OpenVPN #1: Beter beveiligen

[André PE1PQX]

Dat een firewall een must is moge duidelijk zijn.. Niet alleen voor bedrijven, maar voor alle op internet aangesloten apparaten (simpel gesteld).
Eigenlijk best nadelig dat die OpenVPN te eenvoudig te wijzigen is.

[Pippin]

Firewall mogelijkheid is eigenlijk een must, zeer zeker voor bedrijven.

Daar doelde ik eigenlijk op OpenVPN (of zelfs andere VPN).

OpenVPN beveiligd een verbinding tussen endpoints, niet meer en niet minder.
Routing en firewall hoort daar eigenlijk niet bij, dat moet een netwerk admin allang kennen, networking 101.
Daar ligt natuurlijk ook een probleem van gebruikers dat niet zo eenvoudig op te lossen is, kun je verwachten dat wij allemaal netwerk admins worden?

Dat onze Synology NAS die OpenVPN aanbiedt op dit punt niet compleet (genoeg) is ligt niet aan OpenVPN....... 

[KDM]

I tried creating the PC it's own login and certs but I get the same result as per the logs posted above

[Pippin]

I overlooked this one in the client log:

Code: [Selecteer]

VERIFY EKU ERRORPlease check your server certificate for Extended Key Usage properties or post the details which you can find in XCA.
Select the server certificate, click Show Details and copy the details under the Extension tab here.

[KDM]

X509v3 Basic Constraints critical:
CA:FALSE
X509v3 Subject Key Identifier:
93:8F:6B:FB:4D:BF:D4:8B:CC:C5:0E:F4:B9:6B:B7:E3:D4:1B:46:97
X509v3 Key Usage:
Digital Signature, Key Encipherment
X509v3 Extended Key Usage:
TLS Web Server Authentication

extendedKeyUsage=serverAuth
keyUsage=digitalSignature, keyEncipherment
subjectKeyIdentifier=hash
basicConstraints=critical,CA:FALSE

[Pippin]

Looks ok.

Yet, the client log shows a verify error of the server certificate.
Are you sure you copied the correct certificates to the correct locations?
Please see step 3 to verify the path`s:
https://www.synology-forum.nl/vpn-server/beter-beveiligde-openvpn/msg135814/#msg135814

Code: [Selecteer]

/usr/syno/etc/packages/VPNCenter/VPNcerts 0755
CA.crt                0400
Server.crt          0400
Server.key        0400
dh4096.pem    0644
ta.key                0400

/usr/syno/etc/packages/VPNCenter/openvpn
openvpn.conf.user    0644


[KDM]

[André PE1PQX]

From what I can tell: The 'openvpn.conf.user' file should be in /usr/syno/etc/packages/VPNCenter/openvpn and not with the certificate files.

[KDM]

Yes I just discovered that.  There is a openvpn.conf.user file in / usr / syno / etc / packages / VPNCenter / openvpn but it's not the same.  I'll replace and try again

[KDM]

Didn't work (still get the same issues) but now I know so much more about the whole scenario I might uninstall everything and start again in case I have made other mistakes.  I'll report back

[Pippin]

Ok, yeah, that`s not going to work

Some thing`s get lost in translation...
Let us know how it goes.

[KDM]

After starting again, it now works both mobile and PC and I think I know what went wrong.  When creating the certificates I had imported the wrong templates.  I think I accidentally used the ones from the XCA directory without realizing and put the slight differences down to the google translation.  I recreated all the certificates, de-installed and re-installed the VPN server and then everything worked.

Thank you MMD for helping, I really appreciated it.

[Pippin]

Your welcome and glad it works now.

Greetings.

[André PE1PQX]

Ik heb de DSM update uitgevoerd naar 6.2 op mijn VPN server unit, en kan nu melden dat VPN (aangepas zoals in dit topic beschreven) gewoon blijft functioneren.

Dus zoals het nu lijkt kan DSM 6.2 toegevoegd worden aan de startpost.

Noot: dit gaat dus om een opdate van een werkend systeem, niet over het configureren van OpenVPN-à-la MMD op een verse DSM 6.2 installatie.
Indien gewenst kan/wil ik daar ook wel eens naar kijken, de MailPlus server werkt inmiddels ook op 6.2 en die kent nog geen VPN server.

[Pippin]

Bedankt voor het melden 

Ben zelf conservatief wat updates betreft, ben pas ruim een maand ofzo op DSM 6.1.
Ook deze keer wacht ik waarschijnlijk nog wel even, voegt niet veel toe voor mijn gebruik.
Alleen packages doe ik redelijk vlot als er niet teveel bug meldingen zijn.

Een DSM update zal in de regel geen probleem zijn voor deze handleiding, heb ik nog niet meegemaakt tenminste.

Wat betreft OpenVPN, oftewel een update van VPN Server, zolang de mappenstructuur niet wijzigt en openvpn.conf.user niet uit het start script gehaald wordt zal het blijven werken.
Wanneer Synology eindelijk eens de OpenVPN versie update naar 2.4 of hoger zou het (theoretisch) ook moeten blijven werken.

Welke versie is er nu in 6.2, nog steeds 2.3.11?

Code: [Selecteer]

openvpn --version

Bij mij:

Code: [Selecteer]

root@NAS:~# openvpn --version
OpenVPN 2.4.5 arm-openwrt-linux-gnu [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [MH/PKTINFO] [AEAD]
library versions: OpenSSL 1.0.2o  27 Mar 2018, LZO 2.10
Originally developed by James Yonan