OVPN routet nicht alles über VPN

[IngoF]

Hallo,

ich auf meiner Diskstation OPVN eingerichtet.
Als Endgeräte habe ich einmal ein Android-Handy mit der OVPN-App und einen Windows 10 Notebook mit Ovpn-Gui.

auf beiden Geräten habe ich dann die Konfig von der Diskstation importiert und eine Verbindung aufgebaut.

OVPN lauft über UDP 443.
Auf dem Windows PC habe ich jetzt folgende Config:

dev tun
tls-client

remote xxx.xxx.xxx.xxx 443
redirect-gateway def1

dhcp-option DNS 192.168.1.1
pull

proto udp

script-security 2

reneg-sec 0

cipher AES-256-CBC

auth SHA256

auth-user-pass

block-outside-dns
auth-nocache
<ca>
-----BEGIN CERTIFICATE-----

.
Ich habe eine kleine Testwebseite die mir meine IP-Adresse und Domain über PHP anzeigt. (PHP Quelltext)
Über das Handy funktioniert alles einwandfrei.
Wenn ich wieistmeineip.de aufrufe und meine Webseite wird mir meine feste IPv4 angezeigt.
Auf meiner Webseite wird dann auch meine Domain angezeigt.

Wenn ich jetzt aber über das Laptop über das selbe WLAN eine oVPN Verbindung aufbaue laufe geht es nicht.
wieistmeineip.de zeigt wieder meine öffentliche IPv4 an.
Meine Webseite zeigt mir dann aber auf einmal die IPv4 und Domain des Hotels an in dem ich gerade bin.
Das redirect-gateway def1 sollte das doch gerade verhindern.

Auf meiner Diskstation läuft der VPN-Server und mein Webserver. Angebunden an das I-Net über eine Fritzbox 7590 mit Glasfaser

 

[EDvonSchleck]

Warum nutzt du nicht WireGuard auf deiner Fritz!Box? Das sollte dein Gerät und dein Protokoll der Wahl sein.
Einfacher geht VPN nicht und ist auf jeden Fall ein VPN auf der DS vorzuziehen.

Bei Android ist nur ein QR-Code zu scannen, am PV eine Config zu importieren. Das dauert kein 5 Minuten, mit Einrichten auf der Fritz!Box und an den Endgeräten.

https://avm.de/service/vpn/ > WireGuard VPN reche Seite
https://www.youtube.com/watch?v=cVtolpJanqM&t=996s

Unter Android kannst du WireGuard automatisch beim Verlassen des WLAN mit Automate aktivieren.

Dazu kommt noch das IPv6 Problem bei Glasfaser. Bist du dir wirklich sicher, dass du eine IPv4 hast, welche extern erreichbar ist? Oft hast du im Glasfaser eine IPv4 die mit 100 beginnt. Dann kannst du nur mit IPv6 oder mit einem Portmapper (6tuinnel) weiter machen. Welchen Provider hast du? Was meinst du mit fester IP? Hast du diese extra gebucht? Nutzt du ein Businessvertrag? Ich würde nicht eine Webseite als Quelle nehmen. Was zeigt nslookup deinedomain.de für eine IP?

Prinzipiell steht IPv6 aber nichts nach und ist in einigen Bereichen sogar sicherer. Alle anderen Dienste würde ich über Subdomains aufrufbar machen!
Welchen Anbieter für die DynDNS/Domain nutzt du genau?

 

[IngoF]

WireGuard nützt mir Jetzt aktuell ohne Zugriff auf die Fritzbox leider nicht weiter. Möchte nicht riskieren mich auszusperren. Habe die Befürchtung das die Fritzbox nicht so stabil ist wie die Diskstation. Gab immer mal Probleme mit einer neuen Firmware.

Wenn ein Gerät gestohlen wird kann in oVPN ja den Nutzer für oVPN sperren.
Bei WireGuard ist das, wenn ich das richtig verstanden habe, so nicht möglich?
Müsste ich dann WireGuard komplett deaktivieren und auf allen Geräten neu einrichten?
Also würde ich dann für mein anderes Gerät auch die VPN Verbindung kappen

Vielleicht eine Idee warum es nicht läuft. Ist blöd am Handy zu arbeiten.


Ja, ist definitiv eine feste IP bei Muenet. Kostet nur 10€ im Monat. Steht aber nicht auf der Webseite.

Nslookup zeigt auch meine feste IPv4 an. Reverse DNS für den Mailser ist auch soweit ok.

DynDns habe ich zwar noch laufen. Aber da sich die IP seit der Umstellung auf die feste IPv4 vor über einem Jahr nicht mehr geändert hat eigentlich sinnlos.

Ist nur seltsam dass VPN über handy einwandfrei funktioniert.
Und nur am PC über das selbe VPN auf meinem Webserver über das Internet geht.
Aber zu wieistmeineip.de so wie es soll über das VPN geht und über meinen Internetanschluss zu hause zugreift.

Das PHP script zur Anzeige der IP und Domain habe ich nur zur Fehlersuche provisorisch eingebaut.
Weil ich, wegen der zusätzlichen IP sperre, keinen Zugriff mehr auf einige Bereiche über das Notebook hatte. Nur über Handy ging es.

 

[EDvonSchleck]

Möchte nicht riskieren mich auszusperren. Habe die Befürchtung das die Fritzbox nicht so stabil ist wie die Diskstation. Gab immer mal Probleme mit einer neuen Firmware.

Das hat aber nichts mit WireGuard zu tun. Dieses läuft absolute stabil und ist einem VPN auf der DS vorzuziehen. Wenn man solche Behauptung aufstellt, sollte man es wenigstens einmal getestet haben. Wenn du solche Befürchtung über die Stabilität hast, wird dir das bei VPN über die DS mit dem Router auch passieren.

Wenn ein Gerät gestohlen wird kann in oVPN ja den Nutzer für oVPN sperren.
Bei WireGuard ist das, wenn ich das richtig verstanden habe, so nicht möglich?

Ja ist richtig jeder Client hat seine eigene Verbindung und ist unabhängig von den anderen.

Müsste ich dann WireGuard komplett deaktivieren und auf allen Geräten neu einrichten?

Nein, warum sollte es so sein?

Also würde ich dann für mein anderes Gerät auch die VPN Verbindung kappen

Ja

Vielleicht eine Idee warum es nicht läuft. Ist blöd am Handy zu arbeiten.

Verstehe die Aussage nicht.

Mach dir selber einen Gefallen und teste WireGuard auf der Fritz!Box einmal aus. Das hätte weniger Zeit gedauert als du den oberen Text geschrieben hast und funktioniert sofort. Dafür benötigst du keine unterschiedliche Ports, sondern nur einen. Dieser wird direkt von der Fritz!Box gesteuert und wechselt sich jedes Mal. Einen fixen Ports gibt es so weit nicht. Ich kann deine befürchten überhaupt nicht verstehen. Auch hast du damit nicht das Problem, einen fremden IP-Range nutzen zu müssen. Die vom Router zugewiesene IP eine normale IP die zum Netzwerk gehört. Als ob du direkt im LAN/WLAN bist.

Die 7.50 mag mehrere Probleme haben, WireGuard ist es nicht. Mir ist nichts anders bekannt und habe letzte Woche das letzte Mal so etwas eingerichtet. Alles andere würde eine Falschaussage sein. Ich verwende selbst einen 7590 ohne ax.

Die feste IP ist hauptsächlich wichtig für deine Mailserver, damit dieser nicht auf die Blocklist kommt. Ansonsten hat es keinen Einfluss. Solange die IPv4 von außen erreichbar ist.

Teste es aus

 

[IngoF]

Mach dir selber einen Gefallen und teste WireGuard auf der Fritz!Box einmal aus. Das hätte weniger Zeit gedauert als du den oberen Text geschrieben hast

Das Problem ist dass ich im Urlaub bin und ich mich nicht aussperren möchte.
Ich habe keinen der zu Hause die Kenntnis hat an der Fritzbox etwas zu ändern.

Glaube Wir reden aneinander vorbei.
Ist es möglich mit WireGuard von mehreren Geräten eine VPN Verbindung zu kappen und die anderen Verbindungen weiter laufen zu lassen.

Dafür benötigst du keine unterschiedliche Ports, sondern nur einen. Dieser wird direkt von der Fritz!Box gesteuert und wechselt sich jedes Mal. Einen fixen Ports gibt es so weit nicht.

Also ich habe vorher immer Probleme gehabt weil das WLAN im Hotel alle Ports bis auf 80 und 443 geblockt hat.
Deswegen bleibt ja nur der Port 443.

Verstehe die Aussage nicht.

Ganz einfach.
Über das Handy komme ich zu hause über das VPN in alle Bereiche und Server.
Über das Laptop nicht da ich mit der IP des Hotels ankomme obwohl ich eine VPN-Verbindung aufgebaut habe und eigentlich den kompletten verkehr über das VPN schicken möchte.

Da ich teilweise nur die IP-Adressen des LAN und des VPN durchlasse.

 

[EDvonSchleck]

Das Problem ist dass ich im Urlaub bin und ich mich nicht aussperren möchte.
Ich habe keinen der zu Hause die Kenntnis hat an der Fritzbox etwas zu ändern.

Das ist ja nicht meine Schuld. Das solltest du vor dem Urlaub einrichten und testen. Wenn dir jetzt das im Urlaub ist das schon ein bisschen komisch-

Glaube Wir reden aneinander vorbei.
Ist es möglich mit WireGuard von mehreren Geräten eine VPN Verbindung zu kappen und die anderen Verbindungen weiter laufen zu lassen.

Und? Jedes Gerät/User, hat doch einen eigenen Schlüssel. Wenn du alle Geräte deaktivieren willst, deaktivierst du einfach WireGuard

Also ich habe vorher immer Probleme gehabt weil das WLAN im Hotel alle Ports bis auf 80 und 443 geblockt hat.
Deswegen bleibt ja nur der Port 443.

Den Port kannst du natürlich auch ändern, musst hat nur die Methode über die Config nehmen. Das geht auch bei Mobilgeräten.

Ganz einfach.
Über das Handy komme ich zu hause über das VPN in alle Bereiche und Server.

Dann kannst du WireGuard doch einfach auf dem Router aktivieren und zusätzlich laufen lassen und auch im Urlaub testen. Ich verstehe dein Problem nicht. Ausgesperrt wird man dadurch doch nicht.

Mach es oder lass es.

 

[IngoF]

Das ist ja nicht meine Schuld.

Das war keine Schuld Zuweisung das ist eine Tatsache!

Bisher hat es über VPN mit Handy und Notebook funktioniert.
In diesem Urlaub ist zum ersten mal dieses Problem aufgetreten.

Habe zuhause das VPN vor Abreise nur wieistmeineip.de Webseite getestet und da lief es und läuft es noch immer.
Ich habe dummerweise nicht alles komplett getestet. Das war ganz klar mein Fehler.

Der Sinn des Thread war es den Fehler in meiner VPN Konfiguration zu finden.

Wenn ich es richtig sehe kann ich nicht gleichzeitig das VPN in der Fritzbox über Port 443 laufen lassen und gleichzeitig meinen VPN auf der Diskstation auch auf Port 443 oder liege ich da komplett falsch?

 

[EDvonSchleck]

Du solltest ja auch erste einmal WireGuard testen (.z.B. Mobilfunk). Dazu sind weder große Datenmengen nötig, noch kommt das mit deinen´m anderen VPN im Konflikt. Wenn du das getestet hast, kannst du auch den Port ändern.

Einen VPN-Test zu einer Internetseite halte ich jetzt nicht für ausführlich und wie man sieht auch nicht für Ziel bringend.
Ich kann dir natürlich nicht sagen, wie du die Portfreigabe eingerichtet hast. Dort gibt es auch wieder unterschiedliche Herangehensweisen.

Teste es doch einfach aus, ob du auch so schon einen Zugang zu deinem Netz aufbauen kannst. Versuch macht klug. Der Rest wird sich finden.

 

[IngoF]

Ok. Funktioniert über Handy und Laptop.

Es wird also für jedes Gerät eine eigene VPN eingerichtet.

Nur drei Sachen die mich stören.
1) Ich muss scheinbar mit einem Administrator Account angemeldet sein. Ohne Administratorrechte öffnet sich die App nur mit einer Meldung das Administratorrechte benötigt werden. Mit Administratorrechten ausführen reicht nicht.

So langsam ist bei mir vorgedrungen nicht alles mit einem Adminaccount zu machen. Und jetzt muss ich wieder als Administrator angemeldet sin...

2) Jeder kann die VPN Verbindung herstellen. Kein Passwort Schutz.

3) zur Einrichtung benötige ich für meine feste IP einen DynDns.
Meiner Meinung nach sollte es ausreichen die feste IP anzugeben.

 

[EDvonSchleck]

Ok. Funktioniert über Handy und Laptop.

WireGuard?

1) Ich muss scheinbar mit einem Administrator Account angemeldet sein. Ohne Administratorrechte öffnet sich die App nur mit einer Meldung das Administratorrechte benötigt werden. Mit Administratorrechten ausführen reicht nicht.

So langsam ist bei mir vorgedrungen nicht alles mit einem Adminaccount zu machen. Und jetzt muss ich wieder als Administrator angemeldet sin...

Du Dienst in Windows? https://www.andysblog.de/wireguard-client-unter-windows

2) Jeder kann die VPN Verbindung herstellen. Kein Passwort Schutz.

Du solltest den QR-Code oder Config gut sichern. Diese sind nach dem Import nicht mehr notwendig. Wie soll sich ein Fremder/Jeder verbinden? Erst muss ein Handshake mit den Keys erfolgen. Wer Zugriff auf den Router hat, kann sich eh ein neuer Account anlegen. Das gilt natürlich auch für andere Systeme und die DS. Es ist für VPN nicht nötig, einen externen Zugang zur Fritz!Box einzurichten. Deine Zugangskontrolle solltest du im Konto anlegen. Wenn du in deinem Netzwerk bist, ist das ja auch nicht anders. Eine 2FA gibt es nicht, meines Wissens und ist für mich auch nicht nötig.

3) zur Einrichtung benötige ich für meine feste IP einen DynDns.
Meiner Meinung nach sollte es ausreichen die feste IP anzugeben.

Da hast du recht. Das wurde direkt nach dem Release schon bemängelt. Für mich fehlt auch die Eingabe einer URL bzw. einer festen IP. Umso mehr Leute das bei AVM fordern, desto größer ist die Chance, dass dieses eingebaut wird. Ansonsten könnte man auch deine Domain mit einer geränderten Update-URL eingeben. Wichtig ist nur, dass der Link daraus erzeugt wird. Alternativ kann man auch die Config anpassen und die IP manuell eintragen.

 

[IngoF]

Du Dienst in Windows? https://www.andysblog.de/wireguard-client-unter-windows

Also damit ist der Pluspunkt der einfachen Einrichtung schon mal nichtig.

Du solltest den QR-Code oder Config gut sichern. Diese sind nach dem Import nicht mehr notwendig. Wie soll sich ein Fremder/Jeder verbinden? Erst muss ein Handshake mit den Keys erfolgen. Wer Zugriff auf den Router hat, kann sich eh ein neuer Account anlegen. Das gilt natürlich auch für andere Systeme und die DS. Es ist für VPN nicht nötig, einen externen Zugang zur Fritz!Box einzurichten. Deine Zugangskontrolle solltest du im Konto anlegen. Wenn du in deinem Netzwerk bist, ist das ja auch nicht anders. Eine 2FA gibt es nicht, meines Wissens und ist für mich auch nicht nötig.

Dann habe ich das wohl falsch beschrieben.
Ich habe die VPN Verbindung nur aufgebaut, wenn ich Sie benötige.
Idealerweise sperrt man immer das Handy und Laptop sobald man es aus den Augen lässt.

Es geht um den selten Fall dass ich abgelenkt bind und vergesse den PC oder das Handy zu sperren und genau in dem Augenblick jemand denkt dass ihm noch ein Notebook oder Handy fehlt.

Der kann dann natürlich auch die VPN-Verbindung aufbauen und ist dann einen Schritt weiter...

Für mich fehlt auch die Eingabe einer URL bzw. einer festen IP. Umso mehr Leute das bei AVM fordern

Das habe ich erst mal so gelöst das ich "http://example.com" als Update-URL eingetragen habe.
Als Username und Passwort "dummyDynDns"
Die Fritzbox scheint sich daran nicht zu stören uund scheint zu reichen. Das letzte Feld habe ich korrekt ausgefüllt

 

[EDvonSchleck]

Ich glaube kaum, dass du mit den anderen Lösungen auch glücklich wirst. Du hast eine spezielle Art, die du umgesetzt haben willst.
VPN soll das trennen für dich übernehmen, weil du vergessen hast dein Client zu sperren. Unter IOS kann man es sogar einstellen, dass WireGuard automatisch beim Verlassen des WLAN aktiviert wird. Unter Android funktioniert das mit Automate. Damit kann man natürlich auch das Deaktivieren steuern.

Ich glaube, du hast das VPN nicht ganz verstanden. Dabei geht es um eine getunnelt Lösung zum einen anderen Netzwerk. Diese Verbindung dient als sichere Leitung untereinander, mehr nicht. Wenn du soviel Angst hast, solltest du dich auch nicht im Hotel-WLAN einwählen.

Das eine Fake-URL funktioniert, habe ich bereits in #10 geschrieben, dient diese hauptsächlich zum Erzeugen der Links. Das geht aber nur bei einer festen IP! Eine Verbindung zur Fritz!Box muss ja trotzdem aufgebaut werden können.

 

[IngoF]

VPN soll das trennen für dich übernehmen, weil du vergessen hast dein Client zu sperren

Nein darum geht es nicht. Es geht um das nicht aufbauen können wenn ich vergessen habe den Client zu sperren. Eventuell auch nur wegen der Ablenkung um Mein Handy oder Laptop zu stehlen.

Das eine Fake-URL funktioniert, habe ich bereits in #10

Danke für den Tipp. Das war ja nur die Rückmeldung dass ich es auch umgesetzt habe.

Ich glaube, du hast das VPN nicht ganz verstanden.

Da liegst Du falsch.

Also eigentlich kann ich mit WireGuard leben wenn ich es hinbekomme dass ich als User und nicht als Administrator am PC arbeiten muss.
Und wenn ich es schaffe den Port auf 443 umzubiegen.
Eben weil oft nur 80 und 443 im Hotel freigeschaltet war.
In diesem Hotel habe ich wohl Glück gehabt. Aber das scheint nicht ganz so einfach zu sein und kann mich daher auch nach meinem Urlaub drum kümmern. Hoffe das nächste Hotel ist auch offen für den WireGuard-Port

Das einfachste wäre eben gewesen wenn mir jemand sagen könnte was an meiner oVPN Konfiguration falsch ist.

Vorher hatte ich einen lokalen IPv4 DNS-Server laufen. Der hat dann eine lokale IP zurück gemeldet.
Jetzt habe ich nur noch den DNS-Server von der Fritzbox. Dieser gibt dann meine öffentliche IP zurück und mein Notebook entscheidet sich dann für meinen Server den Weg über das Internet am VPN vorbei zu nehmen. Warum auch immer...
Bei der Webseite wieistmeineip.de nimmt er trotzdem den Weg über das VPN.

Allerdings sollte laut der Einstellung "redirect-gateway def1" von oVPN ja gerade dafür sorgen dass alles über die aufgebaute VPN-Verbindung geroutet wird und nicht nebenher den Weg über das Internet nimmt.

Danke erst mal für Deine Hilfe.

 

[EDvonSchleck]

Wenn du einen eigenen DNS-Server im LAN betreibst, musst du unter Internet diesem eintragen. Ich gehe davon aus, dass du den DNS-Server nur unter Netzwerk eingetragen hast?

Eventuell ist eine verschlüsselte Freigabe das bessere Medium deiner Wahl.

Du solltest einfach weniger Reisen und CO₂ sparen, dann hast du das Problem auch nicht. Es kann dir keiner die Geräte klauen und spart auch noch Geld.
Aber mal im Ernst, man kann es auch übertreiben.

 

[IngoF]

Wenn du einen eigenen DNS-Server im LAN betreibst, musst du unter Internet diesem eintragen. Ich gehe davon aus, dass du den DNS-Server nur unter Netzwerk eingetragen hast?

Im Moment habe ich keinen eigenen DNS-Server mehr im LAN. Vermutlich ist mein oVPN Konfigurationsproblem erst deswegen aufgefallen.

Aber mal im Ernst, man kann es auch übertreiben.

Das verstehe ich jetzt nicht. Ist es übertrieben eine VPN Verbindung nutzen zu wollen?



OK. Denke zum Thema Wireguard wurde jetzt schon genug geschrieben...

Du kannst oder willst mir nicht bei dem oVPN Problem helfen. Andere scheinbar auch nicht oder sind noch nicht dazu gekommen.
Mit Wireguard werde ich mich nach meinem Urlaub näher beschäftigen wenn ich dafür Zeit habe.

Also wenn mir jemand mit dem oVPN Problem weiterhelfen kann ist jede Hilfe willkommen.
Würde mich schon interessieren warum es nicht geht.
Mal davon abgesehen ob ich in der Zukunft openVPN oder Wireguard oder sogar beides nutzen werde.

 

[IngoF]

Hole den Thread noch mal hoch.

Bin schon wieder im Urlaub. Habe Wireguard und OpenVPN eingerichtet.
Hier am Anschluss von Kabel Deutschland funktioniert kein VPN.

OVPN verbindet sich ganricht. Wireguard verbindet sich und ich habe dann aber keine Verbindung ins Internet mehr und auch keine Verbindung nach Hause.

Also Fallback über WLAN auf mein Handy und dort die VPNs getestet. Beide VPN verbinden sich (natürlich nicht gleichzeitig) aber kein Verbindung nach Hause.

Jetzt das seltsame:
doppelte VPN funktioniert und es wird dann auch meine Feste IPv4 bei wieistmeineip.de angezeigt.

Alle vier Kombnationen funktionieren.

Also:
Handy/Notebook
oVPN/oVPN
oVPN/WireGuard
Wireguwar/oVPN
WireGuard/WireGuard.

Hat jemand eine Erklärung dafür?
Sicher kann ich auch so die VPN Verbindung über mein Handy Und Notebook nutzen.
Würde aber schon gerne die VPN über den Internetanschluss vor Ort nutzen können.

 

[Rainer86]

Habe gleiches/ähnliche Problem:
Habe OpenVPN zur Synology, öffentliche IPv4 des entfernten Netzwerks wird angezeigt, aber auch die IPv6 des öffentlichen Client-Netzwerks. Wie kann ich das verhindern ? Möchte sämtlichen Datenverkehr über die IPv4 des entfernten Netzes laufen lassen ?