OpenVPN #1: Beter beveiligen

[wellproc]

Problem solved!

Je moet openvpn.conf weghalen (in /usr/syno/etc/packages/VPNCenter/openvpn/) en vervangen door openvpn.conf.user (hernoemen naar openvpn.conf natuurlijk!).
Vervolgens VPN server opnieuw starten en het werkt als een zonnetje!

[Robert80]

Problem solved!

Je moet openvpn.conf weghalen (in /usr/syno/etc/packages/VPNCenter/openvpn/) en vervangen door openvpn.conf.user (hernoemen naar openvpn.conf natuurlijk!).
Vervolgens VPN server opnieuw starten en het werkt als een zonnetje!

En jij had hetzelfde probleem als ik had?

[wellproc]

En jij had hetzelfde probleem als ik had?

Aan je foutmeldingen te zien wel 
Dus de moeite van het proberen waard zou ik zeggen.
Hopelijk werkt het dan bij jou ook.

[André PE1PQX]

Kijk ook eens naar welke versie van VPN package je nu gebruikt. Vanaf een bepaalde versie (even terug lezen in dit topic!!) werkt deze methode niet meer.

[wellproc]

Aha, dat had ik dus gemist in het hele verhaal.

Is mijn oplossing (die ik trouwens ergens anders op internet vond) dan niet juist?
Het lijkt allemaal goed te werken 

Ik kijk ff of downgraden naar de oude VPN Server hier ook werkt.

[EDIT] Dat werkt dus inderdaad wel op de omschreven manier.
Ik moest wel even de configfile weghalen, VPN Server starten en stap 2 uitvoeren, VNP Server uit, configfile terugzetten en VPN Server weer aan.

Het is wat aan en uitschakelen, maar anders krijg je niet de juiste instellingen er in (als je alles al een keer eerder geconfigureerd hebt).

Blijft mijn vraag staan: was de workaround die ik had ontdekt echt problematisch of had ik dat ook kunnen laten staan?

[Robert80]

aangepast en het werkt nu bij mij ook ( windows pc ) mooi groen beeldscherm icoontje

nu alleen nog op mijn iphone zien te zetten ( dat wordt weer ff puzzelen)

[Robert80]

nu heb ik mijn openvpn.openvpn naar mijzelf gemaild en geimporteerd in de openvpn client van ios en krijg ik de volgende melding: zie foto



moet ik miss inline tags gebruiken en hoe doe ik dat??

[Ariekanarie12]

nu heb ik mijn openvpn.openvpn naar mijzelf gemaild en geimporteerd in de openvpn client van ios en krijg ik de volgende melding: zie foto



moet ik miss inline tags gebruiken en hoe doe ik dat??

Hi,

Mogelijk heb je je antwoord al gevonden, maar https://www.synology-forum.nl/vpn-server/openvpn-inline-certificaten-enz/ heeft mij hierbij eerder geholpen

[Ariekanarie12]

Problem solved!

Je moet openvpn.conf weghalen (in /usr/syno/etc/packages/VPNCenter/openvpn/) en vervangen door openvpn.conf.user (hernoemen naar openvpn.conf natuurlijk!).
Vervolgens VPN server opnieuw starten en het werkt als een zonnetje!

Hi Wellproc,

De door jouw omschreven fix verhelpt de problemen welke ontstonden sinds VPN ServerV1.3.12-2780. Menigeen lezer van deze thread, waaronder ikzelf, welke vertrouwt altijd package updates uitvoerden hebben daarom hun versie teruggedraaid naar 1.3.12-2777.

Laatst heb ik mijn NAS geupdate naar DSM7 en daarmee is VPN Server ook geupdate. Mijn VPN config werkte niet meer, zoals verwacht, maar het verwijderen van openvpn.conf en vervolgens openvpn.conf.user -> openvpn.conf zorgt er voor dat ik nu VPN server weer kan gebruiken.

DSM 7, VPN Server V1.4.3-2838 werkt met deze fix! Chapeau

[remy007]

Ik had mijn IPv6-tunnel gisterenavond op de 'klassieke' Synology OpenVPN manier werkend gekregen. Vandaag maar eens de handleiding in het topic met succes gevolgd, echter was alleen IPv4 beschikbaar in het begin...

Wil je ook naast deze betere beveiliging een OpenVPN tunnel opzetten waarover een IPv6 service ook bereikbaar is (IPv6 over IPv4), dan dien je het volgende in de openvpn.conf (als in openvpn.conf.user) erbij te zetten:

Ik heb mijn persoonlijke IPv6 gemaskeerd, voor het gemak even (mijn interne) IPv4 erbij gehouden:
#IPv4
server 172.17.1.0 255.255.255.0 ### IP vervangen door regel uit openvpn.conf
push "route 172.17.100.0 255.255.255.0" ### IP vervangen door regel uit openvpn.conf (Local LAN van DS)
push "route 172.17.1.0 255.255.255.0" ### IP vervangen door regel uit openvpn.conf (Dynamisch IP/tunnel)
push "dhcp-option DNS 172.17.100.254"

#IPv6
push "route-ipv6 2000::/3"
push "dhcp-option DNS 2001:4860:4860::8888" ### Is aan te passen naar (je eigen interne) IPv6-adres van je DNS server, router of server, Google DNS IPv6 is bereikbaar op 2001:4860:4860::8888 of 2001:4860:4860::8844
tun-ipv6
push tun-ipv6
server-ipv6 aaaa:bbbb:120b:b3fc::/64 ### Dient aangepast te worden naar het IPv6-prefix verkregen van de provider*
proto tcp6-server

* Let op: Het IPv6-prefix dient ook door het modem/router te worden doorgegeven aan achterliggende routers, zo wordt de Synology netwerktechnisch gezien in dit geval, verder heb ik gebruik gemaakt van de informatie op deze site en OpenVPN Wiki - IPv6.

[Bert20]

Ik zie op mijn Synology dat er een update is voor de VPNServer.
Namelijk versie 1.4.4-2855

https://www.synology.com/nl-nl/releaseNote/VPNCenter

What's New
Added support for the verification of server CN and TLS auth keys to enhance the security of OpenVPN connections.



Heeft iemand deze versie al doorgelaten?
Veranderd dit wat aan bovenstaande e.d.

Heb nu het draaien al een paar maanden stabiel met certificaat en alles.
Dus voordat ik wat update.... Maar beter afwachten misschien... :-)

[Babylonia]

Ik vermoed dat  "What's New"  eigenlijk nog de minst belangrijke prioriteit zal hebben voor een update.
Maar veel meer de eronder aangegeven 6 punten onder  "Fixed Issues"

[biomass]

Wie twijfelt of de openingspost uit 2014 nog actueel is, ik heb gisteravond op DSM 6.2 deze tutorial afgemaakt en werkende VPN server gekregen met VPNCenter 1.3.14-2782. Een paar pagina's terug is nog te lezen dat een van de laatste updates de eigen configuratie onbruikbaar maakt, maar dat is gelukkig simpel te verhelpen. Synology maakt er geen melding van in hun releasenotes, maar ik vermoed dat de support voor de openvpn.conf.user configuratie file verwijderd is om te voorkomen dat een hacker die met een andere exploit is binnengekomen, redelijk eenvoudig een custom configuratie naast een actieve standaard VPNCenter configuratie kan zetten. Zodat je dat dus niet zou merken als je zelf ingelogd zou zijn via VPN, totdat de hacker zijn eigen profiel activeert..

Met XCA 2.4 zag ik dat de templates heel goed werkten, in de tutorial staan een aantal stappen om selecties aan te vinken, dat hoefde allemaal niet. Ik heb wel alle klik 'Apply' en klik 'Ok' stappen gedaan

Ik vond het zelf het eenvoudigst om de files van de tutorial via mijn home folder naar de folders van het VPNCenter package te kopieren (Met WinSCP of File Station). Ik hoef niet zo nodig root rechten te geven aan WinSCP, ik doe dat liever met sudo cp


PS: Ik zag er eerst tegenop op 33 pagina's aan reacties door te gaan lezen, maar met printfunctie van het forum heb je zo een doorzoekbare PDF   
Skip 26 oktober 2016 maar, dat is 1 grote smiley 

[NAsMAt]

Problem solved!

Je moet openvpn.conf weghalen (in /usr/syno/etc/packages/VPNCenter/openvpn/) en vervangen door openvpn.conf.user (hernoemen naar openvpn.conf natuurlijk!).
Vervolgens VPN server opnieuw starten en het werkt als een zonnetje!

Zojuist op mijn nieuwe DSM920+ met DMS 7.1 VPN Sever (1.4.7-2901) aan de praat gekregen met deze tip. Bedankt!

[deetee]

Hallo allemaal,

Ik had dit lange tijd niet gebruikt en kwam er dus achter dat na alles braaf te updaten naar DSM 7.1.1-42962 Update 2 en VPNCenter 1.4.7-01 het niet meer werkt.

Ok dan... hele post doorgelezen en opnieuw begonnen. Nu ben ik dus op een punt waar het werkt maar waar ik twijfels bij heb.

Wat ik gedaan heb ik alles volgens de stappen en bij stap 3.3 het bestand openvpn.conf.user aangemaakt met mijn instellingen, vervolgens het bestand openvpn.conf verwijderd, openvpn.conf.user gekopieerd naar locatie /usr/syno/etc/packages/VPNCenter/openvpn, bestand hernoemd en de VPNServer weer gestart.

Wat mij hierbij opvalt is dat ik niet de blauwe melding krijg dat de configuratie aangepast.
Op de regel van verificatie verwijst hij naar /usr/syno/etc/packages/... (verder kan ik niet lezen waar dit naar verwijst). Zie bijlage.

Toch heb ik de verdere configuratie afgerond en een inline OVPN file gemaakt op basis van de certificaten die in stap 1 gemaakt worden. Na dit op de telefoon (iPhone) te selecteren kan ik toch verbinding maken met de OpenVPN server.

Mijn vraag is nu of dit wel op de juiste manier werkt en ook even veilig is. Hoe kan ik dit controleren? Weet iemand dit?