OpenVPN durch Endian

1. offizieller Beitrag

    Hallo Community,

    ich setze seit längerem die 2.4 ein und bin recht zufrieden.
    Nun habe ich den folgenden Fall:
    In meinem Netz (am INet über EFW) befindet sich ein Linux Gerät welchen als OpenVPN Client konfiguriert ist und eine Verbindung zu einem Linux Gerät (OpenVPN Server) in einem benachbarten Netz (durch FritzBox ans INet angebunden) aufbaut.
    Klappt auch soweit ohne Probleme - Erstmal. Nach einiger Zeit wird die Verbindung jedoch unterbrochen. Auf der Serverseite ist laut der Logs keine eingehende Verbindung erkennbar und auf meiner Clientseite scheint die Verbindung nicht nach außen aufgebaut werden zu können.
    Nach einem Reboot de EFW gehts wieder. Bin für jede Idee dankbar.
    Meinem Linux Gerät habe ich in der Firewall bereits jeglichen ausgehenden Verkehr erlaubt, zuvor war es nur der OpenVPN Port. Hat leider keinen Unterschied gemacht.
    Beste Grüße
    Bastian

    Hallo,
    welche Logs hast du geprüft?
    Die um UI oder auf der Console / WinSCP ?

    Alternativ würde ich mal noch versuchen, das Log Level vom Client und des VPN Servers zu erhöhen und dann nochmal prüfen.

    gruß wolfi

    Mein Computer kann alles, wegen seiner 32 Bit!
    Wenn ich 32 Bit intus habe, kann ich auch alles!

    • Offizieller Beitrag
    Code
    # Set the appropriate level of log
# file verbosity.
#
# 0 is silent, except for fatal errors
# 4 is reasonable for general usage
# 5 and 6 can help to debug connection problems
# 9 is extremely verbose
verb 3

    Hallo zusammen und dank an euch das Ihr euch mit dem Thema befasst.
    Bin mittlerweile leider nicht viel weiter gekommen.
    Was ich jedoch getan habe ist auf die EFW 3.0 BETA zu aktulisieren, so auf "Gut Glück".
    Brachte leider keine Veränderungen.
    Welche LOGs kann ich mir denn dazu noch in der EFW anschauen? Die über die Weboberfläche finde ich da nicht sehr Aussagekräftig.

    Seitens des OVPN Clients habe ich folgendes LOG, aus dem ich auch nicht wirklich sehr schlau werde:


    Auf Server Seite kommt im LOG rein gar nichts an. Dort vermute ich jedoch kein Problem, da ich aus einem anderen Netz, welches einen einfachen Providerrouter verwendet keine Probleme habe.

    Nach einem Neustart der EFW bekomme ich Ruckzuck wieder eine Verbinung. Heut schien es sogar zu reichen den OVPN Client für einige Minuten anzuhalten.

    Bin über jeden Hinweis dankbar.

    Beste Grüße und gute Nacht
    Bastian

    Ich vermute der Error TLS Handshake failed ist das Ergebnis des Verbindungsversuchs.

    Warum auch immer scheint in diesem Zustand nichts durch die EFW zu kommen. Die Remote IP zu der connected wird passt und auf der Gegenseite kommt nichts an.
    Ein Neustart der EFW hat das Problem inzwischen wieder vorrübergehend behoben.

    In der EFW GUI sehe ich in den LOGs nicht was mit dem verwendeten Port zu tun haben könnte.
    Wo finde ich den LOGs im Filesystem und kann ich das LOG level da noch hochschrauben?
    Große Daten gar nicht.
    Die meiste Zeit tut sich da eher gar nichts. Da beschränkt es sich auf nen Keepalive Ping alle 10 oder 15 Sekunden.

    • Offizieller Beitrag

    unter /var/log

    findest die meisten Log Files

    Log Level kann man Teils auch in den Einstellungen der Protokollierung vornehmen in der EFW
    Alles andere direkt in den Config Files, aber Vorsicht, config File bearbeiten dann muss in der Console auch der Dienst neu gestartet werden,
    neustart aus der UI überschreibt die Einstellungen ( außer Änderungen in der tmpl. )

    Cool, ich glaub es geht voran. :)
    Unter /var/log/messages ist etwas zu finden. Werde nur nicht so ganz schlau.
    Die IP passt zum OVPN Server und der Port 4999 ist auch der verwendete, den hatte ich einfach mal testhalber abgeändert.
    Frage mich jetzt allerdings wie die EFW unter diesem Umständen (nicht Port 1194) mitbekommt das es sich hier um OVPN handelt? :(

    • Offizieller Beitrag

    naja du stellst den Port um auf 4999, und speicherst,
    er trägt es in der OpenVPN Server Config ein und gut,
    er passt dann halt noch die Firewall an das eingehend 4999 akzeptiert wird, das gilt noch zu prüfen ob er das wirklich gemacht hat.

    Würde aber erstmal alles auf Standard lassen, dann sieht man obs funktioniert, danach dann kann man Einstellungen verändern,
    Sonnst suchst du dir echt nen Wolf.

    Werd es heute wieder auf die Standard Ports zurückstellen, dass war jedoch auch vorher schon so mit dem gleichen Effekt.
    Jedoch ist es ja so, dass die Verbindung grundsätzlich funktioniert.
    Bitte denk auch dran dass die Endian in meinem Fall weder als Server, noch als Client im Spiel ist. Die Verbindung läuft durch die EFW hindurch.
    Einige Zeit ohne Probleme, irgendwann dann nicht mehr.
    Ich würde ja verstehen wenn die EFW ein Problem damit hätte wenn ich den Standard Port 1194 verwendet, da sie diesen ja auch verwenden würde. Da würde ich auch verstehen dass die Endian im Log den Port wiedererkennt und weiß das es sich um OVPN handelt. Doch in meinem Fall ist mir das rätselhaft.

    • Offizieller Beitrag

    ja das ist bei dir schon sehr Mysteriös....
    Auf welchem Port das am Ende läuft ist eigentlich egal.

    Hast du schon mal parallel eine neue EFW Test halber aufgesetzt ?

    SOOOOO PROBLEM ERKANNT....
    ...Gefahr leider NOCH NICHT gebannt.

    Aber ich bin sehr zuversichtlich, dass jemand der die EFW gut kennt weiß wie es zu Lösen ist.

    Habe heute mal ein paar Tests durchgeführt und bin dabei auf folgendes gekommen.

    Ist eine Verbindung stabil nach außen aufgebaut, ist erst mal alles gut, bis eine Trennung von außen erfolgt. Z.B. durch eine providerseitige Zwangstrennung. Diese habe ich simuliert indem ich das DSL Modem über das die EFW eine PPPoE nach außen aufbaut vom Strom getrennt habe. Die EFW baut zwar die Internetverbindung wieder auf, jedoch bestehende Verbindungen durch die EFW kommen nicht wieder.

    EIn Beispiel:
    1. Dauerping auf http://www.google.de (173.194.113.184) laufen lassen
    2. Modem halbe Minute Strom los
    3. Keine Antwort beim laufenden ping auf http://www.google.de (173.194.113.184)
    4. EFW wieder mit dem Internetz verbunden.
    5. Trotzdem kein ping auf http://www.google.de (173.194.113.184)
    6. Neuer ping auf http://www.google.de mit **** NEUER IP **** (173.194.112.191) LÄUFT !!!!
    7. Ping auf http://www.google.de (173.194.113.184) immer noch nicht.
    8. Neustart der EFW.
    9. EFW wieder mit dem Netz verbunden
    10. BEIDE PINGS LAUFEN.

    Ich vermute also ein Problem beim Routing, nachdem die externe IP erneuert wurde, das für bestehende Verbindungen nicht korrigiert wird.

    Wenn es dazu nichts gibt, wäre ich für Tipps dankbar wie ich einen Neustart der EFW auf eine bestimmt Uhrzeit legen kann.

    Beste Grüße
    Bastian

    Hallo,
    also bzgl. dem Neustart,
    würde ich sagen leg doch einfach einen Cron Job an.

    Dein Script muss chmod 700 haben
    Exit muss Errorcode 0 sein


    Und dann das ganze in die /etc/cron.daily/ das ding rennt jeden Tag um 1:25Uhr
    Wurde aber glaube ich auch schon mal im Forum angesprochen mit den Cron Jobs.

    Edit: wusst ich es doch, ffischer hat dazu eine Doku geschrieben: https://www.efw-forum.de/www/forum/view…hp?f=13&t=2


    Alternativ gibts noch andere:

    Code
    /etc/cron.cyclic/ alle 5 min (3:05, 3:10, 3:15)
/etc/cron.minutely/ jede min (3:01, 3:02, 3:03)
/etc/cron.hourly/ jede stunde , und zwar eine min. danach  (e.g., 1:01, 2:01, 3:01).
/etc/cron.daily/ täglich um 1:25.
/etc/cron.weekly/ Sonntags  2:47.
/etc/cron.monthly/ jeden ersten Tag im Monat 3:52.

    Mein Computer kann alles, wegen seiner 32 Bit!
    Wenn ich 32 Bit intus habe, kann ich auch alles!

    • Offizieller Beitrag

    Hallo,
    das ist eigentlich untypisch, da wen die Verb. auf ROT neu hergestellt worden ist, div. Scripte ablaufen für den Uplink.
    Diesen Fehler konnte ich bisher auf keinem System nachvollziehen.
    Setzt doch bitte parallel mal eine andere Version auf und prüfe das nach, "ohne" groß die FW einzustellen und einzurichten.

    Hallo mal wieder,

    habe soeben eine EFW komplett neu aufgesetzt.
    Ursprünglich hatte ich das Problem mit der EFW 2.4, dann mit der 3.0 BETA1.
    Nun habe ich die 3.0 BETA2 frisch installiert.
    Das einzige was ich konfiguriert habe war die PPPoe Schnittstelle, alles andere habe ich gelassen wie es war. Das Problem besteht weiterhin.
    Habe es gar nicht erst mit OVPN getestet. Mein Test sah folgendermaßen aus.

    1. EFW gestartet.
    2. Dauerping auf http://www.google.de gestartet.
    3. DSL Modem 30 Sek. vom Strom getrennt.
    4. Dauerping auf http://www.google.de läuft nicht mehr.
    5. Ping auf http://www.gmx.net getestet um zu sehen das die PPPoE Verbindung wieder steht -> Läuft.
    6. Dauerping auf http://www.google.de läuft immer noch nicht.
    7. Reboot der EFW durchgeführt.

    So verhält es sich zumindest beim pingen von einem CLient.
    Starte ich den Dauerping direkt auf der EFW, bricht er zwar kurz ab, läuft dann jedoch weiter.

    8. Dauerping auf http://www.google.de LÄUFT WIEDER

    Noch ein Nachtrag.

    Anstelle die EFW zu rebooten genügt es auch auf der EFW die LAN Schnittstelle kurzzeitig abzuschalten:

    ifconfig br0 down
    ca 15 Sek. warten
    ifconfig br0 up