Was ist nötig um den Webseitentraffic zu tarnen?
Das Ziel ist es über TCP Port 443 dafür zu sorgen, dass HTTPS Webseitentraffic und VPN Tunnel Verbindungen den selben Port nutzen.
Ein möglicher Schluss den viele ISP's gehen könnten wäre alle "typischen" VPN Ports zu unterbinden für den User. Port 443 zu unterbinden würde aber auch bedeuten das kein User mehr Webseiten aufrufen kann.
Der ISP weiß also immer noch, dass man sich per VPN zu einem PP Server verbindet, kann dagegen aber nichts mehr machen, weil er Port 443 unterbinden müsste um dich daran zu hindern.
Ein richtiges "Tarnen" wäre soweit ich weiß also nicht möglich. Bitte korrigiert mich da ob das bei pfSense/OPNsense überhaupt möglich ist mit den PP Servern und falls ich falsch liege und spezielle Konfigurationen notwendig sind, diese bitte nennen!
Eine Kaskade ist in der Anleitung pfSense2.3.X bereits drin, also eine Tunnel in Tunnel Verbindung.
Okay? Das hatte ich dann wohl übersehen.
Hatte nur von Failover/Ausfallsicherheit gelesen.
Schon alleine wie man hohen oder kurzen Latenzspitzen ausfindig macht und wie man es über Latency threshold anpasst, ist eine Anleitung wert.
Ganz ehrlich? Das war reiner Zufall. Ich bin nur drauf gestoßen, weil mir die Lösungsansätze ausgegangen sind. In der Gateway Übersicht muss man also im rechten Moment,
wenn der VPN abstürzt kurz schauen, ob die Latenz/Ping/XX ms Anzeige sehr hoch ist bei dem WAN_DHCP Gateway zum Provider. Bei mir war die PP Verbindung bei 34ms, aber meine ISP WAN Verbindung halt bei 650ms und in der nächsten Sekunde wieder auf 20ms. Das hatte aber schon ausgereicht die VPN Verbindung abzuschießen, weil zumindest bei OPNsense als Default für eine hohe Latenz die Werte 200/500 vorgegeben werden.
Man muss halt wissen, dass es sowas überhaupt gibt, ansonsten fummelt man ewig in der OpenVPN Config rum und sucht das Problem vergeblich.
Vielleicht kann man also als Randnotiz oder Hinweis hinzufügen, dass ISP Störungen auf der WAN Seite auch zu Abbrüchen führen können.
Bei OPNsense geht das wie folgt:
System > Gateways > All > WAN_DHCP *klick* >
- Latency thresholds 1000/1500
- Packet Loss thresholds 40/50
Aus Security Sicht können noch ein paar Warnungen/Fehler im Log vermieden werden.
Problem 1: WARNING: this configuration may cache passwords in memory
Lösung: in den Advanced OpenVPN Einstellungen auth-nocache eintragen
Problem 2:
WARNING: file 'clientX.up' is group or others acessible
Lösung: Diese Datei in denen die PP Account Daten stehen nur dem Root zugänglich machen
# cd /var/etc/openvpn/
# ls -lisa
# chmod 700 clientX.up
# ls -lisa
// rwx Rechte sind nurnoch für root nutzbar, also -rwx------. Außerdem muss "root" der owner sein, falls nicht ggf. mit chown abändern. (Was hoffentlich so oder so bereits standard ist)
Problem 3: Obwohl die Account Daten richtig sind kommt dieser Fehler nach einem VPN Abbruch: AUTH: Received AUTH_FAILED control message
Lösung: in den Advanced OpenVPN Einstellungen auth-retry interact am Ende der advanced Einstellungen eintragen
Ich kann dir auch gerne die Anleitung pfSense 2.3.X. (mit Libre Office Writer geschrieben) zur Verfügung stellen, dann kannst du von mir aus auch eigene Anleitungen hinzufügen.
Danke für den Vorschlag, aber da ich ausschließlich OPNsense nutze sind meine Wege zum Ziel "etwas" anders, da die Namensgebung in der GUI eine Andere ist.
Ich hoffe jemand kann aus meinen Fehlern und Problemlösungen lernen.
Ganz wichtig für alle OPNsense Leute: Die pfSense Anleitung ist nach OPNsense Versionsstand "17.1.11" und OpenSSL Versionsstand "1.0.2l 25 May 2017" auch eins zu eins für OPNsense umsetzbar.
Ebenfalls ist AES-NI-CPU-based Acceleration (aesni) automatisch für OpenVPN aktiviert. Schönes Ding!
Mit LibreSSL klappt das sicher auch.
An dieser Stelle aber die Warnung: Eingestellte Hardware Crypto Acceleration könnte eventuell dann nicht mehr funktionieren (!).
