11.06.2023, aktualisiert um 10:07:19 Uhr

3206

OpenVPN Server auf QNAP: keine Verbindung

Guten Morgen

Auf einem aktuellen QNAP NAS den OpenVPN Server aktiviert.

Die MAC - Adresse des PC ist im Router fixiert
Auf dem Router ist Port 1194 UDP freigeschalten

Die automatische erstellte Config Datei enthält neben dem Zertifikat diese Statments:

client
dev tun
script-security 3
remote 92.105.37.72 1194
resolv-retry infinite
nobind
auth-nocache
auth-user-pass
remote-cert-tls server
reneg-sec 0
cipher AES-256-CBC
tls-cipher TLS-ECDHE-RSA-WITH-AES-256-GCM-SHA384:TLS-ECDHE-ECDSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-GCM-SHA384:TLS-DHE-RSA-WITH-AES-256-CBC-SHA256:TLS-DHE-RSA-WITH-AES-256-CBC-SHA:TLS-DHE-RSA-WITH-AES-128-CBC-SHA

proto udp
explicit-exit-notify 1

Fehler: TLS Handshake schlägt fehl
Logfile:

DEPRECATED OPTION: --cipher set to 'AES-256-CBC' but missing in -  
OpenVPN 2.6.4 [git:v2.6.4/b4f749f14a8edc75] Windows-MSVC [SSL (Op
Windows version 10.0 (Windows 10 or greater), amd64 executable
library versions: OpenSSL 3.1.0 14 Mar 2023, LZO 2.10
DCO version: v0
TCP/UDP: Preserving recently used remote address: [AF_INET]92.105
UDPv4 link local: (not bound)
UDPv4 link remote: [AF_INET]92.105.37.72:1194
SIGTERM received, sending exit notification to peer
SIGTERM[soft,exit-with-notification] received, process exiting

Fragen:
? Kann ich das Logfile konfigurieren, um mehr Details zu erhalten. Ggf über CLI anstatt GUI verbinden?

Fakten:
- Auf zwei PCs wird beim Verbindungsversuch derselbe Fehler angezeigt.
- Zugriff über VNC auf den PC problemlos. Also kein CGNAT aka IP aus dem Backbone des ISP
- Danke an Aqui für den tollen Merkzettel: VPN Installation mit OpenVPN!
- In einem Forum hiess es in einem Post von Feb 2023 man solle noch diese Option setzen:
"tls-cert-profle-insecure" - kein Effekt.
- Im Router sind "offene" DNS Resolver konfiguriert. Nicht die vom ISP
- Da ich seit letztem Donnerstag wenig Gelegenheit zum schlafen fand, könnte ein dummer Fehler meinerseits vorliegen...

Beste Grüsse

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 7487679636

Url: https://administrator.de/contentid/7487679636

Ausgedruckt am: 21.11.2024 um 15:11 Uhr

22 Kommentare

Neuester Kommentar

Hallo,

du kannst in der client.cfg einfach diesen Wert einfügen und ggf erhöhen um etwas mehr output zu erhalte

verb 3

grüße

Nachtrag
Wenn ein TLS Handshake fehlschlägt, ist in der Regel ein Routingproblem
Ich habe verschiedene Testläufe gemacht.
Daher etwas mehr Dokumentation:

A: Übersicht auf dem OpenVPN Server

B: Freigabe im Router

C:Fehler
Und kann ich mich noch nicht einmal anmelden. Ja die Anmeldedaten sind korrekt. Copy & Paste aus Notepad++ übertragen

Langsam aber sicher überlege ich mir, dass NAS zu reseten und nochmals anzufangen...

Beste Grüsse

Wenn ein TLS Handshake fehlschlägt, ist in der Regel ein Routingproblem

Nein, 2 völlig verschiedene Baustellen, denn seit wann hätte IP Routing etwas mit TLS zu tun? IP Routing kennt bekanntlich kein TLS. Vergiss das schnell wieder.
Lies dir mal deine Error Meldungen richtig durch! Du hast ein Zertifikatsproblem!
Vermutlich hast du vergessen das OpenVPN Client Zertifikat "umzuzügeln" oder hast es gar nicht oder falsch installiert.
https://forums.openvpn.net/viewtopic.php?t=33806
Kein oder falsches Zertifikat = keine Client Authentisierung = kein VPN... Einfache Logik.

Fazit: Neue und auch richtige Zertifikate generieren. Siehe OpenVPN "Merkzettel".

Nur nebenbei: Du weisst es sicher als gestandener Foren- und (Cisco) Netzwerk Profi auch selber aber ein interner VPN Server ist keine gute Idee, denn so leitest du über ein Loch in der Firewall immer ungeschützten Internet Traffic auf dein internes LAN und den dann auch noch an ein so sensibles Gerät wie ein NAS.
VPNs gehören bekanntlich aus guten Gründen immer auf die Peripherie wie Router oder Firewall!! Also besser umzügeln!

Hallo Aqui

Danke Dir für Deinen Einsatz am heissen Sonntagnachmittag.

Als ich das letzte Mal TLS Handshake Probleme hatte, vergass ich die UDP Portweiterleitung im Router.
Andere Hinweise in anderen Foren wiesen im Falle von TLS Handshake Problemen auch in die Richtung von Protokollen und Ports - also Routing.

Ich habe den Fehler gelesen. Aber die Aussage ergibt so viel praktischen Sinn, wie die grüne Wirtschaftspolitik... Mit Verlaub gesagt.

Ich habe diesen Fehler, seit ich im OpenVPN Server den Adapter und die IP Adresse genagelt habe. Ich werde das wieder rückgängig machen. Vielleicht komme ich dann wieder auf das Ursprungsproblem zurück.
Das Zertifkat ist ja in der OPVN Datei integriert. Diese wiederum wird automatisch generiert. D.h. man macht eine Konfigänderung am Server - "apply" - danach die Config Datei downloaden.

Der aktuelle Fehler ist schlicht sinnfrei.

Beste Grüsse

Morsche.

Zitat von @PeterGyger:
Der aktuelle Fehler ist schlicht sinnfrei.

Nein ist er eben nicht, es geht hier um das CA Zertifikat nicht das des Clients, bitte richtig lesen !! Ergo besagt die Fehlermeldung das das Zertifizierungsstellen-Zertifikat am Server mit einem zu schwachen Hash erzeugt wurde also bswp. mit SHA1 statt SHA256 oder SHA512. Und Zertifikaten mit schwachen Digests wie SHA1 vertraut der OpenVPN Client per Default nicht mehr! Also erzeuge das CA Zertifikat inkl. Server Zertifikat am Server neu und lass neue Client-Zertifikate ausstellen! Alternativ mit dem selben private Key der CA das CA Zertifikat neu ausstellen dann erübrigen sich die Neuaustellungen der Client und Server Certs.
Mit fehlerhaftem Routing hat das hier überhaupt nichts zu tun, das ist Blödsinn, denn der Client bekommt ja eine Antwort, nämlich das CA Zertifikat des OpenVPN Servers zurückgeliefert!
Man kann zwar OpenSSL am Client anweisen schwache Digests zu akzeptieren aber das konterkariert die Nutzung von sicheren Zertifikaten, also sollte man das auch tunlichst nicht machen und die CA Kette vernünftig neu ausstellen.

Zeppel.

Kollege @7426148943 hat es schon gesagt: Port Forwarding ist kein IP Routing und hat damit nichts zu tun!! Keine Ahnung in welchen ominösen Foren du solcherlei laienhafte Aussagen liest, aber egal.. Auch das weisst du selber besser. Diesen Denkfehler schieben wir wohl besser mal auf die Wärme. 😉

seit ich im OpenVPN Server den Adapter und die IP Adresse genagelt habe

Bahnhof? Ägypten? Ich vermute wieder ein "umzügeln" Problem?! 🤔

Das Zertifkat ist ja in der OPVN Datei integriert.

Nein, nicht zwingend. Siehe "Merkzettel".

Diese wiederum wird automatisch generiert.

Das kann so sein, muss aber nicht. Stimmt also so pauschal gesagt nicht, jedenfalls nicht für eine klassische OpenVPN Einrichtung.

Der aktuelle Fehler ist schlicht sinnfrei.

Na ja, wie man's nimmt. Er weist auf alle Fälle auf ein Zertifikatsproblem hin.

Zitat von @aqui:

seit ich im OpenVPN Server den Adapter und die IP Adresse genagelt habe

Bahnhof? Ägypten? Ich vermute wieder ein "umzügeln" Problem?! 🤔

Stimmt!

D.h. habe die Werte für "Network Interface" und "DNS Server" konfiguriert. So sieht der Default
aus. Das habe ich entsprechend wieder hergestellt und das NAS neu gestartet

Das Zertifkat ist ja in der OPVN Datei integriert.

Nein, nicht zwingend. Siehe "Merkzettel".

Bei QNAP ist das so. Der letzte Abschnitt in der .OPVN Datei beginnt und endet mit

<ca>
-----BEGIN CERTIFICATE-----
-----END CERTIFICATE-----
</ca>

Diese wiederum wird automatisch generiert.

Das kann so sein, muss aber nicht. Stimmt also so pauschal gesagt nicht, jedenfalls nicht für eine klassische OpenVPN Einrichtung.

A: bei QNAP und vielen anderen End Consumer Lösungen ist das so.
Zweitens habe ich den Inhalt - ohne Zertifikat - der OPVN Datei in meinem ersten Post deklariert.

Der aktuelle Fehler ist schlicht sinnfrei.

Na ja, wie man's nimmt. Er weist auf alle Fälle auf ein Zertifikatsproblem hin.

Nicht am Anfang. Siehe erster Posts mit Logfile. Dort war es nur ein TLS Handshake Problem.
Den Abschnitt zu Easy-RSA / XCA im Merkzettel habe ich gelesen. Nur wüsste ich spontan nicht, wie ich dem QNAP OV Server ein selber erstelltes Zertifikat konfigurieren kann.

Das Wochenende geht ohnehin zu Ende. Da muss ich einen anderen Ansatz wählen
Danke für die kritischen Antworten und Denkanstösse.

Beste Grüsse

D.h. habe die Werte für "Network Interface" und "DNS Server" konfiguriert.

Na ja, "all" ist ja nun wenig intelligent wo ein NAS meist nur ein einziges Interface hat nämlich das zum lokalen LAN und auch der DNS Server sollte tunlichst immer die IP des Routers sein der ja als DNS Proxy arbeitet. Solcherlei "Nachlässigkeiten" ist man von dir als profunden (Cisco) Netzwerker hier gar nicht gewohnt!

Bei QNAP ist das so.

QNAP ist ja auch bekannt für profunde und performante VPN Hardware. Allein das wenig skalierende OpenVPN spricht ja schon Bände.

Der letzte Abschnitt in der .OPVN Datei beginnt und endet mit

Wie Kollege @7426148943 oben schon sagt. Worst Case: Gar kein CA Zertifikat!! Eine saubere Zertifikatserstellung sieht anders aus.
Merkzettel: VPN Installation mit OpenVPN
Na ja...wenn NAS Hersteller meinen sie können VPN....

Da muss ich einen anderen Ansatz wählen

Richtig! Bringe das VPN auf deinen Cisco Router wo es hingehört oder nimm eine Fritzbox oder einen 25 Euro Mikrotik Router zur Hand oder auch einen Raspberry Pi.

Alle können VPN deutlich besser als ein QNAP NAS.
PfSense VPN mit L2TP (IPsec) Protokoll für mobile Nutzer
Mikrotik L2TP VPN Server
IPsec IKEv2 VPN für mobile Benutzer auf der pfSense oder OPNsense Firewall einrichten
IKEv2 VPN Server für Windows und Apple Clients mit Raspberry Pi
usw. usw.

Zitat von @7426148943:
Nein ist er eben nicht, es geht hier um das CA Zertifikat nicht das des Clients, bitte richtig lesen !! Ergo besagt die Fehlermeldung das das Zertifizierungsstellen-Zertifikat am Server mit einem zu schwachen Hash erzeugt wurde also bswp. mit SHA1 statt SHA256 oder SHA512.

Hallo Zeppel
Es ist doch sinnfrei. Zwei Gründe dafür:

1: Der Verbindungsaufbau mit dem QNAP OpenVPN Server war am Anfang korrekt. D.h. es gab nur einen TLS Handshake Error. NACHDEM (!!) ich auf dem OpenQNAP Server (QNAP) zwei Parameter (DNS Server / Adapter) von den "Default" Werten auf die korrekten Werte gesetzt habe, trat erstmals der Zertifkatsfehler auf

2: QNAP bietet hier eine "Out of the Box Lösung". Ich war gestern kurz bei einem Bekannten der mich danach gefragt hatte. Natürlich sollte vom Design her eine FW oder Router dafür verwendet werden. Da er jedoch bisher nur OpenVPN kannte und seine Fritzbox das nicht unterstützt, wollte er hier einen Testlauf machen. Kurz knapp klar: Der Admin drückt hier nur "apply" und downloaded die Config. Im GUI des QNAP siehe Screenshots siehe am Anfang des Threads siehst Du das.

Das Leben ist bunter als jedes noch so gute Lehrbuch und Kontext ist alles.

Ausblick:
Eine Recherche ergab, dass QNAP in den letzten Jahren sich auf Wireguard fokusiert hat. D.h. die Pflege der Applikation wurde ev. vernachlässigt.
Aktuell wird überlegt das NAS zu reseten oder an die "Fritte" einen VPN Router wie den MikroTik VPN-Router RB760iGS hEX S anzuhängen.

Beste Grüsse

Da muss ich einen anderen Ansatz wählen

Richtig! Bringe das VPN auf deinen Cisco Router wo es hingehört oder nimm eine Fritzbox oder einen 25 Euro Mikrotik Router zur Hand oder auch einen Raspberry Pi.

Hallo Aqui

Wenn ein Anwender einen Schnellschuss abgeben will, um erste Erfahrungen zu sammeln werde ich nicht dagegen halten. Solange er nicht nassen Fingern am Stromkabel fummelt, gebe ich keinen ungefragten Kommentar dazu.

Es wird wahrscheinlich ein MikroTik VPN-Router RB760iGS hEX S sein

B.t.w. hat dieses NAS zwei NW-Adapter. Ein Mittelklassemodell das gerade im Netzwerk verschiedene Szenarien abdecken kann.

Danke Dir und allen Teilnehmen für Eure Zeit und Know How. Für heute ist genug geblutet - bald Zeit für das Nachtessen - d.h. kochen gehen

Beste Grüsse

Es ist doch sinnfrei. Zwei Gründe dafür:

Ahh ja, sagt hier der Zertifikats-Experte ....🫣
Blablabla, ein Check des CA Zertifikats mittels

openssl x509 -in ca.pem -noout -text | grep "Signature Algorithm"

bringt Klarheit und man muss nicht dumm in der Gegend rum raten ...
Austausch der CA und Server-Cert ist pillepalle und wenn's keine GUI geben sollte auch schnell über die Konsole (SSH) abgefackelt.
https://helpomatic.com/update-openvpn-certificates-on-qnap/
GUI verblödet die Menschheit und lenkt nur vom wesentlichen ab, sieht man wieder einmal mehr ...
QNAP Hardware bekommt hier immer ein plain vanilla Linux eingepflanzt dann ist man auch nicht dem löchrigen Wahnsinn von QNAP ausgeliefert, denn out of the box die Dinger per Portforwarding ins Netz zu hängen grenzt ja echt schon an Selbstmord frei Haus.

Guten Morgen Zeppel

Über SSH wie von Dir verlinkt das Zertifikat auszutauschen, setze ich für diese Woche auf die Liste.
Den Versuch schulde ich Dir für Deine Antwort bzw. Hinweis.

Deine Petition "Mehr CLI statt GUI" unterschreibe ich jederzeit. Aber den Komfort eines schnellen GUIs schlage ich nicht aus.

OT:
"Plain vanilla Linux"? Auch über die Suchmaschine finde ich auf Anhieb wenig Informationen dazu:
"In Unix-Kernels ist ein vanilla kernel ein Kernel, der nicht durch Third-party-Quellen modifiziert wurde. Beispielsweise wird dem Vanilla-Linuxkernel oft ein Linux-Distribution-spezifischer „Geschmack“ durch starke Modifikation gegeben."

Quellen? Hast Du ein How to geschrieben? Z.B. hier als "Merkzettel" so wie Aqui zu OpenVPN?

Beste Grüsse

Zitat von @PeterGyger:

Quellen? Hast Du ein How to geschrieben? Z.B. hier als "Merkzettel" so wie Aqui zu OpenVPN?

https://eldon.me/install-arch-linux-on-qnap-nas

Hallo Zeppel

Danke für den Link zu Linux Installation auf einem QNAP. Das habe ich in meinen Bookmarks gespeichert.

Den Helpomatic Artikel kann ich nicht umsetzen. Im Verzeichnis /etc/ sehe ich kein
/etc/openvpn/ Verzeichnis. Und ich bin als "admin" angemeldet.
Aber da ich diese "Schnellschuss" Out of the Box Lösung nicht funktioniert, werde ich hier auch keine weitere Zeit aufwänden

Beste Grüsse

Zitat von @PeterGyger:

Den Helpomatic Artikel kann ich nicht umsetzen. Im Verzeichnis /etc/ sehe ich kein
/etc/openvpn/ Verzeichnis. Und ich bin als "admin" angemeldet.

Der liegt bei QNAP nun woanders, habe gerade kein Qnao zur Hand, musst halt mal ein "find" aufs root dir abfeuern dann finden die sich schnell. Bisschen Entdecker-/Wissensdrang musst du auf der Konsole schon mitbringen, wie in fast jedem Metier eine Grundvoraussetzung für Erfolg.
Ein Grund warum ich mich selbst nie nur auf irgendwelche Tutorials verlasse sondern den Dingen selbst auf den Grund gehe, dabei lernt man wesentlich mehr als stumpf Ablesen und Nachmachen zu vollziehen..

Und ich bin als "admin" angemeldet.

Ein pfiffiger "Admin" sucht dann mit find / -name openvpn -print danach!

werde ich hier auch keine weitere Zeit aufwänden

Besser ist das, denn VPNs gehören bekanntlich auf den Perimeter!

https://www.duden.de/rechtschreibung/aufwenden
Oder ist das jetzt auch schon wieder so ein "zügeln" Ding?! 🤣

Bisschen Entdecker-/Wissensdrang musst du auf der Konsole schon mitbringen, wie in fast jedem Metier eine Grundvoraussetzung für Erfolg.

Hallo Zeppel
Goldene Worte die ich unterschreibe! Im Ernst!!

Wie Aqui hämisch (und zu Recht! Shame on me) anmerkte, ein pffiger Admin hätte mit "find" sich beholfen. Daran denke ich das nächste Mal

Aber vielleicht hast auch Du nur eine 168 Stundenwoche. Du gehst kurz vorbei, um 30 Min für eine Out of the Box Lösung zu investieren. Und die Mechanik spielt einfach nicht mit. Wenn ich eines in meinem Leben gelernt habe, dann ist es loslassen.

Triagiert nach Eisenhower Matrix, ist das aktuell weder wichtig noch dringend. Sobald ich schwarze Loch bzw. eine temporale Blockade anderer Art gefunden habe, hole ich das Problem (mit find

) aus der Schublade.
Nochmals danke für den Input.

Beste Grüsse

https://www.duden.de/rechtschreibung/aufwenden
Oder ist das jetzt auch schon wieder so ein "zügeln" Ding?! 🤣

Lieber Aqui

Heute ist ein Festtag! Das ich als Mundartsprecher einem deutschen Kollegen den Duden zitieren darf... 😂🤣🤩

D.h. ich muss kurzfristig heute Abend ein kleines Essen einplanen. Einen alten Roten aus dem Keller holen, auf dem Nachhauseweg noch ein riesen Schweinsplätzchen aufschneiden lassen, mit Gruyere / Bauernschinken füllen, mehlen, panieren und mit viel Butte goldgelb braten. Spätzle habe ich im Tiefkühler und Hero Büchse mit Erbsen / Karotten (abgiessen /abwaschen natürlich) habe ich auch noch im Vorrat... 🤗

Alles nur, weil man einmal bei Aqui Recht behält. Ich hoffe doch aber sehr, dass Du nicht langsam alt wirst bzw. das das einreisst! 😉😜

Beste Grüsse aus dem "aufwändig" / "zügle" Sprachland
Peter

Ich ahnte es schon... Die "Zügel" lauern wieder überall!! 🤣

Zuerst kämpften wir mit dem Denglisch, Brockenhaus ging unter, Duden wurde relativiert, danach kam die Rechtschreibe Reform, der Gendern Meinungsterror.

Ehrlich - wer da noch den Überblick / Durckblick? 😎😏