ddNs werkt niet meer met openvpn tunnel

[mchp92]

Ik heb vanochtend een openvpn tunnel opgezet op mijn synology
Ds213j meest actuele dsm
Als ik de vpn connect, zie ik keurig dat mijn ddns een ander ip laat zien (mijn exit point van vpn)
Maar als ik dsfile probeer te connecten via 3g werkt dat niet meer
Wifi aan, en via ddns connecten nas terwijl tunnel nog steeds open staat werkt wel gewoon
Als ik mijn vpn disconnect werkt alles weer als voorheen
Hoe zit dit?
Tbv de vpn heb ik aanvullend port 1195/tcp door mijn routers geforward. Dit moet goed zijn gegaan want de tunnel kan connecten

Hoe los ik dit op?

[Babylonia]

De standaard poort voor OpenVPN is niet 1195, maar 1194

[mchp92]

Ibvpn geeft aan 1195
Die heb ik geforward etc
Connectie vpn werkt
Alleen dan daarna niet meer net dsfile enzo

[Babylonia]

Misschien dat je handmatig de te gebruiken poort voor OpenVPN voor je NAS (router) op 1195 hebt gezet, en daarmee een port forwarding hebt gedaan.  (Bij OpenVPN kun je poorten aanpassen). Standaard is echter wel 1194

Heb je wel het bijhorende certificaat en configuratiebestand vanuit de VPN-server geexporteerd, en ingeladen in je tablet met bijv. de OpenVPN Connect app?
Zonder certificaat geen verbinding. Dat certificaat heb je nodig bij elk apparaat waarmee je een OpenVPN connectie wilt opzetten. Dat is juist het cruciale van deze VPN methode, om op die wijze de veiligheid te waarborgen.

Opzetten van een VPN-verbinding volgens het OpenVPN protocol naar een VPN-server werkt in basis voor een NAS vergelijkbaar als voor de nieuwe Synology router.
Voor meer aanwijzingen zie een beschrijving die ik heb gemaakt voor connectie met de Synology router.
M.b.t. een smartphone of tablet op basis van Android, zie onderaan < deze reactie >
Na edit van het profiel op aanwijzingen van de readme......

Als resumé om bijv. ook een OpenVPN connectie op te zetten vanuit een Windows PC naar de VPN-server op router of NAS, gelden mogelijk vergelijkbare instellingen die ik voor de configuratie moest invullen, zie < HIER >

[Briolet]

Volgens mij wordt hier langs elkaar heen gepraat en gebruikt TS een externe VPN server. Als je via die server bij je eigen netwerk komen, dan zul je bij de VPN dienst poorten moeten forwarden naar je eigen WAN IP. Lang niet alle VPN diensten ondersteunen dit forwarden.

Toevallig stond er gisteren een stuk op security.nl: Lek+bij+VPN-aanbieders+kan+IP-adres+gebruikers+onthullen

[Babylonia]

Voor Open VPN heb je een te importeren certificaat/configuratiebestand nodig.
Die externe VPN-aanbieders, gebruiken die Open VPN?  Want dan wordt het instellen voor gebruikers relatief complex.
(De vraag van de TS gaat specifiek over Open VPN).

Aanvulling:
Bij de verwijzing naar < een artikel elders > lees ik dat het lek alle VPN protocollen betreft via zo'n VPN-server aanbieder:

"Also note that due to the nature of this attack all VPN protocols (IPSec, OpenVPN, PPTP, etc.) and all operating systems are affected."

[Pippin]

VPN aanbieders bieden verschillende protocollen aan, OpenVPN, PPTP, L2TP/IPSEC, SSTP enz.
Van de complexiteit ziet de klant niet direct iets.
De klant krijgt een config en moet die importeren in een client of b.v. client software van de aanbieder zelf.
Hoewel, op de NAS kan dat soms even zoeken zijn omdat er ogenschijnlijk alleen een certificaat geïmporteerd kan worden.

In geval van TS zou hij contact moeten opnemen met zijn VPN provider om zijn DS te kunnen bereiken via de VPN.
Of zij dat doen is de vraag... en TS zou dan ook moeten vragen of ze betroffen zijn door dat "lek" (wat eigenlijk een misconfiguratie is).

[mchp92]

Ik neem aan dat TS naar mij verwijst? ;-)

Voor de duidelijkheid
- ik heb een ibvpn account bij een vpn service provider
- via diens beschrijving heb ik een openvpn verbinding in mijn nas geconfigureerd, inclusief certificaat opladen in nas
- in mijn beide routers port forwarding voor 1195 opgezet (heb twee routers achter elkaar)
- ik kan in mijn nas gewoon aan dat vpn connecten, en zie dan ook meteen het ip adres van syn ddns gaan verwijzen naar de vpn exit server, ipv mijn eigen isp adres

Conclusie: vpn configuratie is correct

Vervolgens wil ik met mijn iphone via ds file gaan connecten via de url die ik al heel lang gebruik (bij behorende port forward is a heel lang "goed")

Dit lukt *wel* in deze gevallen:
- vpn staat uit
- vpn staat aan EN mijn iphone hangt aan wifi

Dit lukt *niet* als:
- vpn staat aan en mijn iphone hangt aan 3g

Tenslotte wil ik nog opmerken dat ik ik mijn "buitenste" router, een dns entry heb opgevoerd die mijn xxxxxx.synology.me url direct resolvet naar mijn binnenste router.

Mijn buitenste router is van isp. Aangezien ik die principieel niet vertrouw, hangt mijn hele netwerk aan mijn binnenste router. Die binnenste router is de ENIGE host in het lan van mijn buitenste router. Wifi loopt dus rechtstreeks achter mijn binnenste router in dat lan

[Birdy]

Ik neem aan dat TS naar mij verwijst? ;-)

Wie bedoel je met TS ? TS = de Topic Starter en, dat ben je zelf.

[Briolet]

Tenslotte wil ik nog opmerken dat ik ik mijn "buitenste" router, een dns entry heb opgevoerd die mijn xxxxxx.synology.me url direct resolvet naar mijn binnenste router.

Maar dan is het volgens mij logisch dat Wifi gewoon werkt. Je komt niet eens door de vpn tunnel omdat de DNS je direct naar het interne IP van je 2e router doorstuurt in plaats naar het exitpoint van je VPN. Of mis ik hier iets?

[Babylonia]

Ik geloof dat jij nu aan de beurt ben met "langs elkaar heen" 

Van wat ik nu met de zeer uitgebreide informatie wel begrijp is het volgende:
Het enige punt waar de TS (Topic Starter, alias @mchp92 ) problemen mee heeft is de rechtstreekse connectie van DS File met zijn NAS via het 3G netwerk, als de VPN-verbinding actief is.

Wat hij echter in zijn opsomming nog niet heeft aangegeven is of de verbinding wel lukt met:
- VPN staat uit  en de iphone hangt aan 3G

Mogelijke discrepantie:
Connecten met DS File via WiFi moet de verwijzing van de connectie naar het interne IP-adres van de NAS verwijzen.
Connecten met DS File via 3G   moet de verwijzing van de connectie naar het externe IP-adres van de internet-aansluiting verwijzen.
In het laatste geval moeten in de twee routers de juiste poorten worden doorgestuurd: 1e router naar de 2e router, in 2e router naar de NAS.

[Pippin]

@mchp92
Voor de duidelijkheid, is je Iphone (aan 3G) verbonden met ibvpn?
In dat geval zul je contact op moeten nemen met ibvpn zoals reeds geschreven.

[mchp92]

MOD: Onnodige citaat is verwijderd, lees even.

Maar dan is het volgens mij logisch dat Wifi gewoon werkt. Je komt niet eens door de vpn tunnel omdat de DNS je direct naar het interne IP van je 2e router doorstuurt in plaats naar het exitpoint van je VPN. Of mis ik hier iets?

Dit zou inderdaad een verklaring kunne zijn. Had ik zelf kunnen bedenken :-/

[mchp92]

MOD: Onnodige citaat is verwijderd, lees even.

@Babylonia
Om even de ontbrekende info aan te vullen: connectie met telefoon aan 3g, terwijl tunnel uit staat, werkt gewoon. Zo heb ik mijn nas bijna twee jaar gebruikt.

Qua port forwarding - in mijn buitenste router staan alle poorten die je regulier voor je nas gebruikt (5000/1, 5005/6, maar nu ook 1194 en 1195) doorgestuurd naar mijn tweede binnenste router. Daar is alles keurig geforward naar het ip van mijn nas. Hosts die aks recipient van port forwarding staan, hebben uiteraard een vast/gereserveerd IP.

Alle informatie nog eens bij elkaar schrapend, inclusief mijn gevallenonderscheid wanneer t wel/niet werkt, is dat als ik via de tunnel binnenkom in mijn nas, de app dsfile (en dsdownload, etc) weigert te connecten. Ik dacht even dat dat aan de vpn poort ligt (1195 ipv 5000).  Maar vervolgens stel ik me ook voor dat de vpn client jn mijn nas de ip pakketjes uitpakt, en daar staan dan weer poort 5005 of zo in, en dat moet dan associeren met de het juiste proces (file station) in de nas.
En toen was mijn vpn-kennis even uitgeput.

Om het verhaal nog smeuiiger te maken. Ik heb (los van die ibvpn-beschrijving) nog een tweede vpn ingericht om "te spelen". Die staat normaliter uit.die vpn is als volgt. OpenVPN client op mijn iphone. Mijn linksys wrt1900ac (binnenste router) heeft dan een openvpn server draaien. Als ik die op mijn gsm aan zet (staat ie eigenlijk nooit) heb ik dus een tunnel van mijn telefoon naar mijn binnenste router. Die stuurt dan mijn dsfile verkeer vlgs de gebruikelijke forwarding gewoon door naar mijn nas. Dat werkt gewoon. Vandaar mijn hypothese dat het basisverkeer met poort 5000, netjes wordt ingepakt in vpn verkeer op poort 1194 (dat is de poort voor mijn openvpn server ibvpn loopt over 1195). Dat verkeer wordt dan in mijn router uitgepakt en doorgezet naar interne ip vd nas over poort 5005.

Hopelojk volgen jullie t nog een beetje haha

Any ideas?

[Babylonia]

@mchp92
Betreffende je laatste alinea.
Zelf heb ik op mijn 2e router (een Synology RT1900ac) ook een VPN-server draaien.
Kan vanuit mijn smartphone + 3G  dan ook naar de NAS.

Alleen je beredenatie met "basisverkeer" met ingepakte pakketjes via of over "poort 5000" als Port Forwarding is helemaal niet aan de orde.
Bij die VPN heb je verbinding "alsof je in je eigen LAN" netwerk zit. In je LAN roep je gewoon het interne IP-adres aan waar je NAS zit om met je NAS verbinding te hebben (dus ook met DS File op je smartphone). Van Port Forwarding is dan geen sprake. Je kunt eventueel de Port Forwarding (5000/5001....) die je op zowel je 1e alsook je 2e router hebt ingesteld uitschakelen.
Dan nog heb je via die VPN-verbindingsmethode (VPN-server op 2e router, smartphone als Client), nog steeds verbinding met de NAS.