor netjes mijn Ziggo WAN IP adres, niet het lokale netwerkadres).
Via port forwards werkte het niet, momenteel staat de WRT54G zelfs in de DMZ van het modem (Technicolor TC7210: modem / router), ook geen succes. Ik vermoed dat het dus vastloopt bij de TC7210.

Om een en ander uit te sluiten belde ik met Ziggo, om te checken of het aan het modem ligt. Het gesprek ging ongeveer zo:

Ik: *geeft uitleg over wat ik wil, en waar ik tegen aan loop*
Zij: Ziggo ondersteunt geen VPN.
Ik: Niet? In het modem is anders wel de optie "PPTP passthrough" te vinden?
Zij: Ja, maar dat is het modem he? Ziggo ondersteunt dat in ieder geval niet.
Ik: Dus die optie is eigenlijk voor de vorm ingebakken?
Zij: Geen idee meneer, ik weet alleen dat Ziggo het niet ondersteunt, net als extra wifi routers, dat ondersteunen wij ook niet.
Ik: Ik heb momenteel 2 extra wifi routers staan, werken perfect.
Zij: Oke, maar dat ondersteunen wij niet.
Ik: *snapt er geen hol meer van* En als ik de modem in bridge modus laat zetten? Zou het dan eventueel wel werken?
Zij: Geen idee, u zou het kunnen proberen. De router die u er zelf achter heeft gezet zou dan wel goed sneller kunnen worden. (de extra router die dus niet ondersteunt wordt? )
Ik: Oke, dan moet ik het maar proberen! Kunt u het modem in bridge modus zetten?
Zij: Nee, het systeem ligt er uit, wij kunnen momenteel helemaal niets.

Tot zover Ziggo.

Nu mijn vraag (vragen) aan jullie:
Is dit een tevergeefse strijd? Of moet het wel gaan werken als ik het modem in bridge laat zetten?
Zijn er andere mogelijkheden om dit te laten werken?
Zit de PPTP passthrough optie er echt alleen voor de mooiigheid op? (De PPTP passthrough optie wordt ook netjes beschreven in de Ziggo handleiding van het modem.)


Relevante software en hardware die ik gebruik:
WRT54G met DD-WRT, hier draait de VPN server op.
TC7210 modem / router geleverd door Ziggo.
VPN protocol is PPTP. Ik weet dat het qua veiligheid achterhaald is, maar het is meer dan voldoende waar ik het voor wil gebruiken. Daarbij komt ook dat voor mijn telefoon (WP10) geen OpenVPN app beschikbaar is, dus het installeren van een OpenVPN server op de WRT54G heeft geen zin. PPTP wordt standaard wél ondersteunt en werkt ook goed als ik een VPNbook server gebruik.

[Qlimaxxx]

Misschien het Ziggo modem in bridge modus? Ik heb hier een VPN draaien op mijn Synology NAS(wel een L2TP/IPSEC protocol) via een TP-link router(OpenWRT) op een Ziggo modem in bridge. Zo draait het bij een kennis ook en ik kreeg dit pas voor elkaar nadat het modem bij hem in bridged mode gezet was.

M.b.t. de veiligheid: is L2TP/IPSEC geen optie? Is veiliger dan PPTP en wordt door veel meer apparaten ondersteund dan OpenVPN.

[Glashelder]

Het is in deze even belangrijk om te definiëren wat Ziggo hier met 'ondersteuning' bedoeld. Ziggo blokkeert geen VPN, maar levert geen actieve ondersteuning via de helpdesk op dit soort toepassingen. De reden daarvoor is heel simpel: daar hebben die helpdesk medewerkers helemaal geen verstand van.

De PPTP passtrough optie die je vaak in dit soort consumentenrouters ziet is overigens bedoeld voor verkeer de andere kant op. Dus: een apparaat van achter het modem dat een PPTP verbinding naar een PPTP server ergens anders op het internet toe maakt. Oftewel: van binnen naar buiten en niet van buiten naar binnen. Die optie gaat je dus niet helpen.

Waarschijnlijk gaat het overigens ergens mis met GRE (oftewel, protocool 47). Dat kan je vast niet forwarden in dat ding van Ziggo en dan blijft inderdaad bridge-modus met een eigen router de enige optie. En dan gaat het gewoon werken.

[Verwijderd]

Qlimaxxx schreef op woensdag 1 februari 2017 @ 14:35:
Misschien het Ziggo modem in bridge modus? Ik heb hier een VPN draaien op mijn Synology NAS(wel een L2TP/IPSEC protocol) via een TP-link router(OpenWRT) op een Ziggo modem in bridge. Zo draait het bij een kennis ook en ik kreeg dit pas voor elkaar nadat het modem bij hem in bridged mode gezet was.

M.b.t. de veiligheid: is L2TP/IPSEC geen optie? Is veiliger dan PPTP en wordt door veel meer apparaten ondersteund dan OpenVPN.

L2TP/IPSEC worden ondersteund op mijn telefoon, echter wil ik de VPN server laten draaien vanaf een router die ik al heb. Ik wil er geen extra hardware voor aanschaffen of een server voor laten draaien. Nogmaals, voor mijn doeleinden is PPTP meer dan genoeg, en DD-WRT geeft standaard de optie om een PPTP server op te zetten.

Kom ik dus weer uit bij bridge. Nu hopen dat Ziggo vanavond hun systeem weer up heeft, zodat ik het modem in bridge kan laten zetten om het te testen!

[Qlimaxxx]

Verwijderd schreef op woensdag 1 februari 2017 @ 14:53:
[...]

L2TP/IPSEC worden ondersteund op mijn telefoon, echter wil ik de VPN server laten draaien vanaf een router die ik al heb. Ik wil er geen extra hardware voor aanschaffen of een server voor laten draaien. Nogmaals, voor mijn doeleinden is PPTP meer dan genoeg, en DD-WRT geeft standaard de optie om een PPTP server op te zetten.

Kom ik dus weer uit bij bridge. Nu hopen dat Ziggo vanavond hun systeem weer up heeft, zodat ik het modem in bridge kan laten zetten om het te testen!

Ik was ook al enigszins verwonderd dat die router nog snel genoeg was om een VPN server te kunnen draaien. Een groot aantal versies ondersteunen zelfs geen OpenWRT, laat staan met VPN (heb zelf minder ervaring met DD-WRT).

Ben zelf ook niet heel erg bekend met PPTP verbindingen omdat toen ik mij met VPN bezig ging houden gelijk afgeraden werd om dit protocol te gebruiken. Gezien je situatie begrijp ik de keuze volkomen! Ik weet niet of dit ook op PPTP van toepassing is maar in mijn situatie moest ik het GRE protocol activeren in de portforwarding. Veel routers(zeker modemrouters van providers) bieden hier weinig tot geen ondersteuning voor. Met bridge mode ben je ervan af, zeker aangezien de VPN gehost wordt door dezelfde router die ook je firewall dan regelt

[Verwijderd]

Glashelder schreef op woensdag 1 februari 2017 @ 14:52:
Het is in deze even belangrijk om te definiëren wat Ziggo hier met 'ondersteuning' bedoeld. Ziggo blokkeert geen VPN, maar levert geen actieve ondersteuning via de helpdesk op dit soort toepassingen. De reden daarvoor is heel simpel: daar hebben die helpdesk medewerkers helemaal geen verstand van.

De PPTP passtrough optie die je vaak in dit soort consumentenrouters ziet is overigens bedoeld voor verkeer de andere kant op. Dus: een apparaat van achter het modem dat een PPTP verbinding naar een PPTP server ergens anders op het internet toe maakt. Oftewel: van binnen naar buiten en niet van buiten naar binnen. Die optie gaat je dus niet helpen.

Waarschijnlijk gaat het overigens ergens mis met GRE (oftewel, protocool 47). Dat kan je vast niet forwarden in dat ding van Ziggo en dan blijft inderdaad bridge-modus met een eigen router de enige optie. En dan gaat het gewoon werken.

Ik zag je bericht pas nadat ik mijn vorige had geplaatst, vandaar de wat trage reactie.

Wederom bridge als advies, gaan we proberen zodra Ziggo het zover heeft Thnx

[Qlimaxxx]

Verwijderd schreef op woensdag 1 februari 2017 @ 14:57:
[...]

Ik zag je bericht pas nadat ik mijn vorige had geplaatst, vandaar de wat trage reactie.

Wederom bridge als advies, gaan we proberen zodra Ziggo het zover heeft Thnx

Kan er niks anders van maken
Laat even weten wat het je brengt!

[johnkeates]

PPTP gebruikt GRE, uiterst problematisch met veel standaard consumeten modems. Ik zou OpenVPN, IPSec of L2TP over IPSec toch maar even opnieuw overwegen.

[Room42]

PPTP is echt niet meer geschikt. Dit is gewoon onversleuteld, tegenwoordig. Je geeft dus als het ware vrije toegang tot je netwerk... Dus, volg johnkeates' advies.

[Glashelder]

Verwijderd schreef op woensdag 1 februari 2017 @ 14:57:
[...]

Ik zag je bericht pas nadat ik mijn vorige had geplaatst, vandaar de wat trage reactie.

Wederom bridge als advies, gaan we proberen zodra Ziggo het zover heeft Thnx

Waar je overigens ook rekening mee moet houden: als jij een VPN opzet naar een device wat niet de default gateway is van de apparaten in dat netwerk, dan ga je via je VPN geen verkeer retour krijgen van die apparaten (omdat die hun verkeer naar de default gateway sturen).

Daarom wil je eigenlijk ook altijd dat een VPN server de default gateway is binnen een netwerk.

[Verwijderd]

Lieve forumleden, als ik een discussie had willen voeren over wel of geen PPTP, had ik die wel voortgezet op Fok.
Nogmaals:
OpenVPN is per definitie geen optie.
DDWRT biedt (naast OpenVPN) alleen PPTP, dus dat moet het dan maar worden.

[Verwijderd]

Qlimaxxx schreef op woensdag 1 februari 2017 @ 14:57:
[...]


Ik was ook al enigszins verwonderd dat die router nog snel genoeg was om een VPN server te kunnen draaien. Een groot aantal versies ondersteunen zelfs geen OpenWRT, laat staan met VPN (heb zelf minder ervaring met DD-WRT).

Ben zelf ook niet heel erg bekend met PPTP verbindingen omdat toen ik mij met VPN bezig ging houden gelijk afgeraden werd om dit protocol te gebruiken. Gezien je situatie begrijp ik de keuze volkomen! Ik weet niet of dit ook op PPTP van toepassing is maar in mijn situatie moest ik het GRE protocol activeren in de portforwarding. Veel routers(zeker modemrouters van providers) bieden hier weinig tot geen ondersteuning voor. Met bridge mode ben je ervan af, zeker aangezien de VPN gehost wordt door dezelfde router die ook je firewall dan regelt

OpenWRT biedt ook L2TP/IPSEC servers?
Wordt dat mijn plan-b

[Qlimaxxx]

Verwijderd schreef op woensdag 1 februari 2017 @ 15:05:
[...]

OpenWRT biedt ook L2TP/IPSEC servers?
Wordt dat mijn plan-b

Volgens mij wel.
Check anders even:
https://wiki.openwrt.org/doc/howto/vpn.overview

Hoop dat je een beetje CLI niet schuwt

[Verwijderd]

Glashelder schreef op woensdag 1 februari 2017 @ 15:03:
[...]

Waar je overigens ook rekening mee moet houden: als jij een VPN opzet naar een device wat niet de default gateway is van de apparaten in dat netwerk, dan ga je via je VPN geen verkeer retour krijgen van die apparaten (omdat die hun verkeer naar de default gateway sturen).

Daarom wil je eigenlijk ook altijd dat een VPN server de default gateway is binnen een netwerk.

Ik geloof niet dat ik je helemaal begrijp. De router waar de VPN server op draait moet dus de eerste in lijn zijn na het modem?

Qlimaxxx schreef op woensdag 1 februari 2017 @ 15:07:
[...]


Volgens mij wel.
Check anders even:
https://wiki.openwrt.org/doc/howto/vpn.overview

Hoop dat je een beetje CLI niet schuwt

Ik ga het pas lezen als niets anders meer lukt, maar toch bedankt ghehe
Mijn router wordt iig ondersteund
Linksys WRT54G 2.0, 2.2, 3.0 10.03.1

[ Voor 4% gewijzigd door Verwijderd op 01-02-2017 15:12 ]

[Glashelder]

Verwijderd schreef op woensdag 1 februari 2017 @ 15:10:
[...]

Ik geloof niet dat ik je helemaal begrijp. De router waar de VPN server op draait moet dus de eerste in lijn zijn na het modem?

Als je verbinding maakt met een extern netwerk via een VPN dan komt het apparaat dat verbinding maakt doorgaans in een afwijkend subnet terecht.

Bijv 10.0.0.0/24. Alles van 10.0.0.1 tot 10.0.0.254 valt dan binnen dit subnet.
Als je dan in je interne netwerk 192.168.18.0/24 gebruikt dan valt alles van 192.168.18.0 tot 192.168.18.254 binnen dit subnet.

Verkeer dat buiten het eigen subnet valt wordt door een IP device standaard naar de standaardgateway gestuurd (tenzij je hier weer routes voor definieert op deze devices). Als dat niet je VPN terminator is zoals bij jou (ik neem aan dat je WRT54G niet als router gebruikt) dan komt verkeer vanaf je VPN naar apparaten op het netwerk wel aan, maar alles wat retour moet wordt naar de standaard gateway verzonden.

Aangezien dat je VPN terminator niet is zal je geen verbindingen op kunnen zetten.. (daar is nou eenmaal bidirectioneel verkeer voor nodig ).

[FirePuma142]

Verwijderd schreef op woensdag 1 februari 2017 @ 15:04:
Lieve forumleden, als ik een discussie had willen voeren over wel of geen PPTP, had ik die wel voortgezet op Fok.
Nogmaals:
OpenVPN is per definitie geen optie.
DDWRT biedt (naast OpenVPN) alleen PPTP, dus dat moet het dan maar worden.

PPTP is hetzelfde als de sleutel onder de plantenbak naast de gepantserde voordeur verstoppen. Heel, heel, heel erg onverstandig. Zo onverstandig dat je het gewoon niet moet doen. Zoek een andere oplossing. strongSwan is the way to go, zie link die eerder gedeeld is.

[Verwijderd]

Glashelder schreef op woensdag 1 februari 2017 @ 15:14:
[...]

Als je verbinding maakt met een extern netwerk via een VPN dan komt het apparaat dat verbinding maakt doorgaans in een afwijkend subnet terecht.

Bijv 10.0.0.0/24. Alles van 10.0.0.1 tot 10.0.0.254 valt dan binnen dit subnet.
Als je dan in je interne netwerk 192.168.18.0/24 gebruikt dan valt alles van 192.168.18.0 tot 192.168.18.254 binnen dit subnet.

Verkeer dat buiten het eigen subnet valt wordt door een IP device standaard naar de standaardgateway gestuurd (tenzij je hier weer routes voor definieert op deze devices). Als dat niet je VPN terminator is zoals bij jou (ik neem aan dat je WRT54G niet als router gebruikt) dan komt verkeer vanaf je VPN naar apparaten op het netwerk wel aan, maar alles wat retour moet wordt naar de standaard gateway verzonden.

Aangezien dat je VPN terminator niet is zal je geen verbindingen op kunnen zetten.. (daar is nou eenmaal bidirectioneel verkeer voor nodig ).

Momenteel gebruik ik de WRT54G niet als router, hij was puur bedoeld voor de VPN server. En verder snap ik bijzonder weinig van je verhaal (maar dat ligt aan mij).
Ik ga me even verder inlezen over dit onderwerp, echter werd in de PPTP server handleiding aangegeven dat ik een afwijkend / niet-standaard subnet moest kiezen voor de VPN server, dus dat heb ik gekozen. Ik dacht dat ik er daarmee wel was...

[Glashelder]

Dan moet je je inderdaad maar even goed in IP netwerken inlezen

Als je de volgende TCP/IP regel in je achterhoofd houdt is het vrij simpel: verkeer dat buiten het eigen subnet valt gaat naar de default gateway.. Een subnet is gewoon een IP range (bijv 10.0.0.1 tot 10.0.0.254).

Als jij nu een VPN opent van buiten je eigen netwerk dan zal verkeer dat je (bijv.) naar een NAS stuurt vanuit het oogpunt van die NAS van een device komen dat buiten het eigen subnet valt (je hebt daar immers een afwijkend subnet voor ingesteld). Je NAS zal dan retourverkeer naar je default gateway (je router) toe sturen. Het komt nooit meer in de buurt van je WRT54G..

De opstelling zoals je die nu hebt bedacht zal in ieder geval niet gaan werken. Of je moet static routes gaan instellen op de apparaten in je interne netwerk.. en als ze het al allemaal ondersteunen wordt je er niet vrolijk van

[ Voor 3% gewijzigd door Glashelder op 01-02-2017 15:58 ]

[Verwijderd]

Glashelder schreef op woensdag 1 februari 2017 @ 15:56:
Dan moet je je inderdaad maar even goed in IP netwerken inlezen

Als je de volgende TCP/IP regel in je achterhoofd houdt is het vrij simpel: verkeer dat buiten het eigen subnet valt gaat naar de default gateway.. Een subnet is gewoon een IP range (bijv 10.0.0.1 tot 10.0.0.254).

Als jij nu een VPN opent van buiten je eigen netwerk dan zal verkeer dat je (bijv.) naar een NAS stuurt vanuit het oogpunt van die NAS van een device komen dat buiten het eigen subnet valt (je hebt daar immers een afwijkend subnet voor ingesteld). Je NAS zal dan retourverkeer naar je default gateway (je router) toe sturen. Het komt nooit meer in de buurt van je WRT54G..

De opstelling zoals je die nu hebt bedacht zal in ieder geval niet gaan werken. Of je moet static routes gaan instellen op de apparaten in je interne netwerk.. en als ze het al allemaal ondersteunen wordt je er niet vrolijk van

Kan ik je even een PB sturen met wat extra uitleg? Ik zal het kort houden

[stijnos1991]

Wat je zoekt is inderdaad een static route om aan te geven waar het verkeer heen moet voor dat subnet. Dat Ziggo zijn vingers hier niet aan gaat branden is volkomen logisch. Lijkt me beter dat je dat modem in bridge laat zetten en een router met OpenWRT o.i.d. gebruikt. Succes

[dion_b]

Verwijderd schreef op woensdag 1 februari 2017 @ 16:00:
[...]

Kan ik je even een PB sturen met wat extra uitleg? Ik zal het kort houden

Ahum: Het algemeen beleid #verbodenanders

Andere zaken die we ook duidelijk niet op prijs stellen
[...]

Een discussie op een andere plaats voortzetten. Reacties als 'mail me maar' zijn dus voor zowel op GoT gewenste als ongewenste onderwerpen niet de bedoeling.

Als je op het forum om hulp komt vragen, graag ook de discussie hier houden. Anders heeft zo'n topic uitermate weinig zin...

[Verwijderd]

dion_b schreef op woensdag 1 februari 2017 @ 16:21:
[...]

Ahum: Het algemeen beleid #verbodenanders

[...]

Als je op het forum om hulp komt vragen, graag ook de discussie hier houden. Anders heeft zo'n topic uitermate weinig zin...

Ok, dan hier:
Ik heb de VPN alleen nodig voor internet naar buiten, niet om lokale bestanden / PC's te benaderen (sterker nog, als ik het zo kan verpakken dat dat niet eens mogelijk is, dan heeft dat de voorkeur)

Telefoon --> wifi ergens ter wereld --------VPN--------> thuis IP --> internet

[ Voor 16% gewijzigd door Verwijderd op 01-02-2017 16:27 ]

[Megamind]

Verwijderd schreef op woensdag 1 februari 2017 @ 16:25:
[...]

Ok, dan hier:
Ik heb de VPN alleen nodig voor internet naar buiten, niet om lokale bestanden / PC's te benaderen (sterker nog, als ik het zo kan verpakken dat dat niet eens mogelijk is, dan heeft dat de voorkeur)

Dan kan je beter gewoon een tunnel opzetten, 100x makkelijker. Hoef je alleen poort 22 open te zetten.

[ Voor 4% gewijzigd door Megamind op 01-02-2017 16:28 ]

[Verwijderd]

Megamind schreef op woensdag 1 februari 2017 @ 16:27:
[...]

Dan kan je beter gewoon een tunnel opzetten, 100x makkelijker. Hoef je alleen poort 22 open te zetten.

Nee.

[DJSmiley]

Heb je wel een publiek IPv4 adres?

maw: Is het wan IP hetzelfde als het IP wat je ziet op bv www.whatismyip.com

wat betreft PPTP: Dat zou ik ook niet aanraden. De WRT54G serie is ook een antiek traag ding wat (max) iets van 25Mbit doet. Met vpn zou t me niets verbazen als ie dat nieteens haalt.

Mijn advies zou zijn om je modem te bridgen naar een fatsoenlijkere router. Dan kan die ook meteen het VPN verkeer afhandelen.
Op die manier kun je dan ook vanaf elders internetten via thuis, Netflix gebruiken, Horizon TV kijken enz als op vakantie ergens zit. En je haalt een stuk hogere snelheid dan via die WRT54.
Met een simpele Mikrotik van 35 eur haal je al hogere snelheden. Met een Hex al helemaal. Die doet rustig 500Mbit voor 60 euro ofzo.

Kwa vpn kun je dan ook kiezen voor L2TP/IPsec/SSTP.

[laurens0619]

Ja pptp is zeker af te raden maas het is ook niet weer zo dat je de voordeur openzet. Een aanvaller moet altijd nog in-line (mitm) zitten om de aanval uit te kunnen voeren.

De gateway/subnet discussie: als je via afwijkend subnet komt dan doet de vpn waarsch nat. Als je vanaf je client (tel?) alleen bij resources wilt en niet andersom, dan heb je hier geen last van.

Grote kans dat je probleem in gre zit. Sommige routers zetten het automatisch door als ze1723 zien maar geen id wat de ziggo doet. bridge modus is de meest eenvoudige oplossing.

Achter nat is openvpn overigens de veiligste en eenvoudigste oplosskng (puur udp/tcp)

[Verwijderd]

Modem is bridged, en de eerste tests zijn positief