Synology software NAS geen VPN-netwerkverbinding

[Verwijderd]

Huilen is het. Je zou denken dat het niet zo moeilijk moet zijn. Maar uiteraard vind ik het wel moeilijk omdat er nogal wat bij komt kijken. Maar ik heb al zoveel geprobeerd. En volgens mij is alles goed geconfigureerd. Ja, dat laatste dus blijkbaar niet.

Ik ga het topic dat biomass aanhaalt maar eens lezen:
Synology NAS als OpenVPN server en internet toegang

Dank voor zover.

[ Voor 82% gewijzigd door Verwijderd op 07-06-2023 11:02 ]

[Shinji]

Verwijderd schreef op woensdag 7 juni 2023 @ 10:49:
@Shinji
Als ik via mobiel het adres met 5001 invoer in de adresbalk, dan krijg ik de melding deze site in niet bereikbaar.

Dan werkt je port forward dus waarschijnlijk niet goed en lijkt het juist wel in je firewall te zitten, van de draytek dus.

Het is ook niet moeilijk, als je weet wat je doet

[Verwijderd]

@Shinji
Helemaal waar. Ik begin beetje bij beetje in de gaten te krijgen wat ik doe.

De vraag is dan wat doet die fucking draytek? Ik ga erin neuzen.

[Verwijderd]

Open ports is voor poorten open zetten voor intern ip adres lees ik net.

[ Voor 103% gewijzigd door Verwijderd op 07-06-2023 11:24 ]

[matthijst]

Door middel van Port Redirection (ook wel Port Forwarding genoemd), kunt u bepaalde externe poorten doorsturen naar een interne poort. Het verschil tussen Open Ports en Port Redirection is dat Open Ports een poort openzet, terwijl bij Port Redirection de interne en externe poorten van elkaar kunnen verschillen.

[Verwijderd]

@matthijst
@Shinji
De volgende melding krijg ik heel veel in de syslog van mijn router:



Het mac-adres 30:58:90:x:x:x is geen apparaat in mijn netwerk of netwerk-verbinding! Ten minste, ik kan het nog niet thuisbrengen wat het is.



Ik ga nu kijken naar die VPN pass-through en wat het inhoudt.

Is de NAS nu niet tegelijkertijd server en client!

[ Voor 118% gewijzigd door Verwijderd op 07-06-2023 13:08 ]

[Shinji]

Verwijderd schreef op woensdag 7 juni 2023 @ 11:27:
@matthijst
@Shinji
De volgende melding krijg ik heel veel in de syslog van mijn router:

[Afbeelding]

Het mac-adres 30:58:90:x:x:x is geen apparaat in mijn netwerk! Ten minste ik kan het nog niet thuisbrengen wat het is.

[Afbeelding]

Ik ga nu kijken naar die VPN pass-through en wat het inhoudt.

Nee, als je de notitie leest staat er, als je openvpn wil gebruiken op een server achter de router moet je hierboven alles disablen. Dus zo gaat dat niet werken. Die openvpn service is voor als je je draytek server wil laten zijn (kan ook maar is iets anders dan wat je nu probeert).

[Verwijderd]

@Shinji
Duidelijk.

Ik heb de router-instellingen VPN en remote access wat betreft het OpenVPN-gedeelte via de router laten lopen, uitgezet.

Het is voor mij enkel openVPN via de NAS.

Andere VPN-instellingen zoals SSL VPN via poort x is wel actief. Maar die werken op andere poorten dan OpenVPN. Volgens mij is dat verder geen probleem.

Ik moet me ook hier nog echt meer in verdiepen. Bijv. dingen die standaard op enable staan waarvan ik niet weet wat het is.

Maar ik heb toch al wel weer het een en ander geleerd :-)

[ Voor 158% gewijzigd door Verwijderd op 07-06-2023 13:48 ]

[FreakNL]

Verwijderd schreef op woensdag 7 juni 2023 @ 10:12:

@matthijst
Via thuiswifi met OpenVPN mijn NAS connecten heb ik niets aan. Graag wil ik niet vanaf thuis mijn NAS connecten met mijn mobiel.

Je snapt zijn punt niet. @matthijst volgt de basic trouble-shooting stappen die je zelf ook had kunnen bedenken met wat logisch nadenken.

Je hebt dit gedaan:
1. Je maakt een OpenVPN server aan op je NAS
2. Je probeert het op je telefoon
3. Het werkt niet

Daarna ga je er van alles bijhalen wat het alleen maar ingewikkelder maakt in je hoofd.

Je moet logisch gaan nadenken waar het zit. Eigenlijk zijn er maar een paar dingen die fout kunnen zijn:

1. De config van je OpenVPN server op je NAS is niet goed
2. De config van je router is niet goed (die moet tenslotte het verkeer doorlaten)
3. De config van je client is niet goed

Punt 1 en 3 kun je eigenlijk definitief/meteen (en binnen 2 minuten) uitsluiten door vanaf INTERN (WiFi) een VPN connectie te maken naar je NAS. Uiteraard moet je dan in de config van de client even het INTERNE IP adres van je NAS gebruiken (ik maak het even niet te ingewikkeld met NAT loopback).. Als dat werkt kun je er eigenlijk meteen vanuit gaan dat je fout bij punt 2. zit hierboven. Dat is wat @matthijst bedoelde...

Overigens zou ik de config op je client even op WAN IP doen en niet op DNS naam.. Dat laatste kun je altijd nog doen.. Als er bij mij zaken niet werken (intern of extern) ga ik ook meteen over op IP, dan heb ik (niet-werkende) DNS resolutie tenminste meteen uigesloten... Als het werkt kun je altijd nog over op een DNS naam.. Je WAN IP is makkelijk te vinden via https://whatismyipaddress.com/nl/mijn-ip
Desnoods zet je twee identieke configs in je client (intern/extern)...

Bovenstaand is gewoon basic troubleshooten icm logisch nadenken.

[ Voor 5% gewijzigd door FreakNL op 07-06-2023 16:04 ]

[Verwijderd]

@FreakNL

Even korte metten maken met die wizzkids hier ;-)

Volgens mij heb jij niet half in de gaten hoeveel kennis jij hebt. Die heb ik niet. Ik weet bijv. niet wat DNS-resolutie is. Dat is voor jou normale kennis, maar voor een leek-prutser zoals ik niet. Die term gooi jij er zo uit alsof het de normaalste zaak van de wereld is dat iemand dat snapt. Dan zou jij kunnen zeggen: begin er dan niet aan als leek-prutser. Tja, misschien zou je daar dan wel gelijk in hebben.

Ik heb alles via basis-handleidingen ingesteld. Precies zoals het er staat. Ik ben erachter gekomen dat ict-handleidingen vaak niet duidelijk zijn voor een leek. Je zou bijv. voorbeeld-instellingen / voorbeeld-configuraties kunnen opgeven (dat wordt veelal nooit gedaan in handleidingen), en dan kun je als leek vanaf een mogelijke oplossing terugredeneren. Je gaat het dan sneller begrijpen. Je gaat dan snappen hoe dat bijv. met IP-adressen werkt.

Bij 'de config van je OpenVPN server op je NAS is niet goed' komt ook meer bij kijken dan jij zelf in de gaten hebt. Er moeten bijv. accounts actief zijn bij gebruikers / groepen in de NAS-instellingen. En de juiste machtigingen moeten opgegeven zijn. In handleidingen voor het instellen van een vpn-server staat nergens dat je een account moet opgeven bij de gebruikers-instellingen in de NAS. Daar ben ik zelf achter gekomen. Handleidingen moeten duidelijker en uitgebreider zijn voor amateur-prutsers. Dat is ook een kunst: een handleiding schrijven voor iemand die eigenlijk totaal geen verstand heeft van ict.

Hier een voorbeeld: Jij schrijft 'Punt 1 en 3 kun je eigenlijk definitief/meteen (en binnen 2 minuten) uitsluiten door vanaf INTERN (WiFi) een VPN connectie te maken naar je NAS. Uiteraard moet je dan in de config van de client even het INTERNE IP adres van je NAS gebruiken'. Om welke config (van de client) gaat het hier? De ovpn-file? Of in de OpenVPN-connect-app op de mobiele telefoon. In die laatste config heb ik de volgende mogelijkheden: profielnaam opgeven, server hostname opgeven, gebruikersnaam en wachtwoord opgeven. Bij server-hostname kun je bijv. geen intern IP-adres van de NAS opgeven, want een IP-adres is geen naam. Ik bedoel te zeggen: wat voor jou duidelijk is, is dat voor een amateur-prutser zoals ik niet!

En niet iedereen kan even goed logisch nadenken. Op het ene vakgebied kan ik bijv. beter logisch nadenken dan op het andere vakgebied. Je moet er ook gevoel voor hebben denk ik. De een heeft dat voor iets meer dan de ander. En je moet natuurlijk ook kennis hebben. Als ik met jou ga praten over mijn vakgebied en allerlei vaktermen of kennis als vanzelfsprekend helder ga beschouwen voor jou, dan ga ik de plank misslaan.

Ik denk echt dat ict-handleidingen meer gebruik moeten maken van voorbeeld-configuraties. En het liefst met wat korte toelichting erbij. Dat geeft ook een overzicht over een groter geheel.

En ik denk werkelijk dat het bovenstaande niet zo basic-troubelshooten is als dat jij aangeeft.

Veel dank voor jouw info. In ga ermee aan de slag.

Ik ga het touwtje van Mathijst maar spannen. Heel concreet en tastbaar ook. Dan snap ik het ten minste :-)

Ik wou dat ik een freak was. Maar dat ben ik ik niet. Ik ben maar een amateur-prutser. Erger nog denk ik

[matthijst]

De ovpn file bedoelt hij inderdaad.
Dus dat bestandje even editen en opnieuw importeren (ik kan hem niet rechtstreeks editen vanuit de ovpn app op iOS, neem aan dat dat standaard is).

Ik bedoelde overigens dat ik vanaf Wifi ook gewoon met VPN kon connecten via mn WAN-IP adres, maar het is wel een mooie test inderdaad, om te proberen rechtstreeks naar je NAS-IP te connecten.

[FreakNL]

matthijst schreef op donderdag 8 juni 2023 @ 10:08:
De ovpn file bedoelt hij inderdaad.
Dus dat bestandje even editen en opnieuw importeren (ik kan hem niet rechtstreeks editen vanuit de ovpn app op iOS, neem aan dat dat standaard is).

Ik bedoelde overigens dat ik vanaf Wifi ook gewoon met VPN kon connecten via mn WAN-IP adres, maar het is wel een mooie test inderdaad, om te proberen rechtstreeks naar je NAS-IP te connecten.

Daarvoor moet wel NAT loopback aanstaan op je router. Maar dat hoofdstuk wilde ik gezien de kennis van de TS niet openen.

@Johan Abbink,
Je bent wel op Tweakers, niet op computerhulp.nl... DNS resolutie kun je zo googlen en met de "config" van je VPN client bedoel ik de configuratie van je VPN client in de breedste zin van het woord. Daar hoort inderdaad ook je OVPN file bij.. Wat had je anders verwacht? Ik zeg letterlijk "Uiteraard moet je dan in de config van de client even het INTERNE IP adres van je NAS gebruiken".. Ik ga dan niet uitspellen dat dat in je OVPN bestand zit..

Nogmaals, we zitten op Tweakers, daar wordt een eigen inzet ook verwacht. Ik ga termen als DNS resolutie, IP adres en configuratie niet uitspellen...

[ Voor 33% gewijzigd door FreakNL op 08-06-2023 11:08 ]

[HvanL]

Probeer eerst vanuit je interne netwerk/wifi OpenVPN op je NAS te benaderen, dan weet je of NAS goed staat.

[Verwijderd]

@FreakNL
Maar weet je wat het is. Ik wil dingen ook te snel en dan raffel ik af en denk ik niet na Bijv. door teveel info. Of loop ik vast in van alles en nog wat. Soms ontstaat er bij mij ook verwarring m.b.t. de info die ik krijg. Dat zal vooral ook veelal aan mij liggen. Dus gestructureerd de boel benaderen en afvinken wat jij zegt is inderdaad beter.

[ Voor 70% gewijzigd door Verwijderd op 08-06-2023 14:23 ]

[Verwijderd]

De tijd in mijn router staat weer goed :-)

[ Voor 131% gewijzigd door Verwijderd op 08-06-2023 14:15 ]

[Verwijderd]

@FreakNL
@matthijst
@Shinji

Ik heb de regel: remote (IP-adres NAS) 1194 geëdit in de ovpn-file en deze file op mijn android gezet.

Verbinding tot stand brengen heeft gefaald krijg ik als melding op mijn android.

Dus dan kan het nog aan alle drie de mogelijkheden liggen die freak aanhaalt.

Ik denk dat mijn ovpn-config-file goed is ingesteld. Zie hierboven.

In de config van mijn vpnserver van de NAS, staat in de verbindingslijst niets. Hoort dat zo? OpenVPN is ingeschakeld en actief. Volgens mij is de openVPN-instelling ook correct gedaan. Ik heb daarvoor een handleiding gevolgd. En volgens mij kun je daar dan niet zoveel verkeerd instellen. UDP via poort 1194. Net als wat er in de ovpn-config is opgegeven.

Als ik mijn wan1 terugzet in de remote-regel van de ovpn-file, dan zie ik in een stukje VPN-syslog van de router eigenlijk niets geks als mijn android de vpn tunnel wil connecten;. Zie hieronder. Mijn android maakt contact met de google-server.



Misschien moet ik die NAT loopback eens configureren in de router.

Hier is de log van OpenVPN-connect van mijn android:

[FreakNL]

Je zegt ergens helemaal in het begin dat je met VLANs werkt?

Even ter verificatie:

- Je hebt in je OVPN config (die op je android staat) het LAN IP van de Synology gezet? (bijvoorbeeld 192.168.1.13) (DIT IS EEN TEST)
- Je zit met je android op hetzelfde netwerk en je hebt dus bijvoorbeeld op je android 192.168.1.15 als IP? (specifiek niet op 4g gaan zitten natuurlijk)

Of zit je WiFi netwerk op een ander VLAN?

Je moet de boel echt gaan afpellen en de troubleshooting daarin zo simpel mogelijk maken.

Zorg er dus eerst voor dat je Synology en telefoon in hetzelfde netwerk zitten! (ik heb namelijk het idee dat dat niet het geval is). Dan heb je getest dat je überhaupt verbinding kan maken. Dit is echt stap 1 het proces.. Pas als dit werkt, ga je naar de volgende stap. De volgende stap is dan om het van buitenaf te proberen.

Zit je WiFi in een apart VLAN? Creeer dan even een WiFi die WEL in hetzelfde netwerk/subnet/vlan zit als je Synology.. Ik ga hier niet voorkauwen hoe je dat doet.. Je kan ook nog een laptop (met UTP) gebruiken als het met WiFi te lastig is om een device in hetzelfde netwerk/subnet/vlan te krijgen.. (op een laptop kun je ook de OVPN client installeren)...

WiFi op een apart vlan is trouwens voor het gemiddelde thuisgebruik overkill. Zeker als je niet weet wat je doet. Dan ben je beter af met WiFi+LAN op hetzelfde vlan/subnet en los daarvan een gasten-wifi (die alleen internet mag)

Ik zie in je logs dat er 40 seconden zit tussen connecting en de time-out.. Daarmee is eigenlijk al duidelijk dat er totaal geen communicatie tussen android telefoon en VPN server is....


Sowieso zou ik het zo doen:

1. OVPN server installeren
2. OVPN client installeren op laptop
3. Beide in zelfde subnet en testen
4. Als bovenstaand werkt laptop op hotspot zetten (of WiFi van de buren)
5. Port forwarding in router aanzetten
6. Testen op laptop

Pas als alles goed werkt naar je Android gaan.. Op een laptop is het veel makkelijker om te troubleshooten en snel je OVPN config aan te passen (me dunkt)


/disclaimer;
In bovenstaand stuk proza ga ik er een paar keer vanuit dat je je WiFi gescheiden hebt van je fysieke LAN (en dus ook je Syno).. Wellicht ten onrechte.. Maar waarom praat je anders over VLANs?

[ Voor 64% gewijzigd door FreakNL op 08-06-2023 14:54 ]

[matthijst]

Mijn openvpn config naar lokale nas, neem aan dat jouwe hetzelfde is, maar vegelijk m ff

code:

dev tun
tls-client
remote 192.168.0.123 1194
pull
proto udp
script-security 2
comp-lzo
reneg-sec 0
cipher AES-256-CBC
auth SHA512
auth-user-pass

<ca>
-----BEGIN CERTIFICATE-----
eTEZMBcGA1UEAxMQU3lub2xvZ3kgSW5jLiBDQTEjMCEGCSqGSIb3DQEJARYUcHJv
-----END CERTIFICATE-----
</ca>

[Verwijderd]

Ik raakte soms in de war door alle info en dat het niet lukte. En dan ga ik krom denken. Of helemaal niet. En ik begrijp ook gewoon dingen niet. Beetje bij beetje ga ik er grip op krijgen. Dat heb ik ook gekregen op mijn vlan-netwerk.

Dank. Ik ga jullie info goed bestuderen en ermee aan de slag.

Ik krijg de indruk dat ik alles goed heb gedaan volgens de handleidingen. En dat het probleem hem inderdaad zit in dat de androids in een ander subnet zitten. Heb ik dat niet gemeld helemaal bovenaan dat ze in een ander subnet zitten?

Ik heb 7 vlan's. De android's zitten op een ander vlan dan de nas en de pc's. Ik wil geen wifi-gedoe op mijn pc's. Voor de NAS moet ik helaas uitzondering maken omdat ik anders geen beelden kan zien op mijn androids. Maar kapot ben ik er niet van. Alles is bedraad. Ik ben niet zo wifi vanwege snelheid en betrouwbaarheid. Ik houd van touwtjes.

Als ik een vlan-netwerk kan maken, dan weet ik ook hoe je apparaten in een ander subnet zet Daar kan ik vrij mee schuiven in de router. Voor dat vlan-netwerk heb ik ook veel hulp van tweakers-wizzkids gehad. Daar heb ik ook behoorlijk voor zitten zweten.

[ Voor 48% gewijzigd door Verwijderd op 08-06-2023 16:55 ]

[Verwijderd]

@FreakNL
@matthijst

en de rest ook :-)

Ik heb de OpenVPN connect-app (client) op een PC gezet.

Zowel de PC als de NAS zitten in hetzelfde subnet / zelfde VLAN.

De ovpn-file heeft de volgende regel: remote (IP-NAS) 1194

Ik krijg de volgende log-file van de OpenVPN-connect-app:



De router heeft de volgende IPv6-instelling:

[FreakNL]

Wat heeft je router hier nou weer mee te maken?????

Je moet naar de logging van je VPN server gaan kijken.

[biomass]

Even aangenomen dat @Verwijderd Putty, Pageant en WinSCP ook geinstalleerd heeft staan, vermoed ik dat er op z'n minst een paar keer iets dergelijks (packet HMAC authentication failed) in de log heeft gestaan:

code:

>sudo cat /var/log/openvpn.log
.
.
.
.
.
Sun Jun 11 18:23:48 2023 us=782520 192.168.178.54:49362 TLS: Initial packet from [AF_INET]192.168.178.54:49362, sid=b85165a8 40237e79
Sun Jun 11 18:23:48 2023 us=782599 192.168.178.54:49362 Authenticate/Decrypt packet error: packet HMAC authentication failed
Sun Jun 11 18:23:48 2023 us=782653 192.168.178.54:49362 TLS Error: incoming packet authentication failed from [AF_INET]192.168.178.54:49362
Sun Jun 11 18:23:48 2023 us=782724 192.168.178.54:49362 Fatal TLS error (check_tls_errors_co), restarting

Ik snap nog niet waarom, maar de OpenVPN Android app kon pas verbinding maken toen ik het tls-auth certificaat niet inline in het opvn profiel meenam. De officiele Windows app vond dat geen probleem

Gebruikte versies:
VPNCenter 1.3.14.2782
OpenVPN GUI 11.27.0.0 (Windows)
OpenVPN Connect 3.3.4 (Google Play Store)

Dit moest van mij voor de zomer werken, het kan alleen nog maar warmer worden

[Verwijderd]

@biomass
@matthijst
@Shinji
@FreakNL
@W1ck1e
Ik had het ook voor de warmte voor elkaar willen krijgen biomass. Maar je krijgt helaas niet altijd wat je wilt

Het certificaat wordt meegenomen in de ovpn-export file.

Ik heb in de openVPN log van de openVPNconnect-app geen melding van authenticatie failed gekregen. Ik krijg: session invalidated: keepalive_timeout. Client terminated...restarting in.... ms. En de melding: "host: "mijn lan-IP van de NAS" en "IPv6" : false.

Ik krijg in mijn openVPN connect log iedere keer dus de melding "IPv6 false". Dat bracht mij aan het denken. Ik heb bij het configureren van de openVPN VPN-server niet de hele instelling/configuratie/handleiding doorlopen. Dat niet helemaal doorlopen heb ik gedaan omdat iemand mij heeft gezegd dat ik ipv6 kan overslaan. Ik vraag me nu af of dat zo is. De volgende handleiding heb ik gebruikt:
https://kb.synology.com/n...n_setup?version=7#dynamic

Om een openVPN-server gereed te maken liep ik vast bij de volgende instelling: Bij de instelling 'Schakel het selectievakje IPv6-servermodus inschakelen in zodat de OpenVPN-server IPv6-adressen kan verzenden. Eerst moet u een voorvoegsel ophalen via 6in4/6to4/DHCP-PD in Configuratiescherm > Netwerk > Netwerkinterface. Selecteer vervolgens het voorvoegsel op deze pagina.'

Ik heb nooit dat voorvoegsel opgehaald. Ik heb dat gedeelte overgeslagen voor de configuratie van de openVPN-server. De vraag is nu welk voorvoegsel moet ik ophalen? Ik kan kiezen tussen 6in4, 6naar4, DHCPv6-PD. Ik ga er nu dus even vanuit dat ik dit voorvoegsel wel had moet instellen!

Verder ben ik er behoorlijk mee bezig geweest om het een en ander te leren begrijpen. Maar graag wil ik dit met IPv6 eerst helder krijgen. IPv6 is immers niet voor niets een instelling voor een openVPN-server! Het staat er grof gezegd niet voor de katze kut! Het lijkt erop dat openVPN het IPv6-protocol nodig heeft.

[Shinji]

Verwijderd schreef op donderdag 15 juni 2023 @ 18:55:
@biomass
@matthijst
@Shinji
@FreakNL
@W1ck1e
Ik had het ook voor de warmte voor elkaar willen krijgen biomass. Maar je krijgt helaas niet altijd wat je wilt

Het certificaat wordt meegenomen in de ovpn-export file.

Ik heb in de openVPN log van de openVPNconnect-app geen melding van authenticatie failed gekregen. Ik krijg: session invalidated: keepalive_timeout. Client terminated...restarting in.... ms. En de melding: "host: "mijn lan-IP van de NAS" en "IPv6" : false.

Ik krijg in mijn openVPN connect log iedere keer dus de melding "IPv6 false". Dat bracht mij aan het denken. Ik heb bij het configureren van de openVPN VPN-server niet de hele instelling/configuratie/handleiding doorlopen. Dat niet helemaal doorlopen heb ik gedaan omdat iemand mij heeft gezegd dat ik ipv6 kan overslaan. Ik vraag me nu af of dat zo is. De volgende handleiding heb ik gebruikt:
https://kb.synology.com/n...n_setup?version=7#dynamic

Om een openVPN-server gereed te maken liep ik vast bij de volgende instelling: Bij de instelling 'Schakel het selectievakje IPv6-servermodus inschakelen in zodat de OpenVPN-server IPv6-adressen kan verzenden. Eerst moet u een voorvoegsel ophalen via 6in4/6to4/DHCP-PD in Configuratiescherm > Netwerk > Netwerkinterface. Selecteer vervolgens het voorvoegsel op deze pagina.'

Ik heb nooit dat voorvoegsel opgehaald. Ik heb dat gedeelte overgeslagen voor de configuratie van de openVPN-server. De vraag is nu welk voorvoegsel moet ik ophalen? Ik kan kiezen tussen 6in4, 6naar4, DHCPv6-PD. Ik ga er nu dus even vanuit dat ik dit voorvoegsel wel had moet instellen!

Verder ben ik er behoorlijk mee bezig geweest om het een en ander te leren begrijpen. Maar graag wil ik dit met IPv6 eerst helder krijgen. IPv6 is immers niet voor niets een instelling voor een openVPN-server! Het staat er grof gezegd niet voor de katze kut! Het lijkt erop dat openVPN het IPv6-protocol nodig heeft.

Nee dat heeft het niet, daar hoef je verder niet naar te kijken.

[matthijst]

Is de vpn log op synology helemaal leeg?

[Verwijderd]

@Shinji
Dank je. Dan gaan we naar een volgend hoofdstuk.

Het vaste IP van de PC en de NAS liggen binnen het dhcp-bereik en de NAS en PC zitten in hetzelfde subnet.

Firewall NAS en windows heb ik uitgezet.

Ik heb nu de pc als client voor de OpenVPNconnect-app op de pc. Als ik die app heb gedraaid, dan krijg ik (en geldt) al het onderstaande (denk ik):

OpenVPNconnect-app geeft de melding: connection failed to establish within given time.

De NAS is geen client. Dus er kan geen interferentie (of hoe moet ik het noemen) zijn met udp op poort 1194.

In het logboekcentrum van de NAS krijg ik een regel: User [DSM account naam] from [IP van de PC] signed in to [DSM] sucessfully via [password] => dit is gewoon het inloggen met de PC in DSM van de NAS. Volgens mij valt er ook niets te loggen als een pc geen verbinding kan maken met de NAS. Ook krijg ik in deze log de regel: system succesfully registered to [mijn WAN1-adres] to [xxx.synology.me] in DDNS server [synology]. Ik krijg er verder geen foutmeldingen.

Maar waarom kan ik dan niet met de OpenVPN-connect-app de PC connecten met de NAS via een VPN-tunnel? Iets mis met de instellingen van de VPN-tunnel? OpenVPN-server dynamisch IP x.x.x.1 (10.8.0.1). En 1194 UDP. Met client toegang geven tot LAN-server en compressie op VPN-koppeling aangevinkd. Wacht eens even. Het account dat ik gebruik voor het connecten van de pc heeft geen administrator-rechten. Is dat het probleem?

En als ik in de NAS software (DSM) naar netwerk ga => netwerkinterface => LAN, en bewerken (IPv4) doe, dan kan ik VLAN inschakelen. Als ik het VLAN-id invoer dan krijg ik een foutmelding.

Het moet dan toch een probleem zijn met poort doorsturen of de VLAN-instellingen? Maar goed, het systeem met mijn VLAN's werkt correct. Ik kan met synology-assistent de NAS bewerken en dus de NAS aanspreken. Elk apparaat heeft het juist ingestelde vaste LAN-IP-adres. Ik kan ook de pc's gebruiken. De VLAN's aan mijn managed switch doen het. Dus dat kan het probleem ook niet zijn.

Het probleem met computers is: of het werkt, of het werkt niet. Het kan niet een beetje werken. Dus met een suboptimale toestand (waar we enigszins blij mee zouden kunnen zijn) gaan we er niet komen

[ Voor 3% gewijzigd door Verwijderd op 16-06-2023 04:27 ]

[Verwijderd]

@matthijst nee, een lange log wel. maar dingen herhalen. hij probeert steeds opnieuw te connecten. ik zal de log dadelijk nog eens goed bekijken. eerst even wat drinken. ik denk dat het een steenkoud biertje wordt :-)

[matthijst]

Zit je wel in de log van de VPN Server app te kijken, of is die helemaal leeg?

Als ik daar kijk zie ik:
Connected from [192.168.0.1] as [10.8.0.6]

Je hebt niet toevallig inmiddels het IP van je telefoon in een auto-block list staan?

Even screenshots van de instellingen die ik heb gemaakt.

General Settings:


Privilege:


OpenVPN:


Onder Network:


Firewall heb ik uit staan.
Autoblock wel ingesteld (en 2FA).

Verder niks gedaan, naja 1194 op de Ziggo router geforward naar 192.168.0.123.


Oh ja, als ik connect vanaf iPhone met de OpenVPN app, dan blijft ie de eerste keer spinnen in die connect app. Als ik dan een keer dat knopje uit en meteen weer aanvink, dan connect hij wel

[ Voor 107% gewijzigd door matthijst op 15-06-2023 23:02 ]

[biomass]

Tips die ik je kan geven na het wederom kapotmaken van mijn IPv4 VPN:

KISS (Keep It Stupidly Simple of Keep It Simple, Stupid; zo je wilt)

De standaard IPv4 VPN tunnel moet het gewoon doen als je verbindt op het lokale IP van de NAS.
Dus: VPN Server deinstalleren, installeren, instellen NIC, instellen privileges, instellen poorten versleuteling, uitzetten compressie, LAN toegang toestaan aan clients; Aanzetten, configuratie importeren in OpenVPN client.
Als dat het niet doet kan dat de volgende redenen hebben:

• Er draaien te veel openvpn processen. Ik wist vanmiddag even niet meer waarom het niet meer werkte en controleerde het aantal openvpn processen; ik had er bijna 40. Drie is normaal.
  code:
  

  ps -F -C openvpn
  UID        PID  PPID  C    SZ   RSS PSR STIME TTY          TIME CMD
  root     14388     1  0  8597  3956   2 22:09 ?        00:00:00 /var/packages/VPNCenter/target/sbin/openvpn --cd /usr/syno/etc/packages/VPNCenter/openvpn --config openvpn.conf --writepid /var/run/ovpn_server.pid
  root     14396 14388  0  8597   660   3 22:09 ?        00:00:00 /var/packages/VPNCenter/target/sbin/openvpn --cd /usr/syno/etc/packages/VPNCenter/openvpn --config openvpn.conf --writepid /var/run/ovpn_server.pid
  root     14397 14388  0  8597   660   3 22:09 ?        00:00:00 /var/packages/VPNCenter/target/sbin/openvpn --cd /usr/syno/etc/packages/VPNCenter/openvpn --config openvpn.conf --writepid /var/run/ovpn_server.pid

  
  De eenvoudigste manier om van het teveel aan processen af te komen is opnieuw opstarten, anders kun je op de prompt sudo kill -9 pid een flink aantal keer gaan inkloppen..
• Je hebt nog een andere versie van openvpn actief doordat je eerder een oudere VPN Server versie (bij mij kan het zelfs door een synovpn client komen uit 2013 geloof ik?) hebt geinstalleerd in Package Center.
  Hoe waar of niet waar dit is voor DSM 7 weet ik niet maar ik kwam er achter dat ik twee verschillende versies van openvpn geinstalleerd had staan na alle upgrades aan het package.
  De versie in /usr/sbin/openvpn was dus anders dan die in /var/packages/VPNCenter/target/sbin/openvpn. De versies gelijk gemaakt met een sudo cp commando.
  
  code:
  

  openvpn --version
  OpenVPN 2.3.11 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [MH] [IPv6] built on Feb 21 2020
  library versions: OpenSSL 1.0.2u-fips  20 Dec 2019, LZO 2.09
  Originally developed by James Yonan
  Copyright (C) 2002-2010 OpenVPN Technologies, Inc. <[e-mail]>
  Compile time defines: enable_crypto=yes enable_crypto_ofb_cfb=yes enable_debug=yes enable_def_auth=yes enable_dlopen=unknown enable_dlopen_self=unknown enable_dlopen_self_static=unknown enable_fast_install=yes enable_fragment=yes enable_http_proxy=yes enable_iproute2=no enable_libtool_lock=yes enable_lzo=yes enable_lzo_stub=no enable_management=yes enable_multi=yes enable_multihome=yes enable_pam_dlopen=no enable_pedantic=no enable_pf=yes enable_pkcs11=no enable_plugin_auth_pam=yes enable_plugin_down_root=yes enable_plugins=yes enable_port_share=yes enable_selinux=no enable_server=yes enable_shared=yes enable_shared_with_static_runtimes=no enable_small=no enable_socks=yes enable_ssl=yes enable_static=yes enable_strict=no enable_strict_options=no enable_systemd=no enable_win32_dll=yes enable_x509_alt_username=no with_aix_soname=aix with_crypto_library=openssl with_gnu_ld=yes with_mem_check=no with_plugindir='$(libdir)/openvpn/plugins' with_sysroot=no
  git revision: refs/heads/VPNCenter-1-3-2018Q3-branch/d9ac7fb91762ff4a

  
  Dit staat er bij mij op de NAS met VPNCenter gedeinstalleerd:
  
  code:
  

  biomass@diskstation:/$ sudo find / | grep -v /volume2/data |grep -v /volume2/homes/#recycle | grep openvpn
  ./etc/logrotate.d/openvpn
  ./usr/lib/openvpn
  ./usr/lib/openvpn/openvpn-down-root.so
  ./usr/syno/etc/synovpnclient/openvpn
  ./usr/syno/etc.defaults/synovpnclient/openvpn
  ./usr/sbin/openvpn
  ./var/log/openvpn.log
  ./var/log/upstart/pkg-VPNCenter-openvpn-server.log.2.xz
  ./var/log/upstart/pkg-VPNCenter-openvpn-server.log.3.xz
  ./var/log/upstart/pkg-VPNCenter-openvpn-server.log
  ./var/log/upstart/pkg-VPNCenter-openvpn-server.log.4.xz
  ./var/log/upstart/pkg-VPNCenter-openvpn-server.log.1.xz
  ./etc.defaults/logrotate.d/openvpn
  biomass@diskstation:/$

  
  
  Na de installatie heb ik dit (de lijst bevat niet de namen van de certicaten en keys in /usr/syno/etc/packages/VPNCenter/vpncerts/):
  
  code:
  

  biomass@diskstation:/$ sudo find / | grep -v /volume2/data |grep -v /volume2/homes/#recycle | grep openvpn
  /etc/logrotate.d/openvpn
  /tmp/run.openvpn.conf.user
  /volume2/@appstore/VPNCenter/etc/openvpn
  /volume2/@appstore/VPNCenter/etc/openvpn/openvpn.conf
  /volume2/@appstore/VPNCenter/etc/openvpn/server.conf
  /volume2/@appstore/VPNCenter/etc/openvpn/radiusplugin.cnf
  /volume2/@appstore/VPNCenter/etc/openvpn/keys
  /volume2/@appstore/VPNCenter/etc/openvpn/keys/README.txt
  /volume2/@appstore/VPNCenter/etc/openvpn/keys/dh3072.pem
  /volume2/@appstore/VPNCenter/etc/openvpn/keys/server.crt
  /volume2/@appstore/VPNCenter/etc/openvpn/keys/server.key
  /volume2/@appstore/VPNCenter/etc/openvpn/keys/openvpn.ovpn
  /volume2/@appstore/VPNCenter/etc/openvpn/keys/VPNConfig.ovpn
  /volume2/@appstore/VPNCenter/etc/openvpn/keys/openvpn.zip
  /volume2/@appstore/VPNCenter/etc/openvpn/keys/ca.crt
  /volume2/@appstore/VPNCenter/sbin/openvpn
  /volume2/@appstore/VPNCenter/scripts/openvpn.sh
  /volume2/@appstore/VPNCenter/scripts/restart_openvpn.sh
  /sys/kernel/security/apparmor/policy/profiles/volume.appstore.VPNCenter.sbin.openvpn.250
  /sys/kernel/security/apparmor/policy/profiles/volume.appstore.VPNCenter.sbin.openvpn.250/attach
  /sys/kernel/security/apparmor/policy/profiles/volume.appstore.VPNCenter.sbin.openvpn.250/mode
  /sys/kernel/security/apparmor/policy/profiles/volume.appstore.VPNCenter.sbin.openvpn.250/name
  /usr/local/libexec/net/ipv4_change/restart_openvpn.sh
  /usr/lib/openvpn
  /usr/lib/openvpn/openvpn-down-root.so
  /usr/share/init/pkg-VPNCenter-openvpn-server.conf
  /usr/syno/etc/packages/VPNCenter/openvpn
  /usr/syno/etc/packages/VPNCenter/openvpn/openvpn.conf.user.sample
  /usr/syno/etc/packages/VPNCenter/openvpn/keys
  /usr/syno/etc/packages/VPNCenter/openvpn/keys/server.crt
  /usr/syno/etc/packages/VPNCenter/openvpn/keys/ca.crt
  /usr/syno/etc/packages/VPNCenter/openvpn/keys/server.key
  /usr/syno/etc/packages/VPNCenter/openvpn/openvpn.conf
  /usr/syno/etc/packages/VPNCenter/openvpn/openvpn.conf.user
  /usr/syno/etc/synovpnclient/openvpn
  /usr/syno/etc.defaults/synovpnclient/openvpn
  /usr/sbin/openvpn
  /var/packages/VPNCenter/conf/upstart/pkg-VPNCenter-openvpn-server.conf
  /var/log/openvpn.log
  /var/log/upstart/pkg-VPNCenter-openvpn-server.log.2.xz
  /var/log/upstart/pkg-VPNCenter-openvpn-server.log.3.xz
  /var/log/upstart/pkg-VPNCenter-openvpn-server.log
  /var/log/upstart/pkg-VPNCenter-openvpn-server.log.4.xz
  /var/log/upstart/pkg-VPNCenter-openvpn-server.log.1.xz
  /etc.defaults/logrotate.d/openvpn
  biomass@diskstation:/$

• Verzeker jezelf ervan dat de clients met de juiste certificaten en keys starten. Mijn laatste ontdekking van vandaag was dat de Windows Client de ta.key file niet meer in C:\users\biomass\OpenVPN aanpaste, terwijl die file toch echt geimporteerd moest worden want verouderd....

Verder zie je dat er ook nog logging is als /var/log/openvpn.log niet bestaat omdat de standaard instelling is om die niet te loggen, het VPNCenter package schrijft zelf in /var/log/upstart/.

[ Voor 9% gewijzigd door biomass op 15-06-2023 23:29 . Reden: nog meer tekst ;) ]

[Verwijderd]

@matthijst
De log van de OpenVPNconnect-app is bij mij een lange log en niet leeg.

Ik test niet met een telefoon, maar met een PC. Dat is mij hier vertelt. Verbinding PC met NAS. En of de openvpn-connect app de PC kan connecten met de NAS. Dat lukt bij mij dus niet.

Het IP van mijn telefoon staat volgens mij niet in de autoblock-list. Maar ik test hier dus geen OpenVPN via een internet-verbinding. En ook niet een OpenVPN-verbinding van een android met mijn NAS. Ik test dus of het VPN-pad werkt. En dat doe ik dan met een PC en een NAS. Bij mij lijkt het erop dat dat OpenVPN-pad dus niet wordt gelegd.

De openVPN-instellingen die jij hebt matthijst, die heb ik ook.

Maar je bedoelt de schakelaar in de OpenVPN-connect-app van links naar rechts schuiven en dat het dan wel werkt. Dan werkt het bij jou al beter dan bij mij. En dan bestaat suboptimaal toch wel in de ict-wereld.

Het logboekcenter van de NAS is bij mij zo goed als leeg. Daar staat niet zoveel. Wat ik boven heb beschreven staat er. Maar volgens mij valt er ook niet veel te loggen in dit logboekcenter. De openVPN-verbinding van mijn PC met de NAS kan immers niet gelegd worden bij mij. De NAS is dan de OpenVPN-server en de PC een OpenVPN-client.

Bij jou zie je dus in de log van de openVPNconnect-app: Connected from [192.168.0.1] as [10.8.0.6]. Dat gebeurt bij mij dus niet volgens mij. Het lijkt erop dat bij jou het LAN_IP word omgezet in een OpenVPN-IP? Of zeg ik hier iets geks? Die 10.8.0.6 is toch een dynamisch OpenVPN-IP? Bij mij komt het zover niet. Ik zal vanmiddag mijn log van de openVPNconnect-app nog eens bekijken.

Die grant permission to newly added VPN-users-instelling zal ik ook eens bekijken hoe dat bij mij staat ingesteld. Maar volgens mij is dat bij mij ook aangevinkt.

@biomass
Er wordt bij mij in de ovpn-exportfile automatisch een key en certificaat meegenomen. Ik hoef geen certificaat aan te maken en in te laden.

De log van de NAS die jij krijgt, die krijg ik niet. Bij mij staat er dus niet veel in het log van het logboekcenter van de NAS.

[ Voor 5% gewijzigd door Verwijderd op 16-06-2023 05:49 ]

[matthijst]

Irritant

Soms staat er idd wel iets in de log op de VPN app op de NAS (links, 3e tab van boven oid).
Als die helemaal leeg blijft, dan kom je er inderdaad niet bij, heb jij de firewall op de NAS aan staan?
Anders die tijdens testen eens uitzetten.

Je kan evt voor de gein ook eens een andere VPN variant proberen? L2TP bv.

[biomass]

Verwijderd schreef op vrijdag 16 juni 2023 @ 05:28:
Er wordt bij mij in de ovpn-exportfile automatisch een key en certificaat meegenomen. Ik hoef geen certificaat aan te maken en in te laden.

Als je de exportfile van DSM krijgt, komt die in de download folder van je browser. Als je die bestanden vervolgens gaat importeren in de OpenVPN GUI, is de laatste stap die de client moet doen een kopie maken van jouw import bestanden naar een folder C:\Users\%Johan%\OpenVPN. Die laatste stap hoeft niet perse altijd goed te gaan, merkte ik gisteren..

[E - Jay]

Ik ga toch nog even in de groep gooien dat, zoals @RonnieKo reeds heeft aangegeven, vpn in het interne netwerk niet altijd (out-of-the-box) werkt / geaccepteerd wordt. Dus hopelijk test je niet tevergeefs.

Zit er in je router niet toevallig een optie op een (Open)VPN server te maken, kan je kijken of je daarmee wel kan verbinden via je android (buiten je interne netwerk). Ik snap dat dat niet is wat je wil, maar dan heb je een begin en er zijn geen "stoorzenders" vanuit je interne netwerk.

[TNO]

Zoals hierboven, als je van binnenuit naar je externe adres gaat testen kan het zijn dat je tegen hairpinning (of het niet ondersteunen daarvan) aanloopt. Dus je router gooit het eigenlijk naar buiten maar moet het dan ook inkomend gaan accepteren. Ik denk dat we dit hier nu ook zien.
Om dit definitief uit te sluiten zul je dus vanaf "extern" moeten testen, dus trek een laptop van je wifi/bedraad af en tether via je mobiele telefoon. Of test het via je mobiele telefoon, uiteraard alleen over 3/4/5G.

Werkt dit nog steeds niet, kijk ook even bij de firewall instellingen van je router. Port forwarding kan in sommige gevallen apart geconfigureerd worden van de firewall.

[Verwijderd]

@matthijst
Dat is huilen matthijst. Firewall op de NAS heb ik uit. L2TP is niet echt betrouwbaar en veilig. Wordt niet aanbevolen.

@biomass
Dus dan zal ik de export-bestanden handmatig in c:\users\%johan%\OpenVPN moeten plaatsen? Ik ga het proberen.

@E-jay
Ik kan in mijn router een OpenVPN-server optuigen / installeren. Maar dat is inderdaad niet wat ik wil. Een VPN-server installeren met de NAS-software zou toch moeten kunnen, zou je denken?

@TNO
In de bovenstaande proefopstelling om het VPN-pad te testen, ga ik toch niet van binnenuit naar een extern adres? In verbind binnen mijn LAN (beter: 1 van mijn LANNEN) een PC met een NAS via een VPN-tunnel. Ik gebruik dan toch geen extern adres? Of zeg ik hier iets doms?

Portforwarding heb ik in mijn router al apart geconfigureerd.

[E - Jay]

Verwijderd schreef op zondag 18 juni 2023 @ 21:28:

@E-jay
Ik kan in mijn router een OpenVPN-server optuigen / installeren. Maar dat is inderdaad niet wat ik wil. Een VPN-server installeren met de NAS-software zou toch moeten kunnen, zou je denken?

Dat kan ook zeker! Heb ik thuis ook gehad op m'n synology, inmiddels de vpn-server "verplaatst" naar m'n router omdat ik ook een beveiligingscamera wilde kunnen bereiken. Maar ik heb initieel ook gehad dat een vpn binnen het eigen lan niet geaccepteerd werd, als dat bij jouw ook zo is kan je testen tot je een ons weegt.

Mijn bedoeling met een vpn-server op je router is ook niet als oplossing maar om te kijken wat wel of niet werkt. Je hebt dan geen storende factoren in je eigen netwerk, weet je misschien net even dat de openvpn app op je android goed ingesteld staat of dat het importeren van het certificaat goed gaat .... daarna ga je weer verder kijken.

Beetje hetzelfde als wat volgens mij al eerder door één van de mede-tweakers is aangegeven met je portforwarding. Ipv 1194 maak je (bijvoorbeeld) eerst een regel die poort 5000 forward naar je <interne ip> van je nas op poort 5000 (standaard http poort) en dan kijk je of je op je <externe ip>:5000 de inloggen van je nas verschijnt. Dan weet je dat je poortforward werkt, pas je hem daarna aan naar 1194 voor je vpn.

Zo sluit je dingen uit .... eerst kruipen voordat je gaat lopen zeg maar.

[Verwijderd]

@matthijst
Het ovpn-bestand handmatig plaatsen in C:\Users\%Johan%\OpenVPN werkt niet!

[ Voor 92% gewijzigd door Verwijderd op 20-06-2023 21:38 ]

[biomass]

ja hallo, iets zegt me dat die poort 5000 al in gebruik is ? Mijn NAS met DSM 6.2 doet in ieder geval een redirect van http 5000 naar https:5001. Gebruik een ander getal, van mij part 6969 als voorbeeld wat heel waarschijnlijk niet in gebruik is.

Als je de poort configuratie van VPNCenter na herinstallatie accepteert en UDP 1194 of TCP 1194 kiest, zou het profiel wat je download uit DSM na aanpassing van "remote {LAN.IP.NAS} 1194"
het meteen moeten doen.

[ Voor 47% gewijzigd door biomass op 20-06-2023 21:47 ]

[biomass]

@Verwijderd je postte heel kort een screenshot van een client config met een remote op poort 5000. Verklaar U nader?

[Verwijderd]

@matthijst
Het ovpn-bestand handmatig plaatsen in C:\Users\%Johan%\OpenVPN werkt niet!

@E - Jay
De een zegt dat ik het eerst moet testen op het lokale netwerk. En jij zegt nu dat dat niet werkt. Ik word er gestoord van. Net of het allemaal geen werk kost!

Afijn, zoals ik hierboven al aangaf is het certificaat included in het vpnconfig.ovpn-bestand. Zie ook hieronder.

Maar dan moet ik alles weer omgooien (ontzettend veel werk weer) en de OpenVPN-server van de NAS uitschakelen. Ik ben net blij dat ik een beetje door begin te krijgen hoe het instellen van OpenVPN-server via de NAS werkt. En een OpenVPN-server op de router instellen vraagt weer om allerlei andere instellingen. Dat is wel weer een gedoe, terwijl ik geen OpenVPN-server op de router wil. Stel dat het met de OpenVPN-server op de router werkt. Dan heb ik nog niet wat ik wil. Wat een klotenzooi.

Dat met een OpenVPN-server op een synology NAS moet toch gewoon te regelen zijn? Ik ben er echt klaar mee. MAAR WAAROM WERKT OPENVPN VIA NAS NIET?

Maar heb jij een handleiding E-jay hoe je een OpenVPN-server via de router instelt? Ik heb geen idee hoe dat moet. Ik kan er van alles instellen. En snel even dingen invoeren werkt niet. Dat moet echt wel met beleid.

Dus als ik later het onderstaande ovpn-bestand plaats op mijn android en dan inlog op de android, dan zou het moeten werken via de router als OpenVPN-server? Uiteraard dan eerst de OpenVPN-server op de router juist ingesteld hebben!

Maar goed, ik moet nu dus eerst testen of op mijn externe IP via TCP op poort 5000 de inloggen van mijn NAS verschijnen? Dan weet ik of portforward via de router werkt. Hoe test ik dat? Ik bedoel: die OpenVPN connect-app is voor een OpenVPN-client met een OpenVPN-server via UDP op poort 1194? TCP op poort 5000 is toch niet bedoeld voor VPN! Ik ben nu de draad kwijt! Wat ben ik hier eigenlijk aan het doen? Ik snap het niet?

Maar ik ben nu gewoon iets aan het doen wat ontzettend veel werk kost en ik eigenlijk gewoon niet wil!

Ik moet het even laten rusten, want ik begin weer door te draaien!

[ Voor 14% gewijzigd door Verwijderd op 20-06-2023 22:14 ]

[biomass]

Ok, je vertelt je router om voor OpenVPN server te spelen op UDP 1194 en TCP 5000. Tegelijkertijd vertel je de router nu om verkeer voor poort 5000 door te sluizen naar de NAS op poort 5000 (die daar default waarschijnlijk een redirect mee doet naar 5001). Linksom of rechtsom, hiermee zal je OpenVPN client geen antwoord krijgen

[biomass]

Rustig VPNCenter deinstalleren en opnieuw installeren en de defaults accepteren, en dan verbinden op het LAN IP van je NAS. Poort forwarding is van later zorg.

[Verwijderd]

@biomass
Die poort 5000 wordt inderdaad voor van alles en nog wat gebruikt lees ik.

Ik ga later weer inhoudelijk aan de gang. Maar ik snap dus niet wat E-jay bedoelt met portforward testen op poort 5000.

[Shinji]

Verwijderd schreef op dinsdag 20 juni 2023 @ 22:22:
@biomass
Die poort 5000 wordt inderdaad voor van alles en nog wat gebruikt lees ik.

Ik ga later weer inhoudelijk aan de gang. Maar ik snap dus niet wat E-jay bedoelt met portforward testen op poort 5000.

Dat is iets wat eerder door mij gesuggereerd werd, je screenshots leken goed te staan op dat moment, je wilde van buitenaf testen met openvpn maar dat werkte niet.

Wat je dan kan doen is buiten openvpn alle losse schakels testen. Doet überhaupt portforwarding het wel (of doet je provider CGNAT?). Dus wat je dan kan doen is testen door de NAS inlog portal als testcase te gebruiken. Die werkt op poort 5000 (http) en 5001 (https). Als je die poorten naar je NAS forward (dus intern en extern 5000/5001) en je gaat vanaf het internet (telefoon niet aan de WiFi verbonden) naar https://mijnip:5001 en je krijgt dan de inlog pagina van je NAS te zien dan weet je dat poort forwarding an sich werkt. Dat staat dan nog los van het hele openVPN gebeuren maar zo kan je schakels uitsluiten.

[TNO]

Even over CGNAT, alleen Delta doet dat in NL toch voor zover ik weet?

--

Je hebt nog niet aangegeven of je dit test vanuit je eigen LAN en of je het ook eens BUITEN je eigen netwerk hebt getest. Probeer dat eerst eens voor in 'paniek' te raken.

[Shinji]

TNO schreef op woensdag 21 juni 2023 @ 08:46:
Even over CGNAT, alleen Delta doet dat in NL toch voor zover ik weet?

--

Je hebt nog niet aangegeven of je dit test vanuit je eigen LAN en of je het ook eens BUITEN je eigen netwerk hebt getest. Probeer dat eerst eens voor in 'paniek' te raken.

Ziggo ook in sommige gevallen volgens mij.

[TNO]

Shinji schreef op woensdag 21 juni 2023 @ 08:47:
[...]


Ziggo ook in sommige gevallen volgens mij.

Well shit nog meer ellende om rekening mee te houden

Verwijderd schreef op zondag 18 juni 2023 @ 21:28:

@TNO
In de bovenstaande proefopstelling om het VPN-pad te testen, ga ik toch niet van binnenuit naar een extern adres? In verbind binnen mijn LAN (beter: 1 van mijn LANNEN) een PC met een NAS via een VPN-tunnel. Ik gebruik dan toch geen extern adres? Of zeg ik hier iets doms?

Portforwarding heb ik in mijn router al apart geconfigureerd.

Als jij "whatever".synology.me hebt ingevuld in je .ovpn file dan gaat je PC naar het externe adres proberen te verbinden, niet intern. Vandaar de vraag om dit buitenom te testen, dan weet je of de forwarding goed werkt. Daarna stap voor stap afpellen en kijken waar je uit komt

[ Voor 62% gewijzigd door TNO op 21-06-2023 08:51 ]

[nelizmastr]

TNO schreef op woensdag 21 juni 2023 @ 08:49:
[...]

Well shit nog meer ellende om rekening mee te houden

Uiteindelijk moet je dan als je een VPN naar huis wil een VPS nemen, daarmee een site-to-site tunnel maken (achter CGNAT dus een initiator naar de VPS) en dan zelf een VPN naar die VPS doen zodat je op je thuisnetwerk kunt komen

[TNO]

offtopic:
Ja, leg dat maar 's uit. De providers moeten gewoon native ipv6 gaan implementeren en niet zoveel lapmiddelen toepassen. Blij dat KPN het wel lijkt te snappen

[E - Jay]

Volgens mij hoorde ik Johan net hier vandaan gillen .... haha.
Gewoon rustig blijven ademen Johan, we proberen je oprecht te helpen.

Ieder heeft natuurlijk zijn mening (en ervaring) en het is ook niet mijn bedoeling om je van het ingeslagen pad (intern vpn testen) af te halen als je dat zelf onlogisch of teveel werk vind, jij bepaalt uiteindelijk zelf wat je wel en niet wil doen. Ik heb dan ook nooit gezegd dat het niet werkt vanaf je interne netwerk, ik zeg dat de kans bestaat dat het niet werkt (dat is immers mijn ervaring geweest en van een paar anderen) en dan test je dus tevergeefs. Puur iets wat ik je meegeef om rekening mee te houden, wat je ermee doet is aan jou.

Mocht je wel gaan testen via extern dan kan je simpelweg de vpn-server op de nas uitschakelen, dat is een vinkje ... verder gaan er geen instellingen verloren. De OpenVPN app op je Android kan meerdere VPN profielen aan, dus ook daar hoef je geen eerdere ovpn imports te verwijderen (als die er al zijn).
Een handleiding heb ik niet voor je, de OpenVPN server op mijn router is weer anders dan het OpenVPN pakket op de nas ... ofwel dat zal per implementatie enigszins verschillen.

Maar wat de meeste je hier proberen uit te leggen is om het probleem stap voor stap te tackelen. Zoals de suggestie voor poort 5000 om het inlogscherm van je nas te zien te krijgen. Dit heeft inderdaad helemaal niets met je VPN te maken, maar zo kan je wel kijken of je poortforwardregel in je router werkt. Daarna is het die regel aanpassen zodat deze wel geschikt is voor VPN. Je kan ook beginnen met het inlogscherm van je router tevoorschijn halen via je externe ip-adres ... TOTAAL niet wenselijk uiteraard, maar dan test je of je door het invullen van je externe ip in de browser je inlog van je router ziet, werkt dat, mooi regel direct verwijderen maar dan weet je wel dat je op de juiste startplek aankomt.

Je zegt:

Dat met een OpenVPN-server op een synology NAS moet toch gewoon te regelen zijn? Ik ben er echt klaar mee. MAAR WAAROM WERKT OPENVPN VIA NAS NIET?

Dat zou ook gewoon te regelen moeten zijn, maar juist omdat het bij jou niet werkt zal je het stap voor stap aan moeten vliegen.

Wellicht heb je hier nog iets aan mocht je besluiten OpenVPN server vanaf je router te testen:
https://www.youtube.com/watch?v=o0cR4IGH3j0

[Verwijderd]

@biomass
Jij zegt: je postte heel kort een screenshot van een client config met een remote op poort 5000. Verklaar U nader?

Dat deed ik: kort even posten. Maar ik kwam er snel achter dat het met mijn instellingen van poort 5000 voor geen kant klopte.

Ik jullie info bestuderen.

[ Voor 3% gewijzigd door Verwijderd op 21-06-2023 10:49 ]

[biomass]

@Verwijderd Laat je niet door ons opjagen Rustig lezen en proberen.

[Verwijderd]

@biomass
en de rest :-)
Dadelijk ben ik terug. Synology assistent heeft ip nas veranderd.

[ Voor 89% gewijzigd door Verwijderd op 22-06-2023 03:02 ]

[biomass]

Als je dit opzichzelf wil testen, moet het antwoord van http(s)://LAN.IP:poort hetzelfde zijn als http(s)://WAN.IP:poort

Je WAN IP is je externe IP, meestal in te zien in je router of op te vragen by sites als whatsmyip.com
Wat ik verwacht te zien is als je http://LAN.ip:5000, dat je antwoord te zien krijgt op https:LAN.IP:5001
Dat is niet zo'n goede voorbeeld poort om te forwarden. Als je Webstation aan hebt staan, kun je misschien beter even testen met 80 en/of 443

Of rechtstreeks met 5001 inderdaad

[ Voor 3% gewijzigd door biomass op 21-06-2023 11:50 ]

[biomass]

Het is lastig te volgen als je posts steeds radicaal wijzigt

[Verwijderd]

@biomass
DSM gebruikt o.a. 5001

Webstation gebruikt 80 en/of 443

Ik weet wat mijn WAN IP is. Dat zie je ook in mijn screenschots waarin ik mijn WAN IP blur.

Ik heb nu poort 80 geforward in de router.

Ik begrijp jouw verhaal niet met antwoord LAN IP:poort hetzelfde als WAN IP:poort. Of heb je het over de router-instellingen bij portforward? Die staan toch goed?

Ik moet toch gewoon https:\\IP VAN MIJN NAS:80 intikken in de adresbalk van mijn android en kijken of ik via poort 80 op de NAS kom? En dus kijken of het open zetten van poort 80 voor de NAS werkt?

[biomass]

Als de portforwarding werkt, zie je zowel van binnenuit als van buitenom hetzelfde; vandaar twee IP's om te testen.

[E - Jay]

Verwijderd schreef op woensdag 21 juni 2023 @ 11:40:
@biomass
en de rest :-)
Dadelijk ben ik terug. Synology assistent heeft ip nas verandert.

Synology Assistant veranderd geen ip-adressen, die tool zoekt je Nas op in je netwerk en toont het verkregen IP-adres door de dhcp in je router (mits je geen andere dhcp server hebt draaien).
Ik zou er sowieso voor gaan zorgen dat je Nas een vast IP-adres heeft, hetzij dat je in de Nas zelf een adres instelt buiten de dhcp range van je router (daar ga ik even vanuit dat die de adressen uitdeelt) of dat je het mac-adres van je Nas in de router koppelt aan een gewenst ip-adres.
Anders wordt het lastig met portforwardings.

[Verwijderd]

@E - Jay
Ja, dat zei ik niet goed. Die zoektool voor de NAS had een IP aangemaakt. Normaal gesproken edit ik hemzelf na bijv. een dsm-crash naar het IP dat ik wil hebben. Maar dat laatste had ik vergeten.

Ik heb een vast IP adres maar die lag inderdaad binnen de dhcp-range van 1 tot 252. Ik heb de IP pool verkleint. Alle apparatuur ligt nu buiten de dhcp-range. Mijn hemel zeg. Niet handig was dat. Huilen

[ Voor 40% gewijzigd door Verwijderd op 21-06-2023 13:15 ]

[Verwijderd]

@E-jay
Maar een vast IP binnen dhcp levert toch ook geen probleem op voor portforwarding? Dus dat kan het probleem van het niet werken van portforwarding niet zijn, want ik heb altijd vaste IP-adressen gehad.

[E - Jay]

Verwijderd schreef op woensdag 21 juni 2023 @ 15:40:
@E-jay
Maar een vast IP binnen dhcp levert toch ook geen probleem op voor portforwarding? Dus dat kan het probleem van het niet werken van portforwarding niet zijn, want ik heb altijd vaste IP-adressen gehad.

E.e.a. ligt natuurlijk aan je configuratie. Maar normaal gesproken heb je te maken met een DHCP-lease, de tijd dat een IP-adres is toegewezen aan een apparaat. Stel je zet je nas uit of er is een stroomstoring geweest, lease is voorbij en jij zet vervolgens je nas weer aan. die vraagt aan de dhcp server vervolgens weer een ip-adres ... dat kan dan een ander adres zijn dan initieel.
Of stel dat een apparaat ip-adres 192.168.0.5 heeft gekregen omdat die in de dhcp pool zit en jij zet vervolgens een ander apparaat aan die jij vast hebt ingesteld op 192.168.0.5 dan krijg je rariteiten. (dubbel ip in je netwerk)

Dus als door het verlopen van de dhcp lease het ip-adres van het apparaat wijzigt, bijvoorbeeld van 192.168.0.5 naar 192.168.0.99 dan gaat je portforwarding de mist in omdat je die hebt ingesteld dat die (wederom bijvoorbeeld) poort 1194 door moet sturen naar 192.168.0.5 ... ofwel het verkeerde apparaat.
Heb je straks een VPN naar je slimme tosti-apparaat

[Bertus]

Ik heb niet alles gelezen, maar je zegt dat je gebruik maakt van VLANs.

De setting die je zag zal vermoedelijk voor tagged vlans zijn.

Zitten je NAS en PC in dezelfde VLAN? En is er uberhaupt verkeer mogelijk naar buiten vanuit die VLANs voor de bepaalde ranges? Is er DNS beschikbaar in die VLANs?

Misschien moet je mijn post maar negeren maar dat is het eerste waar ik op aansloeg toen ik je startpost las.

[Verwijderd]

@E-jay
Klinkt begrijpelijk jouw verhaal. Dan toch maar IP's buiten de dhcp -range, zoals ik de boel nu heb geconfigureerd.

@Bertus
NAS en PC zitten in hetzelfde vlan. Beide hangen aan een untagged poort aan een switch.

Ik hoop dat er verkeer mogelijk is naar buiten.

Ik weet niet of ik jouw post moet negeren. Dat doe ik dus niet.

[ Voor 31% gewijzigd door Verwijderd op 22-06-2023 12:04 ]

[Bertus]

Verwijderd schreef op woensdag 21 juni 2023 @ 19:59:
@E-jay
Klinkt begrijpelijk jouw verhaal. Dan toch maar IP's buiten de dhcp -range, zoals ik de boel nu heb geconfigureerd.

@Bertus
NAS en PC zitten in hetzelfde vlan. Beide hangen aan een untagged poort aan een switch.

Ik hoop dat er verkeer mogelijk is naar buiten.

Ik weet niet of ik jouw post moet negeren. Dat doe ik dus niet. We zitten hier op een plek met mensen die heel veel verstand hebben van ict. Als je iets zegt dat niet klopt, dan krijg je (terecht) een klap om je oren en dan mag je erover nadenken. Net als vroeger op de kleuterschool. Dat je als je iets doet wat niet mag, je even in de hoek moet staan. Pas maar op Bertus ;-)

Ik probeer alleen te helpen dus je laatste alinea negeer ik maar.

En weet je router ook van deze vlans af? Ik weet niet hoe je netwerk eruit ziet verder, zeker niet qua vlans, maar zitten ze in dezelfde range aan de binnenkant? Dat is al een begin. Misschien even goed kijken welke VLANs op welke poorten zitten. Dat kan je plezier verpesten.

[Verwijderd]

@biomass
Jij zegt: als de portforwarding werkt, zie je zowel van binnenuit als van buitenom hetzelfde.Vandaar twee IP's om te testen. LAN IP:poort hetzelfde als WAN IP:poort.

Oke, dus als ik van buitenaf met een android wil connecten met mijn NAS. Dan geef ik met de android een verzoek op mijn WAN IP met een daarbij horende poort (externe poort). Die externe poort koppel ik vervolgens aan het LAN IP van mijn NAS met de daarbij horende zelfde poort (interne poort) waarop de android mij wil connecten => portforwarding oftewel poort doorsturen.

[Verwijderd]

Dank je wel Bertus.

[ Voor 223% gewijzigd door Verwijderd op 27-06-2023 18:41 ]

[biomass]

Beantwoord je eigen vraag eens? Open de/een pagina op poort 5001,443 of 80 van je NAS op het LAN IP in de browser van je telefoon en open dan dezelfde url maar dan met het WAN IP van je NAS. Lukt dat?

[Verwijderd]

@biomass
NAS is onbereikbaar met LAN IP NAS met poort 80.

WAN IP van de NAS voer ik liever niet in op mijn android.

Maar als het met het LAN IP NAS niet werkt, dan heeft het volgens mij ook geen zin om het met het WAN IP te doen. Of zeg ik hier iets geks?

[ Voor 92% gewijzigd door Verwijderd op 21-06-2023 22:32 ]

[biomass]

Dan heeft je telefoon misschien nog niet het IP wat bij het VLAN hoort waar jij hem ingedeeld hebt? Wifi op de telefoon even uit gehad? Ik heb zelf geen VLANs, dus weet niet zo 1-2-3 wat ik met die tabel moet, maar wat voor je telefoon geldt moet ook voor je pc gelden. Kun je binnendoor en buitenom?
Zo nee, dan is je VLAN configuratie waarschijnlijk spelbreker. Ergens zal uit moeten blijken dat je Wifi SSID verkeer mag routeren dat getriggerd wordt door je LAN of WAN IP aan te roepen.

[Verwijderd]

@biomass
Ik heb 4g op mobiel gebruikt voor de test. Dus met een dynamisch IP 10.164.2x.x.

De mobiele telefoon zit in VLAN0. Bij de NAS en de PC in hetzelfde subnet.

Ik heb gewoon een vast IP op de mobiel en dat werkt perfect. Zonder problemen.

De rest moet ik uitzoeken /overdenken.

[ Voor 43% gewijzigd door Verwijderd op 21-06-2023 22:44 ]

[Verwijderd]

Poort 1 van de router is een tagged poort. Er zitten meerdere vlan's in.

Aan poort 1 van de switch hangt mijn router.

Poort 1 van de switch staat op tagged. Het lijkt mij dat dat niet goed is. Maar wat betekent dat voor de config? Is dat de verklaring waarom de NAS van buiten niet wordt gevonden?

Ik heb poort 1 van de switch nu op untagged gezet.

Als er vanaf de router een pakket met tag 34 op de switch ontvangen wordt, dan zal de switch deze uitzenden op alle poorten die in vlan0 als untagged aanwezig zijn. Dan krijgt de NAS toch het pakket? Maar wat gebeurt er dus als poort 1 van de switch op tagged staat zoals in het schema? Ik zie het niet?

[ Voor 63% gewijzigd door Verwijderd op 22-06-2023 13:21 ]

[Verwijderd]

@Bertus
Ik kan met een pc die in een VLAN zit op internet. Dan kan ik concluderen dat er verkeer naar buiten mogelijk is, toch?

[ Voor 64% gewijzigd door Verwijderd op 22-06-2023 13:22 ]

[Bertus]

Ja, maar aangezien elk VLAN een interface heeft, en ook daar mogelijk firewall regels tussen zitten kan dat problemen opleveren.

Ik ben niet zo goed in het vertalen van je schema naar een plaatje in mijn hoofd dus dat moet je zelf doen.

Of bijvoorbeeld eens alles in hetzelfde VLAN ongetagged testen.

[UTPBlokje]

Ik heb een kort vragen lijstje gemaakt om uitsluitsel te krijgen en wat orde in de chaos te scheppen.
Verder zie ik dat er een hoop netwerk kennis mist om dit werkend te krijgen.

Graag antwoorden met ja of nee

Op de draytek router. Staat het vinkje van opvpn server uit ?

Op je Android device. Wanneer deze is verbonden met je WiFi. Komt het ip van je Android overeen met het netwerk van je nas?

Kan je wanneer je bent verbonden met de wifi met je Android device wel bij de webinterface van de nas

Zit de pc in hetzelfde netwerk als de nas?

Kan je vanuit je pc de webinterface van de nas benaderen op lokaal ip?

Heb je de OpenVPN al getest op je pc?

Portforward vanuit de draytek naar 5001 WAN-LAN
Werkt dit ?


Vooralsnog zie ik dat het netwerk problemen zijn en niet zozeer de vpn van de nas.

[Verwijderd]

@UTPBlokje
Op de draytek router. Staat het vinkje van opvpn server uit ? ja

Op je Android device. Wanneer deze is verbonden met je WiFi. Komt het ip van je Android overeen met het netwerk van je nas? ja

Kan je wanneer je bent verbonden met de wifi met je Android device wel bij de webinterface van de nas ja => http://(wan1 IP):5000

Zit de pc in hetzelfde netwerk als de nas? ja

Kan je vanuit je pc de webinterface van de nas benaderen op lokaal ip? ja => http://(LAN IP NAS):5000

Heb je de OpenVPN al getest op je pc? ja => werkt niet

Portforward vanuit de draytek naar 5001 WAN-LAN
Werkt dit ? ja => http://(wan1 IP):5000

[UTPBlokje]

Verwijderd schreef op donderdag 22 juni 2023 @ 19:48:
@UTPBlokje
Op de draytek router. Staat het vinkje van opvpn server uit ? ja

Op je Android device. Wanneer deze is verbonden met je WiFi. Komt het ip van je Android overeen met het netwerk van je nas? ja

Kan je wanneer je bent verbonden met de wifi met je Android device wel bij de webinterface van de nas ja => http://(wan1 IP):5000

Zit de pc in hetzelfde netwerk als de nas? ja

Kan je vanuit je pc de webinterface van de nas benaderen op lokaal ip? ja => http://(LAN IP NAS):5000

Heb je de OpenVPN al getest op je pc? ja => werkt niet

Portforward vanuit de draytek naar 5001 WAN-LAN
Werkt dit ? ja => http://(wan1 IP):5000

Top dank voor het invullen.

Je geeft bovenstaand aan dat je Android in hetzelfde netwerk zit als de nas. Waarom benader je de nas dan op wan ip?

[Verwijderd]

@UTPBlokje
Ik benader de NAS met de android van buitenom (extern IP / WAN IP) omdat ik niet alleen vanuit huis de NAS wil benaderen.

Ik zit te denken. Ik benader de NAS nu met mijn android met het LAN IP van de NAS. Dat is nu dus verkeerd ingesteld volgens mij als het via internet moet komen? Met 4G moet dat dan toch via het WAN IP?

Ik heb ook niet voor niets portforwarding.

Met de OpenVPN-connect-app kan ik nog niet de NAS connecten. Zowel op mijn PC als de android niet. Ik geloof dat er niet mis is met het ovpn-bestand. Ik zal er morgen nog even naar kijken.

Kun je trouwens tweakers doneren?

[ Voor 22% gewijzigd door Verwijderd op 22-06-2023 23:21 ]

[UTPBlokje]

Verwijderd schreef op donderdag 22 juni 2023 @ 22:58:
@UTPBlokje
Ik benader de NAS met de android van buitenom (extern IP / WAN IP) omdat ik niet alleen vanuit huis de NAS wil benaderen.

Ik zit te denken. Ik benader de NAS nu met mijn android met het LAN IP van de NAS. Dat is nu dus verkeerd ingesteld volgens mij als het via internet moet komen? Met 4G moet dat dan toch via het WAN IP?

Ik heb ook niet voor niets portforwarding.

Met de OpenVPN-connect-app kan ik nog niet de NAS connecten. Zowel op mijn PC als de android niet. Ik geloof dat er niet mis is met het ovpn-bestand. Ik zal er morgen nog even naar kijken.

Kun je trouwens tweakers doneren?

Ik snap wat je wil bereiken. Maar om uit te sluiten waar de kink in de kabel zit moet het eerst intern werken. Dit moet zowel werken op PC als Android. Extern ga je pas bekijken wanneer het intern werkt.

PC kan wel bij de nas via de webinterface maar kan geen openvpn openen.
Je subnetten wil je niet delen. dus hier een voorbeeld setup

Je pc en nas zitten in subnet 192.168.34.0/24

PC heeft ip 192.168.34.100/24
NAS heeft ip 192.168.34.20/24

Voor de VPN heb je een dynamisch ip netwerk die synology zelf maakt 10.8.0.1/24 dit mag anders zijn. Maar moet afwijken van je eigen netwerken.

Maak een export van de config vanuit de synology nas en pas alleen het ip adres van de remote aan .

code:

dev tun
tls-client

remote 192.168.34.20 1194

# The "float" tells OpenVPN to accept authenticated packets from any address,
# not only the address which was specified in the --remote option.
# This is useful when you are connecting to a peer which holds a dynamic address
# such as a dial-in user or DHCP client.
# (Please refer to the manual of OpenVPN for more information.)

#float

# If redirect-gateway is enabled, the client will redirect it's
# default network gateway through the VPN.
# It means the VPN connection will firstly connect to the VPN Server
# and then to the internet.
# (Please refer to the manual of OpenVPN for more information.)

#redirect-gateway def1

# dhcp-option DNS: To set primary domain name server address.
# Repeat this option to set secondary DNS server addresses.

#dhcp-option DNS DNS_IP_ADDRESS

pull

# If you want to connect by Server's IPv6 address, you should use
# "proto udp6" in UDP mode or "proto tcp6-client" in TCP mode
proto udp

script-security 2


comp-lzo

reneg-sec 0

cipher AES-256-CBC

auth SHA512

auth-user-pass
<ca>
Staat ingevuld
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
Staat ingevuld
-----END CERTIFICATE-----

</ca>

Je vpn config file ziet er dan als volgt uit


De config importeer je in de openvpn client van de pc en dit zal dan moeten werken.

Kan je dan alsnog geen connectie krijgen moet er gekeken worden naar firewall regels tussen de Vlans vanuit de draytek. Bij default staat dit in draytek niet aan.

[Verwijderd]

@UTPBlokje
Wat je beschrijft heb ik allemaal al gedaan. Ik had alleen redirect gateway aanstaan. Omleiden van de router zou dat zijn. Ik ga later uitzoeken wat het inhoudt. Voor nu heb ik het uitgezet in het ovpn-bestand.

Alles lijk ik goed te hebben ingesteld. Dan ga ik kijken naar de firewall-regels tussen de vlan's vanuit de draytek. Bertus had dat ook al aangegeven. Wat een gedoe allemaal. Akelig apparaat die draytek. En jij ziet ook gewoon dat ik een draytek heb. Dat heb ik nergens vermeld. Blijkbaar niet de eerste keer dat je een router ziet.

[ Voor 23% gewijzigd door Verwijderd op 24-06-2023 09:03 ]

[W1ck1e]

En jij ziet ook gewoon dat ik een draytek heb. Dat heb ik nergens vermeld.

Uit een eerder berichtje van jou :

Verwijderd schreef op woensdag 7 juni 2023 @ 10:12:
...
@Shinji
Ik heb een draytek router. Provider: budget alles in 1 (dat is van KPN). Ik weet niet of het carrier grade NAT is. Ik weet uberhaupt niet wat carier grade NAT is. Ik zal het eens opzoeken/inlezen.
...

[ Voor 11% gewijzigd door W1ck1e op 24-06-2023 11:02 ]

[Verwijderd]

@W1ck1e
Jullie zijn scherp mensen.

Ik heb nu de DDNS-naam ingevuld in het ovpn-bestand en de firewall-regels toegevoegd in mijn router. Het invullen van het IP-adres van de NAS in het ovpn-bestand werkte bij mij niet => ik kreeg in de log van de openvpn-connect-app de melding 'server poll timeout, trying next remote entry....'

Maar het werkt..... mijn hemel, het werkt Ik heb een vpn-pad voor mijn android met de NAS. Ik heb verdomme een VPN-server van mijn NAS gemaakt :-) :-) :-) :-)

Ik heb onderstaande firewall-regels. Ik hoop dat ze goed zijn.





Ik vraag me af of die derde regel in de firewall eigenlijk wel nodig is. De NAS hoeft toch geen berichten naar een client te sturen? Of toch wel, om terug te reageren voor aanvragen of iets?

Dank je wel allemaal. Ik ben er erg blij mee :-)

Nu mezelf meer verdiepen in networking om echt te snappen wat ik aan het doen ben. Ik heb veel geleerd de afgelopen weken, maar ik besef dat er nog een lange weg te gaan is.

Maar ik ga vast nog vragen krijgen m.b.t. nieuwe problemen die gaan ontstaan.

[biomass]

Mooi dat het gelukt is.

Het ziet er uit als of de derde regel nodig is omdat je voor een UDP verbinding met je VPN service hebt gekozen. Het enige wat er mogelijk mis is met regel #3 dat het *elk* verkeer van je NAS naar buiten toestaat.

Als je kiest voor het TCP protocol heb je alleen aan een inkomende regel genoeg.

Ik heb zelf voor TCP gekozen omdat dat beter gaat over 4G/5G.

[Verwijderd]

@Shinji
Een wat late reactie op jouw vraag. Het was me ontgaan. Maar ik heb op dit moment geen speciale use case voor TCP. Ja, TCP 443 wil ik straks gaan gebruiken.

@biomass
Shinji opperde om naar TCP 5001 te gaan. Deze poort wordt alleen al gebruikt. Door DSM bijvoorbeeld.

TCP 443 kan dus ook niet. Want ik wil in de nabije toekomst een website hosten.

Kan ik TCP 1723 ook voor openVPN gebruiken?

[ Voor 51% gewijzigd door Verwijderd op 25-06-2023 09:39 ]

[Shinji]

Verwijderd schreef op zondag 25 juni 2023 @ 08:39:
@Shinji
Een wat late reactie op jouw vraag. Het was me ontgaan. Maar ik heb op dit moment geen speciale use case voor TCP. Ja, TCP 443 wil ik straks gaan gebruiken.

@biomass
Shinji opperde om naar TCP 5001 te gaan. Deze poort wordt alleen al gebruikt. Door DSM bijvoorbeeld.

TCP 443 kan dus ook niet. Want ik wil in de nabije toekomst een website hosten.

Kan ik TCP 1723 ook voor openVPN gebruiken?

Nogmaals, dat heb ik niet geopperd, ik heb die poort als test voor poortforwarding naar DSM te testen zodat je de poortforwarding afzonderlijk kon testen.

Als je hier echt mee verder wil zou ik je willen adviseren nauwkeuriger te lezen.

[Shinji]

biomass schreef op zaterdag 24 juni 2023 @ 12:22:
Mooi dat het gelukt is.

Het ziet er uit als of de derde regel nodig is omdat je voor een UDP verbinding met je VPN service hebt gekozen. Het enige wat er mogelijk mis is met regel #3 dat het *elk* verkeer van je NAS naar buiten toestaat.

Als je kiest voor het TCP protocol heb je alleen aan een inkomende regel genoeg.

Ik heb zelf voor TCP gekozen omdat dat beter gaat over 4G/5G.

Als de draytek zich als fatsoenlijke firewall gedraagt heb je ook #3 niet nodig.

Het doel is cliënt server, die rule #3 is alleen nodig als de VPN vanuit de server ook geïnitieerd moet kunnen worden. Dat is bij site to site bijvoorbeeld wenselijk. Bij cliënt server niet omdat de server geen IP adres van de andere kant nog weet dus de verbinding zal altijd vanaf de cliënt gestart worden.

Een fatsoenlijke firewall houdt een sessie tabel bij en match het uitgaande verkeer dan op de bestaande sessie waardoor #3 niet nodig is.

Als de draytek zich als een ACL gedraagt dan is die regel wel nodig (al dan niet in een wat beperktere vorm).

[biomass]

Verwijderd schreef op zondag 25 juni 2023 @ 08:39:
Kan ik TCP 1723 ook voor openVPN gebruiken?

quote:

code:

************************************************************************
* PLEASE NOTE THE FOLLOWING:                                           *
*                                                                      *
* ASSIGNMENT OF A PORT NUMBER DOES NOT IN ANY WAY IMPLY AN             *
* ENDORSEMENT OF AN APPLICATION OR PRODUCT, AND THE FACT THAT NETWORK  *
* TRAFFIC IS FLOWING TO OR FROM A REGISTERED PORT DOES NOT MEAN THAT   *
* IT IS "GOOD" TRAFFIC, NOR THAT IT NECESSARILY CORRESPONDS TO THE     *
* ASSIGNED SERVICE. FIREWALL AND SYSTEM ADMINISTRATORS SHOULD          *
* CHOOSE HOW TO CONFIGURE THEIR SYSTEMS BASED ON THEIR KNOWLEDGE OF    *
* THE TRAFFIC IN QUESTION, NOT WHETHER THERE IS A PORT NUMBER          *
* REGISTERED OR NOT.                                                   *
************************************************************************

[Verwijderd]

@Shinji
Je hebt gelijk.

Ik ga nadenken over de firewall.

@biomass
Maar dan kan ik dus elke vrije poort gebruiken? Poorten zijn allemaal hetzelfde? De eigenschap van de poort wordt bepaald door het protocol? Het is dan zoeken naar een poort die vrij is. Zoekt en gij zult vinden.

[Shinji]

Verwijderd schreef op maandag 26 juni 2023 @ 10:37:
@Shinji
Je hebt gelijk.

Ik ga nadenken over de firewall.

@biomass
Maar dan kan ik dus elke vrije poort gebruiken? Poorten zijn allemaal hetzelfde? De eigenschap van de poort wordt bepaald door het protocol? Het is dan zoeken naar een poort die vrij is. Zoekt en gij zult vinden.

Waar ga je dan over nadenken?

Je kan elke poort gebruiken, of je het wil hangt af van de keuzes die je maakt. Elke poort is in principe gelijk.

Elke poort is gelijk maar voor de handigheid zijn er standaard diensten die gebruik maken van standaard poorten (22 SSH, 23 Telnet, 80 HTTP, 443 HTTPS, 445 SMB etc).

Je kan daar van afwijken voor "security through obscurity" of bijvoorbeeld omdat TCP/443 eigenlijk altijd open staat als je ergens anders bent.

Als je OpenVPN op TCP/443 draait dan kan je die ook vanaf bijvoorbeeld het McDonalds gasten Wifi gebruiken. Soms worden voor gasten netwerken alleen poort 80/443 en dns toegestaan.

Als je altijd 4G/5G gebruikt of bij mensen thuis hun wifi is dat niet per se relevant.

[Verwijderd]

@Shinji
Dan ga ik het instellen via TCP 443.

Hun wifi zal ik dan veelal gebruiken. Maar via 443 is dan toch verder geen probleem lijkt mij. TCP is wel betrouwbaarder en stabieler,

Ik ga nadenken over hoe het is met een cocktail op aruba :-) Nee, zonder gekheid. Bijv. nadenken over hoe ik de firewall het beste kan instellen / fine-tunen. En nog meer dingen die ik graag wil verwezenlijken. Bijv. het volgende:

Graag wil ik o.a. camera’s ook via een pc kunnen bekijken via internet.

Met het openvpn-connect pad op de pc kan ik niet inloggen in dsm op de adresbalk.

Omdat het ip continu verandert, probeerde ik het met mijn ddns-naam, maar dan lukte ook niet.

Hoe kan ik met het vpn-pad inloggen in dsm op mijn pc via internet?

Of moet ik een synology surveilance station client voor windows installeren? Maar dan kan ik niet inloggen in dsm. Graag wil ik via internet het hele dsm-pakket kunnen raadplegen.

[Verwijderd]

Dit is wat gebruiker lier heeft gezegd:
Het feit dat je administrator als gebruikersnaam gebruikt is een groter risico dan je interne IP adres blurren (waar echt helemaal niemand iets mee kan). Just saying...

Heb je de server wel goed ingesteld:
https://kb.synology.com/n...enter/vpn_setup?version=7
Kan je een overzicht van alle private IP adressen van de NAS en VPN server hier vermelden?

Hij zegt dat anderen niets hebben aan lokale (private) ip adressen en dat ik met een gerust hart lokale ip adressen kan verstrekken. Niemand kan iets met een lokaal ip adres zegt hij.

Dat niemand iets heeft aan andermans lokale ip adres is toch niet waar?

Is het vreemd als ik mijn lokale ip adressen blur?

Wat lier zegt rijmt ook niet met het volgende:
Je eigen, lokale (private), IP-adres bevat ontzettend veel informatie over jou als internetgebruiker. Door te schuilen achter een ander IP-adres (vpn), blijf je online veel veiliger en vooral anoniemer.

Wan-adressen zijn daarentegen juist minder problematisch om te verstrekken omdat het slechts postbus-adressen zijn.

Ik begin nu een beetje te snappen hoe het werkt met ip adressen. Maar zo'n opmerking van lier maakt mij dan wel paranoide. Waarom zegt hij dat ik prima lokale ip adressen kan verstrekken hier op tweakers?

Of is het gek wat ik hierboven zeg? Zit ik ernaast?

@Shinji
Het bovenstaande is waarom ik nadenkt over dit soort dingen. En er valt voor mij nog genoeg om over na te denken ;-)

[RonnieKo]

Goed,

1) Gebruikersnaam en wachtwoord: Zorg voor VPN toegang tot je NAS met behulp van een normaal account. Regel zo dat dat account alleen bedoeld is voor de toegang via de VPN-verbinding. Het Admin-account alleen via het lokale netwerk laten inloggen. Dat kan je instellen. Als je het allemaal goed instelt kan je met de VPN-verbinding ook op je NAS-server komen. Dan inloggen met andere gebruikersnamen voor de verschillende diensten op de NAS-server.

2) Lokale IPv4-adressen zijn altijd in bepaalde reeksen. Deze zijn vastgelegd in standaarden. Daardoor zullen lokale netwerken vaak in dezelfde reeksen zitten. Zoals de 192.168.x.x-reeks en de 10.x.x.x reeks. Zo zijn er nog een aantal.

Wat @lier zal bedoelen is het IP-adres van je provider. Ga je een VPN-provider gebruiken (zoals Nord-VPN) om over het internet te surfen dan krijg je een publiek IP-adres van de VPN-provider. Dan is het wat minder zichtbaar dat je bijvoorbeeld uit Nederland of bij KPN / Ziggo zit. Wel dat je via VPN-provider surft.

Als je je VPN-verbinding goed opzet kan het zo zijn dan al je internetverkeer van het toestel met VPN-verbinding via de NAS-server en je internetverbinding thuis verloopt. (Standaard gateway instellen).

3) Als je je publieke IPv4-adres hier neerzet kan iemand wat sneller een keer denken: Laat ik een poortscan doen en eens kijken of ik binnen kom.

[Verwijderd]

@RonnieKo
Helder.

Ik heb vpn toegang tot mijn nas met een normaal account zonder administrator bevoegdheden ingesteld.

Via het administrator account bewerk ik de nas.

Graag wil ik inderdaad al het internetverkeer via de vpn van de nas. Dus de nas als default gateway.

Ik heb nu een vpn connect app geïnstalleerd op een pc. Ik krijg dan een dynamisch ip van de vpn server. Als ik ipconfig uitvoer, dan zie ik het volgende:



Het vervelende is dat ik de nas niet altijd aan wil hebben staan. Ten minste niet op dit moment. Dus ik wil de nas dan ook niet als default gateway. Dan moet ik de router als alternatieve dns-server instellen waarschijnlijk?

[ Voor 7% gewijzigd door Verwijderd op 27-06-2023 13:50 ]

[RonnieKo]

Bij de client moet je instellen welke "Gateway" voor het internetverkeer gebruikt mag worden. Internetverkeer via de NAS betekent wel dat je al het (externe) internetverkeer twee keer op je netwerk hebt. Dat is een afweging.

Bij windows kan je ook de standaard VPN-verbindingsmodule gebruiken. Zelf heb ik de NAS in de nachtelijke uren uit staan. In de ochtend start deze weer op. De VPN-verbinding start ik handmatig op. Ik gebruik de VPN-vebinding vooral om bestanden en Synology Notes extern te ontsluiten. Teams vindt een VPN-verbinding niet altijd lekker om te werken. Dus dan geen VPN.

[Verwijderd]

Dus dan beter niet de nas als standaard gateway instellen.

Maar als ik de open connect app handmatig aanzet (dat wat jij ook doet), dan heb ik toch internet via vpn?

En het lijkt mij dan dat ik dan kan ik kiezen of ik via vpn of normaal ga internetten.

Dat met die timer is ook een tip :-) Die ga ik denk ik ook gebruiken.

[RonnieKo]

Inderdaad. Als je handmatig doet dan zal je dan pas via de VPN het internet gaat. Als je dat aangeeft.

Als je NAS op een timer gaat zetten: Kijk even welke automatische processen je in de nacht hebt staan. Deze kan je dan naar de randen van het uitzetten / opstarten zetten dan worden ze ook nog uitgevoerd. Bijvoorbeeld backuppen e.d.

[Verwijderd]

@RonnieKo

Met redirect-gateway def1 in de ovpn-file werkt de openvpn-connect app wel op de android, maar kan ik geen camerabeeld bekijken met dscam. Ook kan ik niet op internet.

Als ik # redirect-gateway def1 instel (dus het hekje ervoor), dan kan ik wel camerabeeld bekijken met dscam op de android en op internet. Gaan beide dan wel door de vpn-tunnel?

Als het haakje weg is voor redirect-gateway def1 dan zou toch al het verkeer door de vpn-tunnel gaan (ook websites bezoeken)?

En mijn wan-ip hoort toch ook niet zichtbaar te zijn op internet? Dat is het wel.

Ik heb alles ingesteld volgens hoe het hoort. Ik snap er niets van.

[ Voor 43% gewijzigd door Verwijderd op 27-06-2023 22:19 ]

[RonnieKo]

Ik heb niet veel ervaring met OpenVPN. Dat zou ik dan moeten uitzoeken. Via de andere protocollen werkt het bij mij probleemloos.

Bij configuratiebestanden is het dat regels actief worden zonder # ervoor. Alles met een # wordt overgeslagen. Dat kan je ook zien dat regels met # vaak ook aanwijzingen en uitleg bevatten.

Johan Abbink schreef op dinsdag 27 juni 2023 @ 21:56:
En mijn wan-ip hoort toch ook niet zichtbaar te zijn op internet? Dat is het wel.

Welk publiek ip-adres bedoel je? VPN is niet meer dan een directe tunnel van een apparaat naar een ander apparaat. Zit je telefoon bijvoorbeeld op het 4G-netwerk van Vodafone en je gaat op internet dan krijg je een publiek IP-adres (WAN) van Vodafone. Zit je thuis bij KPN en je hebt de WiFi aan staan dan maakt je telefoon via de WiFi van KPN-verbinding verbinding met het internet. Dan heb je een publiek IP-adres van KPN.

Ben je niet thuis, je telefoon zit op het 4G-netwerk van Vodafone en je maakt nu de VPN-verbinding naar thuis (KPN). Daarnaast heb je ingesteld dat al het externe netwerkverkeer via de VPN-verbinding moet lopen. Daardoor lijkt het voor apps op de telefoon dat deze op het interne thuisnetwerk zit. Alle websites die je via de browser bezoekt zien je publieke IP-adres van KPN en niet die van het 4G-netwerk Vodafone. Dit omdat al het netwerkverkeer via de VPN-verbinding loopt.

Omdat het niet altijd handig is om direct extern netwerkverkeer (zoals bezoeken van internetsites zoals Tweakers.net) over de VPN-verbinding te laten lopen kan je instellen dat netwerkverkeer voor extern direct over de normale verbinding loopt. Bij de telefoon op het Vodafone-netwerk is dat dan via Vodafone.

Wil je ook dat het publieke IP-adres van KPN tijdens het surfen niet zichtbaar is dan zal je via een VPN-dienst als NordVPN moeten gaan werken. Als je dan via de VPN-dienst van NordVPN op internet begeeft dan zien de websites het publieke IP-adres van NordVPN. Dit was ook al eerder uitgelegd.

[ Voor 10% gewijzigd door RonnieKo op 28-06-2023 09:09 ]

[Verwijderd]

@RonnieKo
Met 'Clients toegang geven tot LAN-server' in de OpenVPN-server instellingen, geef je aan dat al het externe netwerkverkeer via de VPN-verbinding moet lopen, toch?

Dat publieke adres dat je krijgt van de provider is altijd het vaste, eigen, unieke WAN-adres? Ik heb hier dan mijn DDNS-naam aan gekoppeld. Dat is handig als de provider mijn WAN-adres verandert.

Als ik met een android via 4g een website wil bezoeken, dan krijgt mijn router (om de android later te dienen) van de provider het WAN-adres. Dat WAN-adres wordt vervolgens door de VPN-tunnel geleid, en die maakt er een dynamisch IP-adres van voor de android, waarmee ik vervolgens de site bezoek. Met betrekking tot dat laatste wordt mijn VPN-server de WAN-IP verstrekker om te kunnen internetten. Begrijp ik dat goed? Of snap ik het nog steeds niet?

Ik probeer er grip op te krijgen en te snappen wat er gebeurt.

Heeft iemand een tabel of link waarin belangrijke firewall-instellingen voor OpenVPN staan beschreven. Wat kan ik open zetten, en wat moet dicht?

[Verwijderd]

Mijn OpenVPN-connect app op de PC ontvangt veel vaker pakketten dan op de android als ik niets met de PC en android doe. Bij de PC is het VPN-verkeer veel actiever.

[RonnieKo]

Verwijderd schreef op woensdag 28 juni 2023 @ 10:26:
Dat publieke adres dat je krijgt van de provider is altijd het vaste, eigen, unieke WAN-adres? Ik heb hier dan mijn DDNS-naam aan gekoppeld. Dat is handig als de provider mijn WAN-adres verandert.

Bij consumenten is het semi-vast. Ik heb eigenlijk altijd wel een vast adres. Alleen gewijzigd door de provider toen ze intern overstapten op een ander systeem / netwerkopzet bij glas. Goed DDNS kan handig zijn om niet het IP-adres te moeten onthouden Testen van verbindingen doe ik altijd via IP-adres. Dan zit je rechtstreeks en niet via de omweg van een DDNS-provider.

Verwijderd schreef op woensdag 28 juni 2023 @ 10:26:

Als ik met een android via 4g een website wil bezoeken, dan krijgt mijn router (om de android later te dienen) van de provider het WAN-adres. Dat WAN-adres wordt vervolgens door de VPN-tunnel geleid, en die maakt er een dynamisch IP-adres van voor de android, waarmee ik vervolgens de site bezoek. Met betrekking tot dat laatste wordt mijn VPN-server de WAN-IP verstrekker om te kunnen internetten. Begrijp ik dat goed? Of snap ik het nog steeds niet?

Nee. Als het 4G-toestel via 4G-netwerk zit krijgt het een IP-adres van het 4G-netwerk. Ga je surfen op het internet dan wordt dat adres doorgegeven. Als je een VPN-verbinding gaat opzetten dan wordt er als ware softwarematig een tweede netwerkkaart geactiveerd waar al het netwerkverkeer over heen gaat. De VPN-software doet zich voor als "netwerkkaart" in het toestel. Bij het opzetten van een verbinding krijg je via de VPN-server toegang tot je thuisnetwerk. Daarom krijgt het toestel een IP-adres van de VPN-server. Je zit gewoon op je interne thuisnetwerk. Je gaat via je standaard internetrouter / verbinding het internet op. Er wordt een soort van "omweg" gemaakt. Via VPN is dan het publieke IP-adres van je thuisverbinding is het IP-adres dat bij websites zichtbaar is. Niets meer en niets minder.

Dat er meer netwerkverkeer is een beetje afhankelijk van alle services, processen en apps die op een apparaat draaien. Windows zal mogelijk naar updates zoeken en downloaden. Terwijl het andere apparaat dat niet doet. Of andere programma's die fijn op de achtergrond meedraaien. Daar is niets zinnigs over te zeggen.

[ Voor 14% gewijzigd door RonnieKo op 28-06-2023 11:44 ]