Tipps & Tricks: OpenVPN auf dd-wrt Router

[Gerd]

@Feli Ich habe die Einstellungen von diesem Beitrag genommen. Schau dir Post 7 und 12 an. Vielleicht hilft es dir weiter.

 

[Feli]

Okay dafür erstmal vielen Dank. Habe es hinbekommen allerdings ist da der Speed nicht so gut.
Kann ich denn auch eine IPSec auf dem Router einrichten mit DD-WRT?

Edit:
Das hier scheint sowas ähnliches zu sein wie ich erreichen möchte: https://www.administrator.de/wissen...en-dd-wrt-router-pfsense-firewall-123285.html

Allerdings möchte ich nicht auf meinem Endgeräten irgendwelche Software installieren sondern das sollte wie bei OpenVPN alles der Router machen.

Edit 2:
Ich habe jetzt nochmal die verschiedensten Server getestet aber alle haben in etwa die gleiche Geschwindigkeit. Egal ob Russland, Erfurt oder Steinsel.

Ich zeig euch hier mal ein Log vom verbundenen Server villeicht erkennt da jemand noch eine nicht optionale Einstellung.

Clientlog:
20151227 14:01:30 I OpenVPN 2.3.8 arm-unknown-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [MH] [IPv6] built on Dec 5 2015
20151227 14:01:30 I library versions: OpenSSL 1.0.2e 3 Dec 2015 LZO 2.09
20151227 14:01:30 W WARNING: file '/tmp/openvpncl/credentials' is group or others accessible
20151227 14:01:30 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:16
20151227 14:01:30 W NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
20151227 14:01:30 W WARNING: file '/tmp/openvpncl/client.key' is group or others accessible
20151227 14:01:30 W Deprecated TLS cipher name 'DHE-RSA-AES256-GCM-SHA384' please use IANA name 'TLS-DHE-RSA-WITH-AES-256-GCM-SHA384'
20151227 14:01:30 W Deprecated TLS cipher name 'DHE-RSA-AES256-SHA256' please use IANA name 'TLS-DHE-RSA-WITH-AES-256-CBC-SHA256'
20151227 14:01:30 W Deprecated TLS cipher name 'DHE-RSA-AES128-GCM-SHA256' please use IANA name 'TLS-DHE-RSA-WITH-AES-128-GCM-SHA256'
20151227 14:01:30 W Deprecated TLS cipher name 'DHE-RSA-AES128-SHA256' please use IANA name 'TLS-DHE-RSA-WITH-AES-128-CBC-SHA256'
20151227 14:01:30 W Deprecated TLS cipher name 'DHE-RSA-CAMELLIA256-SHA' please use IANA name 'TLS-DHE-RSA-WITH-CAMELLIA-256-CBC-SHA'
20151227 14:01:30 W Deprecated TLS cipher name 'DHE-RSA-AES256-SHA' please use IANA name 'TLS-DHE-RSA-WITH-AES-256-CBC-SHA'
20151227 14:01:30 W Deprecated TLS cipher name 'DHE-RSA-CAMELLIA128-SHA' please use IANA name 'TLS-DHE-RSA-WITH-CAMELLIA-128-CBC-SHA'
20151227 14:01:30 W Deprecated TLS cipher name 'DHE-RSA-AES128-SHA' please use IANA name 'TLS-DHE-RSA-WITH-AES-128-CBC-SHA'
20151227 14:01:30 W Deprecated TLS cipher name 'CAMELLIA256-SHA' please use IANA name 'TLS-RSA-WITH-CAMELLIA-256-CBC-SHA'
20151227 14:01:30 W Deprecated TLS cipher name 'AES256-SHA' please use IANA name 'TLS-RSA-WITH-AES-256-CBC-SHA'
20151227 14:01:30 W Deprecated TLS cipher name 'CAMELLIA128-SHA' please use IANA name 'TLS-RSA-WITH-CAMELLIA-128-CBC-SHA'
20151227 14:01:30 W Deprecated TLS cipher name 'AES128-SHA' please use IANA name 'TLS-RSA-WITH-AES-128-CBC-SHA'
20151227 14:01:30 W WARNING: file '/tmp/openvpncl/ta.key' is group or others accessible
20151227 14:01:30 I Control Channel Authentication: using '/tmp/openvpncl/ta.key' as a OpenVPN static key file
20151227 14:01:30 Outgoing Control Channel Authentication: Using 512 bit message hash 'SHA512' for HMAC authentication
20151227 14:01:30 Incoming Control Channel Authentication: Using 512 bit message hash 'SHA512' for HMAC authentication
20151227 14:01:30 Socket Buffers: R=[180224->131072] S=[180224->131072]
20151227 14:01:31 I UDPv4 link local: [undef]
20151227 14:01:31 I UDPv4 link remote: [AF_INET]217.114.218.18:1149
20151227 14:01:31 TLS: Initial packet from [AF_INET]217.114.218.18:1149 sid=ad2e0c74 2af979f0
20151227 14:01:31 W WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this
20151227 14:01:31 VERIFY OK: depth=1 C=NZ ST=Wellington L=Johnsonville O=perfect-privacy CN=perfect-privacy emailAddress=admin@perfect-privacy.com
20151227 14:01:31 VERIFY OK: nsCertType=SERVER
20151227 14:01:31 VERIFY OK: depth=0 C=NZ ST=Wellington O=perfect-privacy CN=server emailAddress=admin@perfect-privacy.com
20151227 14:01:33 NOTE: --mute triggered...
20151227 14:01:33 5 variation(s) on previous 3 message(s) suppressed by --mute
20151227 14:01:33 I [server] Peer Connection Initiated with [AF_INET]217.114.218.18:1149
20151227 14:01:35 SENT CONTROL [server]: 'PUSH_REQUEST' (status=1)
20151227 14:01:35 PUSH: Received control message: 'PUSH_REPLY redirect-gateway def1 sndbuf 131072 rcvbuf 131072 topology subnet route-gateway 10.12.11.1 ping 10 ping-restart 60 dhcp-option DNS 94.242.243.162 dhcp-option DNS 37.48.74.75 ifconfig 10.12.11.24 255.255.255.0'
20151227 14:01:35 OPTIONS IMPORT: timers and/or timeouts modified
20151227 14:01:35 NOTE: --mute triggered...
20151227 14:01:35 1 variation(s) on previous 3 message(s) suppressed by --mute
20151227 14:01:35 Socket Buffers: R=[131072->262144] S=[131072->262144]
20151227 14:01:35 OPTIONS IMPORT: --ifconfig/up options modified
20151227 14:01:35 OPTIONS IMPORT: route options modified
20151227 14:01:35 OPTIONS IMPORT: route-related options modified
20151227 14:01:35 NOTE: --mute triggered...
20151227 14:01:35 1 variation(s) on previous 3 message(s) suppressed by --mute
20151227 14:01:35 I TUN/TAP device tun1 opened
20151227 14:01:35 TUN/TAP TX queue length set to 100
20151227 14:01:35 I do_ifconfig tt->ipv6=1 tt->did_ifconfig_ipv6_setup=0
20151227 14:01:35 I /sbin/ifconfig tun1 10.12.11.24 netmask 255.255.255.0 mtu 1500 broadcast 10.12.11.255
20151227 14:01:37 /sbin/route add -net 217.114.218.18 netmask 255.255.255.255 gw 192.168.0.1
20151227 14:01:37 /sbin/route add -net 0.0.0.0 netmask 128.0.0.0 gw 10.12.11.1
20151227 14:01:37 /sbin/route add -net 128.0.0.0 netmask 128.0.0.0 gw 10.12.11.1
20151227 14:01:37 I Initialization Sequence Completed
20151227 14:01:51 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:16
20151227 14:01:51 D MANAGEMENT: CMD 'state'
20151227 14:01:51 MANAGEMENT: Client disconnected
20151227 14:01:51 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:16
20151227 14:01:51 D MANAGEMENT: CMD 'state'
20151227 14:01:51 MANAGEMENT: Client disconnected
20151227 14:01:51 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:16
20151227 14:01:51 D MANAGEMENT: CMD 'state'
20151227 14:01:51 MANAGEMENT: Client disconnected
20151227 14:01:51 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:16
20151227 14:01:51 D MANAGEMENT: CMD 'status 2'
20151227 14:01:51 MANAGEMENT: Client disconnected
20151227 14:01:51 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:16
20151227 14:01:51 D MANAGEMENT: CMD 'log 500'
19700101 01:00:00

Ach ja meine CPU ist mit 4 % ausgelastet und mein RAM zu 92% frei.
Also mein Router langweilt sich.

 

[chris2015]

Bei mir gibt es ein neues Fehlerbild, ich nun greife ich über DNS zu statt über die IP.

20151227 16:53:08 I UDPv4 link remote: [AF_INET]178.162.194.30:1149
20151227 16:53:08 TLS: Initial packet from [AF_INET]178.162.194.30:1149 sid=06f12b57 d70dd77b
20151227 16:53:08 PID_ERR replay-window backtrack occurred [2] [TLS_AUTH-0] [00_00] 1451231588:5 1451231588:3 t=1451235188[0] r=[0 512 60 2 1] sl=[507 5 512 2064]
20151227 16:53:08 VERIFY OK: depth=1 C=NZ ST=Wellington L=Johnsonville O=perfect-privacy CN=perfect-privacy emailAddress=admin@perfect-privacy.com
20151227 16:53:08 VERIFY OK: nsCertType=SERVER
20151227 16:53:08 VERIFY OK: depth=0 C=NZ ST=Wellington O=perfect-privacy CN=server emailAddress=admin@perfect-privacy.com
20151227 16:53:30 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:16
20151227 16:53:30 D MANAGEMENT: CMD 'state'
20151227 16:53:30 MANAGEMENT: Client disconnected
20151227 16:53:30 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:16
20151227 16:53:30 D MANAGEMENT: CMD 'state'
20151227 16:53:30 MANAGEMENT: Client disconnected

 

[JackCarver]

Bei mir gibt es ein neues Fehlerbild, ich nun greife ich über DNS zu statt über die IP.

Wenn es mit Zugriff über die IP nicht geklappt hat, wird es per DNS mit Sicherheit nicht besser, dabei ist ja ein weiterer Schritt der IP-Auflösung nötig.
Daran liegt auch mit Sicherheit nicht dein eingangs erwähntes Problem.

Wie ist überhaupt dein gesamtes Setup? Worauf läuft DD-WRT, welche Ip-Ranges verwendest du in welchen Netzen, wieviele Netze gibt es da überhaupt in deinem Setup? Welche Router (Bezeichnung) verwendest du?
Hast du das ganze schonmal über TCP probiert oder stets nur über UDP?
Hast du Infos darüber, dass es mit DD-WRT und deinem Router überhaupt klappt oder wäre es auch möglich, wie @Gerd bereits erwähnt hat, mal OpenWRT zu testen? Evtl läuft das damit besser.

 

[chris2015]

Ich habe ein Modem (Fritzbox von Unitymedia, 192.168.1.1)
daran hängt der Router (Netgear WNDR4300, 192.168.1.2, laut dd-wrt.com wird die Firmeware unterstützt)
Bisher habe ich es nur über UDP probiert. (letztlich erstellt ja der Router nichtmal das Tunnel-Interface)

Muss ich irgendwo meine Benutzerdaten hinterlegen?

 

[JackCarver]

Ich habe ein Modem (Fritzbox von Unitymedia, 192.168.1.1)
daran hängt der Router (Netgear WNDR4300, 192.168.1.2, laut dd-wrt.com wird die Firmeware unterstützt)

Ok, also ein Netz 192.168.1.0/24, DD-WRT läuft auf dem Netgear, der laut DD-WRT unterstützt wird.

Muss ich irgendwo meine Benutzerdaten hinterlegen?

Du benötigst natürlich deine PP Userdaten um dich überhaupt verbinden zu können, diese solltest du in ne Textdatei schreiben und die Textdatei in deiner Config angeben, also den Pfad dorthin.

Edit:
Verwendest du DHCP auf der Fritzbox um die IP Adressen zu verteilen? Das DHCP auf dem Netgear hast du abgeschalten oder? Die Clients sollen sich natürlich zum Netgear als Gateway verbinden.

Das ist die Option, die du in deiner Config benötigst:

--auth-user-pass [up]
Authenticate with server using username/password. up is a file containing username/password on 2 lines. If the password line is missing, OpenVPN will prompt for one.
If up is omitted, username/password will be prompted from the console.

The server configuration must specify an --auth-user-pass-verify script to verify the username/password provided by the client.

 

[chris2015]

Mein DHCP läuft auf dem Netgear, der seine IP Statisch bekommt und momentan die 192.168.1.2 als gateway eingetragen hat.

Kann man die Benutzerdatei über das Interface erstellen und füllen? Ich komme nur über Telnet auf den Router und dort aktzeptiert er meine Benutzerdaten nicht.

 

[JackCarver]

Mein DHCP läuft auf dem Netgear, der seine IP Statisch bekommt und momentan die 192.168.1.1 als gateway eingetragen hat.

Gut geht auch, so musst du nur den Netgear statisch konfigurieren.

Kann man die Benutzerdatei über das Interface erstellen und füllen?

Ich nutze keine Router-OpenVPN-Lösung Zuhause, von daher kann ich hier nur aus der Theorie sprechen. Fakt ist, dass du deine Userdaten zwingend benötigst, ansonsten passiert gar nix, da OpenVPN auf die Eingabe der Userdaten wartet oder dass diese in ner Datei vorgehalten werden.
Hast du die Möglichkeit via ssh auf den Netgear zuzugreifen, dass du in ner Konsole auf dem System arbeiten kannst? Dann könntest du die Linux Befehle zum Erstellen einer Userdatei verwenden.

Edit:
Lies dir n nochmal den ersten Post hier durch, dort steht wie du die PP Userdaten über das Interface eingeben kannst.

 

[chris2015]

SCP, SFTP und SSH laufen alle in ein Timeout, mir bleibt ohne die Firmware zurückzusetzen wohl nur die Änderung der Telnet Zugriffsdaten (finde ich nicht) oder die Kommandozeile im Webinterface unter Administration/Commands.

möchtest du mir die Befehle durchgeben? dann teste ich erstmal über das Webinterface, ansonsten flashe ich den Router nochmal neu.

 

[JackCarver]

Es sollte über das Interface gehen, lies dir nochmal den ersten Post hier durch, dort steht wo und wie du die PP Userdaten eingeben musst.

 

[Loreas]

* update: USB-Speicher als Ablage für Certs

 

[chris2015]

Ich scheine mich ja echt blöd anzustellen, den einzigen Verweis des Eingangsposts auf Benutzerkonten sehe ich hier:

Services
VPN
OpenVPN-Client:

Start OpenVPN -> Enable
Server IP/Name: xxx.perfect-privacy.com
Port: 1149 (UDP)
Tunnel Device: TUN
Tunnel Protocol: UDP
Encryption Cipher: AES-256 CBC
Hash Algorithm: SHA512
User Pass Authentication -> Enable
Username: your username
Password: your password
Advanced Options -> Enable
TLS Cipher: None (will be edited in "Additional Config")
LZO Compression: Adaptive
NAT -> enable
MTU: 1500
UDP Fragment: 1300
Tunnel UDP MSS-Fix: Disable
nsCertType verification: enable

Ein User/Password-Feld gibt es jedoch nicht bei mir.

 

[JackCarver]

User Pass Authentication -> Enable
Username: your username
Password: your password

Diese Optionen finden sich nicht bei dir?

 

[Gerd]

Wenn es ein User/Password-Feld bei dir nicht gibt, dann hast du eine ältere DD-WRT Version von Router Database auf deinem Router.
Deshalb hat Loreas auch das erwähnt:

Don't forget to keep your Router up to date!
Here you'll get your updated firmware:
ftp://ftp.dd-wrt.com/betas/

(nach ftp muss aber ein doppelpunkt hin, damit der Link funktioniert)

Man muss da aber höllisch aufpassen welche DD-WRT Version man nimmt und wie man sie flasht.

 

[Loreas]

Welche Version von dd-wrt hast du @chris2015 ? Bei älternen Versionen gibt es dieses Feld noch nicht.

Da müsstest du diesen Workaround anwenden https://board.perfect-privacy.com/threads/openvpn-auf-ddwrt-router.55/

PS: bei dd-wrt ist das mit den Versionen immer so eine Sache. Denn es gibt eine uralte Datenbank. Wenn man sich dieser bedient, bekommt man eine Version aus vor ca. 2-3 Jahren...

Daher habe ich auch die FTP-Adresse angegeben, wo man die aktuellsten Versionen vorfindet.

 

[chris2015]

DD-WRT v24-sp2 (03/25/13) std, die einzige die unter Angabe meines Routers zur Verfügung steht.

 

[Loreas]

DD-WRT v24-sp2 (03/25/13) std, die einzige die unter Angabe meines Routers zur Verfügung steht.

Ja eben, da gibt es sicher was aktuelleres. Du hast eine Version vom März 2013. Wie gesagt, nochmal unter ftp://ftp.dd-wrt.com/betas/ nachsehen bitte.

 

[JackCarver]

Für den Netgear WNDR4300 gibt es sogar eine vom 24.12.2015, also brandneu sozusagen

 

[chris2015]

Vielen Dank für die Geduld, das Update auf Version DD-WRT v3.0-r28598 std (12/24/15) hat mein Problem in Luft aufgelöst.

 

[Feli]

Ist L2TP IPSec im DD-WRT möglich?
Habe keine Einstellung dazu gefunden. Sollte das nicht möglich sein, ist es im OpenWrt möglich? Gelesen hatte ich es allerdings ist die Firmware für mich sehr schwierig zu durchblicken. Vielleicht hat da jemand eine Anleitung parat, wenn es DD-Wrt nicht unterstützt.