Hallo liebe Gemeinde,
ich bekomme OpenVPN4UCS leider nicht überredet, eine Verbindung des Clients zuzulassen. Langsam glaube ich, ich sehe den Wald vor lauter Bäumen nicht mehr. Vielleicht könnt ihr mir helfen. Folgender, recht rudimentärer Test-Use:
UCS Member (frenzy) mit OpenVPN4UCS soll mir einen Zugang in das gleiche Netz geben, in dem er sich selbst befindet.
-
vpn.foobar.deist eine DynDns-Adresse, die auf die Public IP der Fritz!Box zeigt. - Port 1194 ist für TCP und UDP in Richtung des Member-Systems freigegeben
-
192.168.178.44ist der UCS Primary
root@frenzy:/etc/openvpn# univention-ldapsearch -LLL cn=frenzy univentionOpenvpnPort univentionOpenvpnActive univentionOpenvpnNet univentionOpenvpnAddress
dn: cn=frenzy,cn=memberserver,cn=computers,dc=blacky,dc=local
univentionOpenvpnAddress: vpn.foobar.de
univentionOpenvpnPort: 1194
univentionOpenvpnActive: 1
univentionOpenvpnNet: 192.168.178.1/24
ifconfig (Auszug)
enp2s0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet 192.168.178.48 netmask 255.255.255.0 broadcast 192.168.178.255
inet6 fd70:f85b:97fa:4fc7:5054:ff:fec9:be48 prefixlen 64 scopeid 0x0<global>
inet6 fe80::5054:ff:fec9:be48 prefixlen 64 scopeid 0x20<link>
ether 52:54:00:c9:be:48 txqueuelen 1000 (Ethernet)
RX packets 38844 bytes 10321763 (9.8 MiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 13711 bytes 2505671 (2.3 MiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
...
tun0: flags=4305<UP,POINTOPOINT,RUNNING,NOARP,MULTICAST> mtu 1500
inet 192.168.178.1 netmask 255.255.255.0 destination 192.168.178.1
inet6 fdda:354e:65b6:b242::1 prefixlen 64 scopeid 0x0<global>
inet6 fe80::167f:7657:5971:78e prefixlen 64 scopeid 0x20<link>
unspec 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00 txqueuelen 100 (UNSPEC)
RX packets 0 bytes 0 (0.0 B)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 8 bytes 384 (384.0 B)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
server.conf
root@frenzy:/etc/openvpn# cat ./server.conf
### Constant values
dh /etc/openvpn/dh2048.pem
ca /etc/univention/ssl/ucsCA/CAcert.pem
cert /etc/univention/ssl/frenzy/cert.pem
key /etc/univention/ssl/frenzy/private.key
crl-verify /etc/openvpn/crl.pem
cipher AES-256-CBC
ifconfig-pool-persist ipp.txt
push "dhcp-option DNS 192.168.178.44"
push "dhcp-option DOMAIN blacky.local"
keepalive 10 120
comp-lzo
persist-key
persist-tun
verb 1
mute 5
status /var/log/openvpn/openvpn-status.log
management /var/run/management-udp unix
dev tun
topology subnet
### Values which can be changed through UDM
port 1194
server 192.168.178.0 255.255.255.0
server-ipv6 fdda:354e:65b6:b242::/64
proto udp
plugin /usr/lib/openvpn/openvpn-plugin-auth-pam.so /etc/pam.d/vpncheckpass
Ich stoße nun auf folgende Fehler: UDPv4: Network is unreachable (code=101
Auszug aus dem Syslog:
# 1.2.3.4 = meine public ip
Jan 31 16:17:15 frenzy ovpn-server[5169]: 1.2.3.4:49911 write UDPv4: Network is unreachable (code=101)
Jan 31 16:17:16 frenzy ovpn-server[5169]: 1.2.3.4:49911 write UDPv4: Network is unreachable (code=101)
Jan 31 16:17:17 frenzy ovpn-server[5169]: 1.2.3.4:49911 write UDPv4: Network is unreachable (code=101)
Jan 31 16:17:18 frenzy ovpn-server[5169]: 1.2.3.4:49911 write UDPv4: Network is unreachable (code=101)
Jan 31 16:17:19 frenzy ovpn-server[5169]: 1.2.3.4:49911 write UDPv4: Network is unreachable (code=101)
Jan 31 16:17:20 frenzy ovpn-server[5169]: 1.2.3.4:49911 NOTE: --mute triggered...
Jan 31 16:18:16 frenzy ovpn-server[5169]: 1.2.3.4:49911 63 variation(s) on previous 5 message(s) suppressed by --mute
Jan 31 16:18:16 frenzy ovpn-server[5169]: 1.2.3.4:49911 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Jan 31 16:18:16 frenzy ovpn-server[5169]: 1.2.3.4:49911 TLS Error: TLS handshake failed
der Client sagt:
2022-01-31 16:18:06+0100 [MyOMIClient,0,] FROM OMI: u'>STATE:1643642286,WAIT,,,'
2022-01-31 16:18:06+0100 [MyOMIClient,0,] *** STATE 1643642286,WAIT,,,
2022-01-31 16:18:06+0100 [HTTPChannel,4722,] *** API CALL f=xmlrpc_Poll args=['sess_vpn_foobar_de_p1255_j0uEujcjS1mt7LtI_1', 10] kw={} ret=[{'timestamp': 1643642286, 'state': u'WAIT', 'type': 'STATE'}]
2022-01-31 16:18:16+0100 [-] OVPN vpn_foobar_de_p1255 ERR: '>FATAL:CONNECTION_TIMEOUT'
2022-01-31 16:18:16+0100 [MyOMIClient,0,] FROM OMI: u'>FATAL:CONNECTION_TIMEOUT'
2022-01-31 16:18:16+0100 [MyOMIClient,0,] *** API CALL f=xmlrpc_Poll args=['sess_vpn_foobar_de_p1255_j0uEujcjS1mt7LtI_1', 10] kw={} ret=[{'timestamp': 1643642296, 'type': 'FATAL', 'error': u'CONNECTION_TIMEOUT'}]
2022-01-31 16:18:16+0100 [-] *** API CALL f=xmlrpc_Poll args=['sess_vpn_foobar_de_p1255_j0uEujcjS1mt7LtI_1', 10] kw={} ret=[{'active': False, 'timestamp': 1643642296, 'type': 'ACTIVE', 'last': True}]
2022-01-31 16:18:16+0100 [-] *** API CALL f=xmlrpc_Poll args=['sess_TrackActiveProfiles_d19fR3VmdPMWCKoX_3', 10] kw={} ret=[{'timestamp': 1643642296, 'state': 'disconnect', 'profile_id': 'vpn_foobar_de_p1255', 'type': 'PROFILE'}]
2022-01-31 16:18:16+0100 [-] OpenVPN vpn_foobar_de_p1255 stop: daemon exited with status 0
2022-01-31 16:18:16+0100 [HTTPChannel,4736,] *** API CALL f=xmlrpc_Poll args=['sess_vpn_foobar_de_p1255_j0uEujcjS1mt7LtI_1', 10] kw={} ret=[{'timestamp': 1643642296, 'type': 'DELETE_PENDING'}]
2022-01-31 16:28:20+0100 [-] Inactivity disconnect on profile ID vpn_foobar_de_p1255
Ich hatte etwas gehofft, dass der Aufbau (mit self signed Certs) für einen grundsätzlichen Test ausreichen würde. Ursprünglich war meine Idee, Port 443 zu nehmen, den Apachen auf dem Member abzuschalten und dann per nginx einen Redirect zu diesem System machen zu lassen, damit nginx die SSL Certs vorhalten kann.
Sieht spontan jemand etwas??
Grüße aus Rostock
Marc
(auch an alle anderen ehemaligen Kollegen 
)
eine Liste an 