VPN blockier?! -> WPA2 Enterprise

[iphone6]

Hallo,

Bei uns in der Schule gehen wir über WPA2 Enterprise in das WLAN, ich hatte breits mal gefragt weil ich nicht in den VPN komme.

Andere kommen mit Cisco aber auch rein also muss es doch einen weg geben?!

Ich arbeite jetzt mit Linux, damals mit Mac kam ich nicht weiter.

UDP / TCP probiert, ohne erfolg.

IP sec hat man mir via Teamviewer probiert, da sagte der PP mitarbeiter auch das er nicht weiter wüsste.


kann es an WPA2 enterprise liegen?
wenn ja wie ist es möglich das andere über cisco rein kommen?

 

[PP Frank]

Hallo,

nein, da das nur die WLAN-Verschlüsselung ist, davon merkt man nichts.
Was du versuchen kannst: TCP zu nutzen und einen HTTP-Proxy im Manager mit Port 443 eintragen

 

[iphone6]

Zuhause geht es so, in der Schule:



[2015-04-16 09:25:06] Verbinde...
[2015-04-16 09:25:11] SSH-Client unerwartet beendet
[2015-04-16 09:25:11] Wiederverbinden...
[2015-04-16 09:25:16] Versuch #1/6
[2015-04-16 09:25:16] Verbinde...
[2015-04-16 09:25:21] SSH-Client unerwartet beendet
[2015-04-16 09:25:21] Wiederverbinden...
[2015-04-16 09:25:26] Versuch #2/6
[2015-04-16 09:25:26] Verbinde...
[2015-04-16 09:25:32] SSH-Client unerwartet beendet
[2015-04-16 09:25:32] Wiederverbinden...
[2015-04-16 09:25:37] Versuch #3/6
[2015-04-16 09:25:37] Verbinde...
[2015-04-16 09:25:42] SSH-Client unerwartet beendet
[2015-04-16 09:25:42] Wiederverbinden...
[2015-04-16 09:25:47] Versuch #4/6
[2015-04-16 09:25:47] Verbinde...
[2015-04-16 09:25:52] SSH-Client unerwartet beendet
[2015-04-16 09:25:52] Wiederverbinden...
[2015-04-16 09:25:57] Versuch #5/6
[2015-04-16 09:25:57] Verbinde...
[2015-04-16 09:26:02] SSH-Client unerwartet beendet
[2015-04-16 09:26:02] Wiederverbinden...
[2015-04-16 09:26:07] Versuch #6/6
[2015-04-16 09:26:07] Verbinde...
[2015-04-16 09:26:13] SSH-Client unerwartet beendet






ps: sehe gerade, das es nicht nur über ip4 sondern auch über ip6 gesteuert wird, gibt es da noch einstellungsmöglichkeiten?

 

[JackCarver]

Du solltest erstmal in Erfahrung bringen welche Ports rausgehend in deiner Schule erlaubt sind als im Trüben zu stochern und zu mutmaßen.

 

[iphone6]

Das komische ist folgendes:

Ich habe jetzt testweise auf meiner Synology nas ein VPN server installiert.


über tcp port 443 kann ich mich sogar dahin verbinden, kann aber warum auch immer keine daten empfangen, daher unbrauchbar.



wenn ich mir meine IP anzeige hier, und diese dann in zenmap oder einen anderen port scanner eingebe oder sogar versuche anzupingen ..

Note: Host seems down. If it is really up, but blocking our ping probes, try -Pn
Nmap done: 1 IP address (0 hosts up) scanned in 3.09 seconds


Ich habe keine ahnung was die hier eingerichtet haben, aber not bad^^

es sind auch etliche seiten gesperrt mit Fortiguard Web Filtering
dumm ist aber z.b das z.b die http seiten gesperrt wurden, über https ist aber alles erreichbar.


wenn ich einen DNS check auf der PP seite mache.

74.1***209		GOOGLE	BE
74***.17		GOOGLE	NL
74.***45		GOOGLE	NL
74.***.83		GOOGLE	NL
74.***148		GOOGLE	NL
173.***19		GOOGLE	NL
74***19		GOOGLE	NL
74.***16		GOOGLE	NL
74.***99		GOOGLE	NL
74.***.21		GOOGLE	NL
74***.81		GOOGLE	NL
74.***146		GOOGLE	NL
74***46		GOOGLE	NL
74.***144		GOOGLE	NL
74.***23		GOOGLE	EU
19****52	host-19*****n.de	education government of the federal state of ****	DE
74.****97		GOOGLE	NL
74.****.20		GOOGLE	NL
74*****147		GOOGLE	NL
173****.17		GOOGLE	NL
74.****80		GOOGLE	NL
19***7	ho****.de	education government of the federal state of ****	DE
74.****145		GOOGLE	NL
173****.18		GOOGLE	NL
74.****82		GOOGLE	NL
74.****82		GOOGLE	NL
1****8	h****.de	education government of the federal state of ****	DE
74.****18		GOOGLE	NL
74****84		GOOGLE	NL
74*****6		GOOGLE	NL

IP HOSTNAME ISP COUNTRY

Bei einem Traceroute nach google.de:



traceroute to www.google.de (173.194.32.247), 30 hops max, 60 byte packets
1 10******(10*****) 1.623 ms 1.306 ms 2.108 ms
2 19******2 (19******) 3.666 ms 3.070 ms 3.680 ms
3 host-1********.de (19*******3) 4.278 ms 3.669 ms 4.257 ms
4 gw-19*******.de (195.37.95.9) 3.549 ms 3.549 ms 3.516 ms
5 host-19******.de (195.37.104.66) 3.541 ms 4.096 ms 3.511 ms
6 host-19*****n.de (195.37.104.1) 4.711 ms 3.612 ms 1.921 ms
7 * * *
8 * * *
9 * * cr-han1-*****.de (1*****1) 15.830 ms
10 kr-hws3-0*****.de (1*****6) 19.000 ms 19.693 ms 19.756 ms
11 209.*****26 (209.*****126) 19.753 ms 209.85.249.124 (209.85.249.124) 19.695 ms 19.668 ms
12 72****7 (72.******67) 19.698 ms 8.858 ms 72.14.233.31 (72.14.233.31) 8.604 ms
13 72.******16 (72****216) 14.389 ms 209.85.240.88 (209.85.240.88) 14.341 ms 13.464 ms
14 64******184 (64*****184) 14.300 ms 66.249.95.142 (66.249.95.142) 14.311 ms 14.296 ms
15 * * 72*****.27 (72*****27) 13.695 ms
16 ber01s09-in-f23.1e100.net (173.194.32.247) 13.539 ms 14.150 ms 14.129 ms

 

[PP Frank]

über tcp port 443 kann ich mich sogar dahin verbinden, kann aber warum auch immer keine daten empfangen, daher unbrauchbar.

Warscheinlich das Routing nicht OK. Kann zu dem gerät aber nichts sagen... Weis ich einfach nicht...

In der Schule solltest du auf jeden Fall mit HTTP proxy auf 443 connecten können, wenn die HTTPS erlauben. Zumindest wenn du da nicht noch extra einen Proxy von der Schule angeben musst

 

[iphone6]

Ne die TCP verbindung zu meinem VPN server funktioniert wunderbar, mit anderen netzen habe ich es getestet, nur in der schule.....

HTTP proxy auf 443 ergibt wie oben schon geschrieben keine verbindung :/

kannst du vl via TV mal drauf schauen? würde auch etwas btc springen lassen



edit:

über FIrefox einen HTTP Proxie eintragen ergibt beim aufruf einer webseite:
[h=3]Application Blocked![/h] You have attempted to use an application which is in violation of your internet usage policy.
Proxy.HTTP
Category: Proxy
URL: http://google.de/
Client IP: 10.*******
Server IP: 78.129.180.33
User name:
Group name:
Policy: bdf938c0-******77-cdc98a566f8b
FortiGate Hostname: FG*****W

 

[JackCarver]

Ich habe jetzt testweise auf meiner Synology nas ein VPN server installiert.
über tcp port 443 kann ich mich sogar dahin verbinden, kann aber warum auch immer keine daten empfangen, daher unbrauchbar.

Wenn du dich verbinden kannst, dann ist der Port auch offen und es sollte prinzipiell klappen. Wenn du die Synology über deren VPN IP anpingen kannst, dann stimmt was anderes nicht, vermute falsch konfiguriert um über das Teil zu surfen und gebe Frank recht, riecht nach nem Routing Problem in dem Fall.

Ich habe keine ahnung was die hier eingerichtet haben, aber not bad^^

Die haben einfach ne Firewall am Laufen, die das ICMP Protokoll blockt, daher keine Antwort auf Pings etc.

es sind auch etliche seiten gesperrt mit Fortiguard Web Filtering
dumm ist aber z.b das z.b die http seiten gesperrt wurden, über https ist aber alles erreichbar.

Dann funktioniert entweder kein Inhaltsfilter bei eurer FW oder die FW fungiert als Man in the Middle. Da https verschlüsselt von dir zum Ziel und zurück überträgt, kann man auch nicht nach Inhalten filtern. Sinn macht eigentlich eher andersrum, also https blocken, da der Admin dann auch immer sieht was die User machen.

über FIrefox einen HTTP Proxie eintragen ergibt beim aufruf einer webseite:
Application Blocked!

Vermutlich blockt FortiGuard das Nutzen von Proxies im Browser.

Ich würde folgendes probieren:

Zuerst mal testen ob du deine Synology nach erfolgter VPN Verbindung anpingen kannst und zwar an deren VPN IP, dann funktioniert der Tunnel schonmal und es sieht nach nem Routing Problem aus oder nach nem simplen DNS Problem.

Probieren im PP VPN Manager nen HTTP Proxy auf Port 443 zu schalten, so dass die OpenVPN Verbindung zuerst über diesen geht. Der scheint ja frei zu sein. Wie gesagt nicht im Firefox sondern im PP Manager.

 

[iphone6]

also mein VPN auf der Synology nas, wenn ich mich dorthin über tcp port 443 verbinde, bekomme ich eine verbindung egal von welchem Netz.

Ich kann auch die NAS anpingen und kann auch auf allen seiten surfen.
Außer in der Schule. - Dort bekomme ich zwar eine Verbindung, ich kann meine Nas auch anpingen, ja sogar auf der seite von der NAS ( port 80 webseite ) drauf surfen.

aber außerhalb geht wieder 0 weder google anpingen noch sonst was.


im pp VPN Manager nen Http Proxy auf Port 443 -> habe ich bei Linux nicht, hab den pp SSH Client genommen und es da probiert.

ergebnis ist wie gesagt

[2015-04-16 09:25:06] Verbinde...
[2015-04-16 09:25:11] SSH-Client unerwartet beendet
[2015-04-16 09:25:11] Wiederverbinden...
.......
Also kommt auch keine Verbindung zustande.

ich blick da nicht mehr durch, 99% der anderen die es versucht haben, haben das selbe problem -> kein VPN

außer 2 leute die über Cisco den Firmen VPN nutzen, die kommen sofort und ohne probleme durch.

 

[JackCarver]

Außer in der Schule. - Dort bekomme ich zwar eine Verbindung

Wenn du dich verbinden kannst und die NAS anpingen kannst, dann funktioniert auch der Tunnel. Der Fehler liegt dann auf der Seite der NAS, da du dort ja bereits angekommen bist, nur kommst du nicht weiter. Wie soll denn die Schule das blocken, was auf der Seite deiner NAS passiert? Wenn dann müssen sie vorher blocken. Der Datenstream zu deiner NAS ist zudem SSL verschlüsselt, deine Schule kann daraus auch nicht erkennen, wohin du surfen möchtest, da das verschlüsselt abläuft.
Es kann am NAT der NAS liegen, oder dass irgendwelche Netze kollidieren, zb dass deine NAS deinem PC eine lokale IP zuweist, die mit dem Netz der Schule kollidiert.

Falls deine Schule das blockieren würde, dann wäre gar keine VPN Verbindung zur NAS möglich. Nach dieser Verbindung befindest du dich ja bereits in deinem Heimnetz.

hab den pp SSH Client genommen und es da probiert.

SSH läuft über 22 TCP, das kann auf Seite deiner Schule geblockt sein. Der TCP 443 muss dagegen offen sein, wenn https funktionieren soll vom Schulnetz aus. Und über den kommst du auf dein NAS.

 

[owa]

Probieren im PP VPN Manager nen HTTP Proxy auf Port 443 zu schalten, so dass die OpenVPN Verbindung zuerst über diesen geht. Der scheint ja frei zu sein. Wie gesagt nicht im Firefox sondern im PP Manager.

finde ich auch, wobei: eigentlich sollte PP auf einigen servern 1 IP reservieren auf der SSH auch auf 443 lauscht. würde tunnels lieber direkt encrypted aufsetzen ohne dass mein user/pass leaked.

 

[iphone6]

Der Tipp mit dem IP conflikt ist garnicht so blöde, schulnetzwerk vergibt eine IP im range 10.... meien nas ebenso.

ich schau mal, ansich habt ihr recht, wenn ich drüben bin sollte ich auch weiter kommen.

ziel ist halt wenn pp nicht vom schulnetz direkt geht, über meine nas zu gehen und von dort aus pp

 

[JackCarver]

Du kannst auch die Proxy-Möglichkeit mit PP nutzen, unter Linux geht doch auch alles vom Terminal aus. Dort hackst du als Option einfach ein (Beispiel unter OSX, ist aber unter Linux ähnlich/genauso):

sudo openvpn --config ppConfig_tcp.tblk/Amsterdam.tblk/Contents/Resources/config.ovpn --cd ppConfig_tcp.tblk/Amsterdam.tblk/Contents/Resources/ --http-proxy steinsel.perfect-privacy.com 443 authfile.txt

authfile.txt vorher anlegen und darin in 2 Zeilen Username und Passwort angeben. Dann verbindet openvpn über Squid Steinsel zu OpenVPN Amsterdam. Wichtig, du brauchst dazu die TCP Dateien.