Thema "OpenVPN mit tomato Router hinter DS-Lite" in Archiv_Internet-Geräte

OpenVPN mit tomato Router hinter DS-Lite

Sun, 09 Dec 2018 22:10:28 GMT

Hallo zusammen

Ich habe folgendes Setup:

Internet <> UM ConnectBox mit DS-Lite <> Belkin Router mit tomato Firmware <> PC, NAS, PS4

Ich würde gerne mittels VPN von außen auf mein Netzwerk zugreifen, um mein IPv4 NAS und IPv4-PS4-Dienste zu nutzen. Da die ConnectBox das leider nicht von Hause auf mitbringt, habe ich den Belkin Router mit tomato Firmware dahinter geschaltet.

Dieser hat die Möglichkeit einen openVPN-Server zu betreiben. Da ich aber nicht allzuviel Ahnung von der Materie habe, bin ich relativ ratlos, wie ich

1) IPv6 über den tomato Router weiter an die Geräte dahinter vergeben

2) openVPN auf tomato Router einrichte, damit ich dann - einfach gesagt - meine anderen Geräte über die Netzwerkumgebung sehen kann (NAS etc.)

Ist das überhaupt möglich, wenn UM nur DS-Lite liefert?

Hat jemand Erfahrungen mit tomato und VPN hinter einem UM-DS-Lite-Anschluss?

Hätte alternativ noch eine Fritzbox 7360, die aber VPN nur bei nativem IPv4 anbietet.

Viele Grüße

Sebastian

Re: OpenVPN mit tomato Router hinter DS-Lite

Sun, 09 Dec 2018 23:21:25 GMT

ich glaube, die Connect Box unterstützt kein Bridge Modus, daher hast du dahinter auf dem anderen Router auch keine öffentliche IP

Re: OpenVPN mit tomato Router hinter DS-Lite

Torsten — Mon, 10 Dec 2018 00:08:45 GMT

Für IPv6 kannst du auf der ConnectBox eine DM für den Router einrichten, dann bekommt der eine öffentlich erreichbare IPv6. Um dein Vorhaben dann aber umzusetzen, brauchst du in jedem Fall einen Portmapper, der IPv4-Anfragen über IPv6 an deinen Anschluss/Router weiterleitet, z.B. http://www.feste-ip.net/dslite-ipv6-portmapper/allgemeine-informationen/.

Re: OpenVPN mit tomato Router hinter DS-Lite

Mon, 10 Dec 2018 09:33:35 GMT

@Lucky: Eine öffentliche IP für den Router, und im besten Fall für die Geräte dahinter, reicht? Müsste letzteres nicht über den DHCP IPv6 des Tomato gehen?

@Torsten

was ist eine DM und wo richte ich diese ein?

Der Portmapper ist also notwendig, damit ich von einem IPv4 Zugang überhaupt den IPv6 tomato-Router von außen sehen kann und somit auch den dort laufenden VPN-Server?

Auf der von dir genannten Seite steht

"Wichtig ist, das die Gerät die Sie ansprechen wollen, IPv6 fähig sind. Sollte dies nicht der Fall sein benötigen Sie in Ihrem Netzwerk einen IPv6 auf IPv4 Übersetzer."

Für meine IPv4 Playstation brauche ich also dann noch ein Portforwarding von IPv6 auf IPv4 auf dem tomato-Router? Oder brauche ich die mit der Benutzung des VPNs garnicht mehr?

Sebastian

Re: OpenVPN mit tomato Router hinter DS-Lite

Mon, 10 Dec 2018 09:47:53 GMT

Oder könnte ich mithilfe des Portmappers doch den VPN Server der Fritzbox verwenden?

Re: OpenVPN mit tomato Router hinter DS-Lite

Gelöschter User — Mon, 10 Dec 2018 16:24:47 GMT

Zum Portmapper gibt es ausführliche, öffentlich zugängliche Informationen: http://www.feste-ip.net/

Aber Mache es doch nicht so kompliziert.

Wenn du die Speed-Option für 3€ buchst und gleich sagst, dass du Dualstack brauchst, bekommst du das auch.

Dann hast du für dein VPN usw. eine IPv4, zu der es genügend Anleitungen gibt.

Wenn du eine VPN etabliert hast, brauchst du keine Portweiterleitungen mehr.

Selbstverständlich gibt es auch irgendwie eigengebastelte Lösungen, feste-ip.net verwendet z.B. so was gebasteltes, über einen vServer kann man so was auch schaffen, aber da bin ich aussen vor. Das hätte ja was mit Lesen und ausprobieren zu tun und kostenlos ist es auch nicht.

Re: OpenVPN mit tomato Router hinter DS-Lite

Torsten — Mon, 10 Dec 2018 21:34:20 GMT

Naja, kostenlos ist der Power Upload auch nicht, lediglich der DS nativ zusätzlich wäre kostenfrei. Es bleibt aber bei mindestens 2,99 €/Monat für den PU, die Telefon Komfort Option schlägt sogar mit 4,99 €/Monat zu Buche.

@sebastian.friesdorf

DMZ (entschuldige, das "Z" hatte ich in meiner Antwort verschluckt) bedeutet

Demilitarisierte Zone (Informatik) – Wikipedia

und diese wird im Router eingerichtet. Allerdings bin ich nicht so tief in der Materie, das ich dir da genaueres sagen kann. Ggfs. müsstest du also in der Tat den Pi von www.feste-ip.net für deine Playstation (oder andere Geräte, die von außen angesprochen werden sollen und ausschließlich IPv4 können) dazu nehmen, wenn du es damit probieren willst.

Re: OpenVPN mit tomato Router hinter DS-Lite

Wed, 19 Dec 2018 13:09:58 GMT

@Plumper Habe Power-Upload, aber reines Dual Stack wollte man mir trotzdem nie geben.

Ich habe es jetzt ansatzweise hinbekommen:

- Habe den Tomato Router (TR) mit der Firmware 1.28 von Toastman hinter der ConnectBox (CB).

- IPv6 für TR von CB zugewiesen (in Toastman Firmware -> IPv6 -> IPv6 with Prefix Delegation; keine weiteren Einstellungen; WICHTIG: Toastman-Firmware und nicht Shibby, da Shibby das anscheinend nicht hinbekommt)

- Einrichtung von DUIA DNS Daemon auf TR -> Übermittlung der öffentlichen IPv6 auf DDNS

- Portmapper von www.feste-ip.net zeigt auf diese IPv6

Bin nun dabei, den VPN-Server auf dem TR zum laufen zu bringen. Der will allerdings noch nicht.

- Der bereits integrierte OpenVPN-Server wird nicht vom Windows-Clienten gefunden, weder über die Serveradresse zum Portmapper, DUIA oder direkte Eingabe von der IPv6

- der integrierte PPTP funktioniert, jedoch nur vom CB-Subnetz aus und interner IPv4 des TR als Zielserveradresse (Ich vermute, dass es nicht von außen klappt, weil die CB kein PPTP portforwarden kann)

- L2TP PSK habe ich auch probiert über Entware, klappt jedoch auch nicht.

Hat jemand schon mal Erfahrungen mit einem VPN-Server auf Tomato hinter einem DS-Lite Anschluss gehabt? Oder ist das mittlerweile das falsche Forum?

Sebastian

Re: OpenVPN mit tomato Router hinter DS-Lite

Gelöschter User — Wed, 19 Dec 2018 16:39:32 GMT

Ziemlich sicher gibt es da deutlich bessere Foren.

Re: OpenVPN mit tomato Router hinter DS-Lite

Torsten — Wed, 19 Dec 2018 17:53:50 GMT

Für den DS nativ wende dich mal an den Chat oder die UM Hilfe bei Facebook oder Twitter, die Hotline macht das wohl gerne eher nicht.

Re: OpenVPN mit tomato Router hinter DS-Lite

Anonym253 — Wed, 19 Dec 2018 22:30:19 GMT

Hallo Sebastian,

ich erlaube mir auf meine Lösungsansätze zu verweisen. Allerdings ist es mit einer Fritzbox wahrscheinlich leichter zu realisieren als mit der "connect box" (z.B. wegen dyndns bzw. ggf. auch Präfixdelegation)

Inwieweit sich "tomato" von einem Linux auf auf einem Raspberrypi unterscheidet, weiß ich auch nicht.

Voraussetzung für meine beiden Vorschläge ist aber, dass die Rechner, die das VPN nutzen sollen ebenfalls eine IPv6-Anbindung haben.

Mit freundlichen Grüßen

Thomas Schäfer

openvpn für Heimnetz mit IPv4-Geräten an
DS/DS-lite-Anschlüssen

openvpn synology nas myfritz Nutzung von openvpn via IPv6 am
Beispiel der Fritzbox und der Synology Diskstation

Re: OpenVPN mit tomato Router hinter DS-Lite

Sun, 23 Dec 2018 15:36:19 GMT

Hallo zusammen,

---

@thomas:

Die Fritzbox ist ja im Prinzip nur dafür gut, um einen stabilen DDNS Hostnamen zu vergeben. Da ich DUIA erfolgreich auf dem tomato laufen habe und dies das gleiche Ergebnis erzielt, würde ich die Fritzbox erstmal nicht noch dazwischen schalten, sondern weiter über DUIA auf die IPv6 zugreifen.

Die Altlasten-Lösung klingt sehr interessant, dazu hab ich aber noch ein paar anwendungsspezifische Fragen (s.u)

----

Mir gehen gerade mehrere Dinge durch den Kopf.

Kurz vorab. Ich kann openVPN auf Windows mit dem tomato-VPN-Server verbinden, wenn als Serveradresse die lokale IPv4 eingetragen wird. Ob das auch mit einer globalen IPv4 funktionieren würde, kann ich nicht testen wegen DSlite. Ich habe daraufhin versucht die IPv6-Adresse des tomato Router einzutragen. Leider kommt immer die Fehlermeldung, dass die Adresszuweisung gescheitert ist, sprich der VPN-Server keine IPv6 vergeben kann.

Das führte mich zu folgenden Fragen:

1) Anscheinend muss ich es hinbekommen, dass tomato IPv6 vergeben kann -> Prefixdeligation von der Connectbox aktivieren (@thomas: meine fritzbox ist leider keine Coax-Fritzbox, deswegen Betrieb von Connectbox weiterhin notw.)

2) Kann ein IPv6 Client überhaupt dann mit den IPv4 Geräten (bspw. PS4) im Netzwerk kommunizeren?

Falls 2) mit nein beantworten würde, müsste ich tatsächlich eine Art openVPN für "Altlasten" kreieren. Der tomato läuft mit Linux; ich kann auch über Telnet Befehle drauf ausführen etc.

@thomas: deine Lösung sieht ja den rasberryPi als eine Art ipv6 vpn endpoint, der Anfragen ins ipv4 heimnetz routet, oder?

Ich werde mal deine Lösung versuchen auf dem tomato zum laufen zu bringen. Ist TCP anstatt UDP und TAP anstatt TUN möglich?

Viele Grüße

Sebastian

Re: OpenVPN mit tomato Router hinter DS-Lite

Anonym253 — Sun, 23 Dec 2018 19:27:13 GMT

zu 1)

OpenVPN empfehlt natürlich ein eigenes Präfix, was idealerweise per Präfixdelegation zum VPN-Server kommt. Synology macht es genau so. Die Kunst besteht hier in der automatisierten Kopplung von dhcp-client-Funkttion und der OpenVPN-Server-Funktion.

Ich habe es anders gemacht. Ich nutze proxy_ndp und proxy_arp.

D.h. die VPN-Clients bewegen sich exakt im gleichen IPv4/IPv6-Netz wie der VPN-Server selbst.

Das verhindert bei IPv4 ein weiteres NAT und funktioniert bei IPv6 auch dann, wenn der Router keine Präfixdelegation unterstützt.

zu 2) Ein VPN-Client bekommt via IPv6 vom VPN-Server eine IPv4- und eine IPv6-Adresse, wie bereits schon erwähnt, aus den LAN des VPN-Servers. Bei der Synololgy-Lösung ist die IPv6-Adresse aus dem vom Router vergebenen Präfix und die IPv4-Adresse zusätzlich genatted, was im LAN neue Probleme schaffen kann.

zu 3)

Der Raspberry Pi (die Synology auch) arbeitet als VPN-Server, der ausschließlich über IPv6 erreichbar ist (geht ja auch bei DS-lite nicht anders). Die Clients bekommen wahlweise IPv4- und/oder IPv6-Adressen aus dem LAN. Ebenso kann man sich auch entscheiden, ob man Splittunneling betreibt oder ob man den gesamten Verkehr durch den VPN-Server leitet. Letzteres sollte man sich überlegen, da dann einerseits der RaspberryPi schnell an seine Performancegrenze kommen kann und andererseits bei vielen ISP der Upstream in einem schlechten Verhältnis zum Downstream steht.