OpenVPN opzetten tussen 2 DS Private key foutmelding

[kloppie]

Ik wil voor mijn broer en een vriend die alletwee een Synology hebben met DSM 6 een backup opzetten met een openvpn.
Tot nu toe de handleiding gevolgd aan de server kant:
http://www.synology-forum.nl/vpn-server/beter-beveiligde-openvpn/

En aan de client kant:
http://www.synology-forum.nl/vpn-server/openvpn-beter-beveiligen-als-client/

Maar krijg nu op de client kant:
Verbinding is mislukt. controleer uw netwerkinstellingen

In de log aan de client kant staat op het einde:
Thu Dec 29 11:20:44 2016 us=810229 OpenVPN 2.3.11 armle-unknown-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [MH] [IPv6] built on Aug  3 2016
Thu Dec 29 11:20:44 2016 us=810321 library versions: OpenSSL 1.0.2j-fips  26 Sep 2016, LZO 2.09
Thu Dec 29 11:20:44 2016 us=810420 WARNING: file '/tmp/ovpn_client_up' is group or others accessible
Thu Dec 29 11:20:44 2016 us=821133 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Thu Dec 29 11:20:44 2016 us=821395 PLUGIN_INIT: POST /lib/openvpn/openvpn-down-root.so '[/lib/openvpn/openvpn-down-root.so] [/usr/syno/etc.defaults/synovpnclient/scripts/ip-down]' intercepted=PLUGIN_UP|PLUGIN_DOWN
Thu Dec 29 11:20:44 2016 us=832457 Error: private key password verification failed
Thu Dec 29 11:20:44 2016 us=833160 Exiting due to fatal error

Kan iemand mij aub helpen, ik zit nu remote op beide PC's.....

[Pippin]

Hallo,

Beter beveiligen als client is zover ik weet niet getest op DSM 6.

Maar,

Code: [Selecteer]

Error: private key password verification failedsuggereert dat de private key (client.key) is gegenereerd met met een wachtwoord erop.
Zou het kunnen dat dat mis gegaan is tijdens het genereren van de certificaten?

Als test, neem dezelfde config en probeer die op je PC.

[kloppie]

Er zit geen wactwoord op client.key.
Zojuist in xca client.key geopend en password staat op common.

Is dit zo duidelijk?

Ik weet niet hoe ik op mijn windows 10 dit kan testen?

Kunt u mij verder helpen?

[Pippin]

De client voor Windows kun je hier downloaden.
Installeren met de standaard aangevinkte opties.
De config bestanden plaats je dan in de config map op je PC,

Code: [Selecteer]

c:\Program Files\OpenVPN\config\

[kloppie]

Die had ik idd al geinstalleerd en alle bestanden geplaatst in de config map:
CA.crt
client.crt
client.key
dh2048.pem
Server.crt
Server.key
ta.key
VPNConfig.ovpn

en dan krijg ik de volgende log:

Thu Dec 29 12:57:02 2016 OpenVPN 2.3.14 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [PKCS11] [IPv6] built on Dec  7 2016
Thu Dec 29 12:57:02 2016 Windows version 6.2 (Windows 8 or greater) 64bit
Thu Dec 29 12:57:02 2016 library versions: OpenSSL 1.0.2i  22 Sep 2016, LZO 2.09
Thu Dec 29 12:57:11 2016 WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
Thu Dec 29 12:57:11 2016 UDPv4 link local (bound): [undef]
Thu Dec 29 12:57:11 2016 UDPv4 link remote: [AF_INET]<REMOTE EXTERN IP-ADRES>:1194

[Birdy]

Niet handig om je remote ip-adres te vermelden, heb de dus maar gewijzigd naar <REMOTE EXTERN IP-ADRES> 

[kloppie]

Bedankt Birdy, ff niet opletten :-)

Kunt u mij verder helpen of is er een andere oplossing die gaat werken om de twee NASSEN met elkaar te verbinden zodat er over het internet backups plaats vinden.

De bedoeling is als volgt:
NAS van mijn broer moet een backup kunnen maken op de NAS van zijn vriend over het internet (automatisch hyperbackup) en
NAS van zijn vriend moet een backup kunnen maken op de NAS van mijn broer over het internet (automatisch hyperbackup).

Dus dacht ik openVPN zoals hier is beschreven te gebruiken, maar stoei er al een aantal weken mee (moet steeds remote PC's daar overnemen).

Alvast bedankt voor de zeer snelle respons!!!

[Pippin]

Als de beter beveiligen handleiding goed gevolgd is krijg je deze melding niet:

Code: [Selecteer]

WARNING: No server certificate verification method has been enabled
Doet mij denken dat je de client config niet juist gedaan hebt.
Zijn de bestanden aangepast zoals beschreven?

Beter vanaf daar alles afchecken.

[kloppie]

Ok ik ben nu de client kant opnieuw aan het doen.

Bij stap 2 staat (waar haal ik de openvpn.ovpn vandaan, bij de client en waar staat deze?) en daarna nog de codes toevoegen?:

Open client_o...nummer... door dubbelklik en voeg de volgende regels toe die uit openvpn.ovpn komen en nog missen in de config van het profiel:
Code: [Selecteer]
log /var/log/ovpnclient.log #<--Hier word een log geschreven voor troubleshooting
verb 4 #<--4 laat genoeg zien in het log
dhcp-option DNS vul.hier.ip.in #<--IP van DNS server in je LAN, dit is meestal het IP van je router
remote-cert-tls server
cipher AES-256-CBC
tls-version-min 1.2 or-highest
fast-io

[kloppie]

Mijn client_o ziet er als volgt uit:

dev tun
tls-client
remote EXTERN_IP_ADRES 1194
pull
proto udp
up /usr/syno/etc.defaults/synovpnclient/scripts/ovpn-up
route-up /usr/syno/etc.defaults/synovpnclient/scripts/route-up
ca ca_o1483014621.crt
comp-lzo
redirect-gateway def1
script-security 2
float
reneg-sec 0
explicit-exit-notify
plugin /lib/openvpn/openvpn-down-root.so /usr/syno/etc.defaults/synovpnclient/scripts/ip-down
auth-user-pass /tmp/ovpn_client_up

log /var/log/ovpnclient.log #<--Hier word een log geschreven voor troubleshooting
verb 4 #<--4 laat genoeg zien in het log
dhcp-option DNS 10.0.1.1 #<--IP van DNS server in je LAN, dit is meestal het IP van je router
remote-cert-tls server
cipher AES-256-CBC
tls-version-min 1.2 or-highest
fast-io

<cert>
-----BEGIN CERTIFICATE-----
inhoud client.crt
-----END CERTIFICATE-----
</cert>
<key>
-----BEGIN PRIVATE KEY-----
inhoud client.key
-----END PRIVATE KEY-----
</key>
<tls-auth>
-----BEGIN OpenVPN Static key V1-----
inhoud ta.key
-----END OpenVPN Static key V1-----
</tls-auth>
key-direction 1

[Birdy]

Kunt u mij verder helpen...............

OpenVPN is de beste oplossing en @MMD is DE OpenVPN expert dus, komt uiteindelijk wel goed

[Pippin]

Code: [Selecteer]

(waar haal ik de openvpn.ovpn vandaan, bij de client en waar staat deze?)Die heb je gedownload in het topic Beter beveiligen in Stap 4.
Dan de client certs, keys, enz. toevoegen aan client_0..... zoals beschreven in Beter beveiligen als client.

Ik lees hierboven dat je in twee richtingen backup wilt doen.
Misschien is het handiger eerst de standaard OpenVPN te gebruiken en dan eerst kijken of backup in twee richtingen gaat.
Daar twijfel ik aan n.l., zodra dat werkend is kun je altijd nog beter beveiligen.

@Birdy
Bedankt voor de eer maar het ligt er wel aan welke ogen kijken

[kloppie]

Laatste poging, ik kom er anders niet uit....
cert en key en CA heb ik ook in client_o map gezet op synology client.

Client_o bestand:
------------------------------
# Dit config bestand dient nog aangepast worden aan jouw situatie
# Wijzig alleen wat gevraagd wordt!

remote EXTRERN_IP_ADRES 1194 ### Extern IP adres of DDNS-naam of Domein-naam. Meerdere regels zijn mogelijk

cert client.crt ### Heb je voor meerdere gebruikers certificaten/keys gemaakt dan "gebruikersnaam.crt"

key client.key ### Heb je voor meerdere gebruikers certificaten/keys gemaakt dan "gebruikersnaam.key"

ca CA.crt

# Onderstaande "dhcp-option DNS" hoeft niet gebruikt te worden,
# dan wordt de standaard DNS instelling van de client gebruikt.
# Wil je dat wel dan moet het een geldig DNS server IP zijn
# Hetzij een eigen DNS server (b.v. op de Diskstation)
# Of publieke DNS server (b.v. 8.8.8.8 van Google)
# Wanneer je het wel gebruikt moet het # weggehaalt worden
# Er kunnen er meerdere opgegeven worden
#dhcp-option DNS vul.hier.ip1.in ### IP van DNS server 1
#dhcp-option DNS vul.hier.ip2.in ### IP van DNS server 2

# Wat hier onder staat hoeft niet gewijzigd te worden
################################################################


dev tun
tls-client
pull
proto udp
up /usr/syno/etc.defaults/synovpnclient/scripts/ovpn-up
route-up /usr/syno/etc.defaults/synovpnclient/scripts/route-up
comp-lzo
redirect-gateway def1
script-security 2
float
reneg-sec 0
explicit-exit-notify
plugin /lib/openvpn/openvpn-down-root.so /usr/syno/etc.defaults/synovpnclient/scripts/ip-down
auth-user-pass /tmp/ovpn_client_up


log /var/log/ovpnclient.log #<--Hier word een log geschreven voor troubleshooting
verb 4 #<--4 laat genoeg zien in het log
dhcp-option DNS 10.0.1.1 #<--IP van DNS server in je LAN, dit is meestal het IP van je router
remote-cert-tls server
cipher AES-256-CBC
tls-version-min 1.2 or-highest
fast-io


<tls-auth>
-----BEGIN OpenVPN Static key V1-----
inhoud ta.key
-----END OpenVPN Static key V1-----
</tls-auth>
key-direction 1


-------------------------------------
Log file client:

Thu Dec 29 15:53:03 2016 us=358819 OpenVPN 2.3.11 armle-unknown-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [MH] [IPv6] built on Aug  3 2016
Thu Dec 29 15:53:03 2016 us=358903 library versions: OpenSSL 1.0.2j-fips  26 Sep 2016, LZO 2.09
Thu Dec 29 15:53:03 2016 us=358998 WARNING: file '/tmp/ovpn_client_up' is group or others accessible
Thu Dec 29 15:53:03 2016 us=360937 NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
Thu Dec 29 15:53:03 2016 us=361337 PLUGIN_INIT: POST /lib/openvpn/openvpn-down-root.so '[/lib/openvpn/openvpn-down-root.so] [/usr/syno/etc.defaults/synovpnclient/scripts/ip-down]' intercepted=PLUGIN_UP|PLUGIN_DOWN
Thu Dec 29 15:53:03 2016 us=365756 WARNING: file 'client.key' is group or others accessible
Thu Dec 29 15:53:03 2016 us=367026 Control Channel Authentication: tls-auth using INLINE static key file
Thu Dec 29 15:53:03 2016 us=367204 Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Thu Dec 29 15:53:03 2016 us=367291 Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Thu Dec 29 15:53:03 2016 us=367435 LZO compression initialized
Thu Dec 29 15:53:03 2016 us=367882 Control Channel MTU parms [ L:1558 D:1184 EF:66 EB:0 ET:0 EL:3 ]
Thu Dec 29 15:53:03 2016 us=368083 Socket Buffers: R=[163840->163840] S=[163840->163840]
Thu Dec 29 15:53:03 2016 us=368246 Data Channel MTU parms [ L:1558 D:1450 EF:58 EB:143 ET:0 EL:3 AF:3/1 ]
Thu Dec 29 15:53:03 2016 us=368379 Local Options String: 'V4,dev-type tun,link-mtu 1558,tun-mtu 1500,proto UDPv4,comp-lzo,keydir 1,cipher AES-256-CBC,auth SHA1,keysize 256,tls-auth,key-method 2,tls-client'
Thu Dec 29 15:53:03 2016 us=368442 Expected Remote Options String: 'V4,dev-type tun,link-mtu 1558,tun-mtu 1500,proto UDPv4,comp-lzo,keydir 0,cipher AES-256-CBC,auth SHA1,keysize 256,tls-auth,key-method 2,tls-server'
Thu Dec 29 15:53:03 2016 us=368544 Local Options hash (VER=V4): '9e7066d2'
Thu Dec 29 15:53:03 2016 us=368625 Expected Remote Options hash (VER=V4): '162b04de'
Thu Dec 29 15:53:03 2016 us=368719 UDPv4 link local (bound): [undef]
Thu Dec 29 15:53:03 2016 us=368819 UDPv4 link remote: [AF_INET]10.56.216.109:1194

[Pippin]

Hoe kom je aan dat IP adres?

Code: [Selecteer]

10.56.216.109
Kijk eens even hier wat je IP adres is.

[kloppie]

Dat laatste ip adres is fout in de log.
Gaat erom of de client_o een beetje klopt, zou je deze na kunnen kijken?

Alvast bedankt!