OpenVPN per mobilem Hotspot auf DS214 mit FritzBox Cable 6490

[franc]

Ich beschreibe hier, wie ich ein Windows 11 Laptop mit Hilfe von OpenVPN über einen mobilen Router (hier: TP-Link M7010 mit einer 1&1 SIM, oder einen Smartphone-Hotspot auf Android) mit dem Heimnetzwerk einer DiskStation DS214 und Fritz!Box Cable 6490 verbunden habe.
Anforderung war, ein Notebook von irgendwo, wo es mobiles Internet gibt, mit dem Heimnetz zu verbinden, um darin arbeiten zu können.
Zuerst habe ich mir die Zähne am FritzFernzugang VPN ausgebissen, siehe meine erfolglose Anfrage in einem Forum: VPN mit Fritz!Fernzugang auf Windows 11
Von FritzBox zu FritzBox hatte das noch funktioniert, aber nicht über einen mobilen Router oder Telefon-Hotspot (auch mit mobilen Daten).
Ein Stochern im Trüben, niemand weiß da wohl genauer Bescheid, das Programm hat auch nur ein rudimentäres und nichtssagendes Log. Immerhin erhielt ich dort den Tipp, OpenVPN zu nehmen.
Zuerst half mir die Videoanleitung von iTechPG die allerdings nicht mehr ganz stimmt, zB darf man "pull" nicht auskommentieren.

Hier die Anleitung:

In der DS214 erst das Paket VPN installieren:


Hier bei mir ist er schon installiert (sonst einfach installieren klicken). Jetzt 'Öffnen' und OpenVPN aktivieren:



Die Einstellungen für Verschlüsselung und Authentifizierung sind hier nicht auf Standard, ich hatte die Verschlüsselung und Authentifizierung erst mal reduziert, um evtl. daher kommende Fehler zu reduzieren. Ratsam ist, wenn es geht, die maximal möglichen Protokolle zu wählen.

Wichtig ist hier in der VPN Einstellungsmaske der DS214 auch, den Benutzer, der sich per VPN anmelden soll, unter Berechtigung auch für OpenVPN zu berechtigen (beim Installieren wird das wohl für alle gesetzt, sollte man aber überprüfen)!

Jetzt 'Konfigurationsdateien exportieren' klicken, das lädt eine Datei openvpn.zip runter. Darin editiert man die VPNConfig.ovpn folgendermaßen:

remote abcdefgh12345678.myfritz.net 1194
client-cert-not-required
redirect-gateway def1

Die Adresse (im Beispiel abcdefgh12345678.myfritz.net) ist die MyFritz-DynDNS Adresse aus der FritzBox. Falls kein MyFritz zur Hand, kann natürlich auch eine anderen DynDNS Adresse genommen werden, sofern vorhanden. Ohne eine solche geht es natürlich nicht, die FritzBox hat ja nicht immer die selbe IP, auch wenn sie bei Kabel-Internet, sehr selten wechselt.
Der Port 1194 ist natürlich wichtig!

Die so editierte Konfigurationsdatei schickt man nun zum Gerät, zB Laptop, das eine VPN zum Heimnetz aufbauen soll.
Aber erst muss noch in der FritzBox der Port weitergeleitet werden zum NAS (DS214), dazu wechselt man in die FritzBox und geht in die Freigaben. Falls man noch keine Freigabe für die DS214 eingerichtet hat, klickt man 'Gerät für Freigaben hinzufügen', wenn man schon welche hat, schaut es zB so aus (hier bereits mit der 1194 Weiterleitung:



Falls man also schon Freigaben zur DS214 hat, klickt man auf den Bleistift und fügt sie hinzu mit Klick auf 'Neue Freigabe':




So füllt man das aus und 'OK' und 'Übernehmen'. Jetzt ist die neue Freigabe (Port 1194 Forwarding) fertig.

Nun braucht man OpenVPN Connect, aber die aktuelle Version warf bei mir (und bei anderen wohl auch) den Fehler: Peer certificate verification failure
Im OpenVPN Forum gibt es dazu einen (geschlossenen, aber nicht behobenen Beitrag): Error message: Peer certificate verification failure
Die Lösung dazu war (gibt vielleicht auch bessere), eine ältere OpenVPN Version, nämlich die 3.2.3(1851) zu installieren, anstatten die aktuelle (die musste ich dazu auch erst deinstallieren, die alte kann man sonst nicht drüber bügeln). Das schreibt Koelkast im Thread.
Nachdem man diese Version 3.2.3(1851) installiert hat, importiert man die VPNConfig.ovpn in OpenVPN Connect:


Und gibt den Benutzernamen aus der DS214 (der die Berechtigung für Dateizugriff und OpenVPN hat) ein, das Passwort kann man auch gleich eingeben, das wird dann gespeichert.
Jetzt drückt man den Verbinden-Schalter und es sollte funktionieren:


Falls es nicht verbindet, kann man im Log (Button rechts oben) nachsehen, warum nicht, im OpenVPN Forum kann man dann fündig werden (so wie ich), woran es liegt.

Jetzt kann man zB eine Windows Freigabe (mit net use o.ä.) im VPN Netz erstellen, in meinem Beispiel ist das auf \\10.8.0.1\Daten, also zB:

net use Z: \\10.8.0.1\Daten /user:fucker mypassword

Das VPN funktionierte bei mir dann über mein Heim-WLAN, über den mobilen Router (wofür man keine Port Forwardings braucht, wie etwa für FritzFernzugang) und auch über meinen Smartphone Hotspot.

Mit OpenVPN GUI (der Community Version) hatte ich, wenigstens mit der aktuellen Version, keine Verbindung herstellen können.

 

[Stationary]

Spontan hätte ich jetzt erwartet, daß man sich über IPSec auf der 6490 (WG kann sie ja nicht) mit dem ShrewSoft Client 2.2.2 auf dem Windows-Rechner verbinden kann.
Wenn es nur um die DS gegangen wäre, hätte man auch noch mit Tailscale arbeiten können.
Aber schön, daß Du Dir die Mühe gemacht hast, eine funktionierende Lösung mit OpenVPN zu veröffentlichen.

 

[franc]

ShrewSoft wäre mein nächster Versuch gewesen, aber das Programm ist ja auch sogar noch älter als FritzFernzugang.

Ich wollte noch was ergänzen, nämlich einen Screenshot von der OpenVPN Berechtigung in der DS, aber die Bearbeitungszeit ist abgelaufen (120 Minuten), daher jetzt hier:



Auf der Diskstation DS214 läuft übrigens DSM 7.1.1-42962 Update 6
VPN Server auf der DS214 ist Version 1.4.7-2901 (Synology Version)
Das Laptop ist ein HP 2655 G10 mit Windows 11 Professional
Der Router ist ein Cable 6490 (lgi) mit Fritz!OS 7.57

 

[Feuerschwinge]

Hallo zusammen. Ich suche schon etwas länger nach einer Lösung für mein Problem und hoffe, dass ich mich hier einfach mal dranhängen kann.

ich habe auch den Synology VPN laufen und erreiche meine Diskstation von außen über den DDNS-Dienst von Synology. Auf meinem iPhone benutze ich die OpenVPN App.

Wenn ichim LTE-Netz unterwegs bin, dann kann ich problemlos VPN aktivieren und alles funktioniert super. Nun bin ich aber in einem Hotel und über was WLAN bekomme ich keine Verbindung. Es kommt dann zu einem Time Out. Ich bin jetzt kein Experte in diesem Thema und verstehe nicht, warum es mal funktioniert und mal nicht.

Hat jemand eine Idee?

 

[Hagen2000]

Manche Hotels blockieren einfach VPN-Verbindungen, wie auch so manches Gast-WLAN.

 

[Feuerschwinge]

Danke für die Antwort. NordVPN funktioniert aber, benutzt jedoch auch ein anderes Protokoll. Kann es also sein, dass nur OpenVPN geblockt wird?

 

[Hagen2000]

Meistens ist es eher so, dass nur bestimmte Dienste erlaubt sind, wie z.B. HTTP(S), E-Mails abrufen usw. Ein SSL-basierendes VPN funktioniert dann möglicherweise. Es kann aber auch an unterschiedlicher Verfügbarkeit von IPv4 und/oder IPv6 liegen. Letztlich kann man das ohne Analyse vor Ort kaum feststellen.
Bei NordVPN kann man ja das Protokoll wählen. Welches verwendest Du denn?

 

[Feuerschwinge]

Ich habe es gerade mal getestet. Standardmäßig verwendet NordVPN NordLynx. Wenn ich es auf OpenVPN (TCP) umstelle geht es aber auch.

OpenVPN geht aber wie geschrieben nicht mit meiner Synology. Wenn ich im 5G Netz bin aber schon.

 

[power_nas]

Spontan hätte ich jetzt erwartet, daß man sich über IPSec auf der 6490 (WG kann sie ja nicht) mit dem ShrewSoft Client 2.2.2 auf dem Windows-Rechner verbinden kann.

Das funktioniert problemlos. Und ist innerhalb weniger Minuten eingerichtet. Ich habe zuerst auch OpenVPN auf der DS genutzt, bin allerdings, wie viele andere hier, der Meinung, dass VPN auf den Router und nicht auf die DS gehört. Von daher habe ich dann den IPSec Zugang eingerichtet und kann problemlos mit dem ShrewSoft Client per VPN auf die DS zugreifen.

 

[Feuerschwinge]

Ich bin über eine Anleitung für Bitwarden gestolpert und hatte es endlich geschafft über meinen DS Lite Anschluss von außen auf die DS zuzugreifen.

Dann hatte ich den VPN Server ausprobiert und den CardDAV Dienst. Ich war Mega stolz es hinbekommen zu haben, deswegen läuft jetzt alles über DS.

Ich hatte die letzten Tage ein wenig getestet und über das Hotel-WLAN kann ich mich weder über VPN verbinden, noch mit dem Bitwarden Passwortmanager. Trenne ich das WLAN kann ich mich über 5G mit allem verbinden.

Wo könnte der Fehler sein? Denn gerade VPN wäre ja über fremde WLAN sinnvoll.

 

[Benie]

Siehe Post #5,
des weiteren, verwechsle eine VPN Verbindung zu Deiner Fritzbox nicht mit einem VPN Dienst wie NordVPN, das sind zwei völlig verschiedene paar Stiefel. Dinmal ddient es einer Tunnelverbindung, das andere mal ausschließlich zum Verschleiern Deiner IP, beides gleichzeitig kombinieren geht erst recht nicht/ gut, viele Webseiten und Dienste wird durch die Verschleierung der benötigte Rückweg verwehrt..

 

[Rotbart]

Möglich wäre das der Router/Firewall vom Hotel den VPN-Port gesperrt hat, dann z.b. auf tcp mit Port 443 umlegen, oder was ich auch schon hatte du hast den selben Adressbereich zuhause wie das Hotel.

 

[Hagen2000]

Kannst Du die VPN-Verbindung selbst nicht aufbauen oder erreichst Du deine Geräte trotz aufgebauter VPN-Verbindung nicht?
Welche IP-Adressen hast Du beim Synology DDNS-Dienst hinterlegt, also IPv4 „automatisch“ oder eine aus deinem privaten Netz, was ist mit IPv6? Über welchen Namen baust Du den OpenVPN-Tunnel auf?

 

[Feuerschwinge]

@Benie
Sind die Schuhe wirklich so unterschiedlich? Ich hätte gedacht, das beide einen verschlüsselten Tunnel von Endgerät zu einem Server aufbauen, um in einem unsicheren WLAN sicherer zu sein. Nur, das es entweder nach Hause geht oder zu irgendeinem Server.

Aber natürlich versuche ich nicht beide zu kombinieren.

@Rotbart
Aber NordVPN schafft es eine Verbindung aufzubauen. Wobei mir die App das Protokoll und die IP nennt, aber nicht den Port.

Aber das mit dem Adressbereich verstehe ich nicht.

@Haagen2000
Es kommt mit OpenVPN ein Time out. Er schafft es Wohl nicht die DS zu erreichen. Das selbe scheint im WLAN mit dem Bitwarden Server zu passieren.

Da ich aber unterwegs bin und leider keine vernünftige Verbindung nach Hause bekomme, kann ich gerade nicht die Konfiguration im Detail prüfen. Mit dem Smartphone auf der DS zu arbeiten scheint knifflig zu sein.

 

[Benie]

Sind die Schuhe wirklich so unterschiedlich?

Ja, es steckt ein völlig anderer Sinn und Funktion hinter dem jeweiligen VPN.

Das Thema haben wir hier schon oft gehabt.
Du kannst zb. mit aktiviertem Nord VPN oder ähnlichen keine Verbindung innerhalb Deinem eigenen Netzwerk zb. zur DS aufbauen, hierfür mußt Du extra für die jeweilige Anwendung/App die Funktion Split Tunneling aktivieren. Deshalb werden soche VPN meißtens von Haus aus so geregelt, daß sie bei einem Handy nur in fremden W-Lan aktiv sind. Ich weiß zwar, bei Nord VPN geht manches anderst. Aber Du wirst es nie mit einem VPN zwischen zwei Fritzboxen oder vom PC zu Deinem Netz usw. vergleichen können.

 

[Hagen2000]

Da ich aber unterwegs bin und leider keine vernünftige Verbindung nach Hause bekomme, kann ich gerade nicht die Konfiguration im Detail prüfen. Mit dem Smartphone auf der DS zu arbeiten scheint knifflig zu sein.

Wenn Du genug Datenvolumen hast, kannst Du es ja mit Tethering probieren (privater Hotspot).

 

[Feuerschwinge]

Ich wollte schon ewig antworten, aber ich vergesse es andauernd. Tut mir leid.

Mein Problem konnte ich mittlerweile lösen. Denn es lag doch noch am DS-Lite Anschluss. Über IPv6 war der Zugriff kein Problem, aber im Hotel lief der Zugriff über IPv4. Jetzt hab ich über feste-ip.net eine feste IPv4 und nun laufen auch alle Projekte. Aber vielen Dank für eure Hilfe!