OpenVPN #1: Beter beveiligen

[André PE1PQX]

Heeft even wat nadenken, iets-niet-goed-doen-en-overnieuw-beginnen (*) etc. gekost, maar met mijn DS216j (DSM 6.1.1-15101 Update 4) werkt het ook.
Kan nu een VPN opbouwen volgens de stappenplan in dit topic tussen mijn Samsung Galaxy S5 (Android 6.0.1) en de NAS.
Nu kijken of ik dat ook werkend krijgen kan tussen laptop en NAS als ik elders ben.

*): Het "iets-niet-goed-doen-en-overnieuw-beginnen" is puur mijn eigen schuld, ik lees, wil gelijk doen maar lees niet eerst het hele stuk om de op- en aanmerkingen die van belang zijn zo te missen.

[Pippin]

Er staat in de opening: "wel even voor gaan zitten" 

Mooi dat het dan toch gelukt is en bedankt voor de melding.

[André PE1PQX]

Haha... klopt, maar ik heb heel vaak momenten van 'wat mijn ogen zien, willen mijn handen onmiddellijk doen'... dat loopt wel eens mis 

komt er een volgende vraag bij mij boven drijven:

Ik heb nu de boel werkend tussen mijn NAS en smartphone (met 'user-1'), maar moet ik nu 'user-2' gaan verwerken voor bijvoorbeeld mijn laptop of kan ik daar ook 'user-1' voor inzetten.
De kans dat die beide apparaten tegelijk inloggen is niet zo heel erg groot, wel dat er met dynamische IP-adressen ingelogd gaan worden.

[Pippin]

Als je 1 user hebt kun je met die user (met zijn config) van elk apparaat waar OpenVPN op te installeren is inloggen.
Gelijktijdig met die zelfde user inloggen gaat niet, dan wordt de eerste inlog gekickt.

[André PE1PQX]

Kijk, helemaal helder. Voor tegelijk inloggen heb je dus 2 users nodig... (je kunt niet met 2x jezelf door 1 deur)
Bedankt!!

[Pippin]

Graag gedaan.

[André PE1PQX]

Ik weet niet of je wat aan deze aanvulling hebt:

Voor Windows machines vind je een OpenVPN client op https://openvpn.net/index.php/open-source/downloads.html
Download de juiste smaak (x86 of eventueel x64 zo je wilt) en installeer deze op de gebruikelijke manier.

In de map c:\Program Files\OpenVPN\config (*) plaats je de bestanden ta.key, client.key, openvpn.conf.user, openvpn.ovpn en CA.crt (dus de zelfde bestanden die je in je Android apparaat gebruikt)
Vervolgens kun je eenvoudig 'OpenVPN GUI' opstarten, en omdat de juiste bestanden op de juiste plek gezet zijn hoef je alleen maar de juiste username en wachtwoord in te vullen.

Ik heb dit ook zo gedaan met mijn laptop en hiermee kan ik probleemloos van 'buitenaf' inloggen via OpenVPN op mijn netwerk.
(heb hiervoor een XS4ALL UMTS dongeltje gebruikt).
Zo kan ik dan bijvoorbeeld probleemloos een printje maken met mijn LAN-laser-printer

@MMD als je nog belang hebt bij een log hiervan om te zien hoe die er mee omgaat heb ik die eventueel voor je beschikbaar.

*) Voor x86 machines kan het zijn dat de path iets anders is: C:\Program Files (x86)\OpenVPN\config

[Pippin]

Welkome aanvulling.

Dan heb ik er ook nog één.
Als je geen administrator rechten hebt op Windows kun je vanaf OpenVPN versie 2.4.0 toch gebruik maken van de VPN. Installatie dient echter nog wel als administrator te geschieden.
Plaats daarvoor de config in de gebruikers map:
c:\Users\GEBRUIKER\OpenVPN\config\

Dit is mogelijk gemaakt door een service die toegevoegd is aan OpenVPN, kijk maar eens in taakbeheer.

[André PE1PQX]

Vreemd verschijnsel: kom er net achter dat de OpenVPN connectie vanaf mijn smartphone prima werkt, ik kan daarnaast gewoon ook surfen op het web (en appjes ontvangen, mail checken enz. enz...) Netwerk: Vodafone -> het werkt zoals gewenst.

Als ik met de zelfde configuratie bestanden met mijn laptop via de XS4ALL dongeltje (= 4G LTE verbinding) een VPN opzet kan ik dit weer niet vreemd genoeg.
Websites worden gewoon niet geladen, pingen en tracert leveren niets op (in dos-command venster) en krijgen een time-out...
Ik zit wel in mijn LAN (kan een printje maken bijvoorbeeld) maar kom verder niet naar 'buiten'.

Enig idee?! Of misschien toch een 2e account organiseren....?

[Pippin]

Ik heb dit ook zo gedaan met mijn laptop en hiermee kan ik probleemloos van 'buitenaf' inloggen via OpenVPN op mijn netwerk.
(heb hiervoor een XS4ALL UMTS dongeltje gebruikt).

Werkte eerst wel?

Heb je een client log?

[André PE1PQX]

Ik ben er nu achter dat de DNS niet mee genomen werd. Nadat ik die van Google ( 8.8.8.8 ) er in geklopt had in de config werkt het wel.

In openvpn.conf de regel "dhcp-option DNS 8.8.8.8" toegevoegd.

Wat ik dan weer niet snap is dat het inmijn SGS5 wel werkt maar met  de laptop en XS4ALL dongeltje weer niet... Zelfde config bestanden.
Zal even kijken naar die logs voor je, geef me eventjes tijd.

[André PE1PQX]

Ik denk dat het belangrijkte regeltje in de log het volgende is:
"Recursive routing detected, drop tun packet to [AF_INET]w.x.y.z:1194"

(w.x.y.z is mijn xs4all IP-adres thuis)

[Pippin]

Yup dat is het, tenzij je ook nog verbonden bent op je eigen LAN.
Aan de config van de client toevoegen:

Code: [Selecteer]

allow-recursive-routing

[André PE1PQX]

Als ik het dongeltje gebruik verbreek ik de WiFi connectie (zet WiFi in de laptop zelfs uit)

Zal die regel eens toevoegen... Wordt vervolgt!

[André PE1PQX]

Met  "allow-recursive-routing" geen verbetering...
Denk dat de snelste oplossing het toevoegen van de Google DNS adressen is.