RT1900ac achter Asus RT-AX88U problemen met firewall regels.

[Sagitarius]

Beste forum leden, dit is mijn eerste post op dit mooie forum, heb op de achtergrond wel veel mee gelezen en er veel van opgestoken.
Nu een paar dingen waar ik niet uitkom als leek op dit gebied.

Ik heb een Samsung S10+ telefoon, daar had ik vroeger de OpenVpn connect app op staan.
En kon zo connecten met de OpenVPN server op mijn DS620 slim nas, dat heeft tijden goed gewerkt.
Sinds een update naar een hogere Android versie 11 en 12 werkt deze app niet meer.
Het is nl niet meer mogelijk om een profiel in het interne geheugen te zetten, dus heb ik niets meer aan deze app, het probleem is bekent bij Google maar er is nog geen patch voor.
Op mijn Tablet met een lagere Adroid versie werkt deze app nog wel goed.
Nu wil ik toch VPN op mijn telefoon hebben en heb daarom een 2e hands RT1900ac gekocht.
Die heeft een VPN Plus server aan board, die werkt inmiddels prima en via de VPN Plus app kan ik een SSL VPN verbinding opzetten.

Nu zit daar ook een OpenVpn server in die wil ik ook graag gaan gebruiken maar krijg die niet goed aan de praat, ik kan connecten via de OpenVpn app op mijn tablet maar geen data.
Ik loop waarschijnlijk vast op de de firewall instellingen, het duizelt mij een beetje met al die virtuele ip reeksen en poorten.

Hoe ziet mijn opstelling er uit:
Ik gebruik als primair modem een Asus RT-AX88U achter een ZTE glasvezel modem zit die in bridge gezet is door Jonaz mijn glasvezel provider.
Heb in de Asus RT-AX88U het ip 192.168.1.10 gereserveerd dmv mac en ip-adres binding.
De RT1900ac heeft nu dus een wan ip 192.168.1.10, tot zover werkt alles goed.
Ook heb ik in de Asus RT-AX88U de nodige poorten doorgezet naar de RT1900ac

Port forwarding Asus RT-AX88u


Firewall instellingen RT1900ac


Heb de bovenstaande firewall regels in de RT1900ac zo goed als mogelijk ingesteld na veel lezen op het forum en de diverse uitstekende bijdrages van @Babylonia.

Ik zou graag willen weten wat er niet goed staat in de firewall, ik kom er niet uit want dit is een moeilijke materie voor mij.

Mvgr. Sjaak.

[Babylonia]

Diverse dingetjes waar ik toch mijn bedenkingen over heb:

Ik heb een Samsung S10+ telefoon, daar had ik vroeger de OpenVpn connect app op staan.
.....
Sinds een update naar een hogere Android versie 11 en 12 werkt deze app niet meer.
Het is nl niet meer mogelijk om een profiel in het interne geheugen te zetten, dus heb ik niets meer aan deze app,
het probleem is bekent bij Google maar er is nog geen patch voor.

Ik geloof niet dat het ook maar iets met Google te maken heeft.
Net zo goed als dat je foto's, filmpjes, muziek-bestanden, PDF- en andere tekst-bestanden, "side-load" Android programma's,
of wat al dies meer zij?  Naar en vanuit het geheugen van een smartphone over en weer kunt overzetten.
Geldt dat natuurlijk evengoed voor een OpenVPN configuratiebestand.

Ik heb er tenminste nooit problemen mee gehad (met geen enkel bestand).  Ook niet met Android 11
En mochten er problemen zijn met de "OpenVpn connect" app, dan neem je toch een andere app?

Leuk en aardig natuurlijk dat je een Synology RT1900ac router speciaal voor VPN hebt aangeschaft,
maar was eigenlijk niet nodig geweest. Want had prima gekund met de VPN Server mogelijkheden van je NAS zelf.
Jammer dat je niet eerder je probleem op het forum hebt aangekaart?


OpenVPN:
Om een makkelijke bestandsuitwisseling met een smartphone te bewerkstelligen, maak ik gebruik van  X-Plore File manager.
En als OpenVPN app  VPN Client Pro

Met volgens mij een uitzondering op de Android rechten van de X-Plore File manager, om bestanden extern op te kunnen halen,
haal ik een  OpenVPN configuratiebestand  rechtstreeks  op vanuit VPN Client Pro, via die X-Plore File manager
die dan opent, vanaf mijn NAS, of andere bestandsserver in mijn netwerk.  Wordt rechtstreeks ingeladen.
Het enige wat er dan nog bij komt kijken is de gebruikersnaam en wachtwoord van het OpenVPN profiel invullen, en klaar is Kees.


Firewall instellingen RT1900ac :

Die RT1900ac, gebruik je nu in "router mode" (omdat je de mogelijkheden laat zien om firewall regels aan te maken).
Dan heb je twee LAN netwerken achter elkaar "NAT achter NAT".  (En dan ook nog eens een keer een ISP router die in bridge staat).
Lijkt me niet handig als je de Asus mogelijk nu als "hoofdrouter" gebruikt, en misschien diverse apparaten in je thuisnetwerk hebt
aangesloten direct achter die Asus, en dan nu nog een tweede "verschillend" LAN netwerk erbij voor VPN en een NAS ??
Misschien verstandig eerst wat info door te nemen wat de netwerk indeling bij je thuis is, en hoe je zaken efficiënt wilt draaien?

Bijv. de RT1900ac in "Acces Point" mode ingezet, draait het binnen hetzelfde LAN netwerk van de Asus.
Daarbij kun je WEL gebruik blijven maken van de VPN Plus Server.
Maar heb je niets te maken met Firewall regels van een Synology router, omdat een firewall dan onderdeel is van de Asus zelf.
(In "Acces Point" mode ontbreekt het hele Firewall menu van de Synology router).


Zou je de RT1900ac toch als eigen router willen inzetten, en gebruik willen maken van de Firewall.
Is de opzet zoals je ze nu hebt ingeregeld verkeerd.  Ga er nu niet te diep op in. (Komt later wel).

Voor een RT1900ac router met als "hoogste" SRM firmware versie SRM 1.2.5    (1.2.5-8227 Update 7)
Kun je het beste  < DEZE handleiding >  als leidraad nemen.

Let dan heel goed op de details verder naar rechts van de regels in relatie met wat je aan de linkerkant hebt gezet.
(Daar zit bij je nogal wat fout).
Kijk ook naar wat je eerder al toestaat, en verder in de regels naar onder nog eens "dubbel" in een andere vorm.
(Maar goed dat de RT1900ac niet de eerste router is, anders had je nogal wat "open" gezet.
Nu wellicht beperkt door slechts enkele port forwarders naar de RT1900ac toe).

[Sagitarius]

@Babylonia, als eerste hartelijk dank voor je antwoord, dit heeft veel verduidelijkt.

Heb gelijk de VPN Client Pro app op mijn S10+gezet en even het OpenVpn profiel van mijn NAS geïmporteerd.
Hij werkte gelijk, ik gebruik vpn niet op mijn telefoon voor bestands uitwisseling, maar om bepaalde applicaties voor lokale devices te kunnen gebruiken.
Ik doe veel aan satelliet ontvangst, heb hier bv een enigma2 VU+ Ultimo4K staan, en die kan ik via OpenVpn remote bereiken via de E2 Streamer app. Die app kan direct via internet werken maar dat is niet veilig en hang ik zo aan een illegale pay tv server.
Ik kan met deze app transcoding gebruiken dus de bandbreedte aanpassen aan de geboden internet snelheid ter plaatse.

Dan de firewall instellingen, ik gebruik idd de ''router mode'' en niet gerealiseerd dat ik daar firewall regels voor nodig had.
Ik had de door jou genoemde how to gebruikt, ik heb de laatste SRM fw erop staan dus die met update 7.
Die uitleg was duidelijk tot ik bij de firewall instellingen kwam en daar schiet mijn kennis in te kort, van elektronica weet ik alles af omdat dit mijn vroegere werk is geweest, en nu nog als gelicenseerd zend-amateur.

Nu ik lees dat ik beter de ''AP mode'' kan kiezen laat ik de ''router mode'' maar even voor wat het is, dat scheelt mij een hoop gedoe met die firewall die niet tijdelijk uit te zetten is, zoals op mijn Asus router.
Mocht dit nu niet lukken dan zou ik graag je hulp weer inroepen, maar hoop dat ik er nu zelf wel uitkom.

Nog even mijn opstelling hier, ik heb hier 1Gb symmetrisch glasvezel internet van Jonaz, die komt binnen op een ZTE glasvezel modem die in bridge staat, en het lokale ip wat uit lan 1 komt gaat direct naar de wan van mijn Asus moden via dhcp.
De rest van mijn lokale netwerk zit dus achter de Asus, waar onder mijn Synology NAS.
De wan poort van de RT1900ac zit op een lan-poort van de Asus router.
Mijn Synology NAS zit weer op een andere lan-poort van de Asus, ze krijgen allemaal een ip toegewezen via ip/mac binding.
Ik ga dus nu eerst de RT1900ac eens in de AP mode zetten, kijken of VPN Plus dan ook nog werkt.

Bedankt alvast voor je kundig advies, ik lees al een tijdje mee op het forum en verbaas me nog steeds over hoe jij de dingen op schrift zet, mijn complimenten

Mvgr. Sjaak.

[Sagitarius]

Ik heb er tenminste nooit problemen mee gehad (met geen enkel bestand).  Ook niet met Android 11
En mochten er problemen zijn met de "OpenVpn connect" app, dan neem je toch een andere app?

@Babylonia, ik kom hier nog even op terug, als ik in OpeVpn connect probeer een profiel in te laden krijg ik dit:



Zoals je ziet kan OpenVpn connect het profiel niet importeren, maar dat maakt nu niet meer uit ik gebruik nu VPN Client pro en die doet het wel goed, dus dat is geen probleem verder.

Dan over de RT1900ac, die heb ik in AP mode gezet en heb ik geen Firewall instellingen meer nodig en werkt voor het VPN Plus pakket goed.
Echter als ik OpenVpn wil connecten via de OpenVpn connect app krijg ik onderstaande melding:



Ben er inmiddels achter waarom niet, ik zag dat mijn certificaat verlopen (2022-02-02) is, dat was ook al in de router mode maar er niet op gelet.
Ik was in de war met het andere certificaat voor VPN Plus die levenslang gratis is.
Nu heb ik daarover het nodige gelezen om zelf een certificaat te maken, maar dat is een heel gedoe als leek, en die moet om de zoveel tijd ook weer vernieuwd worden.

Een beetje vreemd vind ik dat het certificaat verloopt, want op mijn Synolgy NAS waar een OpenVpn server op draait hoef ik nooit het certificaat te vernieuwen met DSM 6.XX
Ik laat het denk ik maar zo en gebruik de vpn server van de NAS die al jaren met hetzelfde certificaat werk.

Mvgr. Sjaak

[Babylonia]

M.b.t. certificaten zit er inderdaad een verschil tussen de VPN Plus server van de router  -  en VPN Server geïnstalleerd op een NAS.

Bij een NAS kun je meerdere certificaten inzetten.  Bijv. een "zelf ondertekend" certificaat.  En aan een applicatie of service koppelen.
Dat "zelf ondertekend" certificaat kan bij een ouder DSM versie vele "jaren" zijn geldigheid hebben. (Tegenwoordige versies één jaar).

Bij de Synology router VPN Plus server opties gaat dat NIET.

Meer daarover beschreven voor  SRM  1.3.1  -  maar maakt voor het VPN Plus server pakket onder  SRM 1.2.5  geen wezenlijk verschil.
Ergens 2/3 naar beneden scrollen bij de volgende reactie  < HIER >  van de handleiding voor een  RT6600ax.

• Certificaten:
• Gebruikers "perikelen" functionaliteit rondom domeinen / certificaten:

Verder vind je er nog wat meer handige informatie m.b.t. VPN.