[Draytek Vigor2925] Geen internet over de VPN

[Icey]

Introductie (ter informatie):
Hier op kantoor hebben we de nodige problemen door een verkeerde aanleg van het netwerk. Denk daarbij aan een netwerk wat ip-adressen uitdeelt die al in gebruik zijn, vier verschillende WIFI AP's die elkaar in de weg zitten, switches die met 100Mbit zijn 'door gelust' en een onbeveiligd WIFI netwerk voor gasten die daarmee in 'ons' netwerk zitten . De afgelopen dagen ben ik langzamerhand deze problemen aan het oplossen, in kleine stapjes om issues te voorkomen. Denk daarbij aan één WIFI AP met 4 SSID's, switches apart verbinding op de router met 1000Mbit, het bijwerken van de firmware, het toepassen van VLAN tagging om deze te scheiden etc etc.

Het probleem:
Ik heb de firmware van de DrayTek Vigor 2925 bijgewerkt van versie 3.7.8.1 naar 3.8.8.2 en sindsdien (waarschijnlijk) werkt onze VPN niet meer naar behoren. We kunnen verbinding maken, zitten ook op het netwerk maar kunnen niet het internet op.

De situatie:
Zodra we een verbinding maken met de VPN...

• Krijgen we een IP-adres in dezelfde range als onze interne computers (10.3.1.x)
• Krijgen we een DNS server toegewezen die we ook gebruiken in de router (1.1.1.1 en 1.0.0.1)
• We kunnen de router bereiken (10.3.1.10)
• We kunnen pingen / traceroute naar tweakers.net (213.239.154.31)
• We kunnen ook http://213.239.154.31 (soort van) bereiken
• We kunnen niet http://tweakers.net bereiken

Wat heb ik geprobeerd:

• De standaard XS4ALL DNS server vervangen door Cloudflare
• Er zijn geen static routes
• Force router to use "DNS server IP address" settings specified in LAN1 aangezet (geen verschil)

Iemand enig idee in welke hoek ik het zou moeten zoeken?

[Icey]

Volgens mij heb ik gevonden waar het probleem in zit, het lukt mij alleen niet goed om het te begrijpen.

Er is een 'Default Data Filter' met daarin één regel 'xNetBios -> DNS'. Deze blokkeert al het TCP/UDP verkeer van poort 137~139 naar poort 53. Specifiek van LAN/DMZ/RT/VPN naar WAN.

Zodra ik dit 'Default Data Filter' uitzet werkt alles naar behoren. Ik weet alleen niet of ik nu iets naar buiten toe open gezet heb...

[CenturiesEnd]

Dit komt door een bug in 3.8.8.2 en is gefixed in 3.8.9.

"Corrected: The firewall default rule block would block the DNS response if LAN client
used Vigor as the DNS server"

Daarnaast is intussen 3.8.9.1 al uit. ik zou zo zeggen, configuratie opslaan en upgraden.

(ps, die default firewall rule altijd actief laten!)

[ Voor 9% gewijzigd door CenturiesEnd op 14-06-2018 12:26 ]

[Icey]

Ik ga er morgenochtend mee aan de slag, wel raar aangezien ik geen DNS van de router gebruik.