Fragen zu VPN

raimuell · 18. Apr 2014

Hallo,

ich hätte zu VPN ein paar Fragen, die ich trotz Recherche im Netz nicht klären konnte.

Ich habe eine DS214play (DSM4.3) zu Hause (AVM Fritz 6360) und eine DS214SE (DSM4.3) bei einem Verwandten (Dlink DIR 615).
Ziel ist eine nächtliche Datensicherung. Muss dazu der VPN-Server auf dem Ziel-NAS oder dem Quell-NAS installiert sein?
Prinzipiell könnte ich doch dann den port 22 zumachen und nur den 1194 für vpn in den Routern offen lassen?

Ich habe bisher zu Hause einen OpenVPN-Server eingerichtet und von der DS214SE über selfhost-ddns eine Verbindung hergestellt, die DS214SE hat die ip 10.8.0.6. Auf meiner DS214play habe ich in der Firewall alle ports für diese interne ip (10.8.0.6/255.255.255.0) freigegeben, komme aber mit dieser ip nicht auf die DSM-Oberfläche: 10.8.0.6:5000. Oder muss ich dazu die client-ip benutzen bzw. die ddns-Adresse xyz.dlinkddns.com?

Grüße und Danke
raimuell

Anzeige · 18. Apr 2014

Hallo raimuell,

Bücher und Hardware zum Thema gibt es bei Amazon: Fragen zu VPN

fpo4711 · 19. Apr 2014

Hallo raimuell,

ich versuche mal etwas Licht in die Sache zu bringen. Wenn Du wie du beschreibst OpenVPN nutzen willst, dann brauchst Du nur auf der Serverseite den Port 1194 UDP am Router weiterleiten. Mehr nicht. Auf der Clientseite braucht am Router keine Weiterleitung eingerichtet werden.

Und das bringt uns zu deiner zweiten Frage. Auf der Serverseite muß der VPN-Server installiert sein, auf der Clientseite nicht. Hier sind die Einstellungen unter der Systemsteuerung / VPN zu finden. Port 22 würde ich in jeden Fall zumachen.

Ansprechen kannst Du die DS mit ihrer lokalen IP. Nicht die 10.8.0.X verwenden, das ist die IP des Tunnels und die kann sich jederzeit ändern.

Daran denken Du kannst die Server-DS jederzeit von der Client-DS mit ihrer loakeln IP ansprechen, aber ohne spezielle Konfiguration nicht von der Serverseite. Und schon garnicht solltest Du die DDNS verwenden. Das endet meist in einem Desaster.

Wenn Du auch von weiteren Clienten(PC's) im Clientnetz die DS auf der Serverseite ansprechen willst, mußt Du entweder manuell Routen definieren, im Router eine statische Route eingeben (z.Bsp. Fritzbox läßt das zu) oder aber auf dem PC die IP der Client-DS als Gateway eintragen.

Ne Menge Stoff erst mal zum verarbeiten

Bis dann
Frank

raimuell · 20. Apr 2014

Hi fpo4711,

danke für die Infos, den port hatte ich beidseitig offen, da werde ich wieder einen schließen. VPN-Server installieren ist klar, der VPN-client ist ja in der Systemsteuerung vorhanden. Meine Frage war, ob es egal ist, ob die Quell-DS oder die Ziel-DS für die Datensicherung der VPN-Server sein muss, oder ist das egal? Danke für die Erklärung mit den versch. IPs! Momentan habe ich aber zuerst ein anderes Problem zu beseitigen: http://www.synology-forum.de/showthread.html?53230-DS214play-(fast)-tot&p=423369#post423369

Grüße
raimuell

ChristianH · 06. Jun 2014

Keine statische VPN-IP

Hallo zusammen,

da ich ein ähmliches Problem habe, wollte ich kein neues Thema aufmachen, zumal ich aus meiner Sicht alle Vorgaben so wie beschrieben umgesetzt habe.

Kurz zum Setup: zuhause eine DS713+ mit VPN-Server. Subnetz: 192.168.2.x. DSM 5.0-4493
Täglich soll ein Backup auf eine 400 km entfernt stehende DS109 erfolgen (DSM 4.2-3248). Adresse der DS im VPN für das Backup: 10.8.0.6. Subnetz ist abweichend von dem des Servers: 192.168.178.x
VPN-Client auf der DS109 ist aktiviert, Verbindung wird auch selbständig aufgebaut.

Erfolgt auf Seite des VPN-Client die Zwangstrennung des Providers (Dt. Telekom - z.Zt. vormittags!), bekommt der VPN-Client trotz der vorgenommenen Einstellungen eine neue VPN-IP.

Folgende Änderungen hatte ich dank dieses Forums bereits gemacht:
1. Ordner "ccd" angelegt unter /var/packages/VPNCenter/etc/openvpn
2. In diesem Ordner ein File mit dem Namen des Benutzers angelegt, der sich über OpenVPN einwählt.
3. In das File folgenden Eintrag gemacht: iroute 192.168.178.0 255.255.255.0
4. Unter /var/packages/VPNCenter/target/etc/openvpn/radiusplugin.cnf overwriteccfiles=false gesetzt
5. Unter /var/packages/VPNCenter/etc/openvpn/openvpn.conf folgende Zeilen eingefügt:
route 192.168.178.0 255.255.255.0
client-config-dir ccd
client-to-client
6. VPN-Server neu gestartet (Häkchen bei OpenVPN raus - sichern - Häkchen wieder rein - sichern)
7. statische Route in der Fritzbox gesetzt:

Leider hat der VPN-Server heute morgen statt der 10.8.0.6 dem Client die 10.8.0.10 zugewiesen. Die Sicherung läuft aber gegen die 10.8.0.6, so dass es nach ein paar Minuten zum Timeout kommt.

Ich wäre dankbar für einen Tipp, wo der Fehler liegt.

Gruß
Christian

fpo4711 · 06. Jun 2014

Hallo Christian,

vergiß doch einfach mal die IP-Adressen des Tunnels. 10.8..... Nimm wenn Du eine DS ansprechen willst ihre lokalen IP's. Die Konfiguration mit dem ccd brauchst Du auch nur wenn Du von der Serverseite die Clientseiten ansprechen willst. Im umgekehrten Fall ist das nicht nötig. Und das die Clientseite eine andere Tunnel-IP nach einer Trennung bekommt, das kann jeder Zeit passieren.

Gruß Frank

ChristianH · 06. Jun 2014

Danke für die schnelle Rückmeldung - werde ich gleich ausprobieren!

Gruß
Christian

ChristianH · 06. Jun 2014

Hallo Frank,

also: die VPN-Verbindung bleibt ja aufgebaut zwischen beiden DS.

Wenn ich nun ein neues Sicherungsziel angebe, erhalte ich folgende Fehlermeldung:

20140606_Fehlermeldung Sicherungsziel.jpg

Ich bekomme die Meldung auch, wenn ich es über die DDNS versuche (so hatte ich früher gesichert, da gab es aber auch Probleme nach der Zwangstrennung, da die DS713+ nicht die neue IP-Adresse mitbekommen hat). Dass es über DDNS jetzt nicht geht, erscheint mir aber nachvollziehrbar, weil ja ein VPN aufgebaut ist, oder?

Mit der aktellen VPN-IP 10.8.0.10 klappt es hingegen auf Anhieb. Was muss ich also tun, damit ich die lokale IP 192.168.78.19 verwenden kann und mich trotzdem im VPN befinde?

Gruß
Christian

fpo4711 · 06. Jun 2014

Wenn ich deinen Angaben richtig folgen konnte, finde ich keinen Fehler ausser folgendem

ChristianH schrieb:
Was muss ich also tun, damit ich die lokale IP 192.168.78.19 verwenden kann und mich trotzdem im VPN befinde?

Ansonsten könntest Du mal nach Aufbau der Verbindung auf der Client bzw. Serverseite in der Konsole "route" eingeben und das Ergebnis hier posten. Dann kann man sehen ob die Routen korrekt gesetzt sind.

Gruß Frank

ChristianH · 06. Jun 2014

Hallo Frank,

die 78 war nur ein Tippfehler, sollte natürlich 178 heißen.

Das hier kann ich schon einmal beitragen:

An die entfernt stehende DS komme ich gerade nicht. Gegen 19 Uhr kann ich mich auf einen PC aufschalten, der dort im Netz steht. Dann versuche ich es nochmal.

Oder hilft das schon weiter?

Gruß
Christian

fpo4711 · 06. Jun 2014

Gehe mal davon aus das das der Server ist. Tja, da fehlt auf jeden Fall eine Route zum Clienten. Prüfe doch einmal deine openvpn.conf ob auch wirklich

Rich (BBCode):

route 192.168.178.0 255.255.255.0

enthällt und ob in deiner ccd auch wirklich

Rich (BBCode):

iroute 192.168.178.0 255.255.255.0

drin steht. Sollte letzteres nicht der Fall sein. Dann nochmals prüfen ob overwriteccfiles=false in der Config vom Radius-Plugin steht. Zuerst diese Option ändern dann Server neustarten und erst jetzt die obige Zeile eintragen. Wird sonst immer wieder überschrieben.

Gruß Frank

ChristianH · 06. Jun 2014

Also, die openvpn.conf sieht so aus:

ev tun

management 127.0.0.1 1195

server 10.8.0.0 255.255.255.0

push "route 10.8.0.0 255.255.255.0"

route 192.168.178.0 255.255.255.0
client-config-dir ccd
client-to-client

dh /var/packages/VPNCenter/target/etc/openvpn/keys/dh1024.pem
ca /var/packages/VPNCenter/target/etc/openvpn/keys/ca.crt
cert /var/packages/VPNCenter/target/etc/openvpn/keys/server.crt
key /var/packages/VPNCenter/target/etc/openvpn/keys/server.key

max-clients 5

comp-lzo

persist-tun
persist-key

verb 3

#log-append /var/log/openvpn.log

keepalive 10 60
reneg-sec 0

plugin /var/packages/VPNCenter/target/lib/radiusplugin.so /var/packages/VPNCenter/target/etc/openvpn/radiusplugin.cnf
client-cert-not-required
username-as-common-name
duplicate-cn

und der User unter ccd hat

iroute 192.168.178.0 255.255.255.0

Und auch steht overwriteccfiles=false in der Config vom Radius-Plugin:

NAS-Identifier=OpenVpn
Service-Type=5
Framed-Protocol=1
NAS-Port-Type=5
NAS-IP-Address=127.0.0.1
OpenVPNConfig=/usr/syno/etc/packages/VPNCenter/openvpn/openvpn.conf
subnet=255.255.255.0
overwriteccfiles=false
server
{
acctport=31068
authport=31067
name=127.0.0.1
retry=1
wait=1
sharedsecret=4synovpn
}

Jetzt wird es wohl mysteriös.

Ich danke Dir auf jeden Fall für Deine Unterstützung!

fpo4711 · 06. Jun 2014

Ich kann da nichts falsches entdecken. Eigentlich hast Du alles richtig gemacht. Dann bleibt ja nur noch das log von openvpn /var/log/messages. Vielleicht gibt das einen Hinweis.

Gruß Frank

ChristianH · 06. Jun 2014

So, ganz frisch erzeugt: der ROUTE-Befehl von der DS109 (VPN-Client):

ChristianH · 06. Jun 2014

Und das Log - ich hoffe, ich poste hier keine confidential data...

Jun 5 22:50:52 DS-713 openvpn[16324]: event_wait : Interrupted system call (code=4)
Jun 5 22:51:18 DS-713 openvpn[3825]: WARNING: POTENTIALLY DANGEROUS OPTION --client-cert-not-required may accept clients which do not present a certificate
Jun 5 22:52:05 DS-713 openvpn[3844]: Libgcrypt warning: missing initialization - please fix the application
Jun 5 23:00:03 DS-713 iscsid: iSCSI logger with pid=5782 started!
Jun 5 23:00:03 DS-713 timebkp: [5785]BK_ERR:try to create SSH tunnel
Jun 5 23:00:04 DS-713 iscsid: transport class version 2.0-870. iscsid version 2.0-871
Jun 5 23:00:04 DS-713 iscsid: iSCSI daemon with pid=5783 started!
Jun 5 23:00:11 DS-713 iscsid: connection1:0 is operational now
Jun 5 23:00:11 DS-713 kernel: [33184.195449] got iSCSI disk[0]
Jun 5 23:00:12 DS-713 hotplugd: usb_get_device_id.c:56 failed get usb id Vendor=0000, ProdID=0000, SN=0000:00:1a.7
Jun 5 23:00:12 DS-713 hotplugd: hotplugd.c:990 failed get usb device id from usb config, DEVICE=/proc/bus/usb/000/000
Jun 5 23:00:12 DS-713 hotplugd: ##### ACTION:add
Jun 5 23:00:12 DS-713 hotplugd: DEVICE:/proc/bus/usb/000/000
Jun 5 23:00:12 DS-713 hotplugd: hotplugd.c:1406 Device is not in hotplugd supported list.
Jun 5 23:00:12 DS-713 hotplugd: usb_get_device_id.c:56 failed get usb id Vendor=0000, ProdID=0000, SN=0000:00:1a.7
Jun 5 23:00:12 DS-713 hotplugd: hotplugd.c:990 failed get usb device id from usb config, DEVICE=/proc/bus/usb/000/000
Jun 5 23:00:12 DS-713 hotplugd: ##### ACTION:add
Jun 5 23:00:12 DS-713 hotplugd: DEVICE:/proc/bus/usb/000/000
Jun 5 23:00:12 DS-713 hotplugd: hotplugd.c:1406 Device is not in hotplugd supported list.
Jun 5 23:00:12 DS-713 hotplugd: usb_get_device_id.c:56 failed get usb id Vendor=0000, ProdID=0000, SN=0000:00:1a.7
Jun 5 23:00:12 DS-713 hotplugd: hotplugd.c:990 failed get usb device id from usb config, DEVICE=/proc/bus/usb/000/000
Jun 5 23:00:12 DS-713 hotplugd: ##### ACTION:add
Jun 5 23:00:12 DS-713 hotplugd: DEVICE:/proc/bus/usb/000/000
Jun 5 23:00:12 DS-713 hotplugd: hotplugd.c:1406 Device is not in hotplugd supported list.
Jun 5 23:00:22 DS-713 [INFO]: /tmp/timebkptmpexec-A83jUP[5791]: suspending snapshot origin [/dev/mapper/vol1-origin] ...
Jun 5 23:00:23 DS-713 [INFO]: /tmp/timebkptmpexec-A83jUP[5791]: creating snapshot [/dev/vg1000/lv] -> [vol1-snap0] ...
Jun 5 23:00:23 DS-713 [INFO]: /tmp/timebkptmpexec-A83jUP[5791]: resuming snapshot origin [/dev/mapper/vol1-origin] ...
Jun 5 23:00:29 DS-713 hotplugd: usb_get_device_id.c:56 failed get usb id Vendor=0000, ProdID=0000, SN=0000:00:1a.7
Jun 5 23:00:29 DS-713 hotplugd: hotplugd.c:990 failed get usb device id from usb config, DEVICE=/proc/bus/usb/000/000
Jun 5 23:00:29 DS-713 hotplugd: ##### ACTION:add
Jun 5 23:00:29 DS-713 hotplugd: DEVICE:/proc/bus/usb/000/000
Jun 5 23:00:29 DS-713 hotplugd: hotplugd.c:1406 Device is not in hotplugd supported list.
Jun 5 23:00:29 DS-713 hotplugd: usb_get_device_id.c:56 failed get usb id Vendor=0000, ProdID=0000, SN=0000:00:1a.7
Jun 5 23:00:29 DS-713 hotplugd: hotplugd.c:990 failed get usb device id from usb config, DEVICE=/proc/bus/usb/000/000
Jun 5 23:00:29 DS-713 hotplugd: ##### ACTION:add
Jun 5 23:00:29 DS-713 hotplugd: DEVICE:/proc/bus/usb/000/000
Jun 5 23:00:29 DS-713 hotplugd: hotplugd.c:1406 Device is not in hotplugd supported list.
Jun 6 00:27:05 DS-713 [INFO]: /tmp/timebkptmpexec-R8xWXo[8787]: removeing snapshot [vol1-snap0]
Jun 6 00:27:05 DS-713 [INFO]: /tmp/timebkptmpexec-R8xWXo[8787]: iscsi target [iqn.2000-01.com.synology:timebkp-target-DS-713_00113228CE4D-vol1-snap0'] logout
Jun 6 00:27:06 DS-713 [INFO]: /tmp/timebkptmpexec-R8xWXo[8787]: removing iscsi target [iqn.2000-01.com.synology:timebkp-target-DS-713_00113228CE4D-vol1-snap0]
Jun 6 02:00:02 DS-713 synobackupd: (11555) [warn] job_server.cpp:305 task [1] [backup] is running
Jun 6 02:00:02 DS-713 synobackup: (11560) [err] job_manager.cpp:231 addJob ({"pid":-1,"status":"NONE","task_id":1,"task_name":"","type":"backup"}) error: [failed]
Jun 6 09:20:32 DS-713 rsync: [sender] io timeout after 601 seconds when processing (@HEIMVIDEOS@/ECRYPTFS_FNEK_ENCRYPTED.FWaO3O5vs40mDUYh6mhVfUve9YCgm6Ag367gaRLw0CUIZo9jBPS2TntKrU--/ECRYPTFS_FNEK_ENCRYPTED.FWaO3O5vs40mDUYh6mhVfUve9YCgm6Ag367gbYUO5h4of3OguruZIExP8---/ECRYPTFS_FNEK_ENCRYPTED.FXaO3O5vs40mDUYh6mhVfUve9YCgm6Ag367gRQajBYrPufBLh9G0bl0m3I5.zZpHF0yP-curVPYWCeI-) -- exiting
Jun 6 09:20:32 DS-713 synonetbkp: netbkp_rsync_execv.c:122 Failed to execute rsync command. source=[/volume1/@HEIMVIDEOS@], target=[Backup@10.8.0.6::Synology-Backup_DS713/DS-713_1//], ret=30
Jun 6 09:20:32 DS-713 synonetbkp: netbkp_upload_share_data.c:117 Failed to execute rsync command.
Jun 6 09:20:32 DS-713 synonetbkp: netbkp_backup_data.c:141 SYNOBkpUploadCurrentShare() fail.
Jun 6 09:20:32 DS-713 synonetbkp: synonetbkp.c:1077 SYNOBkpBackupData() failed, err = 8
Jun 6 09:21:36 DS-713 synonetbkp: netbkp_rsync_execv.c:122 Failed to execute rsync command. source=[/tmp/backup/877/synobkpinfo.db], target=[Backup@10.8.0.6::Synology-Backup_DS713/DS-713_1/], ret=10
Jun 6 09:21:36 DS-713 synonetbkp: netbkp_dest_directory.c:308 Failed to synobkpinfo.db.
Jun 6 09:21:36 DS-713 synonetbkp: synonetbkp.c:477 SYNONetBkpInfoDBUpload() failed.
Jun 6 09:21:37 DS-713 synonetbkp: Backup task [Network Backup Set 1] completes with result [8]. Time spent: [39621 sec]. [A M P T] in Byte and Count
Jun 6 09:21:37 DS-713 synonetbkp: size[326364303360, 298253803520, 0, 0] count[3969, 2353, 0, 0] dir[1749, 1549, 0, 0] reg[3969, 2353, 0, 0]
Jun 6 10:17:22 DS-713 kernel: [73800.242300] init: sshd main process (31065) terminated with status 255

fpo4711 · 06. Jun 2014

Da sieht man leider auch nicht viel. Nur die Zeilen mit openvpn sind relevant. Du kannst auch in deiner openvpn.conf das Doppelkreuz vor log-append entfernen dann hast Du nur das was von openvpn kommt in dem File das dort angegeben ist.

Hab es eben kurz mal getestet. Die Route die in der Openvpn.conf angegeben ist wird erwartungsgemäß gleich beim Start gesetzt. Deine Routen vom Clienten sind auch einwandfrei.

Also der Fehler liegt wahrscheinlich in der openvpn.conf vom Server. Vielleicht ein Sonderzeichen oder ähnliches drin was man jetzt nicht sehen kann? Auch einen Editor beim bearbeiten genommen der linuxkonforme Zeilenumbrüche macht?

Also nach dem Start von OpenVPN auf dem Server sollte folgende Zeile in der Ausgabe von Route vorhanden sein:

Rich (BBCode):

192.168.178.0   10.8.0.2        255.255.255.0   UG    0      0        0 tun0

Falls dem nicht so ist, dann stimmt etwas noch nicht. Dann brauchst Du auch das Backup gar nicht erst zu versuchen.
Nur zum Test kannst Du aber auch die Route einmal manuell angeben. Wenn er wenigstens den iroute in der ccd verarbeitet hat, dann sollte dann der Zugriff funktionieren.

Rich (BBCode):

route add -net 192.168.178.0 netmask 255.255.255.0 gw 10.8.0.2

Aber ich tippe auf ein falsches Zeichen in der openvpn.conf. Auf jeden Fall liegt der Fehler auf der Serverseite.

Gruß Frank

ChristianH · 06. Jun 2014

Hallo Frank,

ich hatte das in dem Editor geändert, der sich aus WinSCP heraus öffnet. Der sollte doch passen!?

Gruß
Christian

fpo4711 · 06. Jun 2014

ChristianH schrieb:
ich hatte das in dem Editor geändert, der sich aus WinSCP heraus öffnet. Der sollte doch passen!?

Das kann man in WinSCP einstellen. Von Haus aus ist das glaube ich Notepad und das geht in die Hose. Den internen Editor von WinSCP verwenden dann klappt das auch.

Gruß Frank

ChristianH · 06. Jun 2014

Den Test habe ich gemacht, leider auch erfolglos.
Zuerst Server gestoppt, dann wieder eingeschaltet und die Route gesetzt.

Dann versucht, über die lokale IP der Remote-DS diese als Sicherungsziel festzulegen.

Ich schau mir nochmal die openvpn.conf an - bin aber nicht sehr optimistisch... :-(

Gruß
Christian

ChristianH · 06. Jun 2014

Hallo Frank,

Notepad war zumindest verfügbar - habe es rausgelöscht und die Einträge nochmal überprüft.

In der openvpn.conf haben nun die Einträge
route 192.168.178.0 255.255.255.0
client-config-dir ccd
client-to-client
gefehlt.

Der Route-Befehl zeigt jetzt nach dem Einschalte des VPN-Servers auch den EIntrag.

Und, was soll ich sagen - jetzt scheint es mit der lokalen IP zu klappen!!!

1000 Dank!

Schöne Pfingsten!

Christian

fpo4711 · 06. Jun 2014

Der Zeilenumbruch würde natürlich auch dein File im ccd-Ordner betreffen wo iroute drin steht. Da Du das im Bildschirm nicht sehen kannst, nach dem Umstellen auf den internen Editor sicherheitshalber Zeile löschen und neu eingeben und danach Return nicht vergessen.

Gruß Frank