VPN instellen, werkt niet.

[Birdy]

Die 10.0.0.* zijn maar virtuele adressen, je zou gewoon 192.168.0.111 moeten kunnen bereiken.
Zelf heb ik OpenVPN connecties en kan mijn apparatuur op m'n LAN gewoon bereiken op hun eigen IP-adressen.

Als je een verbinding hebt, kan je dan 192.168.0.111 niet pingen ?

[Predjee]

Nee, lukt niet.

Ik kan wel naar buiten toe pingen.

Ik kan ook onderling pingen tussen devices die op het VPN binnen zijn gekomen.

Wat ik ook niet begrijp is: ik ben connected met VPN in de 10.0.0.0 range.

Maar als default gateway gebruikt hij nog steeds 192.168.1.254 (dat is de gateway van het netwerk waaruit ik kom, niet te verwarren met 192.168.0.111 waar de server staat!!)


Maar het is ook wel logisch toch dat het niet werkt... twee verschillende interne netwerken. Daartussen moet ook gewoon gerouteerd worden door een router.

Dus er zou toch een soort van gateway moeten zijn in de 10.0.0.0 range? En niet via 192.168.1.254

[Robert Koopman]

Dat zou je denken maar zo werkt het niet.
Wel vreemd dat je via de gateway wel naar buiten kunt pingen maar de NAS niet?
Toch iets met de firewall?

[Predjee]

Zoals in te zien in het plaatje.

Ik zit in 10.0.0.0
Mijn gateway in 192.168.1.254

Dat kan toch niet kloppen

[Predjee]

Dat zou je denken maar zo werkt het niet.
Wel vreemd dat je via de gateway wel naar buiten kunt pingen maar de NAS niet?
Toch iets met de firewall?

Is dat echt zo heel vreemd?

Ik wil vanuit 10.0.0.0 naar buiten toe. Dat lukt, want dat gaat via de gateway op 192.168.1.254 wat tevens de gateway is van het interne netwerk, waarop mijn publiekelijke interface zit (KPN lijn)

Vervolgens wil ik naar 192.168.0.111 toe.

Dit is een intern netwerk, wat weer op een andere publiekelijke interface zit (ZIGGO LIJN)

Ik kan wel naar dat publieke ip adress pingen, maar dus niet naar het interne IP adres. (wat logisch is) Echter, dat willen we via VPN fixen, door in te loggen op het bedrijfs netwerk.

Nou dat gaat prima. Ik zit op 10.0.0.0, maar daar staat de server niet. Die staat in 192.168.0.0

Dus tussen 10.0.0.0 en 192.168.0.0 moet er gerouteerd worden dan toch.

Overigens, VPN ip range veranderen in 192.168.0.0 geeft een foutmelding dat dat IP adres al wordt gebruikt voor een andere interface. Dat gaat dus niet werken

Op de firewall van de NAS staat niks ingesteld.
Op de firewall van de router alleen port forwarding rules.

er wordt dus niks geblokt.

[Robert Koopman]

Je draait de VPN server niet op de NAS met 192.168.0.111?
Ik had het zo wel begrepen.

[Predjee]

Hi Robert,

nee. Het zit als volgt in elkaar:


92.111.109.xxx ----> 192.168.0.0-----> NAS (192.168.0.111) <----- VPN 10.0.0.0

Dus hoe routeer ik vanaf 10.0.0.0 naar 192.168.0.0

[Babylonia]

Van wat ik begrijp wat je hebt ingesteld:

-   92.111.109.xxx is je WAN IP adres (het IP-adres van de internet connectie)
- 192.168.0.x        de Gateway van het interne LAN  ----> géén handig ingestelde Gateway m.b.t. VPN
- 192.168.0.111    het LAN IP-adres van de NAS waarop de VPN-server draait
-   10.0.0.x            de virtuele IP-Gateway waaronder de VPN-tunnel wordt opgebouwd ----> idem géén handig ingestelde Gateway m.b.t. VPN

De opmerking in blauw, waarom dat géén handig ingestelde Gateways zijn.
Als je van een externe locatie wilt inloggen op je eigen LAN, en toevallig het WiFi netwerk waar je je op dat moment bevindt, staat eveneens op de veel gebruikte "standaard" gateway 192.168.0.x ingesteld, kom je in conflict, omdat voor twee verschillende locaties twee "dezelfde LAN IP gateways" worden gebruikt.

De IP 10.0.0.x Gateway of daar net 1-2 sub-net nummertjes van afwijkend, wordt typisch vaak bij Apple gebruikt.
Ben je toevallig op een locatie waarbij juist die IP 10.0.0.x Gateway wordt gebruikt, loop je ook daarmee vast.

Aan de IP Gateways van apparatuur waar je op dat moment gebruik van maakt (bij vrienden, kennissen, hotel, restaurant etc.) kun jezelf niets aan veranderen. Is dat toevallig in conflict met de IP Gateways die jezelf thuis gebruikt kun je dus geen VPN-connectie opbouwen.

Om zo min mogelijk risico te lopen, dat je vastloopt in conflicten van IP Gateways, altijd het advies om voor de eigen IP Gateways combinaties te kiezen die waarschijnlijk weinig / niet door anderen als "standaard" gekozen zijn.

Dus kies voor je eigen IP gateways die je thuis gebruikt bijvoorbeeld:
- 192.168.125.x  ----------------------->  de Gateway van het interne LAN
  daaruit volgt dan  192.168.125.111  als het LAN IP-adres van de NAS waarop de VPN-server draait
-       10.0.125.x  ----------------------->  de virtuele IP-Gateway waaronder de VPN-tunnel wordt opgebouwd

Verder routeer je niets binnen de virtuele 10.0.125.x IP gateway waaronder de VPN-tunnel wordt opgebouwd.
Dat is enkele een virtueel IP-bereik wat nodig is om een VPN-connectie te kunnen opbouwen. Verder doe je er niets mee.

[Predjee]

He babylon, ik snap je punt.

Maar dat verklaard toch niet waarom het nu niet werkt?

Ik snap dat het conflicten KAN opleveren, maar dat doet het nu niet.

Ik snap gewoon niet waarom de VPN server uitdeeld in de 10. range, maar vervolgens "zichzelf' niet kan zien, omdat hij in een ander subnet zit. (192.168)

Als ik hem instel zoals jij zegt: krijg ik namelijk hetzelfde probleem. De server staat dan in 10.0.125 en de nas in 192.168.125.111

Nog steeds twee verschillende netwerken/subnetten.


De enige oplossing die ik zie is alles in hetzelfde netwerk/subnet plaatsen. Maar dat zie ik niet zitten (last resort)

[Babylonia]

Ik snap gewoon niet waarom de VPN server uitdeeld in de 10. range, maar vervolgens "zichzelf' niet kan zien, omdat hij in een ander subnet zit. (192.168)

Is al diverse keren door diverse mensen aangehaald:
Je routeert niets binnen de virtuele 10.0.125.x IP gateway waaronder de VPN-tunnel wordt opgebouwd.
Dat is enkel een virtueel IP-bereik wat nodig is om een VPN-connectie te kunnen opbouwen. Verder doe je er niets mee.
In de zin dat je er iets "zichtbaars" mee kunt doen.  (Je moet het echter wel in Firewall regels opnemen om te kunnen gebruiken).

Dus wat wil je er "zichtbaar iets" mee doen dan waar het alleen voor wordt gebruikt om een VPN-tunnel mee op te bouwen?
Als een VPN-connectie is opgebouwd met je LAN thuis, doe je alles met de IP gateway en de IP-adressen van je apparatuur van het LAN thuis.

[Predjee]

Nou mensen, ik heb de oplossing gevonden hoor ;-)

Je moet connecten naar 10.0.0.0:5001

inplaats van naar 192.168.0.111:5001 zoals ik steeds probeer

Dit geldt alleen als je extern via VPN erop wilt.

[Birdy]

Hm...merkwaardig hoor, ik gebruik gewoon m'n interne IP-adressen als ik OpenVPN connectie heb.
Moet er wel bij zeggen, dat ik OpenVPN gebruik van m'n Router.

[Predjee]

Het is eigenlijk wel logisch. Dit is wat synology mij zelf stuurde

'Once you have already connected to the VPN server, you should fill in the server address (10.0.0.0:5001) to connect your DSM, not (192.168.0.111:5001).

You are already in the different LAN. So you cannot access (192.168.0.111:5001) to your DSM.


het is eigenlijk precies wat ik zelf al aangaf. Je zit in een heel ander LAN, dus moet er OF gerouteerd worden, of deze oplossing dus, waarbij je connect naar de server zelf.

Maar ik wist niet dat dat kon (is voor het eerst dat ik een VPN opzet)

[Birdy]

VPN is niets anders dan een uitbreiding van je LAN naar buiten toe, externe client.
Als ik thuis werk maak ik ook een VPN verbinding en kan alle Servers gewoon bereiken met hun interne IP-adressen of op Server naam.
Het zou ook wat zijn als je ~100 Servers hebt die je zou moet bereiken met 10.0.0.* adressen.....hoe moet je daar nu achter komen...
Het adres die VPN geeft is dan ook gewoon een virtueel adres.

Hier mijn privé client, misschien kan je vergelijken:

Code: [Selecteer]

client
dev tun
proto udp
remote <Extern IP Router> 1194
float
comp-lzo adaptive
keepalive 15 60
auth-user-pass
ns-cert-type server
<ca>
-----BEGIN CERTIFICATE-----
<CERTIFICATE>
-----END CERTIFICATE-----
</ca>
<cert>
-----BEGIN CERTIFICATE-----
<CERTIFICATE>
-----END CERTIFICATE-----
</cert>
<key>
-----BEGIN PRIVATE KEY-----
<PRIVATE KEY>
-----END PRIVATE KEY-----
</key>
resolv-retry infinite
nobind


[Robert Koopman]

Vreemd.
Bij mij werkt het wel gewoon, kan mijn NAS via die twee ip adressen gewoon benaderen.