05.07.2015, aktualisiert am 24.07.2015

3281

DD WRT OpenVPN keine Internetverbindung

Hallo zusammen,
ich habe auf der DD WRT Firmware den OpenVPN Server einmal aktiviert. Der Server läuft soweit auch. Verbindung kann ich von extern herstellen.
Ich bekomme auf das interne Netz auch einen Zugriff. Soweit sieht es schon einmal gut aus. Allerdings funktioniert meine Verbindung ins Internet nicht.
Führe ich einen ping gooogle.de aus, habe ich nur Zeit Überschreitungen. Das komische, Skype bleibt aktiv und ich kann hier auch Nachrichten senden und empfangen.

Router Firewall:

iptables -I INPUT 1 -p udp --dport 1195 -j ACCEPT
iptables -I INPUT 3 -i tun0 -j ACCEPT
iptables -I FORWARD 3 -i tun0 -o tun0 -j ACCEPT
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT

Serverconfig:

port 1195
proto udp
dev tun0
ca /tmp/openvpn/ca.crt
cert /tmp/openvpn/cert.pem
key /tmp/openvpn/key.pem
dh /tmp/openvpn/dh.pem
server 172.16.2.0 255.255.255.0

push "dhcp-option DNS 192.168.0.1"
push "dhcp-option DNS 192.168.0.1"
push "dhcp-option WINS 192.168.0.1"
push "redirect-gateway def1"

keepalive 10 120
auth SHA1
cipher AES-256-CBC
verb 3

Client:

client
float
dev tun
remote ip 1195
ca OpenVpn_CA.crt
cert certcrt
key key.key
redirect-gateway
push "dhcp-option DNS 192.168.0.1"
route 192.168.0.0 255.255.255.0
push "route 192.168.0.0 255.255.255.0"
pull
auth SHA1
cipher AES-256-CBC
verb 3

Was habe ich hier noch für einen Fehler?

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 276514

Url: https://administrator.de/contentid/276514

Ausgedruckt am: 24.11.2024 um 18:11 Uhr

28 Kommentare

Neuester Kommentar

Das hiesige Tutorial was alle Schritte erklärt hast du durchgelesen??
OpenVPN Server installieren auf pfSense Firewall, Mikrotik. DD-WRT oder GL.inet Router

Allerdings funktioniert meine Verbindung ins Internet nicht.

Wie kann das denn sein wenn du von außen aus dem Internet ! auf den OVPN Server zugreifen kannst ???
Irgendwas stimmt hier also nicht von deiner Beschreibung, denn diese deine Äußerungen widersprechen sich ja dann diametral !
Ein "push route" und ein "route" Stamentent auf ein und dasselbe IP netzwerk in der Client Konfig ist auch unsinn. Eins davon kann entfallen !
Warum auch die push "dhcp-option DNS 192.168.0.1" Option doppelt in der Server Konfig...ist auch Unsinn.

Führe ich einen ping gooogle.de aus, habe ich nur Zeit Überschreitungen

Das kann auch niemals klappen denn diese IP bzw. Hostnamen ist ungültig !
Nimm stattdessen besser ping 8.8.8.8 oder noch besser tracert 8.8.8.8 um zu sehen wo es hakelt.

Hey,
ja das Tutorial hab ich angeschaut. Wenn ich die Serverconfig + Client von dort nehme, dann baut er nicht einmal eine Verbindung auf.

Noch einmal mit der Verbindung wegen dem Internet.
Ich verwende eine Mobilfunkverbindung auf meinem Laptop. Hier öffne ich meinen Browser fürs Internet. Seite lädt und öffnet..
Anschließend verbinde ich mich mit dem VPN. Ich warte ab bis die Verbindung steht. Meine Netzlaufwerke sind dann verfügbar. Ich öffne also erneut den Browser. Dieses mal bekomm ich allerdings keine Verbindung ins Internet. Sprich die Webseiten laden, nach einiger Zeit eben eine Fehlermeldung das er keine Verbindung hat.

Ich habe die doppelten Einträge entfernt. Ping auf 8.8.8.8 geht auch nicht.

Wenn ich die Serverconfig + Client von dort nehme, dann baut er nicht einmal eine Verbindung auf.

Da machst du dann wohl generell was falsch. Die Konfig rennt hier im Live Betrieb fehlerlos auf einer WRT54 Hardware.

mit der Verbindung wegen dem Internet.

Der Dativ ist dem Genetiv sein Tod.... !

Ich verwende eine Mobilfunkverbindung auf meinem Laptop

Hast du damit auch sicher geprüft das du eine öffentliche IP dort bekommst vom Mobilfunkprovider und keine privaten RFC 1918 IPs wie bei billigen nur Surf Accounts.
Damit schlägt ein VPN wegen der NAT problematik imemr fehl. Siehe auch hier:
VPN über webn walk Stick IV nicht mehr möglich
Leider fehlt von dir dazu jegliche Information und zwingt uns hier zum Blick in die Kristallkugel

prich die Webseiten laden, nach einiger Zeit eben eine Fehlermeldung das er keine Verbindung hat.

Hast du hier mal einen Traceroute (Winblows tracert) auf die Webseiten ausgeführt ??
Gehen die den direkten Hop ?
Was passiert bei einem nslookup auf die Zielseite werden DNS Namen sauber aufgelöst ?
Mit push "redirect-gateway def1" routest du generell ALLES in den Tunnel, was eigentlich unsinnig ist, es sei denn du willst das ?
Normal routet man ja nur remoten Traffic ins VPN fackelt aber das allgemeine Internet lokal ab.
Ist das so gewollt ?
Wenn ja musst du checken ob dein Router noch NAT macht für die internen OVPN Client IP ! Du kommst ja mit einer 172.16.2er IP bei ihm an und wenn der nur 192.168..0.0er Adressen NATet hast du ein Problem !

Betreibst du dort einen Router Kaskade mit 2 Routern oder ist der OpenWRT Router der den OVPN hält auch gleichzeitig dein einziger zentraler Router !
Bei einer Kaskade musst du die zusätzlichen statischen Routen beachten !!

Eine öffentliche IP bekomme ich. Ich verwende zu Hause einen alten PC mit Linux. Dort ist ebenfalls ein OpenVPN Server eingerichtet. Von dort habe ich auch die Config übernommen. Verbinde ich mich darauf, funktioniert alles. Ich wollte diesen allerdings entsorgen. Und der Router läuft eh ständig. Also kann es eig. ja nicht an den anderen Geräten (Mobilfunkverbindung) liegen.
ich verwende mehrere Router. Allerdings auf diesem, wo der VPN läuft, ist der erste Router in der Kette. Sprich dieser ist mit dem Modem verbunden.
Ja ich möchte eig. gerne alles durch den VPN schicken. Da ich auch immer wieder im Ausland unterwegs bin, und dort das Wlan nutze.

Ein tracert 8.8.8.8 sobald die VPN Verbindung steht scheitert.
https://www.dropbox.com/s/8dbgjry1f057dko/google.jpg?dl=0

Sprich dieser ist mit dem Modem verbunden.

Ist für dich hier die Bezeichnung "Modem" ein wirkliches NUR Modem (transparenter Medienwandler) oder ist das was du hier als "Modem" bezeichnest auch ein Router sprich eine Router Kaskade ?
Technisch ist da ein großer Unterschied !
Kopplung von 2 Routern am DSL Port

Ist in deinem geposteten Dropbox Link ein Screenshot Bild ?? Dann beachte bitte dies:
Das Forum hat selber eine wunderbare Bilder Upload Funktion. Die kann dir nicht entgangen sein beim Erstellen deines Beitrags, es sei denn du hast Tomaten auf Selbigen ?!
Wenn man die FAQs liest ist es kinderleicht:

Deinen Originalthread mit "Meine Fragen" auswählen und auf "Bearbeiten" klicken !
Nun kannst du oben den Button "Bilder" nicht übersehen. Anklicken und dein Bild hochladen
Den nach dem Upload erscheinenden Bilder Link mit einem Rechtsklick und Copy und Paste sichern.
Diesen Bilder Link kannst du hier in jeglichen Text bringen ! Ja, auch Antworten !! Statt des Links kommt dann ...et voila.. Dein Bild !

Das Bild man übrigens wunderbar auch noch nachträglich einbinden und die Forumscommunity hier wird es dir danken.

Hm also ich bin der Meinung, dass es ein stink normales Modem ist. Billigteil von Kabel BW wo man bekommt. Ist ein Arris TM502B/220. Ich verbinde da nur das Coax Kabel aus der Dose mit dem Modem. Von dort aus mit einem LAN Kabel an den Router.

Bist du nur der Meinung oder weisst du es ganz sicher ?!
Mit Raten im freien Fall kommen wir nicht weiter hier.

Du kannst das übrigens immer an der Provider Adresse sehen !
Öffentlich = Modem
RFC 1918 = Router

In diesem Fall lag ich dann wohl richtig.
Adresse ist 134.3.xx.xx Ich habe gerade eben einmal das push "redirect-gateway def1" weggenommen und dafür die push "route 192.168.0.0 255.255.255.0" in den Server eingetragen.
Verbindung steht. Zugriff ins Netzwerk ist auch vorhanden. Internet funktioniert auch. Allerdings nicht über den VPN. Würde schon gerne alles durch den Tunnel schicken, da ich wie gesagt mich immer mal wieder im Ausland befinde und dort auf Hotspots zugreife.
Aber das ganze sollte doch funktionieren. Wenn ich auf meinen aktuellen VPN zugreife, dieser steckt in einem der LAN Ports des Routers, dann kann ich auch alles durch den Tunnel schicken. Dort funktioniert es komischerweise.

Allerdings nicht über den VPN.

Ja, das ist logisch, denn dafür brauchst du dann wieder "redirect-gateway def1" wenn du alles durch den Tunnel schicken willst !
Siehe hier:
https://openvpn.net/index.php/open-source/documentation/howto.html#redir ...
Ggf. mit "local" flag ?!

Kann es sein das du mit dem redirect Gateway ggf. ein DNS Problem hast ?
http://askubuntu.com/questions/462533/route-all-traffic-through-openvpn

Hast du beim Pingen mal versucht eine direkte Internet IP (z.B. 8.8.8.8) zu pingen bzw. zu tracerouten ?? Das schliesst dann ggf. DNS Probleme sicher aus !
Vergiss ausserdem nicht das wenn du alles in den Tunnel schickst du mit einer internen OpenVPN Absender IP am Router nakommst. Wenn der z.B. nur einzig lokale IP Adressen aus seinem lokalen LAN NATet (IP Adress Translation) ins Internet und NICHT die aus dem OVPN Netz, dann bleiben diese Pakete im NAT Prozess des Routers hängen.
Oder wenn der Router eine aktive Firewall hat ggf. in dessen Firewall wenn die nicht entsprechend customized ist !

Erst mal Danke für die vielen Antworten.
Also ping bzw trace auf 8.8.8.8 funktioniert nicht. Dann habe ich mal in die Firewall des Routers folgendes hinterlegt.

iptables -I INPUT 1 -p udp --dport 1195 -j ACCEPT
iptables -I INPUT 3 -i tun0 -j ACCEPT
iptables -I FORWARD 3 -i tun0 -o tun0 -j ACCEPT
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 - -dj ACCEPT
iptables -I FORWARD -i vlan1 -o br0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT
iptables -I FORWARD -s 172.16.2.0/24 -d 192.168.0.0/24 -j ACCEPT
iptables -I FORWARD -s 192.168.0.0/24 172.16.2.0/24 -j ACCEPT
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
iptables -t nat -A POSTROUTING -s 172.16.2.0/24 -o eth0 -j MASQUERADE

Zusätzlich unter Sicherheit die SPI Firewall deaktiviert.
Irgendwo wird weiterhin etwas blockiert.

Ja, sieht de facto nach einer Firewall Fehlkonfiguration dann aus !
Mach die FW erstmal auf und konfiguriere dann Step by Step die regeln, dann weisst du genau an welcher es dann kneift.

Hm das Problem dabei ist, selbst wenn ich die Firewall abschalt, geht es noch nicht.

Oha....dann hast du aber ein gravierendes anderes Problem.
Bekommst du denn überhaupt irgendeinen Traffic durch den Tunnel ?

Ja ich kann Daten in und aus dem Heimnetzwerk kopieren. Das funktioniert. Allerdings alles was ins Internet dann raus geht, wird völlig blockiert, selbst wenn ich die SPI Firewall deaktiviere.

Vermutlich kann dein NAT Router damit nicht umgehen oder hält der selber den OVPN Server ?
Bedenke das die OVPN Pakete mit einer anderen IP Absenderadresse am NAT ankommen als die des lokalen LANs !
Es gibt billige Router die einzig nur IP Pakete des lokalen LAN IP Netzes NATen und andere einfach ignorieren bzw. droppen.
Das könnte eine Ursache sein, denn generell funktioniert das ja fehlerlos.

Auf dem Nat Router selbst laeuft der VPN.
Bei dem Router handelt es sich um den WLR TP-LINK TL-WDR3600.
Wenn er wirklich die Pakete verwirft, sollte es nicht möglich sein, das VPN Netzt zu bridgen? Ich habe mal gehoert bei ddwrt sollte das auch möglich sein. Ich kann ja auch ein Wlan Netz fuer Gaeste seperat von meinem Heimnetz laufen lassen.

Das ist generell möglich bei OVPN:
https://openvpn.net/index.php/open-source/documentation/miscellaneous/76 ...
Allerdings ist davon abzuraten, denn das bedeutet das auch dein gesamter Broad- und Multicast Traffic des netzes im VPN Tunnel ist und das massiv zu Lasten der Performance geht.
Es gilt der goldene Netzwerker Grundsatz auch hier: "Route where you can, bridge where you must...!"

Hm das ist doch Käse...
Dann muss ich mir nochmal überlegen was ich nun mach.
Ich Dank dir für die Antworten.

Das kann ja nur irgendein Kinken mit den iptables sein ?! Was verwunderlich ist das du manuell daran rumfummelst...?
Normalerweise muss man unter DD-WRT rein gar nichts an der Firewall fummeln, denn alles funktioniert so ohne manuelle Intervention.
Das gilt auch für eine simple und klassische OVPN Installation die du da machst.
Vielleicht fängst du nochmal ganz von vorn an mit einem jungfräulich geflasheten Router OHNE deine eigentlich überflüssigen iptables Fummeleien !

Werde ich wohl noch versuchen.
Was heist hier fummlerei an den iptables? Laut Anleitung müssen ja ein paar Dinge eingetragen werden.
Diese hatte ich ja bereits drin. Als es nicht ging, hab ich bei der Suche versch. Anweisungen wo ich zu diesem Problem gefunden habe noch mit auf genommen.
Werde aber wohl alles wieder auf Werkseinstellungen setzten und dann nochmal versuchen.

Laut Anleitung müssen ja ein paar Dinge eingetragen werden.

Welche Anleitung ?? Die hiesige_Anleitung erwähnt das mit keinem Wort ! Man muss keineswegs irgendwelche Anpassungen machen !
Checke bitte auch mit iptables -l das deine Fummeleien auch wirklich entfernt sind !
Am besten neu flashen, dann gehst du auf Nummer sicher

Werde ich machen. Doch genau in dieser Anleitung steht es doch drin. Vor diesem Punkt "Ist der OpenVPN Server aktiv ?". Steht extra noch dran: Wichtig.
Da stehen doch die Einträge für die Firewall.

Lass die erstmal weg und schlate die FW aus. Nur erstmal um die gernelle Connectivity herzustellen.
Dann erst Schritt für Schritt das Tor zumachen. Diese Vorgehensweise ist sicherer, damit du dir nicht einen Wolf suchen musst welche Regel dir nun einen Falle stellt

Ich glaube es echt nicht. Heute hatte ich mal wieder etwas Zeit um mich mit dem Thema zu befassen.
Also alles zurückgesetzt und mal alle Firewallregeln gelöscht. Danach SPI deaktiviert und die ganzen Daten wieder hinterlegt.
Verbindung wieder aufgebaut. Aber auch jetzt keine Änderung.

Da bleibt ja dann wirklich nur ein Hardware Defekt über...was anderes kann es ja fast nicht mehr sein.
Das Design rennt hier auf mehreren WRT54 mit DD-WRT und TP-Link 841N mit OpenWRT ohne jeglichen Fehler !!

Hey,
also das die HW defekt ist davon gehe ich nicht aus. Weil das ist eig. ja nur eine Softwaregeschichte. Der Router läuft ansonsten ja ohne Probleme.
Aus diesem Grund konnte ich das Thema für mich einfach noch nicht beenden. Kurz um das ganze funktioniert nun.
Ich habe in den Firewalls lediglich folgende Befehle eingetragen

iptables -I INPUT 1 -p udp --dport XXXX -j ACCEPT
iptables -I INPUT 3 -i tun0 -j ACCEPT
iptables -t nat -A POSTROUTING -s 10.7.0.0/24 -j MASQUERADE
iptables -I FORWARD 1 --source 10.7.0.0/24 -j ACCEPT

Dabei habe ich die letzte Zeile neu hinzugefügt. der Rest stand bereits drin. Auf einmal konnte ich ins Internet. Was ich allerdings komisch finde. Warum ging es nicht als die SPI Firewall ab geschalten war.
Aber okay sei es drum, wichtig für mich ist das es nun funktioniert.

@aqui ich Danke dir für deine Bemühungen und die Ratschläge.

Edit:
Ich habe das ganze jetzt einmal noch auf meinem iPhone versucht. Der Ping auf 8.8.8.8 funktioniert und auch sonst andere Seiten, allerdings wenn ich im Safari eine Seite aufrufen will, mag diese nicht. Whatsapp z.B. funktioniert auch.

Edit2:
Nun läuft es auch auf dem iPhone.
auf dem Server habe ich mal alle push dns entfernt und nur noch den redicrect gateway drin. Nun scheint es auf allen Geräten zu funktionieren. Zugriff ins lokale Netzwerk, wie auch ins Internet.

allerdings wenn ich im Safari eine Seite aufrufen will, mag diese nicht

Hast du es mal mit der nackten IP dieser Seite versucht statt des Namens, Z.B. 82.149.225.18 für administrator.de ?

Nun läuft es auch auf dem iPhone.

Na denn....alles gut Case closed

@marcel90

Kannst du dir mal bei nächster Gelegenheit mein Problem ansehen.
Vielleicht kannst du was zur Lösung beitragen.

Kein Zugriff ins WWW - OpenVPN mit DD-WRT Router (Linksys WRT1900ACS)

Danke.