opzetten Openvpn TAP bridge

[shure-fan]

Beste Mensen,

Ik ben de afgelopen tijd bezig geweest om met inlezen tot het opzetten van een vpn verbinding naar huis
dit door gebruik te maken van Openvpn.

(mijn vorige topic) https://gathering.tweakers.net/forum/list_messages/1771285

Ben inmiddels een hoop wijzer geworden door het ddwrt forum (ik had voorheen 2 routers (tl-wr 1043nd v1) geflashd met ddwrt met openvpn support, echter werkt dit niet voor mij aangezien ik er achter kwam (door te lezen en wireshark) dat de webgui niet werkt en ik alles via command line moest doen.

mijn raspberry pi draait nu een openvpn TUN zodat ik via mijn android gsm verbinding kan maken naar huis,

Maar wat ik eigenlijk wil is is een TAP verbinding via de 2 1043nd routers,
(dit is puur om te testen, later wil ik dit opzetten naar de raspberry pi die zowel tap als tun ondersteunt)

Ik heb deze dus omgeflashd naar openwrt Choas Calmer 15.01 / Luci,
Ik heb deze 2 momenteel in een lab opstelling maar ik kom er niet uit

Ik heb deze handleiding gebruikt
https://wiki.openwrt.org/doc/howto/vpn.openvpn

ik heb de server (1043) geconfigd, en de client (1043) via de wanpoort aangesloten op de server (pure test opstelling)
ik gebruik 2 pc's voor het snel maken van wijzigingen aan beide kanten.


Kan iemand me helpen om een werkende simpele tap bridge te maken ( eerst zonder certificaten / tls, wil eerst de brug werkend hebben, daarna verder kijken)

[Mijzelf]

Heb je verbinding? En hoe ziet je opstelling er precies uit? Met een TAP verbinding creëer je in feite een virtuele ethernetpoort aan beide kanten, met een virtueel touwtje ertussen.
Van zichzelf heeft zo'n poort geen IP, die moet eraan worden toegekend. Bij mijn weten is het gebruikelijk om zo'n NIC te bridgen met een LAN poort. Als je dat aan beide kanten doet, heb je de beide LAN's verbonden. Dan moet je dus bijvoorbeeld 1 van de DHCP servers uitzetten.

[shure-fan]

ik heb 2 van deze routers, elk in een eigen netwerk (192,168,1,1 en 192.168.200.1)
met aan elke router een pc via ethernet om de boel te configgen

ik heb tevens een utp tussen de switch van de server naar de WAN poort van de client, waar de verbinding in test fase over moet draaien.


Het is de bedoeling dat de tap bridge mijn huisnetwerk "verlengd" (de client router moet dus mijn thuisnetwerk over zowel de wifi als lanpoorten "verlengen" )

dhcp uitzetten is wel leuk, maar dan krijgt de pc die aan de clientzijde zit geen ip door de tunnel, dus er gaat iets fout

[Mijzelf]

Opnieuw de vraag: Heb je verbinding? Aan de client kant kun je manueel 'openvpn --config configfile' uitvoeren, om daar informatie over te krijgen.

Je moet de beide routers met hun WAN (met fixed IP) aan elkaar hangen, en daar een derde subnet voor gebruiken. Dat is tenslotte ook de opstelling als je er internet tussen hangt. Het kan niet over de LAN die je ook wilt bridgen. Dat geeft routing problemen.

In de server bridge je de TAP met de LAN. In de client hang je een DHCP client aan de TAP verbinding. Als het goed is zou hij een IP in de server's LAN moeten krijgen.

Wat je verder aan de client kant doet staat nog open. Je kunt de TAP bridgen met een VLAN, en die dan op een van de switch poorten naar buiten laten komen. Als je dan inplugt op de ene poort zit je in de client LAN, en op de andere poort in de server LAN.
Of je kunt de hele client LAN bridgen met de TAP, maar dan heb je een probleem als er geen vpn verbinding is. Verder heeft (zonder speciale configuratie) de client zelf geen IP in de server LAN, en kun je hem dus niet meer bereiken.

[shure-fan]

@mijzelf, ga ik mee bezig, alvast bedankt

Even een toevoeging,

Als ik dit aan de praat krijg, ga ik de server plaatsen in mijn netwerk (achter mijn linux firewall) en krijgt ie een statisch ip adress die past bij mijn netwerk,

In mijn linux firewall maak ik vervolgens een portforwarding aan richting de openwrt server

Vandaar dat ik de server-lan heb aangesloten op de client-wan

[ Voor 81% gewijzigd door shure-fan op 15-07-2017 14:51 ]

[Mijzelf]

Ah zo. Maar het is verschillend, vanuit de client gezien. In jouw gewenste opstelling heeft de client aan zijn WAN kant een publiek IP adres. De translatie naar het LAN adres van de server wordt door de NAT van de Linux router gedaan, maar daar merkt die client niets van.

Waarom zet je je vpn server trouwens niet op de Linux router?

[shure-fan]

Mijzelf schreef op zaterdag 15 juli 2017 @ 17:55:

Waarom zet je je vpn server trouwens niet op de Linux router?

Omdat ie dat verkeer niet aankan, tis een wat ouder pc engine bordje, komt nog wel (ooit)

Ik wil dit eerst gewoonweg stabiel hebben werken.

Overigens, ik heb wel een tweede internet verbinding tot mijn beschikking dus wellicht kan ik de server meteen wel neerzetten in het netwerk en de client configgen via de tweede verbinding.


Heb ook nog via ssh ingelogd op de client, maar kan geen openvpn--config (profiel) aanroepen, dus daar moet ik ook nog naar kijken

[Mijzelf]

shure-fan schreef op zaterdag 15 juli 2017 @ 18:15:
[...]

Omdat ie dat verkeer niet aankan, tis een wat ouder pc engine bordje, komt nog wel (ooit)

PC Engine bordje? Google verteld me dat dat een 8 bits spelcomputer is.
Als dat bordje ook maar iéts met PC als in Intel bak te maken heeft, zou het me verbazen als hij die TL-WR1043ND niet wegblaast.
Hoewel, misschien heeft die TL-WR1043ND een (door OpenWRT ondersteunde) hardware encryptie. Dat zou het enigzins veranderen.
Anyway, het doet er niet toe voor het concept.

Overigens, ik heb wel een tweede internet verbinding tot mijn beschikking dus wellicht kan ik de server meteen wel neerzetten in het netwerk en de client configgen via de tweede verbinding.

In principe moet het over elke verbinding kunnen werken, maar zodra je aan 1 van beide eindpunten een IP adres toekent, moet je even op je hoofd krabben of hij nou niet de tunnel zelf door de tunnel gaat proberen te sturen.

Heb ook nog via ssh ingelogd op de client, maar kan geen openvpn--config (profiel) aanroepen, dus daar moet ik ook nog naar kijken

Er moet een spatie tussen openvpn en --config

[shure-fan]

Mijzelf schreef op maandag 17 juli 2017 @ 14:04:
[...]

Ik heb je een PM gestuurd

[shure-fan]

Kickje,

Is er iemand die me hierbij kan helpen?

die me stapsgewijs kan uitleggen / laten zien, wat ik moet doen?
Waarschijnlijk maak ik ergens een paar fouten, maar door de bomen in het bos zie ik het niet meer

de 2 routers hebben nog steeds openwrt choas calmer, waarbij openvpn nieteens wil starten,
Kennis van linux is aanwezig op novice niveau.

[Thralas]

Mijzelf schreef op maandag 17 juli 2017 @ 14:04:
[...]
PC Engine bordje? Google verteld me dat dat een 8 bits spelcomputer is.

Nee, deze.

Als dat bordje ook maar iéts met PC als in Intel bak te maken heeft, zou het me verbazen als hij die TL-WR1043ND niet wegblaast.

Absoluut. Het zijn x86-bordjes, zelfs met crypto accelerator. Ook zonder vele malen sneller dan een oude ARM/MIPS SoC.

shure-fan schreef op dinsdag 25 juli 2017 @ 19:51:
die me stapsgewijs kan uitleggen / laten zien, wat ik moet doen?

Ik vrees van niet; het is hier geen helpdesk

Waarschijnlijk maak ik ergens een paar fouten, maar door de bomen in het bos zie ik het niet meer

Laat dan eens zien wat er misgaat. Je bent er hierboven achtergekomen hoe je OpenVPN vanaf de command line start, dat levert een hoop output op. Post dat, en vertel hoe het niet voldoet aan je verwachtingen, dan zijn er vast wel Tweakers met goede ideeën.

Ik mis ook een beetje wat je nu precies wilt bereiken met dit verhaal, want je haalt je een hoop ellende op de hals (Mijzelf stipte al meermaals punten aan).

Tenzij wat je wil bereiken absoluut niet met enkel routing/tun kan zou ik er niet aan beginnen.

[burne]

Thralas schreef op dinsdag 25 juli 2017 @ 20:39:
Laat dan eens zien wat er misgaat. Je bent er hierboven achtergekomen hoe je OpenVPN vanaf de command line start, dat levert een hoop output op. Post dat, en vertel hoe het niet voldoet aan je verwachtingen, dan zijn er vast wel Tweakers met goede ideeën.

En als je bezig bent: Hoe zien je interfaces en bridge er uit? (wat zeggen ifconfig tap0 en brctl show br0?) Hoe ziet je arp-tabel er uit?

(Je wilt zien dat je tap0 in de bridge zit, en je wilt zien dat het ip-adres van je device aan de andere kant van de tunnel het mac-adres van je lokale tap0-interface heeft. Je begrijpt waarom?)

[shure-fan]

na 4 !!! maanden stoeien (lees:vechten) geweest te zijn met diverse firmwares (ddwrt / openwrt) en openvpn.
heb ik de moed opgegeven dat ik het ooit werkend zal krijgen,

Omdat ik een echte linux novice ben heb ik de meeste handleidingen op internet gelezen maar werken niet omdat ze vaak niet geheel compleet zijn, hulp op diverse fora is ook niet voorhandig en vertellen mij alleen wat het verschil tussen tun en tap is (dat weet ik wel)
Ik heb me hopeloos ingelezen op diverse sites, vaak ook tot diep in de nacht, wanhoop voorbij en vooral een hele berg frustratie verder die ik niet kan afreageren (dus tik ik het van me af via het toetsenbord).


Ik zou dit project graag af willen maken (het opzetten vanaf scratch van een simpele site to site tap) (uiteindelijk een tun / tap omgeving hier thuis willen aanmaken) maar dit kost me zoveel dat het het niet waard is.


Ik moest het even van me afschrijven,

[laurens0619]

Wat misschien dan een leuk alternatief is, is met Mikrotik en EoIP aan de slag te gaan.
In mijn ogen een stuk eenvoudiger dan idd die brakke openwrt builds/handleidingen

Mooiste is ook nog, je kunt mikrotik in vmware draaien, kun je eerst lekker virtueel rommelen voordat je het grote geld (20 euro per router ) gaat uitgeven.

Hier het stappenplan: https://mum.mikrotik.com/...ation_2962_1445240964.pdf

[ Voor 13% gewijzigd door laurens0619 op 08-08-2017 09:09 ]