OpenVPN, UFW en domeinen

[Tralapo]

Normaal gesproken ben ik aardig vaardig in het omzetten van mijn problemen in het Engels zodat er genoeg over te vinden valt online, maar ik kom er deze keer gewoon niet uit. Dan maar eens lekker in het Nederlands hier proberen dus.

De situatie:
- Ubuntu 16.04 server met OpenVPN
- 2 vakantiehuisjes in het land, met elk een router met 4G. Verbonden met OpenVPN, zodat ik ze ondanks de NAT van de provider op afstand kan beheren.

So far, so good. De connectie werkt stabiel en prima en ik kan de routers bereiken.
Echter, dat lukt alleen met IPSERVER:POORT. Graag zou ik zien dat het, om het makkelijker te maken, ook zou werken met DOMEIN:POORT. Er zijn verschillende domeinen die al naar die server verwijzen.

Mijn configuratie van de firewall (UFW) ziet er als volgt uit:

code:

# START OPENVPN
# NAT table rules
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-F

# Forwarding Huisje 1
-A PREROUTING -p tcp --dport 2222 -j DNAT --to-dest 10.8.0.10:5000
-A POSTROUTING -d 10.8.0.10 -p tcp --dport 5000 -j SNAT --to-source 10.8.0.1

# Forwarding Huisje 2
-A PREROUTING -p tcp --dport 3333 -j DNAT --to-dest 10.8.0.20:5000
-A POSTROUTING -d 10.8.0.20 -p tcp --dport 5000 -j SNAT --to-source 10.8.0.1

# Allow traffic from OpenVPN client to eth1 
-A POSTROUTING -s 10.8.0.0/8 -o eth1 -j MASQUERADE
COMMIT
# END OPENVPN

Nu is mijn vraag dus: is het überhaupt mogelijk om domein.nl:2222 en domein.nl:3333 werkend te krijgen naast IP:2222 en IP:3333 en zo ja hoe krijg ik dat dan voor elkaar?

[Oogje]

Je wil geen private IP’s in je public DNS zetten lijkt me?

Of ik snap je verkeerd, kan ook goed.

[ Voor 25% gewijzigd door Oogje op 27-11-2020 20:30 ]

[Tralapo]

Oogje schreef op vrijdag 27 november 2020 @ 20:29:
Je wil geen private IP’s in je public DNS zetten lijkt me?

Of ik snap je verkeerd, kan ook goed.

De routers zijn verbonden met de server via VPN en ik kan ze dus alleen bereiken via de server.
Momenteel lukt dat gewoon met het publieke IP van de server en het poortnummer zoals ingesteld in de firewall.

Ik zou het mooi/fijn vinden als het ook gewoon lukte met een domeinnaam en het poortnummer, in plaats van het kale IP. Die domeinnaam verwijst al naar die server namelijk. Maar blijkbaar is dat veel moeilijker en ik kom er niet uit waar ik dat moet zoeken.

[Hero of Time]

Hier had ik toch wel wat basis testjes voor je netwerkprobleem verwacht. Een rijtje:
- Resolved de domeinnaam ook echt naar het IP waar je verbinding naar maakt?
- Kan je de port forward met bijvoorbeeld telnet op beide adressen (dus IP en DNS) bereiken?
- Heb je al eens een tcptraceroute* gedaan om de routes te vergelijken?

Kan je deze informatie nog geven?

*tcptraceroute is anders dan standaard traceroute. Het gebruikt namelijk het tcp protocol ipv icmp. Geef het poortnummer op als je een andere poort dan standaard 80 wilt gebruiken.

[Tralapo]

Hero of Time schreef op vrijdag 27 november 2020 @ 20:39:
Hier had ik toch wel wat basis testjes voor je netwerkprobleem verwacht. Een rijtje:
- Resolved de domeinnaam ook echt naar het IP waar je verbinding naar maakt?
- Kan je de port forward met bijvoorbeeld telnet op beide adressen (dus IP en DNS) bereiken?
- Heb je al eens een tcptraceroute* gedaan om de routes te vergelijken?

Kan je deze informatie nog geven?

*tcptraceroute is anders dan standaard traceroute. Het gebruikt namelijk het tcp protocol ipv icmp. Geef het poortnummer op als je een andere poort dan standaard 80 wilt gebruiken.

Excuus

1) Ja, uiteraard. Er draait ook een Nginx-server op die gebruik maakt van dat domein

2) Ben niet echt bekend met Telnet, maar in beide gevallen krijg ik een leeg scherm in de Windows Opdrachtprompt dus volgens mij is dat goed

3) Dat doet bij mij beide niets Keek verkeerd. Exact dezelfde routes in alle gevallen.

In de browser is het resultaat dus, voor de duidelijkheid:

IPSERVER:2222 > ik krijg het loginscherm van de router in Huisje 1
DOMEIN:2222 > Time-out

[ Voor 21% gewijzigd door Tralapo op 27-11-2020 21:00 ]

[Hero of Time]

En de logs zwijgen in alle talen? Je hebt momenteel geen enkel aanknopingspunt gegeven om ook maar te denken aan een mogelijke oorzaak, simpelweg omdat er een hoop informatie ontbreekt.

[Tralapo]

Mijn specialiteit zit duidelijk niet in dit hoekje, anders was het me wel gelukt. Ik kan dus ook niet op afstand ruiken welke logs of tests mij kunnen helpen met uitzoeken waar het probleem zit.

Welke logs ben je nieuwsgierig naar?

[Hero of Time]

Je krijgt toch een foutmelding bij het proberen te verbinden? Staat er in het log dan nog meer hierover?
Ik mag hopen dat je het op z'n minst hebt geprobeerd en geen verbinding kreeg en niet alleen komt vragen of het überhaupt mogelijk is zonder eerst een poging te wagen.

[Tralapo]

De browser geeft gewoon een reguliere ERR_TIMED_OUT.

De constructie zelf draait al jaren, maar recent moest ik 2x van server verwisselen en ben een beetje moe van dat telkens overal IP-adressen wisselen/uit m'n kop leren. Tot nu toe is het me nog nooit gelukt om het te laten werken via het domein en zoals in de eerste post netjes uitgelegd kom ik blijkbaar niet tot de goede termen om dit normaal in het Engels te Googlen zoals ik normaal gesproken doe.

Ik weet niet waar dat vijandige toontje nou precies voor nodig is of waar ik dat aan verdiend heb. Ik wil alles voor je uitzoeken/nakijken maar weet overduidelijk zelf niet waar ik exact moet zoeken, anders was ik hier niet.

[ Voor 89% gewijzigd door Tralapo op 27-11-2020 21:19 ]

[Upper]

wat zegt een traceroute van het domein, en klopt dit met het ip-adres?
Vermoedelijk probeer je nu de router via het interne adres te benaderen, terwijl je via domein het externe adres benadert.

[Tralapo]

Traceroute van het IP en het domein zijn exact dezelfde, leidt beide keurig naar de Ubuntu server.

[amx]

Met eerder vermeld: tcptraceroute kan per poort communicatie aantonen.

Is de firewall naar buiten je Ubuntu server? Of is de thuis router ook een nat router?

Vanaf de Ubuntu server kan een programma zoals tcpdump aantonen of domein:2222 op de server aankomt

Indien je Ubuntu server niet je nat router na je modem is:
Alternatief kun je de port forward op de Ubuntu server emuleren via socat , waar je een TCP socket aanmaakt die luistert op poort 2223 (testpoort) en dit forwardt maar 10.8.0.20:5000. Moet je op je firewall wel een poort openzetten naar je Ubuntu server poort 2223 en dan in de browser openen

Lucky shot: is de loginpagina http of https? Bij ip merk je daar niks van, kan zijn dat de browser je domeinnaam automatisch probeert om te zetten naar http waar het https moet zijn of andersom?

[ Voor 9% gewijzigd door amx op 01-12-2020 19:52 ]