Open VPN Fragestellung

[fabio]

Ich hab mal eine Frage zu openVPN. Und zwar hat mir ein Kollege ein .cert und ein .ovpn File für den Windows-Client von OpenVPN gegeben. Unter Windows funktionert auch alles so weit. Ich kopiere nur die beiden Dateien in den config-Ordner und kann eine Verbindung herstellen (und mich mit putty über ssh auf dem Server einloggen).
Aber gibt es nicht auch eine Möglichkeit allein mit diesen beiden Dateien in Ubuntu eine Verbindung aufzubauen? Ich lese immer was von ca und key Files. Wie gesagt, unter Windows reichen diese beiden oben genannten Dateien aus.

Die .ovpn Datei hab ich in client.conf umbenannt und in /etc/openvpn/ gespeichert, genau wie die .cert Datei.

Wenn ich openvpn über den Terminal neustarte

sudo /etc/init.d/openvpn restart

werd ich nach Benutzername und Passwort gefragt und dann passiert gar nichts. Über ssh kann ich mich nicht auf dem Server einloggen. Ich weiß also nicht mal ob die Verbindung überhaupt steht oder nicht.

Wenn ich versuche die Verbindung oben im NM im Unity-Panel zu konfigurieren bekomme ich Fehlermeldungen wie "Verbindung konnte nicht hergestellt werden" oder "VPN-Dienst konnte nicht gestartet werden".

Irgendjemand ne Idee?

EDIT: Die Verbindung kann ich jetzt "scheinbar" aufbauen. Auf jeden Fall bekomme ich jetzt eine Erfolgsmeldung. Dazu musste ich die .ovpn Datei im VPN-Menü des Network-Manager importieren.

Was aber immer noch nicht klappt ist, dass ich mich im Terminal per

ssh root@192.168.178.2

auf den virtuellen Linux-Server auf der anderen Seite einloggen kann. Wie gesagt über Windows und Putty klappt es. Was mach ich falsch?

EDIT2: Ach ja, ich bekomme als Ausgabe ein

ssh: connect to host 192.168.178.2 port 22: No route to host

EDIT3: Vielleicht noch eine Info, wenn ich bei meinem Kollegen bin, mich also im selben Netzwerk befinde und keine Verbindung über VPN aufbauen muss, kann ich mit dem obigen Befehl per SSH auf den Server zugreifen.

 

[maledora4]

Was mach ich falsch?

In Windows-Kategorien denken?
Dein user heißt "root"? :facepalm:
192.168.178.2 soll die Adresse von "gegenüber" sein? Doch wohl eher in Deinem eigenen.

 

[Fusel Wusel]

Zu dem openvpn-Problem:
Generell: Dein zertifikat und deine Config (übrigens ist die .ovpn-Endung richtig...) gehören eigentlich eher irgendwo in dein home-verzeichnis, als nach /etc/openvpn.

Eine Fehleranalyse ist schwierig, ohne den Inhalt der Config-Datei zu kennen. Wenn Du die hier aber veröffentlichst, bereinige sie von den persönlichen Informationen wie Server-Adresse, Benutzernamen und Passwörter bzw. setze dafür Dummys ein, damit nachvollziehbar ist, was für Parameter gesetzt sind...

Wenn ein Full-Tunnel eingerichtet ist, solltest Du an die fremde 192.168.178.2 rankommen. Wenn das nicht geht, deine VPN-verbindung aber korrekt steht, könnte auch der OpenVPN-Server falsch konfiguriert sein.

@maledora64: Vielleicht braucht er permanenten root-Zugriff? Ist zwar nicht die feine Art, aber erstmal ja kein "Fehler", auch wenn etwas fahrlässig...
und die IP wird schon korrekt sein. Ist eben die IP des Servers im anderen Netzwerk. Was ist daran so unwahrscheinlich?

 

[fabio]

@maledora Ja und Nein

Die Verbindung stelle ich zu einem Windows-Server her, per VPN. Von da aus muss ich auf einen virtuellen Debian-Server mit der festen IP 192.168.178.2 und ja, im Moment melde ich mich da als root an, wird noch geändert.

Bin auch schon ein Stückchen weiter:
In der VPN-Konfiguration musste ich im Punkt "Routen" noch die oben genannte IP, die Subnetzmaske und den Gateway angeben. Jetzt komm ich durch. Ich kann mich auf dem Debian-Server anmelden, so weit so gut.

Problem jetzt: nach ca. 1-2 Minuten nimmt die Shell keine Tastatureingaben mehr entgegen (oder sie werden mir nicht mehr angezeigt). Der Kursor im Terminal blinkt nur noch oder verschwindet ganz.

Ich hab auch gemerkt, dass wenn ich in der NM-VPN-Konfiguration einen Haken setze bei "Meine_VPN_Verbindung -> Reiter VPN -> Erweitert -> Gateway-Port: 1194" dann ist dieser Haken jedes mal wieder verschwunden, wenn ich wieder in die Konfiguration schaue. Kann es sein, dass die Verbindung deshalb nicht mehr da ist?

Oder hat vielleicht jemand auf Anhieb eine Idee woran das liegen kann?

 

[fabio]

Zu dem openvpn-Problem:
Generell: Dein zertifikat und deine Config (übrigens ist die .ovpn-Endung richtig...) gehören eigentlich eher irgendwo in dein home-verzeichnis, als nach /etc/openvpn.

Eine Fehleranalyse ist schwierig, ohne den Inhalt der Config-Datei zu kennen. Wenn Du die hier aber veröffentlichst, bereinige sie von den persönlichen Informationen wie Server-Adresse, Benutzernamen und Passwörter bzw. setze dafür Dummys ein, damit nachvollziehbar ist, was für Parameter gesetzt sind...

Ja, sind jetzt im home-Verzeichnis. Ich hatte vorher im Wiki nur was von OpenVPN gelesen und bin die Anleitung durchgegangen. Den Network-Manager hatte ich total vergessen :facepalm:

Config:

client
dev tap
proto udp
remote domain 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca domain.cer
cipher BF-CBC
comp-lzo
verb 3
explicit-exit-notify 5
auth-user-pass

Wenn dir sonst noch was auffällt, was zu verbessern wäre, sag Bescheid.

 

[dirkk]

Bei mir sieht es so aus:

client
remote vpn.DOMAIN
ca USERHOME/CERTIFICATNAME
auth-user-pass
comp-lzo yes
dev tun
proto udp
nobind
auth-nocache
script-security 2
persist-key
persist-tun
user openvpn
group openvpn

 

[maledora4]

Opps sorry,
ich war heute Mittag noch vor dem "Tunnel". :facepalm:

 

[fabio]

Ich hab noch bemerkt, dass ich unter Windows + Putty gleichzeitig VPN und Internet habe, unter Ubuntu leider nicht. Aber ich denke mal, das ist eine Einstellungssache. Da muss ich noch ein bisschen googlen.

Aber was immer noch nervt ist, dass ich mich nur für ca. 1 Minute auf dem Server einloggen kann und dann nichts mehr passiert. Damit gibt es unter Windows auch keine Probleme. Aber das will ich so nicht stehen lassen...

Werd wohl morgen weiter machen. War ein langer Tag. Und danke für alle Anregungen - auch weitere

EDIT: und danke an die Moderatoren fürs auslagern.

 

[Gummiente]

Da du vpn und putty immer gleichzeitig nennst, brauchst du vpn auch für etwas anderes? Wenn nein, wozu der Aufwand mit vpn?

Ansonsten, hast du auch mal bei Networkmanager reingeschaut? Zumindest bei Kubuntu gibt es ein Plugin für Openvpn.

 

[fabio]

Putty nenne ich immer, weil ich halt damit unter Windows vergleichen/testen kann ob es da die selben Probleme gibt. Aber da es die nicht gibt muss ich irgendwas an der Konfiguration in Ubuntu falsch machen oder übersehen.

Ansonsten, hast du auch mal bei Networkmanager reingeschaut? Zumindest bei Kubuntu gibt es ein Plugin für Openvpn.

Klar, damit krieg ich ja jetzt die Verbindung hin. Nur ist die irgendwie nicht lange stabil. Und ich komme jetzt nicht gleichzeitig über meine eigene Internet-Verbindung ins Netz.

Und brauchen tu ich es, weil ich im Moment keine andere Möglichkeit sehe (der Server hat keine eigene feste IP) und weil ich, wenn es auf Windows klappt, auch hier hinbekommen will. Irgendwie muss es ja gehen.

 

[Fusel Wusel]

Hast du mal versucht, eine Kofiguration direkt über den Networkmanager zu erstellen, anstatt die gegebene Config zu importieren?
Meine Config sieht so aus:

client
remote DOMAIN
ca /home/.../CA
cert /home/.../CERT
key /home/.../KEY
comp-lzo yes
dev tun
proto udp
nobind
auth-nocache
script-security 2
persist-key
persist-tun
user openvpn
group openvpn

Ich würde es bei dir auf den ersten Blick mal mit "dev tun" anstatt "dev tap" versuchen.

 

[fabio]

Hmm,.. wo finde ich denn die Konfigurationsdatei Du meinst ja sicher nicht, die Einstellungen in die .ovpn zu schreiben und wieder zu importieren oder?

Ich meine mit "tun" hab ich es mal (per Haken) versucht, aber da gab es gar keine Verbindung.

 

[Rieper]

Du könntest nur die Verbindung zu dem Windows-"Server" über die VPN-Verbindung realisieren und alle anderen Adressen über den normalen gateway routen. Ich mache das genau andersrum, da ein VPN-Tunnel den smtp-Port blockiert. Für deine konkrete config musste natürlich nochma in die man-pages o.ä. schauen.

# openvpn --config /etc/openvpn/smtp-block.ovpn
# ip route add $IP_mailserver via $IP_lokaler_gateway

 

[fabio]

danke, schau ich mal rein