OpenVPN Magic Traffic UDP Stream Issue

[Wasserquelle]

Hallo,

ich habe nun ein sehr interessantes Phänomen beobachtet. Ich habe über eine PFSense im RZ ein OpenVPN welches als Gateway für Clients genutzt werden soll eingerichtet. Soweit so gut. Klappt auch ganz toll. IP ändert sich Routen werden gepusht usw.. Jetzt aber das Merkwürdige. Inhalte die via HTML5 abgerufen werden ala Netflix oder Youtube über UDP werden NICHT durch den Tunnel geleitet. Das kann man gut mit iftop auf dem Gateway beobachten.

Jetzt dachte ich mir okay... evtl. ein pfsense Problem. Also ein blankes Debian 8 genommen und wieder das selbe Spiel. Auch hier tritt das gleiche mit Streams auf.
Bei meiner letzten Einrichtung 2009 lief der Traffic auch von Streams durch den Tunnel. Allerdings gabs hier auch noch Flash. Liegt das evtl. an der Einbettung in eine Sandbox o.ä. ? Kennt jemand das Problem ?

Grüße

 

[b1nb4sh]

Hallo,

Hast du auf deinem Gateway vielleicht eine FW laufen? Habe es gerade auf meinem OpenVPN probiert und dort funktioniert es ohne Probleme und der Traffic geht über das VPN GW.

Die Push redirect-gateway option hast du in der Konfig stehen?

 

[Wasserquelle]

Moin,

natürlich läuft auf den GW eine SPI. Ist aber nichts besonderes. Soweit ich das jetzt rausgefunden habe, tunnelt er nur IPv4 und nicht IPv6. IPv6 läuft schön am Tunnel vorbei. Wie genau das routing technisch funktionieren soll, ist mi zwar etwas schleierhaft aber nun gut. Mal schauen... werden den VPN Tunnel dann auf Dualstack upgraden vllt. läufts dann besser.

Edit:
Also ich habe das Ganze noch verifizieren können. Bisher habe ich die Verbindung über openvpn --config /PFAD.conf.ovpn aufgebaut. Dort wurde mir dann auf wie ist meine IP lediglich meine IPv4 IP vom VPN-GW angezeigt.
Jetzt habe ich mich durch den SELinux Bug mit OpenVPN Certs im User Verzeichnis geschlagen und habe es über Gnome zum laufen bekommen. SELinux hat hier vorher den Zugriff auf die Certs blockiert. Die Meldung im Log sieht man aber erst seitdem das 7.2 Update released wurde (vor ein paar Tagen) jetzt kann man den Fehler eben auch beheben.

Nun wird mir bei wie ist meine IP mein "normales" Dualstack angezeigt wie es sein sollte. IPv6 von der Telekom ohne VPN und IPv4 vom VPN-GW.

Das bestätigt meine Vermutung das der IPv6 Traffic am Tunnel vorbeigeht. Routing mäßig ist nun auch klar wie das geht, weil dies zumeist UDP Verbindungen sind. Bei TCP würden Sockets aus dem Tunnel dem v6 eben nicht bekannt sein, deswegen hatte ich mich gewundert.

Ergo: vpn-gw IPv6 fähig machen und OpenVPN IPv6 Tunnel einrichten. Dann sollte alles über den Tunnel gehen.