VPN via IPsec werkt intern wel, maar van buitenaf niet

[pven]

Ik wil mijn Synology bereikbaar maken via IPsec. Inmiddels ben ik zo ver dat dat vanaf mijn interne netwerk wel lukt, maar van buitenaf niet.

De onderstaande poorten heb ik open gezet op mijn KPN ADSL-router/modem:


Waarschijnlijk is een aantal poorten al overkill. OpenVPN werkt ook prima op deze manier (uiteraard met een andere poort), maar IPsec krijg ik maar niet werkend.

De foutmelding die Windows mij geeft:


Maar intern werkt het wel. Dus het lijkt alsof de configuratie op mijn laptop goed is. (Daarvoor heb ik deze uitleg gevolgd.)

Op mijn Synology heb ik overigens dit ingesteld:


Iemand een idee wat er verkeerd gaat?

[ Voor 7% gewijzigd door pven op 22-08-2017 07:57 ]

[Qlimaxxx]

Ik heb dit probleem ook gehad. Ik kon dat oplossen door GRE te forwarden. Als je router dit niet kent Kun je proberen poort 47 open te zetten.

[pven]

Qlimaxxx schreef op dinsdag 22 augustus 2017 @ 08:05:
Ik heb dit probleem ook gehad. Ik kon dat oplossen door GRE te forwarden. Als je router dit niet kent Kun je proberen poort 47 open te zetten.

Ik ga er vanavond naar kijken. Dank!

[lier]

Poorten 500, 4500 en 1701 (allen alleen UDP, TCP is niet nodig) moeten open staan. En kijk of er in je modem IPSEC passthrough te vinden is. Heb je UPnP uit staan? Werken (andere) port forwards wel? Hoe test je of het werkt? Doe je dat met een andere internet verbinding?

[ Voor 27% gewijzigd door lier op 22-08-2017 08:54 ]

[Domino]

An sich ziet het er prima uit. Zoals lier hierboven al post is alleen UDP voldoende voor een L2PT/IPsec VPN.

Ik heb er ook een tijdje mee lopen stoeien, Windows 10 is in dit geval de schuldige: https://www.wijngaard.org/l2tpvpn/

[pven]

lier schreef op dinsdag 22 augustus 2017 @ 08:52:
Poorten 500, 4500 en 1701 (allen alleen UDP, TCP is niet nodig) moeten open staan.

Duidelijk, ga ik zo doen.

En kijk of er in je modem IPSEC passthrough te vinden is.

Volgens mij niet, is een simpel standaard-ding van KPN.

Heb je UPnP uit staan?

Die heb ik toevallig aan gezet om mee te spelen. Uit is beter?

Werken (andere) port forwards wel?

Jazeker!

Hoe test je of het werkt? Doe je dat met een andere internet verbinding?

Vanaf mijn werk, vandaar dat testen soms even op zich laat wachten.

Domino schreef op dinsdag 22 augustus 2017 @ 09:08:
An sich ziet het er prima uit. Zoals lier hierboven al post is alleen UDP voldoende voor een L2PT/IPsec VPN.

Ik heb er ook een tijdje mee lopen stoeien, Windows 10 is in dit geval de schuldige: https://www.wijngaard.org/l2tpvpn/

Ik gebruik nog Windows 8.1 op deze laptop.

[ Voor 23% gewijzigd door pven op 22-08-2017 09:09 ]

[Domino]

pven schreef op dinsdag 22 augustus 2017 @ 09:09:
Ik gebruik nog Windows 8.1 op deze laptop.

Ik zou het toch even proberen. Je kan het altijd weer verwijderen als het niet werkt.

[pven]

Qlimaxxx schreef op dinsdag 22 augustus 2017 @ 08:05:
Ik heb dit probleem ook gehad. Ik kon dat oplossen door GRE te forwarden. Als je router dit niet kent Kun je proberen poort 47 open te zetten.

GRE zit er helaas niet in. Als ik poort 47 open zet, dan lijkt er inderdaad wel wat meer te gebeuren. Maar uiteindelijk faalt ie alsnog:

code:

2017-08-23T08:03:30+02:00 diskstation pluto[25694]: ERROR: asynchronous network error report on eth1 (sport=4500), complainant 62.123.98.71: Connection refused [errno 111, origin ICMP type 3 code 3 (not authenticated)

(Dit is de logging die ik op mijn Synology terug vind.)

Overigens test ik dit vanaf mijn mobiel. Vanaf mijn laptop kan ik het morgen pas testen.

[ Voor 3% gewijzigd door pven op 23-08-2017 08:14 ]

[Qlimaxxx]

pven schreef op woensdag 23 augustus 2017 @ 08:06:
[...]

GRE zit er helaas niet in. Als ik poort 47 open zet, dan lijkt er inderdaad wel wat meer te gebeuren. Maar uiteindelijk faalt ie alsnog:

code:

2017-08-23T08:03:30+02:00 diskstation pluto[25694]: ERROR: asynchronous network error report on eth1 (sport=4500), complainant 62.123.98.71: Connection refused [errno 111, origin ICMP type 3 code 3 (not authenticated)

(Dit is de logging die ik op mijn Synology terug vind.)

Overigens test ik dit vanaf mijn mobiel. Vanaf mijn laptop kan ik het morgen pas testen.

Ik blijf het ook vreemd vinden. Volgens mij is GRE juist een protocol voor PPTP.

Ik heb echter zowel bij mij als een kennis het zo werkend gekregen. De kennis had z'n ziggo modem in bridge op een Asus router. Ik had voorheen een TP-link met OpenWRT en heb die config 2x werkend gekregen.

Laatst heb ik mijn router vervangen door een USG van Ubiquiti. Daarbij lukte het me ook niet om L2TP/IPSec te forwarden. Ik heb toen voor de makkelijke manier gekozen door de USG als vpn server te configureren.


Edit: ik gok dat je op Windows 10 de VPN configuratie automatisch hebt ingeladen? Misschien kun je in de adapterinstellingen wat aanpassen?

synology forum:
I spent hours pulling my hair out trying to get the Windows 7 client working with L2TP. There are TWO critical things that are not obvious that you will need to do for this to work.

Preliminary:

Forward the following ports from your firewall to your Diskstation: Port 500 UDP, Port 4500 UDP, Port 1701 UDP

Under security I selected "Layer 2 Tunneling Protocol with IPsec (L2TP/IPSec)", entered the PSK under "Advanced", Used "Require Encryption (disconnect if server declines)", and allow protocols CHAP and MS-CHAP v2". You may or may not need to change these, but those are what my settings are.

Now for the tricks:
1. You MUST disable IPv6 under the networking tab.
2. You MUST edit the registry for VPN NAT traversal as specified in the following MS article:
http://support.microsoft.com/kb/926179

L2TP would NOT work before I did these two things. I hope this helps someone avoid a lot of headaches in the future!

toon volledige bericht

[ Voor 32% gewijzigd door Qlimaxxx op 23-08-2017 08:32 ]

[pven]

Qlimaxxx schreef op woensdag 23 augustus 2017 @ 08:26:
[...]


Laatst heb ik mijn router vervangen door een USG van Ubiquiti. Daarbij lukte het me ook niet om L2TP/IPSec te forwarden. Ik heb toen voor de makkelijke manier gekozen door de USG als vpn server te configureren.

Ik heb als workaround om OpenVPN op mijn oude Synology weer tot leven te wekken. Maar ja: liever niet natuurlijk. Het moet gewoon vanaf mijn normale Synology kunnen werken. En aangezien het intern wel werkt, moet het iets in netwerk-gedoe zijn. Maar ja: wat ...

[Qlimaxxx]

Heb mijn post even ge-edit.

Ik las ook nog ergens iets over AGL. Dat al geforward?

[pven]

Qlimaxxx schreef op woensdag 23 augustus 2017 @ 08:33:
Heb mijn post even ge-edit.

Die post die je daar quote heb ik un mijn TS ook genoemd.

Ik las ook nog ergens iets over AGL. Dat al geforward?

Ga ik naar kijken.

[SambalBij]

Er wordt een paar keer in dit topic gesproken over poorten 47 en 50.
Dat klopt niet, en heeft niks met deze VPN's te maken!
Bepaalde VPN's (PPTP, IPSec) maken gebruik van extra IP *protocollen*.
Dat is dus niet een UDP of TCP poortnummer, maar een heel ander IP protocolnummer.

PPTP maakt gebruik van TCP poort 1723, en IP protocol 47 (=GRE).
IPSec maakt gebruik of van UDP poort 500 en IP protocol 50 (=ESP), óf het maakt gebruik van UDP poort 4500. (En geen ander IP protocol, dat heet NAT-T (NAT traversal) en is nodig als een van de kanten van het VPN achter een NAT translatie zit. (Die optie zou je eens moeten opzoeken in je VPN server)

En over die protocollen; TCP en UDP zijn beiden IP protocollen (resp protocol 6 en 17) maar er zijn er dus veel meer. (Zie https://www.iana.org/assi...rs/protocol-numbers.xhtml)
In geval van IPSec moet je dus niet UDP/IP poort 50 forwarden, maar heel het procotol ESP/IP.

[j1nx]

Domino schreef op dinsdag 22 augustus 2017 @ 09:08:
An sich ziet het er prima uit. Zoals lier hierboven al post is alleen UDP voldoende voor een L2PT/IPsec VPN.

Ik heb er ook een tijdje mee lopen stoeien, Windows 10 is in dit geval de schuldige: https://www.wijngaard.org/l2tpvpn/

Dit lijkt mij toch de oplossing!

Het probleem is er al sinds Vista, dus 8.1 heeft er ook last van.
https://support.microsoft...a-nat-t-device-in-windows

Had je die DWORD al op 2 gezet, rebootje en geprobeerd?

[Qlimaxxx]

pven schreef op woensdag 23 augustus 2017 @ 08:36:
[...]

Die post die je daar quote heb ik un mijn TS ook genoemd.

Pardon my French. Het is nog vroeg...

SambalBij schreef op woensdag 23 augustus 2017 @ 08:40:
Er wordt een paar keer in dit topic gesproken over poorten 47 en 50.
Dat klopt niet, en heeft niks met deze VPN's te maken!
Bepaalde VPN's (PPTP, IPSec) maken gebruik van extra IP *protocollen*.
Dat is dus niet een UDP of TCP poortnummer, maar een heel ander IP protocolnummer.

PPTP maakt gebruik van TCP poort 1723, en IP protocol 47 (=GRE).
IPSec maakt gebruik of van UDP poort 500 en IP protocol 50 (=ESP), óf het maakt gebruik van UDP poort 4500. (En geen ander IP protocol, dat heet NAT-T (NAT traversal) en is nodig als een van de kanten van het VPN achter een NAT translatie zit. (Die optie zou je eens moeten opzoeken in je VPN server)

En over die protocollen; TCP en UDP zijn beiden IP protocollen (resp protocol 6 en 17) maar er zijn er dus veel meer. (Zie https://www.iana.org/assi...rs/protocol-numbers.xhtml)
In geval van IPSec moet je dus niet UDP/IP poort 50 forwarden, maar heel het procotol ESP/IP.

Nou vind je dat soort zaken in veel isp routers niet terug. Daarnaast heeft het ooit wel gewerkt. Hoe kan dat dan?

[pven]

j1nx schreef op woensdag 23 augustus 2017 @ 08:43:
[...]


Dit lijkt mij toch de oplossing!

Het probleem is er al sinds Vista, dus 8.1 heeft er ook last van.
https://support.microsoft...a-nat-t-device-in-windows

Had je die DWORD al op 2 gezet, rebootje en geprobeerd?

Jazeker, en sinds die tijd werkt het op mijn interne netwerk wel.

SambalBij schreef op woensdag 23 augustus 2017 @ 08:40:
Er wordt een paar keer in dit topic gesproken over poorten 47 en 50.
Dat klopt niet, en heeft niks met deze VPN's te maken!
Bepaalde VPN's (PPTP, IPSec) maken gebruik van extra IP *protocollen*.
Dat is dus niet een UDP of TCP poortnummer, maar een heel ander IP protocolnummer.

PPTP maakt gebruik van TCP poort 1723, en IP protocol 47 (=GRE).
IPSec maakt gebruik of van UDP poort 500 en IP protocol 50 (=ESP), óf het maakt gebruik van UDP poort 4500. (En geen ander IP protocol, dat heet NAT-T (NAT traversal) en is nodig als een van de kanten van het VPN achter een NAT translatie zit. (Die optie zou je eens moeten opzoeken in je VPN server)

En over die protocollen; TCP en UDP zijn beiden IP protocollen (resp protocol 6 en 17) maar er zijn er dus veel meer. (Zie https://www.iana.org/assi...rs/protocol-numbers.xhtml)
In geval van IPSec moet je dus niet UDP/IP poort 50 forwarden, maar heel het procotol ESP/IP.

Interessant, ik ga dit nog een paar keer goed lezen.

Qlimaxxx schreef op woensdag 23 augustus 2017 @ 08:44:

[...]


Nou vind je dat soort zaken in veel isp routers niet terug. Daarnaast heeft het ooit wel gewerkt. Hoe kan dat dan?

Van buitenaf heeft IPsec nog nooit gewerkt. (OpenVPN wel)

[ Voor 8% gewijzigd door pven op 23-08-2017 08:46 ]

[Qlimaxxx]

pven schreef op woensdag 23 augustus 2017 @ 08:45:

[...]

Van buitenaf heeft IPsec nog nooit gewerkt. (OpenVPN wel)

Ik doelde op mijn eigen ervaringen. Ik heb het een paar keer aan de praat gekregen met een router die geen optie had om speciale protocollen te forwarden.

[SambalBij]

Qlimaxxx schreef op woensdag 23 augustus 2017 @ 08:48:
[...]


Ik doelde op mijn eigen ervaringen. Ik heb het een paar keer aan de praat gekregen met een router die geen optie had om speciale protocollen te forwarden.

Het kan, wanneer de VPN server NAT-T ondersteund. Verkeer gaat dan over UDP poorten ipv over ESP.
Daarnaast kan het ook zijn dat routers het verkeer herkennen en de forwarding automatisch aanpassen.
(Zodat wanneer ze inkomen verkeer op poort 1723 zien, ze het bijbehorende GRE verkeer ook doorzetten)

[j1nx]

pven schreef op woensdag 23 augustus 2017 @ 08:45:
[...]

Jazeker, en sinds die tijd werkt het op mijn interne netwerk wel.

Vraagje: Test je alleen met een W8.1 laptop? Werkt het wel vanaf buitenaf op een telefoon?

Vraagje: Test je altijd vanaf dezelfde externe locatie. Heb je geprobeerd of het vanaf een andere locatie ook niet werkt?

Beide vragen om eventueel uit te sluiten dat je bijvoorbeeld niet vanaf een 192.168.0.1/24 netwerk, naar je eigen 192.168.0.1/24 probeerd te verbinden. Dat "gezeur" heeft me al veel te veel tijd van mijn leven gekost

[pven]

j1nx schreef op woensdag 23 augustus 2017 @ 08:55:
[...]


Vraagje: Test je alleen met een W8.1 laptop? Werkt het wel vanaf buitenaf op een telefoon?

Ik test met zowel mijn laptop als mijn telefoon. Van buitenaf werkt het dus ook niet via mijn telefoon. Ik zie wel in de loggng dat er een-en-ander gebeurt, maar uiteindelijk komt er geen verbinding tot stand.

Vraagje: Test je altijd vanaf dezelfde externe locatie. Heb je geprobeerd of het vanaf een andere locatie ook niet werkt?

Beide vragen om eventueel uit te sluiten dat je bijvoorbeeld niet vanaf een 192.168.0.1/24 netwerk, naar je eigen 192.168.0.1/24 probeerd te verbinden. Dat "gezeur" heeft me al veel te veel tijd van mijn leven gekost

Interessant. Dan moet ik nog eens een extra wifi-netwerk zoeken waar ik op kan. Kom ik op terug.

---

Overigens nogmaals voor de volledigheid: ik heb het standaard ADSL-modem/router van KPN, daar is qua configuratie niet zo veel mogelijk.

[ Voor 7% gewijzigd door pven op 23-08-2017 09:19 ]

[Racer89]

Ik heb hier ook lang mee liggen stoeien. In de Experiabox moet je gewoon IPSEC open zetten zoals je gedaan hebt. En uit eindelijk bleek mijn fout inderdaad zoals hierboven aangegeven in de W10 laptop te zitten.

Omdat ik via een W7 laptop geen problemen had. Via Regedit DWORD aangemaakt/aangepast zoals in de handleiding hier boven. En sindsdien werkt het perfect

[ShadowLord]

pven schreef op dinsdag 22 augustus 2017 @ 09:09:
Vanaf mijn werk, vandaar dat testen soms even op zich laat wachten.

Heb je ook al vanuit een andere plek geprobeerd, bijvoorbeeld vanaf je mobiel (niet via WiFi maar 3/4G)? En kun je vanuit je werk wel verbinding maken met een andere L2TP/IPSec VPN dienst?

Ik kan vanuit mijn werk ook geen verbinding maken (hetzij omdat het geblokkeerd wordt, hetzij omdat het netwerk hiervoor niet geschikt is wegens NAT*). Dus het kan goed dat jet op je router en NAS nu al werkt, maar dat het netwerk waar je op zit niet mee wil werken

* Zowel de server en/of de client achter NAT kan problemen veroorzaken. Als de router(s) hier niet goed mee om gaan werkt het niet/niet goed. Daar is die speciale VPN optie in de router ook voor bedoeld: voor zowel binnenkomende als uitgaande VPN verbindingen.

[pven]

Ik kom er allemaal nog op terug hoor. Even druk ...

[Hulliee]

Ik heb het volgende gedaan om via mijn Windows (8, 8.1, 10) laptop van buitenaf een VPN IPSec verbinding op te zetten naar mijn Synology NAS:

3x Services aanzetten:
IKE and AuthIP IPsec Keying Modules
IPsec Policy Agent
Secure Socket Tunneling Protocol Service

Met Regedit:

Locate and then click the following registry subkey:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent
Note You can also apply the
AssumeUDPEncapsulationContextOnSendRule
DWORD value to a Microsoft Windows XP Service Pack 2 (SP2)-based VPN client computer. To do this, locate and then click the following registry subkey:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPSec
On the Edit menu, point to New, and then click DWORD (32-bit) Value.
Type AssumeUDPEncapsulationContextOnSendRule, and then press ENTER.
Right-click AssumeUDPEncapsulationContextOnSendRule, and then click Modify.
In the Value Data box, type one of the following value:
2
A value of 2 configures Windows so that it can establish security associations when both the server and the Windows Vista-based or Windows Server 2008-based VPN client computer are behind NAT devices.

Porten open 500, 4500 en 1701.

Zet die NAS firewall eens aan om te testen.

Wat je ook nog kunt doen is op je laptop firewall, de poorten openzetten.

[pven]

Hulliee schreef op vrijdag 25 augustus 2017 @ 14:27:
Ik heb het volgende gedaan om via mijn Windows (8, 8.1, 10) laptop van buitenaf een VPN IPSec verbinding op te zetten naar mijn Synology NAS:

3x Services aanzetten:
IKE and AuthIP IPsec Keying Modules
IPsec Policy Agent
Secure Socket Tunneling Protocol Service

Deze draaien al.

Met Regedit:

[...]


Porten open 500, 4500 en 1701.

Heb ik ook al gedaan

Zet die NAS firewall eens aan om te testen.

Hij staat uit. Wat voor nut heeft het om deze aan te zetten?

Wat je ook nog kunt doen is op je laptop firewall, de poorten openzetten.

De standaard firewall staat uit. Die van BitDefender geeft geen rare meldingen als ik een connectie probeer.

---

Zou het zin hebben om mijn ADSL-modem/router te herstarten?

[pven]

Hij connecteert!

Het enige dat ik heb gewijzigd: ik gebruikte een host-name-achtig iets, dat heb ik keihard in een IP-adres gewijzigd. En nu krijg ik wel verbinding!

Nu alleen nog uitzoeken hoe dat met die routes ook al weer werkt, want nu ik eenmaal verbonden ben vind ik mijn DS alsnog niet.

---

Interessant: de route naar mijn oude DS werkt prima, de route naar mijn nieuwe DS lijkt nergens te eindigen. Beide zijn op dezelfde switch aangesloten. Ik verbind nu dus IPsec via mijn nieuwe DS, maar als ik daarna via putty naar diezelfde DS wil dan kan dat niet. Via quickconnect is deze DS overigens wel te benaderen.

Als ik overigens via putty een connectie op zet naar mijn oude DS en dan de nieuwe DS ping, dan wordt ie wel gevonden. Maar rechtstreeks met putty naar de nieuwe DS werkt dus niet.

---

En ik ben weer iets verder: als ik de DS benader via 10.2.0.0 dan kom ik erbij, dat is ook het IP welke ik via IPsec terug heb gevonden. Als ik naar de oude DS ga dan doe ik dat via 192.168.1.74. De nieuwe is intern ter bereiken vai 192.168.1.72. Iemand een idee in welke hoek ik dit moet zoeken?

[ Voor 63% gewijzigd door pven op 28-08-2017 12:14 ]

[pven]

pven schreef op maandag 28 augustus 2017 @ 10:17:
...

---

En ik ben weer iets verder: als ik de DS benader via 10.2.0.0 dan kom ik erbij, dat is ook het IP welke ik via IPsec terug heb gevonden. Als ik naar de oude DS ga dan doe ik dat via 192.168.1.74. De nieuwe is intern ter bereiken vai 192.168.1.72. Iemand een idee in welke hoek ik dit moet zoeken?

Iemand een idee?

[Reptile209]

Is dat niet gewoon 'by design'? Via je externe verbinding val je in een andere IP range. Je server heeft ook een adres in die range (je gateway), dus kan je daarmee verbinden. En blijkbaar heeft je server geen (omslachtige) route naar dezelfde server op zijn andere interface.
Vergelijk met een router thuis die aan de ene kant het externe IP van je ISP heeft, en aan de andere kant een IP in je lokale range.

Dus is dit een probleem, of kan je er gewoon mee leven dat je het juiste IP moet kiezen afhankelijk van je actieve verbinding?

bovenstaande op basis van eigen redenatie, zit niet niet zo diep in dit soort advanced networking

[pven]

Geen idee of dat bij design is. Het betekent wel dat mijn shortcuts niet meer werken. En volgens mij kan ik dat via /etc/hosts niet oplossen.