OpenVPN #1: Beter beveiligen

[Pippin]

Hallo Wuter,

Heb je een Unix capabele tekst editor gebruikt, zoals Notepad++ b.v.?

[Wuter]

Ja inderdaad deze heb ik gebruikt hiervoor.

[Pippin]

Controleer het bestand goed in Notepad++ want dan zou het moeten werken als het onder Windows ook werkt.

[André PE1PQX]

Net mijn DS918+ en DS218+ geupdate nar 6.2.2
de DS218+ werkt ook als VPN server volgens het idee van dit topic, en mijn eerste indruk is dat het met de DSM update ook gewoon werkt.

[Pippin]

Bedankt voor het melden. 

Zolang Synology niets veranderd in de mappen structuur van VPN Server zal het blijven werken, tenminste... tot het moment er door OpenVPN developers besloten wordt de verouderde versie die Synology gebruikt, 2.3.11, niet meer te ondersteunen.

Dit blijft een hekel punt voor mij, OpenVPN wordt door veel gebruikers ingezet maar Synology blijft hopeloos achter.....

[André PE1PQX]

Alternatief zou dan een ander hardware stuk te gebruiken (Raspberry, Unifi gateway of zo...)
Mogelijk dat Syno OpenVPN alsnog gaat upgraden/updaten??

[Pippin]

Een extra apparaat brengt meer configuratie en dus kennis, dat is niet voor de gemiddelde gebruiker weggelegd.

Alternatief kan ook Easy Bootstrap Installer zijn zodat men zelf alles in de hand heeft maar ook dan is kennis vereist en alleen als Entware zich laat installeren op het type DS dat men heeft. IPKG heeft n.l. ook een verouderde versie...

Of Synology gaat updaten, geen idee, ben al een jaar of twee geleden gestopt met communiceren, brengt helemaal niets......

[André PE1PQX]

De tijd zal het leren....

[hscheff]

Ek is van Suid-Afrika en skryf in Afrikaans.
Ek verstaan meeste van wat hier geskryf is in Nederlands, en hoop jul kan Afrikaans verstaan.
Hoop dit is OK

Vraag: Sal dit nie nog veiliger wees om geen gebruikernaam / wagwoord te gebruik vir die VPN verbinding nie?
I.e. Slegs klient sertifikaat; dan is daar geen wagwoord wat hackers kan kry nie.
Of verstaan ek verkeerd?

[Pippin]

Deze handleiding maakt gebruik van:
1. certificaten
2. gebruikersnaam+wachtwoord.
3. tls-auth key

Een hacker heeft dus 1,2 en 3 nodig om binnen te komen.

[hscheff]

Dankie MMD

Daar is wel ander DSM dienste wat slegs gebruikersnaam en wagwoord gebruik.
Dieselfde Synology gebruikernaam en wagwoord word ook hier vir VPN gebruik en via die internet gestuur.
Ek aanvaar dit word encrypt en beskerm deur die sertifikate.

Beste praktyk is dus om slegs VPN na die internet beskikbaar te maak.
Toegang vanaf die internet na alle ander DSM dienste moet via VPN wees.
Korrek?

[Pippin]

Dat is helemaal correct.

[JeffreyJDavis]

<I hope you do not mind that I post in English, your native in mind translation will most likely be better than that of Google's>

First off:  Much Thanks to MMD for posting this thorough and excellent manual for getting OpenVPN securely running on DSM.
Second off: Thanks to b00bytrap for posting a very helpful English translation walk through youtube of MMD's manual.
Third off: Thanks to everyone in this community for being very helpful to all the users who are struggling with various issues.

I have google translated my way through all 27 pages of this thread and it is very educational.  I was able to successfully follow the procedure and get OpenVPN running on my new DS1019+.  I am able to authenticate correctly I believe via windows client on my laptop.  (I am connecting my win laptop to my mobile phone hotspot and then tunnelling in to my home LAN.)  I am able to access my DS shares and DSM via VPN.  So I think I got the hard part working correctly, but I have some stupid beginner's error here in the overall network / DHCP / DNS  config on either server or client side which is preventing me from getting DNS resolution.  I cannot access the WWW nor ping any websites from CMD window on Win10 once connected to VPN.

My LAN is on a 10.0.0.xxx subnet and my tunnel LAN is set to 10.10.0.xxx subnet  .  I have disguised my external WAN IP as www.xxx.yyy.zzz in the attached files and my admin acct as myadmin .  I included the OpenVPN log and also a dump of an IPCONFIG and PING command from Windows.  It seems that I am not getting a gateway for my VPN connection?

I'm guessing it might be quite obvious to someone helpful in this forum, but I for the life of me cannot figure it out.  Any help or suggestions appreciated in advance.

[Pippin]

The routes in the client log look ok to me.

1. Did you allow the VPN subnet 10.10.0.0/24 in the firewall on the DS?

2. What gives:

Code: [Selecteer]

cat /proc/sys/net/ipv4/ip_forwardon the DS command line?

3. Did you try another OS, Linux, Android...or is this specific Windows?

[Pippin]

Ok, I see you set public DNS server in the client config.
You have to comment (#) these lines in the server config:

Code: [Selecteer]

block-outside-dns
register-dns
Does that solve the issue?