xoroles
Sep 20, 2013, updated at Sep 21, 2013 (UTC)
view2611
view6
0
Goto Top

OpenVPN Probleme beim Routing

GermanQuestionRouters, RoutingNetworks
Hallo zusammen,

bei einem Kunden habe ich das folgende Szenario, dieses hat bisher auch weites gehend Funktioniert.

Haupt Standort: IP Netz 192.168.1.0 Läuft OpenVPN als Server (ehemaliger Haus Router TP-Link R460) neuer Haus Router TP-Link TL-WR1043N
Zweigstelle 1: IP Netz 192.168.20.0 Läuft OpenVPN als Client, Haus Router TP-Link R460
Büro (anderer Standort) 192.168.0.0 Läuft OpenVPN als Client (FritzBox Cable)

VPN Tunnel Netz: 192.168.200.0

an keinem Standort ist open VPN direkt auf einem Rechner Installiert, welcher mit dem Internet verbunden ist. Der Hausrouter, routet entsprechend
1194 an den Rechner mit dem Server weiter.
Verbindungsaufbau und so klappt auch alles, bzw früher gab es nur das Problem, dass Zweigstelle 1 nicht Büro anpingen konnte und umgekehrt. Das war
aber zu diesem Zeitpunkt kein MustHave sondern wäre nur NiceToHave.

Vor kurzem wurde dann am Hauptstandort der Router ausgetauscht, der neue Router wurde aber mit den gleichen Statischen Routen ausgestattet wie vorher auch.
Jedoch gibt es seit dem das Problem, dass die Zweigstellen nur noch den Rechner mit dem OpenVPN Server erreichen können, und den Router in der Hauptstelle, alle anderen Rechner in dem Netz sind nicht Pingbar. Egal ob ich es von einem Client innerhalb des Netzes versuche, oder direkt von der Maschine, auf dem der OpenVPN Client läuft, bei allem das gleiche ergebnis.

Folgene Routen sind vorhanden
Zweigstelle 1 : 192.168.20.0 Netz OpenVPN Client 192.168.20.11
Aktive Routen:
     Netzwerkziel    Netzwerkmaske          Gateway    Schnittstelle Metrik
          0.0.0.0          0.0.0.0     192.168.20.1    192.168.20.11    266
        127.0.0.0        255.0.0.0   Auf Verbindung         127.0.0.1    306
        127.0.0.1  255.255.255.255   Auf Verbindung         127.0.0.1    306
  127.255.255.255  255.255.255.255   Auf Verbindung         127.0.0.1    306
      192.168.0.0    255.255.255.0   192.168.200.10    192.168.200.9     31
      192.168.1.0    255.255.255.0   192.168.200.10    192.168.200.9     31
     192.168.20.0    255.255.255.0   Auf Verbindung     192.168.20.11    266
    192.168.20.11  255.255.255.255   Auf Verbindung     192.168.20.11    266
   192.168.20.255  255.255.255.255   Auf Verbindung     192.168.20.11    266
    192.168.200.0    255.255.255.0   192.168.200.10    192.168.200.9     31
    192.168.200.8  255.255.255.252   Auf Verbindung     192.168.200.9    286
    192.168.200.9  255.255.255.255   Auf Verbindung     192.168.200.9    286
   192.168.200.11  255.255.255.255   Auf Verbindung     192.168.200.9    286
        224.0.0.0        240.0.0.0   Auf Verbindung         127.0.0.1    306
        224.0.0.0        240.0.0.0   Auf Verbindung     192.168.20.11    266
        224.0.0.0        240.0.0.0   Auf Verbindung     192.168.200.9    286
  255.255.255.255  255.255.255.255   Auf Verbindung         127.0.0.1    306
  255.255.255.255  255.255.255.255   Auf Verbindung     192.168.20.11    266
  255.255.255.255  255.255.255.255   Auf Verbindung     192.168.200.9    286

Die Routen am Router in der Zweigstelle sind wie folgt:
1	 192.168.200.0	 255.255.255.0	 192.168.20.11	 Enabled
2	 192.168.1.0	 255.255.255.0	 192.168.20.11	 Enabled	
3	 192.168.0.0	 255.255.255.0	 192.168.20.11	 Enabled

openvpn Config
client
dev tun

proto udp
remote xx.xx.xx.xxx 1194
resolv-retry infinite
route-delay 2
route-method exe
nobind
persist-key
persist-tun

ca "C:\\Program Files (x86)\\OpenVPN\\config\\ca.crt"  
cert "C:\\Program Files (x86)\\OpenVPN\\config\\rd.crt"  
key "C:\\Program Files (x86)\\OpenVPN\\config\\rd.key"  

comp-lzo
verb 3

Wie man sehen kann Windows Client, leider noch kein Linux Maschine vorhanden ;)

Standort 2 Büro

OpenVPN Client
192.168.200.5   *               255.255.255.255 UH    0      0        0 tun0
192.168.20.0    192.168.200.5   255.255.255.0   UG    0      0        0 tun0
192.168.1.0     192.168.200.5   255.255.255.0   UG    0      0        0 tun0
localnet        *               255.255.255.0   U     0      0        0 eth0
192.168.200.0   192.168.200.5   255.255.255.0   UG    0      0        0 tun0
default         fritz.box       0.0.0.0         UG    0      0        0 eth0

FritzBox
	192.168.1.0	255.255.255.0	192.168.0.18		
	192.168.200.0	255.255.255.0	192.168.0.18		
	192.168.20.0	255.255.255.0	192.168.0.18		
	192.168.30.0	255.255.255.0	192.168.0.18

und die Config

client
dev tun
proto udp
remote xxxx.de 1194

resolv-retry infinite

nobind

user nobody
group nogroup

persist-key
persist-tun

ca ...
cert ...
key ...

ns-cert-type server

com-lzo
verb 4

daemon

Hauptstelle
192.168.200.2   *               255.255.255.255 UH    0      0        0 tun0
192.168.20.0    192.168.200.2   255.255.255.0   UG    0      0        0 tun0
192.168.1.0     *               255.255.255.0   U     0      0        0 eth0
192.168.0.0     192.168.200.2   255.255.255.0   UG    0      0        0 tun0
192.168.200.0   192.168.200.2   255.255.255.0   UG    0      0        0 tun0
192.168.30.0    192.168.200.2   255.255.255.0   UG    0      0        0 tun0
default         192.168.1.1     0.0.0.0         UG    0      0        0 eth0
Router:
1       192.168.200.0	 255.255.255.0	 192.168.1.4	Enabled	
2	 192.168.0.0	 255.255.255.0	 192.168.1.4	Enabled	
3	 192.168.20.0	 255.255.255.0  	 192.168.1.4	Enabled
Config:
local 192.168.1.4
port 1194
proto udp
dev tun0
ca ./easy-rsa2/keys/ca.crt
cert ./easy-rsa2/keys/server.crt
key ./easy-rsa2/keys/server.key
dh ./easy-rsa2/keys/dh1024.pem
server 192.168.200.0 255.255.255.0
ifconfig-pool-persist ipp.txt

push "route 192.168.1.0 255.255.255.0"  
push "route 192.168.0.0 255.255.255.0"  
push "route 192.168.20.0 255.255.255.0"  
push "iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE"  

client-config-dir ccd
route 192.168.0.0 255.255.255.0 # Büro
route 192.168.20.0 255.255.255.0 # Zweigstelle 1
;route 192.168.30.0 255.255.255.0 # Für die Zukunft


client-to-client
duplicate-cn
keepalive 10 120
comp-lzo
user openvpn
group openvpn
persist-key
persist-tun
status /var/log/openvpn-status.log
log         openvpn.log
verb 5

So das sollten alle Daten sein, wie gesagt das Problem kamm erst als der Router in der Hauptstelle ausgetauscht wurde, dieser ist auch nur ein Vorübergehender, da der alte keine Bandbreite mehr durch lies, und den Ping Hoch trieb.

Liebe Grüße

Xoroles

P.S.
Ein beispiel Routert von Büro auf drei systeme im Hauptsitz
Fall 1: Router Hauptsitz Erfolreich
1    <1 ms    <1 ms     1 ms  fritz.box [192.168.0.13]
2    <1 ms    <1 ms     1 ms  Telefonanlage.fritz.box [192.168.0.18]
3    16 ms    16 ms    17 ms  PBX [192.168.200.1]
4    16 ms    15 ms    17 ms  192.168.1.1
Fall 2: OpenVPN Server
1    <1 ms    <1 ms    <1 ms  fritz.box [192.168.0.13]
2     2 ms     1 ms    <1 ms  Telefonanlage.fritz.box [192.168.0.18]
3    17 ms    18 ms    17 ms  PBX [192.168.1.4]
Fall 3: Windows Server
1    <1 ms    <1 ms     1 ms  fritz.box [192.168.0.13]
2    <1 ms    <1 ms    <1 ms  Telefonanlage.fritz.box [192.168.0.18]
3    17 ms    17 ms    17 ms  PBX [192.168.200.1]
4     *        *        *     Zeitüberschreitung der Anforderung.
5     *        *        *     Zeitüberschreitung der Anforderung.
usw...

Genauso sieht es natürlich von Zweigstelle 1 aus

Anbei noch ein tracert von Büro zu Zweigstelle 1
   1 ms     1 ms    <1 ms  fritz.box [192.168.0.13]
   1 ms    <1 ms     1 ms  Telefonanlage.fritz.box [192.168.0.18]
   *        *        *     Zeitüberschreitung der Anforderung.
 577 ms   457 ms   639 ms  SERV-0004 [192.168.20.11]
Dieser funktioniert neuer Dings, das war früher nicht der fall.
Wie bereits erwähnt, ausser der Austausch des Routers wurde nichts verändert.

Danke
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 217493

Url: https://administrator.de/contentid/217493

Printed on: April 19, 2024 at 08:04 o'clock

6 Comments
Latest comment
Goto Top
Mitglied: 108012
108012 Sep 20, 2013 at 20:55:42 (UTC)
Goto Top
Hallo,

Haupt Standort: IP Netz 192.168.1.0 Läuft OpenVPN als Server (ehemaliger Haus Router TP-Link R460) neuer Haus Router TP-Link TL-WR1043N
Ich gehe einmal davon aus dass sich auf diesen Routern DD-WRT installiert wurde, ist das richtig?

Zweigstelle 1: IP Netz 192.168.20.0 Läuft OpenVPN als Client, Haus Router TP-Link R460
Hier wird wohl auch DD-WRT auf dem Router installiert sein, ist das richtig?

Büro (anderer Standort) 192.168.0.0 Läuft OpenVPN als Client (FritzBox Cable)
Und wo bitte ist hier der OpenVPN Klient drauf installiert oder das DD-WRT oder was auch immer,
doch wohl eher weniger auf der Fritz!Box Cable, oder?

Denn sonst wäre die Aussage im nächsten Satz leider nicht richtig!
an keinem Standort ist open VPN direkt auf einem Rechner Installiert, welcher mit dem Internet verbunden ist.
Also wo ist denn nun hier der OpenVPN Klient installiert? Etwa doch auf einem Rechner bzw. PC der hinter einem
SPI/NAT Router sitzt?

Der Hausrouter, routet entsprechend 1194 an den Rechner mit dem Server weiter.
Mittels einer Portweiterleitung an den Port 1194 meinst Du damit sicherlich, oder?

Verbindungsaufbau und so klappt auch alles, bzw früher gab es nur das Problem, dass Zweigstelle 1 nicht Büro
anpingen konnte und umgekehrt. Das war aber zu diesem Zeitpunkt kein MustHave sondern wäre nur NiceToHave.

In der Regel sieht es doch wohl aber eher so aus, dass man wenn man zwischen zwei Routern eine VPN Verbindung
aufgebaut hat, dann das dahinter liegende Netzwerk voll und ganz angesprochen bzw. erreicht werden kann.

Ich persönlich denke das Ihr den einen Router ausgetauscht habt und dann sich natürlich auch die MAC Adresse des
WAN Ports bzw. WAN Interfaces geändert hat und es nun zu Problemen kommt, weil irgend wo IP / MAC Bindungen
(IP/MAC Bindings) noch vorhanden sind! Kann das sein?

Gruß
Dobby

P.S.
1. Bitte sage nicht immer Haus Router denn das ihr die Dinger nicht im Straßengraben aufgestellt habt ist doch wohl klar.
2. Bitte benutze die Code Tags hier im Forum das ließt sich besser und bleibt auch alles in Reihe und Glied.

< code > Hier steht Dein Code drin geschrieben
Hinweis
Die ersten beiden Pfeilzeichen müssen dann nur noch wieder an das Wort code herangerückt werden dann sieht es so aus:


Hier steht Dein Code drin geschrieben
Member: Xoroles
Xoroles Sep 21, 2013 at 06:49:48 (UTC)
Goto Top
Hallo D.o.o.b.y

Alle OpenVPN Installationen sind auf normalen Computern Installiert 2x Debian Installation 1x Win2k8R2, die Router laufen alle mit Standard Firmware und stellen nur die Verbindung zwischen WAN-LAN her.
Und haben entsprechend am Hauptstandort eine Portweiterleitung für 1194 eingerichtet.

Liebe Grüße

Marc
Member: orcape
orcape Sep 22, 2013 at 05:43:41 (UTC)
Goto Top
Hi Xoroles,

was mir bei Deiner Serverconfig fehlt, ist ein iroute Befehl auf das oder die remoten Netze.
Hat bei mir zumindest dazu geführt, das ich zwar die Tunnel-IP des Clienten erreichen konnte, aber nicht das remote Netz.
Solltest Du hier mal mit einfügen...
client-config-dir ccd
route 192.168.0.0 255.255.255.0 # Büro
route 192.168.20.0 255.255.255.0 # Zweigstelle 1
;route 192.168.30.0 255.255.255.0 # Für die Zukunft
Wobei das von @108012 erwähnte....
Ich persönlich denke das Ihr den einen Router ausgetauscht habt und dann sich natürlich auch die MAC Adresse des
WAN Ports bzw. WAN Interfaces geändert hat und es nun zu Problemen kommt, weil irgend wo IP / MAC Bindungen
(IP/MAC Bindings) noch vorhanden sind! Kann das sein?
wohl auch eine Möglichkeit wäre.

Gruß orcape
Member: aqui
aqui Sep 22, 2013 at 10:05:53 (UTC)
Goto Top
Richtig, denn die Push Route Kommandos oben sind Unsinn, denn der Server kann ja niemals Routen "pushen" die nicht an ihm direkt angeschlossen sind.
Das VPN Routing ist so totaler Murks und auch absehbar das es so nicht funktionieren kann.
Orcapes Lösung sollte das fixen.
Tip: Traceroute (tracert) und Pathping) sind bei sowas immer deine besten Freunde. Da wo es kneift, also kein Next Hop angezeigt werden ist auch meist das Routing Problem !
Mitglied: 108012
108012 Sep 22, 2013 at 12:30:09 (UTC)
Goto Top
.....an keinem Standort ist open VPN direkt auf einem Rechner Installiert, welcher.......

Alle OpenVPN Installationen sind auf normalen Computern Installiert 2x Debian Installation 1x Win2k8R2, die Router laufen alle mit Standard Firmware und stellen nur die Verbindung zwischen WAN-LAN her.

Irgend wie passen doch die beiden Aussagen gar nicht zusammen, oder täusche ich mich jetzt!?
Das hat mich zuerst und persönlich eben ein wenig verwirrt!

Gruß
Dobby
Member: Xoroles
Xoroles Sep 22, 2013 at 16:15:51 (UTC)
Goto Top
Hallo,

die aussage ist leicht Irreführend,

sollte nur bedeuten, dass keine Maschine auf dem OpenVPN installiert ist direkt mit dem Internet verbunden ist, sondern jeweils hinter dem Router sind.

Ich danke für die Hilfe, die Geschäftsleitung hat aber gestern einen anderen Router genehmigt, und seit dem dieser Installiert ist, hat sich das Problem wieder in Luft aufgelöst.

Auch dieses mal Ohne eine Konfiguration anzufassen. Jetzt funktioniert alles wie es sein soll. Alle Standorte können sich gegenseitig erreichen. Es erklärt zwar noch nicht, woran der Fehler genau liegt aber es läuft.

das pushen der Routen war damals ein nötiger schritt, ohne klappte es nicht, gut möglich das nun natürlich einige Einstellungen Überflüssig sind, oder auch zu Fehlern führen könnten. Es funktioniert aber.

Folgendes hab ich noch gefunden im Verzeichnis ccd liegen auch noch Konfigurationen

für Zweigstelle
iroute 192.168.20.0 255.255.255.0
ifconfig-push 192.168.200.9 192.168.200.10

Für Büro
iroute 192.168.0.0 255.255.255.0

Natürlich genau so bezeichnet, wie die Zertifikate auf der anderen Seite lauten.

Gruß

Xoroles
GermanQuestionRouters, RoutingNetworks
Hotly discussed
AlexWishaHow to set up and configure a Linux GRE tunnelAlexWisha - 3 CommentsjstrickerWIREGUARD VPN ON UDM PRO BEHIND FRITZBOX - HANDSHAKE DID NOT COMPLETEjstricker - 2 CommentsDaniEnd of Support dates for Office 2016, 2019 Apps und Productivity ServersDani - 1 CommentgleixnerdCheck of ZFW Firewallgleixnerd