OpenVPN #5: Live switchen van udp naar tcp en andersom

[Pippin]

Tot op heden heb ik altijd nog via UDP, op poort 1194, kunnen verbinden met de VPN server.
Voor het geval het eens gebeurt dat dit niet lukt, doordat er poorten geblokkeerd worden, wou ik graag iets achter de hand hebben.

Ik heb aan verschillende dingen gedacht tot ik gisteren op het idee kwam om twee server configuratie bestanden te maken.
Eén zoals ik nu heb via poort 1194 en extra een tweede voor TCP poort 443.

Het volgende was hoe ik de VPN server kon stoppen om de TCP poort 443 configuratie te starten. Men verliest immers de verbinding op het moment dat men de VPN server stopt.......om hem daarna weer met de nieuwe configuratie te kunnen starten, wat dan dus niet gaat.
Daar waren twee scripts voor nodig die dat allemaal doen, één om te switchen naar TCP en een tweede om later weer terug te kunnen switchen naar UDP.

Samen met de hulp van een gebruiker bij de buren is dat gelukt met de volgende twee scripts,

Van UDP naar TCP (tcp.sh):

Code: [Selecteer]

#!/bin/sh
mv /usr/syno/etc/packages/VPNCenter/openvpn/openvpn.conf /usr/syno/etc/packages/VPNCenter/openvpn/openvpn.conf.udp
mv /usr/syno/etc/packages/VPNCenter/openvpn/openvpn.conf.tcp /usr/syno/etc/packages/VPNCenter/openvpn/openvpn.conf
/volume1/@appstore/VPNCenter/scripts/openvpn.sh restart

Van TCP naar UDP (udp.sh):

Code: [Selecteer]

#!/bin/sh
mv /usr/syno/etc/packages/VPNCenter/openvpn/openvpn.conf /usr/syno/etc/packages/VPNCenter/openvpn/openvpn.conf.tcp
mv /usr/syno/etc/packages/VPNCenter/openvpn/openvpn.conf.udp /usr/syno/etc/packages/VPNCenter/openvpn/openvpn.conf
/volume1/@appstore/VPNCenter/scripts/openvpn.sh restart
Elk script hernoemt eenvoudigweg de actieve configuratie daarna hernoemt het de gewenste configuratie.
Als dat gedaan is herstart de VPN server waarna in de client de config (profiel) gewisseld kan worden.

Je hebt dus twee configuraties in /usr/syno/etc/packages/VPNCenter/openvpn staan.
1 openvpn.conf (UDP) en 1 openvpn.conf.tcp (TCP)

Om te schakelen gebruik ik JuiceSSH op Android en PuTTY op Windows.

De twee scripts heb ik staan in /volume1 met permissie 0755
De één heet tcp.sh om te switchen naar TCP en de ander heet udp.sh om te switchen naar UDP.

Om te switchen naar TCP geef je op de prompt:
sh /volume1/tcp.sh

Om te switchen naar UDP geef je op de prompt:
sh /volume1/udp.sh

[Birdy]

Leuke oplossing 

Als ik mag aanvullen, je moet dus de standaard openvpn.conf copieeren naar openvpn.conf.tcp en daarin toevoegen, neem ik aan:
port 443
proto tcp

[Pippin]

Ja, het kopieren klopt.

Op de VPN server staat de poort achter het adres (IP/DDNS)
B.v.:
111.222.111.222 443
proto tcp-server

[aliazzz]

Welke redenen zou je kunnen aangeven om (ad-hoc) te willen switchen van UDP naar TCP voor VPN traffic?
Dat immers UDP standaard gebruikt wordt hiervoor heeft immers een legitieme rede.

Ik ben benieuwd.

[Pippin]

Het antwoord staat in de openingspost

"Voor het geval het eens gebeurt dat dit niet lukt, doordat er poorten geblokkeerd worden, wou ik graag iets achter de hand hebben."

[Briolet]

Het enige wat niet klopt is dat het "Live" gebeurd. Dan zou het ook een onzinnige actie zijn om via VPN ingelogd, naar een ander protocol te switchen.  Bij een echte "Live" switch zou ik verwachten dat je die SSH verbinding via een VPN inlog uitvoert.

Ik denk ook dat anderen die via VPN ingelogd zijn, eruit gegooid worden. Bij een echte "live" switch zou ik verwachten dat ze ingelogd blijven.

[Pippin]

Eerlijk gezegd zat ik te wachten tot iemand zou vragen:
"Maar hoe kun je switchen als je geen verbinding krijgt via UDP?"

Dan kan dat via 2/3/4G of een ander hotspot.

Titel is aangepast.

Het switchen gebeurt trouwens wel tijdens de live VPN verbinding.

[Ben(V)]

Tot op heden heb ik altijd nog via UDP, op een hogere poort dan 1194, kunnen verbinden met de VPN server.
Voor het geval het eens gebeurt dat dit niet lukt, doordat er poorten geblokkeerd worden, wou ik graag iets achter de hand hebben.

Leuk verhaal en mooi uitgedokterd, maar is zie de reden niet(anders dan dat het gewoon kan )

UDP wordt gebruikt binnen de VPN tunnel, dus tussen de twee VPN endpoints.
Als je dus een VPN tunnel kunt opzetten kan geen enkele router die UDP stream blokeren via een port block, want die router ziet alleen die VPN.
Dit zou hooguit nuttig kunnen zijn als je daarna weer verder moet routeren en dat niet met UDP kan/wil.
Het lijkt me dat dit in een thuissituatie nooit voor zal komen..

[Pippin]

Wat ik bedoel is dat als alleen poort 80 en 443 openstaat, zoals b.v. recent hier iemand op het forum die op een camping zat, ik een optie heb om te switchen van b.v. UDP 1194 naar TCP 443.

[Ben(V)]

Aha nu snap ik het.
Je tekst is een beetje verwarrend. Je bedoelt de VPN port en niet de UDP port.

Het gaat om de VPN port en UDP of TCP maakt dan helemaal niets uit.
Je kunt je VPN net zo goed over port 433 (of 80) sturen en UDP gebruiken.

UDP heeft de voorkeur bij VPN, omdat het minder overhead heeft en omdat het ingekapselt is in het VPN protocol heb je de voordelen die TCP bied niet nodig (UDP is stateless en TCP is statefull).

[Pippin]

UDP heeft de voorkeur, dat weet ik.

Ik zie nu op iana.org dat inderdaad zowel protocol UDP, TCP (en SCTP) gebruikt word voor HTTPS.

[Ben(V)]

Je haalt een paar dingen door elkaar.
VPN is geen HTTPS, het lijkt er wel veel op maar is wat anders.
En over een VPN tunnel kun je elk willekeurig protocol gebruiken wat je wilt als je maar aan beide zijden van de tunnel iets hebt dat dat protocol begrijpt.
Voor mijn part stuur je er ipx/spx overheen als je nog een novell server zou hebben.

Onderstaand plaatje is heel verhelderend al is het van een bepaalt merk.

[Pippin]

Dat is mij allemaal duidelijk  @Ben(V)

Het gaat mij om b.v. de camping die evt. ook protocollen blokt.

[Briolet]

Camping? Dat betekend toch vakantie. Hoe is vakantie nu te rijmen met VPN? Die twee zaken zijn volgens mij incompatibel. 

Probeert een campingeigenaar eens echte vakantie bij zijn gasten af te dwingen en is het weer niet goed.

Voor niet-vakantie toepassing is het verhaal overigens wel zeer informatief.

[Pippin]

Niet iedereen gebruikt VPN voor zakelijke doeleinden 

Het is wat mij betreft een leuke oplossing tenzij middels DPI VPN geblokt wordt natuurlijk.
Maar ook daar zijn mogelijke oplossingen voor, zoekterm "stunnel".