VPN Tussen thuis en buitenshuis

[kenny.quintens]

Mijn vraag
...
Wat is de eenvoudigste manier om een VPN op te zetten?
Bedoeling is om van op afstand aan mijn bestanden te geraken en te kunnen printen.

Voordien deed ik dit met windows server maar vanwege benodigde programma's die hierop niet werkte is er terug windows 10 op geïnstalleerd.

Ik weet dat Dlink een router heeft waarmee je VPN kunt opzetten maar dacht dat dit enkel tussen twee van dergelijke toestellen is. Tevens vertelde iemand me dat er ook een soort firewalls zijn waarmee dit mogelijk is, maar hiervan weet ik niet dewelke.


Relevante software en hardware die ik gebruik
...
Windows 10 pc
Dlink Router DIR 890L

Wat ik al gevonden of geprobeerd heb
...

De interne VPN functie op de router, maar dit werkt enkel met een VPN server, ik krijg er geen mee opgezet.

[johnkeates]

Je moet thuis een VPN-server hosten en dan kan je met een VPN-client verbinding maken met die VPN-server. Daarnaast moet de VPN-server ook verbinding kunnen maken met de rest van je thuisnetwerk en soms ook zaken als DHCP, NAT en routing doen. Stel dat je voor een L2 VPN gaat, dan hoeft dat soms niet, maar met een L3 VPN (zoals een OpenVPN TUN) moet dat wel. Voordeel is dat je dan wat minder overhead hebt.

Waarschijnlijk kan dat niet met het spul wat je nu hebt staan, daarnaast is een VPN als je een beetje bandbreedte wil hebben ook wel hongerig qua CPU of AES-acceleratie. Het kan dus zijn dat je bij een 100/100 verbinding pas lekker verbinding kan maken als je bijv. een Pentium-Class CPU inzet om een VPN server op te draaien.

[kenny.quintens]

oke, en bestaat hiervoor software of dien ik hiervoor terug windows server te installeren?
Het is eigenlijk maar om aan mijn bestanden te kunnen vanop afstand.

[Thralas]

Komop zeg, een beetje meer je best doen mag wel. Als je Googlet op 'VPN server software' krijg je bovenaan twee hits: SoftEther VPN en OpenVPN.

Laat dat nu net de twee zinnige opties zijn. Eerstgenoemde komt met een GUI, voor de ander zul je wat dieper in de materie moeten duiken, of de Access Server als virtuele machine draaien.

[ Voor 8% gewijzigd door Thralas op 26-03-2017 16:28 ]

[kenny.quintens]

Oke, alvast bedankt voor de tip, ik ga hiermee wat verder.
Ik heb een zeer drukke agenda, vandaar dat ik het op de iets gemakkelijkere manier wilde doen.

[kenny.quintens]

Oké, eindelijk wat tijd gevonden om het uit te proberen.
Ik heb softether geinstalleerd op de windows 10 pc die dienst doet als server en probeer via mijn mac verbinding te maken van buitenaf met de opgezette vpn.

Helaas lukt dit niet, ik krijg telkens de melding dat hij niet vindbaar is.

Ik heb enkele bijkomende poorten open gezet maar als ik bij canyouseeme kijk zijn deze niet open.
1723
500
4500
1194

Deze staan allemaal open.

Even de situatie, eerst staat de telenet modem waarop deze poorten open gezet zijn maar ook de firewall uit, daarna staat er een DLINK DiR890L router die dienst doet als dhcp en hierop staan de poorten ook allemaal open.


https://afbeelding.im/Q3u6ByXE

[xh3adshotx]

kenny.quintens schreef op donderdag 4 mei 2017 @ 20:19:
Oké, eindelijk wat tijd gevonden om het uit te proberen.
Ik heb softether geinstalleerd op de windows 10 pc die dienst doet als server en probeer via mijn mac verbinding te maken van buitenaf met de opgezette vpn.

Helaas lukt dit niet, ik krijg telkens de melding dat hij niet vindbaar is.

Ik heb enkele bijkomende poorten open gezet maar als ik bij canyouseeme kijk zijn deze niet open.
1723
500
4500
1194

Deze staan allemaal open.

Even de situatie, eerst staat de telenet modem waarop deze poorten open gezet zijn maar ook de firewall uit, daarna staat er een DLINK DiR890L router die dienst doet als dhcp en hierop staan de poorten ook allemaal open.

[afbeelding]
https://afbeelding.im/Q3u6ByXE

Je hebt dus NAT achter NAT? Welkom in de hel. Kan je eens een screenshot posten van de NAT instellingen van beide routers/modems?

[terror538]

Je kan op je router DD-WRT draaien, en daarin dan weer een OpenVPN server opzetten.

en zet even je telenet modem in bridge modus. Double-NAT is absolute /hell/

[ Voor 32% gewijzigd door terror538 op 04-05-2017 21:19 ]

[cooLopke]

De Telenet modem kan je niet in bridge plaatsen. Je kan wel de dlink router een static WAN ip (dit moet dus gewoon in de range van de Telenet router zitten waarschijnlijk 192.168.0.x geven en dit ip invullen op de Telenet router bij DMZ. (Beste oplossing). De Telenet router forward alle ip pakketjes dan naar de dlink router. Verwijder de ingestelde port forwarding op de Telenet router.

Op de dlink router forward je dan de nodige poorten voor de vpn. Dan zou het moeten werken.

Let wel op dat als je test alle uitgaande poorten openstaan en deze niet geblokkeerd worden. Dus niet in een bedrijf/school testen waar zo goed als alle uitgaande poorten geblokkeerd zijn.

Succes!

[ Voor 7% gewijzigd door cooLopke op 04-05-2017 21:33 ]

[DJSmiley]

cooLopke schreef op donderdag 4 mei 2017 @ 21:30:
De Telenet modem kan je niet in bridge plaatsen. Je kan wel de dlink router een static WAN ip (dit moet dus gewoon in de range van de Telenet router zitten waarschijnlijk 192.168.0.x geven en dit ip invullen op de Telenet router bij DMZ. (Beste oplossing). De Telenet router forward alle ip pakketjes dan naar de dlink router. Verwijder de ingestelde port forwarding op de Telenet router.

Op de dlink router forward je dan de nodige poorten voor de vpn. Dan zou het moeten werken.

Let wel op dat als je test alle uitgaande poorten openstaan en deze niet geblokkeerd worden. Dus niet in een bedrijf/school testen waar zo goed als alle uitgaande poorten geblokkeerd zijn.

Succes!

Of gebruik een vpn oplossing die niet afhankelijk is van vage poorten. Een SSTP servertje kan gewoon over poort 443. Dan kun je in de meeste gevallen gewoon verbinding maken ook al staat zo goed als alles dicht.

Een simpele SSTP server kun je al draaien op een Mikrotik Hex van een paar 10tjes (60 eur ofzo). Stuk goedkoper dan wat een Windows (of ander OS) bak aan stroom trekt.

[unezra]

Het verrast me dat niemand rept over pfsense:
https://www.pfsense.org/

Als je op 1 of beide locaties een servertje hebt draaien, zet je zo pfsense d'r op en maak je daar een VPN mee.

Zie:
https://doc.pfsense.org/i...nVPN_Remote_Access_Server

[Cyphax]

xh3adshotx schreef op donderdag 4 mei 2017 @ 20:25:
[...]


Je hebt dus NAT achter NAT? Welkom in de hel. Kan je eens een screenshot posten van de NAT instellingen van beide routers/modems?

Het klinkt veel erger dan het is. Ik heb er geen problemen mee, en dat is met NAT over NAT. Je moet in principe alleen maar 2 keer een poort openzetten ipv 1 keer. Ik was er ook even huiverig voor beken ik, maar in de praktijk werkt het prima.

Ik heb uiteindelijk een Pi gebruikt. Low power, goedkoop, hoef me geen zorgen te maken om andere daemons op dat ding, gewoon een stand-alone VPN-server.

[kenny.quintens]

Hierbij enkele screens:

Telenet:
https://afbeelding.im/nNSPGyOZ

Dlink:
https://afbeelding.im/U55QcZvI

Dlink port:
https://afbeelding.im/salzdn4i

terror538 schreef op donderdag 4 mei 2017 @ 21:18:
Je kan op je router DD-WRT draaien, en daarin dan weer een OpenVPN server opzetten.

Hier heb ik ook al over na zitten denken, was begonnen met de info pagina te lezen maar dit heb ik nog niet durven doen, kwestie van de router te beschadigen.


Extra info;
Eerst had ik een windows server draaien waarmee ik de vpn perfect werkend had.
Wegens installatie van BlueIris voor de opname van de geplaatste camera's heb ik er weer gewone windows op geinstalleerd omdat BlueIris niet naar behoren functioneerde.

De poort voor BlueIris en de 1194 werken gewoon, dus het openen van die poorten lukt wel. Maar die 500, 5555, 1701, 443 en 4500 krijg ik niet open lijkt me.
Sommige geven connection time out en andere geven connection refused.

[koentje115]

Installeer openvpn op een raspberry pi en forward udp1194 op beide routers. Je hebt dit werkend binnen de 30 minuutjes. Geef de pi een statisch adres ergens tussen 192.168.0.10 en 192.168.0.50 (er vanuit gaande dat je telenet router 192.168.0.1 is).

code:

wget https://git.io/vpn -O openvpn-install.sh
sudo bash openvpn-install.sh

Bovenstaand scriptje heeft 4 vragen. Wanneer het zegt dat je achter aan NAT zit, geef je je extern ip adres in (google for what is my ip).

[cooLopke]

Correct het is heel belangrijk dat je de openvpn config file van de cliënt opent en bij je extern ip het juiste ip meegeeft. Standaard gaat dit waarschijnlijk 192.168.0.1 zijn (je Telenet router).

[kenny.quintens]

Oké, voor de moment werkt de vpn.

Op de telenet modem heb ik alle poorten eruit gehaald en enkel de firewall staat uit en de router staat ingevuld bij het DMZ adres.
Op de DLINK ziet het er nu als volgt uit;
https://afbeelding.im/jWGYEUuS


Zo werkt de Config nu.

[T.Kreeftmeijer]

Welke poorten heb je nu open, want voor openvpn heb je maar 1 forward nodig en niet al die andere.

[kenny.quintens]

ik had eerst alles verwijderd en enkel de 443 laten staan omdat ik deze als laatst had toegevoegd voor het werkte.
Toen ik de rest verwijderde werkte het nietmeer, daarna heb ik de andere maar terug geplaatst en nu werkt het wel weer, dus er zullen er teveel zijn maar in de huidige situatie werkt het.

[T.Kreeftmeijer]

kenny.quintens schreef op maandag 8 mei 2017 @ 21:59:
ik had eerst alles verwijderd en enkel de 443 laten staan omdat ik deze als laatst had toegevoegd voor het werkte.
Toen ik de rest verwijderde werkte het nietmeer, daarna heb ik de andere maar terug geplaatst en nu werkt het wel weer, dus er zullen er teveel zijn maar in de huidige situatie werkt het.

Die teveel zijn dus een extra risico.

Wat zijn de porten op de vpn server en welke heb je voor andere nodig, waarvan je dat zeker weet?

[FreshMaker]

T.Kreeftmeijer schreef op maandag 8 mei 2017 @ 22:13:
[...]

Die teveel zijn dus een extra risico.

Wat zijn de porten op de vpn server en welke heb je voor andere nodig, waarvan je dat zeker weet?

@kenny.quintens :

mijn 2 centen, ik kan je aanraden om de server alleen op port 443 te laten luisteren, zeker qua bereikbaarheid, vele poorten worden geblokkeerd door bedrijven/hotspots.
443 is de meest 'open'poort ..

[T.Kreeftmeijer]

FreshMaker schreef op maandag 8 mei 2017 @ 22:20:
[...]


@kenny.quintens :

mijn 2 centen, ik kan je aanraden om de server alleen op port 443 te laten luisteren, zeker qua bereikbaarheid, vele poorten worden geblokkeerd door bedrijven/hotspots.
443 is de meest 'open'poort ..

Samen met 80.

offtopic:
Wat word bedoelt met mijn 2 centen/my 2 cents?

[ Voor 8% gewijzigd door T.Kreeftmeijer op 08-05-2017 22:27 ]