Wlan mit OpenVPN schützen

[Cpt_McLane]

moin,

wie aus vorigem Beitrag ersichtlich funktioniert mein VPN über das WLAN nun. Ich bin bis auf ein paar Abweichungen strikt nach dem Howto vorgegangen, hab nur meine systemspezifischen Angaben (die Netzwerkkarten und IP-Adressen geändert, kein DHCP genutzt) angepasst. Dennoch bin ich auf ein paar Probleme gestoßen. Hier meine Lösungen:

• Beim Erstellten der Zertifikate unbedingt alle Angaben ausfüllen, sonst steigt openssl mit einer Warnung aus und erstellt zwar die Dateien, aber mit leerem Inhalt
  
• Beim Erstellen der Zertifikate kommt Fehlermeldung, dass index.txt nicht gefunden wurde
  Dies lässt sich beheben, indem einfach die Datei erstellt wird:
  

  Code:

  touch index.txt

  
  
• Beim Erstellen der Zertifikate kommt Fehlermeldung, dass serial nicht gelesen werden kann.
  diese Datei muss mit Inhalt 02 erstellt werden:
  

  Code:

  echo "02" > serial

  
  
  
• Beim Erstellen des Clientzertifikats schimpft openssl dann, dass es mit dem inhalt der index.txt nichts anfangen kann. also wieder löschen und leer neu anlegen. (Anmerkung: Ich bin in Sachen openssl und ssl allgemein sehr unerfahren, wenn jmd. weiß was openssl mir hier sagen wollte, bin ich sehr dankbar. Da es aber funktioniert mache ich mir erstmal keinen Kopf drum )
  

  Code:

  rm index.txt touch index.txt

  
  
• OpenVPN Client kann nicht zum Server verbinden.
  Mittlerweile hat OpenVPN einen offiziellen Port zugewiesen gekriegt, der nun auch standardmäßig verwendet wird. In der Client Konfiguration muss hinter der IP des OpenVPN Server der Port 5000 durch 1194 ersetzt werden. Dies sollte dann dementsprechend auch im IPTables Script erledigt werden.
  
• Erweiterungsvorschlag: Der Server hinter dem AP ist ja nun durch iptables "abgedichtet" allerdings sind die Clients im WLAN noch offen.
  Hier kann ebenfalls fast aller Verkehr über das normale Interface abgewiesen werden:
  

  Code:

  iptables -t filter -A INPUT --protocol udp --sport 1194 -j ACCEPT -i eth1 # eth1 ist das Interface an dem der AP hängt iptables -t filter -A INPUT -j REJECT -i eth1 #oder -j DROP, je nach Geschmack /etc/init.d/iptables save

  
  

Das waren nun allesamt die Probleme mit denen ich gekämpft habe und wie ich sie behoben habe. Ob irgendein Vorgehen an dieser Stelle grundsätzlich falsch war weiß ich nicht.

MfG McLane
_________________
»Sir! We we are surrounded!« - »Perfect! Now we can shoot in any direction...«

[LL0rd]

Hi,

deshalb habe ich ja auch gesagt, dass das TUN/TAP modul fehlt

Nun habe ich jetzt aber auch ein Problem mit VPN, bzw. mit dem Routing. Ich habe bei mir auf dem Laptop derzeit Windows XP. Ich würde gerne eine Verbindung vom Uni Netz zu mir nach Hause herstellen. Nur leider funktioniert das nicht richtig.

Die OpenVPN Verbindung soll so laufen.

WLAN Karte -> offenes WLAN -> (Cisco IPsec) VPN ins Internet -> OpenVPN nach Hause

Über das VPN nach Hause will ich nur auf die Rechner zugreifen, nicht online gehen. Die Verbindung zum OpenVPN Server wird aufgebaut, nur kann ich leider auf die Rechner zu Hause nicht zugreifen. Das Netzwerkinterface ist gestartet und hat sich sogar die IP vom DHCP besorgt. Die Rechner sind einfach nicht pingbar. Gehe ich aber einen anderen Weg:

WLAN Karte -> offenes WLAN (WebAuth) -> OpenVPN nach Hause

Dann kann ich normal auf das Netz zugreifen. Nur leider ist der Traffic zum AP nicht verschlüsselt und das sollte schon sein. Was kann / muss ich denn jetzt machen, damit ich auf das VPN Netz zugreifen kann? Ich vermute, es liegt an der Routing Tabelle. Die sieht nämlich so aus, als hätte da eine Bombe eingeschlagen:

[Anarcho]

Für die Einwahl von ausserhalb würde ich eine etwas andere OpenVPN Konfiguration nehmen. Dieses HowTO ist speziell für den Internetzugang über VPN gedacht.

Ich würde ein 2. VPN laufen lassen auf einem anderen Port der nach aussen offen ist und natürlich auch ein anderes Subnetz verwendet.
Die dhcp config würde ich so anpassen das über dieses netzwerk kein standardgateway verwendet wird aber openvpn eine route für das interne Netzwerk pushed.
_________________
...it's only Rock'n'Roll, but I like it!

[LL0rd]

ok, gesagt, getan. Aber es geht trotzdem irgendwie nicht. Windows scheint die Route irgendwie durcheinander zu bringen. Ich habe jetzt im DHCPD einfach das Standartgateway gekillt und einen zweiten VPN Daemon gestartet, der auf einem anderen Port lauscht und ein anderes IP Netz ist. Nur leider habe ich da das gleiche Problem. Authe ich mich am Web Server, so kann ich problemlos die VPN Verbindung herstellen. Wenn ich nun aber das ganze über die VPN Verbindung versuche, bekomme ich zwar noch die IP Adresse vom DHCP Server, aber das wars auch schon.

Genau das gleiche habe ich auch, wenn ich mich mit dem VPN Server des Unternehmens verbinden will, bei dem ich arbeite (IPSec).

BTW. Ich dachte, dass es daran liegt, dass er nicht das VPN Gateway nimmt, sondern direlt über die WLAN Karte rausgehen will, aber das ist auch nicht der fall. Ich habe sowohl den Tunnel aufgebaut, als mich auch übers WEB Authentifiziert. Same...
_________________
Alte Mathematiker sterben nicht - sie verlieren nur einige ihrer Funktionen.

[eGore911]

Folgendes wäre besser:
/etc/conf.d/net

[Treborius]

ich stehe gerade völlig auf dem schlauch,

bei mir sieht das setup ein wenig anders aus, meine gentoo box fungiert schon als wlan router

ich habe also
eth0 ==> WAN
ath0 ==> WLAN
eth0 <==> ath0

vor kurzem habe ich openvpn eingerichtet um ein paar services die auf eth0 laufen zu verschlüsseln
(ssh und svn verbindungen)

openvpn lauscht dabei nur auf verbindungen auf eth0

nach dem lesen dieses tutorials würde nun gerne auch sämtlichen wlan0 verkehr über openvpn laufen lassen,
kann mir aber nichtmal die netzwerkarchitektur so richtig vorstellen

ath0 hat immer eine statische ip,
wlan-verbindungen werden per hostapd (WPA2) verteilt,
dhcpd vergibt dann im wlan die ips

meine gedanken waren nun folgende :
jeglichen traffic auf ath0 blocken, und nur verbindungen auf dem openvpn port zulassen,
dann das routing nichtmehr auf ath0 sondern auf tun0 umlenken

kann ich mir dann eigentlich den dhcpd irgendwie sparen?
(eigentlich ja nicht, ich brauch ja erstmal ne ip um eine openvpn verbindung zu bekommen)

würde das so funktionieren? oder denke ich gerade in die völlig falsche richtung?

edit : warum ich das machen möchte ist folgendes :

der router hat nur 500MHz und stösst dabei manchmal an seine grenzen wenn ich zB scp zum filetransfer verwende
vpn verbindungen kann ich aber imho über die geode-aes-engine in hardware verschlüsseln
_________________
Systems running gentoo :
Desktop, Laptop, ZOTAC AD-10 media-center, odroid-xu4 server / wLan-router

[LL0rd]

Hi,

im Grunde hast du schon recht mit dem, was du da geschrieben hast. Allerdings habe ich das Gefühl, dass du die Interfaces etwas durcheinander wirfst. Deshalb mal eine kurze Erklärung. In dem Accesspoint (oder Router) hast du drei wichtige Netzwerkkarten. Einmal ist es die WLAN Karte, die WAN Verbindung zur Außenwelt und das VPN Interface.

Das Setup sagt jetzt folgendes:
Ein Client verbindet sich nun ohne eine Authentifizierung zum AP. Das ist auch in Ordnung so, jedoch darf er ausschließlich auf den VPN Server zugreifen. Deshalb werden alle Ports auf dem WLAN Interface gesperrt, außer dem Port für die VPN Verbindung und DHCP.

Hat ein Client sich jedoch auf dem VPN Server authentifiziert, so kann der Client das AP nicht nur über den WLAN Adapter erreichen, sondern ZUSÄTZLICH auch über das VPN Interface. Deshalb richtet man hier in der Regel auch ein Routing ein, dass der Client z.B. ins Internet gelangen kann. Das richtet man auf dem AP VPN Interface ein.

Wieso du dir den DHCP sparen möchtest, verstehe ich nicht so ganz. Der DHCP bringt Komfort. Was die geode-aes-engine betrifft, so kann ich dir da nicht wirklich helfen. Ich habe leider keine großen Erfahrungen mit Hardware-Verschlüsselungskarten.
_________________
Alte Mathematiker sterben nicht - sie verlieren nur einige ihrer Funktionen.

[Treborius]

[LL0rd]