OpenVpn

[derocco]

Ich habe an Standort A einen Pi mit Openvpn stahen.
Connection via OPENVPN client etc funktioniert.

Nun wollte ich den DDWRT router am Standor B so umbiegen, dass der auch im Standort A netzwerk ist.

Ich kenne mich mit dem DDWRT nicht so aus.

DieCert und Key habe ich aus dem OVPN herauskopiert.
Irgendwie scheint es keine Verbindung zu machen.

Gibt es irgendwo im DDWRT ein Log das helfen kann?

Credentials etc stimmen, das habe ich auch mit dem GUI client auf einem Notebook getestet.
Komisch ist, dass er micht beim Clien NICHT nach dem Username fragt, beim ddwrt hat es aber ein Feld dazu...

hier sehe ich einfach nichts

 

[redjack1000]

Hallo,

Port 1194/UDP in der Firewall offen?

CU
redjack

 

[kieleich]

wenn die teile momentan nicht so rar wären würde ich sagen nimm am anderen ende einfach auch einen Pi

und dann am besten noch Wireguard, anstelle von dem Open VPN Urzeitkrebsen

 

[till69]

Open VPN Urzeitkrebsen

Spätestens, wenn Du mal ein restriktives öffentliches WLAN (= kein UDP) nutzt, wünscht Du Dir den "Urzeitkrebs" über TCP 443 herbei

 

[H3llF15H]

@till69
Ich muss es echt fragen: kannst Du mir dazu den technischen Hintergrund erklären? Ernst gemeint

 

[Helge01]

@H3llF15H SSL verschlüsselt über Port 443 und TCP kannst du die meisten Firewalls umgehen. Das geht mit Wiregard nicht da nur UDP möglich ist. Auch wenn man ordentliche Benutzerrollen benötigt kommt man mit Wireguard nicht weit. Das ist eben mehr was für den privaten Bereich da einfach zu konfigurieren und auch auf schwacher Hardware performant.

 

[Homoioteleuton]

@till69
Ich muss es echt fragen: kannst Du mir dazu den technischen Hintergrund erklären? Ernst gemeint

In manchen öffentlichen WLANs sind auch ausgehende Ports geblockt, insbesondere UDP. Dort sind dann nur TCP 25 (Mail), 80 und 443 (http und https) offen. Dort kannst du dann keine VPN-Verbindung herstellen, es sei denn, dein Server läuft auf einem der geöffneten Ports

 

[riversource]

Um auf die Frage zurückzukommen: Die Client-Zertifikate hast du ja sicher passend für den DDWRT Router erzeugt und nicht irgendwelche Zertifikate von anderen Nutzern hergenommen?

Wofür benötigst du Username und Passwort? Die Clients authentifizieren sich ja über die Zertifikate, da braucht es keine zusätzlichen User Credentials.

 

[derocco]

hmm ja die hatte ich aus dem OVPN File rausgenommen. (Das habe ich auf dem Server erzeugt und via winscp geladen)
Also beim Openvpn Client kommt ja auch Username / Password obwohl ich das file mit den Certs geladen habe.

Ja der Port ist auf aber klappt auch mit 443 nicht.

Da bin ich mir eben nicht so sicher...

Also Server seitig müsste alles passen. Es klappt ja mit dem Notebook. Jetzt soll einfach der Router direkt verbinden. (Hintergrund: Statt dass ich auf mehren Clients einen VPN Dienst nutze will ich einfach über den Router alles "zusammenfassen")

Wenn was von den Credentials nicht passen würde, sollteich doch irgendwo in einem log ein auth error sehen..

Ergänzung (14. März 2022)

aaah jetzt habe ich was:

Mar 14 19:46:36 R7000 daemon.warn openvpn[12350]: NOTE: the current --script-security setting may allow this configuration to call user-defined scripts

Mar 14 19:46:36 R7000 daemon.err openvpn[12350]: neither stdin nor stderr are a tty device and you have neither a controlling tty nor systemd - can't ask for 'Enter Private Key Password:'. If you used --daemon, you need to use --askpass to make passphrase-protected k

Mar 14 19:46:36 R7000 daemon.notice openvpn[12350]: Exiting due to fatal error

Ergänzung (14. März 2022)

Sieht für mich so aus, als ob ich beim erzeigen de cert files irgendwie user/passwort abfrage aktiviert habe?

Ergänzung (14. März 2022)

Also ich habe ein neus Profil gemacht mit der Option "pivpn add nopass"
Log zeigt KEINEN ERROR mehr aber verbindet auch nicht....

 

[nosti]

Schau mal ob du den Log-Level ein wenig hochgedreht bekommst. Du möchtest statt einen Client VPN eine Site2Site VPN aufbauen. Dazu musst du aber noch die Netze der jeweiligen Seite korrekt mit bekannt machen, da das Routing sonst nicht funktioniert. Die Konfig vom Client einfach nehmen wir vermutlich nicht funktionieren.

Grüße