VPN steht - kein Zugriff auf WD MyCloud

Wo ist denn der VPN eingerichtet? Auf der UDM Pro oder der Fritzbox?

Zitat von Pdy17

Benötigt ihr noch weitere Informationen?

Ja - was für ein VPN überhaupt?

Edit: vielleicht hilft Dir ja das: klick!

An sonst verstehe ich immer nicht, was für komplzierte Konstruktionen da für VPN geschaffen werden. Egal ob nun Einwahl-VPN oder Site2Site, man nimmt der Einfachheit halber immer die Kisten als VPN-Server, welche an der Netzwerkante liegen - in Deinem Fall die Fritte. Zugriffsberechtigungen regelt man dann LAN-seitig.

Kannst Du denn auf ein beliebiges Gerät in Deinem LAN zugreifen wenn die VPN-Verbindung besteht? Wenn nicht per Name dann vielleicht per IP?

Für Deine Tests befindest Du Dich aber schon außerhalb Deines Netzwerks, oder? Also UMTS oder 5G-Verbindung o.ä. meine ich.

Es gibt auch keine Überschneidung der IP-Adressen im Quell-LAN mit den Netzwerken hiter der UDM / VPN-Gateway, also in dem LAN, mit dem Du verbunden bist, wenn Du versuchst von außen auf die Festplatte zuzugreifen? GAR KEINE ÜBERSCHNEIDUNGEN?

Gibt es bei der MyCloud nicht auch einen Zugriff per "Cloud" o.ä.? Ich meine mal soetwas gelesen zu haben.

Gabs hier schon ne Lösung?

Ich steh vor einem ähnlichen (dem gleichen) Problem.

VPN an der UDM Pro eingerichtet und funktioniert einwandfrei. IP Netz für VPN ist 10.0.0.0/24

Mein LAN hat die 10.1.1.0/24

Wenn ich mich von außen mit dem VPN Verbinde, bekomme ich eine Adresse aus dem Bereich 10.0.0.0/24. Soweit so gut.

Ich komm aber auf keine IP aus meinem lokalen LAN, also 10.1.1.0/24.

Ich hatte das bisher so verstanden, dass mir den vordefinierten Regeln eigentlich nicht geblockt wird. Hab auch schon versucht extra Allow Regeln zu ergänzen. Ergebnis bleibt.

Hast du schon mal versucht eine IP aus dem internen LAN anzupingen? Normalerweise funktioniert das so wie du gesagt hast ohne extra regeln. Es sei denn man hat selber entsprechende Block Regeln definiert.

Zitat von jkasten

IP aus dem internen LAN anzupingen?

Ja, klar. Nichts erreichbar. Ich hab bisher nur (erfolglos) zusätzliche Allow regeln ergänzt, aber keine Block Regeln.

Wie ist denn der Aufbau bei dir? Was für ein Modem nutzt du vor der UDM Pro? Kannst du denn das Gateway anpingen?

175er DSL, Vigor 2865 als Modem, PPPoE Einwahl über UDM.

Und nein, ich kann auch kein Gateway anpingen, sollte ja die 10.0.0.1 sein.

Laut IP Scanner ist das Netz komplett leer.

Vielleicht den wichtigsten Punkt vergessen, kommt mir grad erst in Sinn.

Ich hatte ganz am Anfang mal 10.0.0.0/8 als Main Netz definiert. Und das nachträglich auf 10.1.1.0/24 geändert. (Als Vorbereitung um innerhalb von 10er Band VPNs anzulegen)

Kann von da noch eine falsche Default Regel übrig sein? Aber die könnte ich manuell ja gar nicht bearbeiten.

Die vorgegebenen FW Regeln kann man ja nicht nur nicht ändern, man kann sie sich auch nicht anzeigen lassen, oder? Jedenfalls nicht über GUI.

Gibts da über SSH ne Möglichkeit sich das anzeigen zu lassen?

Oder sogar komplett neu generieren zu lassen?

Hmm, da scheint irgendwas faul zu sein. Du kannst ja nicht mal dein Gateway anpingen. Hast du den VPN noch mal auf der UDM Pro gelöscht und versucht neu anzulegen?

Hm. Bin mir nicht sicher, aber das ist natürlich eine einfache Idee! Versuch ich.

Update:

Hab Teleport und VPN deaktiviert, UDM neu gestartet und VPN wieder aktiviert. Keine Veränderung.

Update 2:

Der Portscanner zeigt eine kleine Veränderung. Das VPN Netz 10.0.0. ist nach wie vor leer. Das Haupt Netz 10.1.1. hat jetzt zwei IPs. Die .11, keine Ahnung was das ist. Antwortet auf Ping, kann aber mit keinem bekannten Protokoll drauf zugreifen.

Und die .253, das ist die UDM und da kann ich tatsächlich die Weboberfläche öffnen. Aber alle „normalen“ Geräte im Netz sind nach wie vor nicht erreichbar. Auch auf 10.0.0.1 antwortet niemand.

Update 3:

Hab den IP Bereich vom VPN mal auf 10.2.2.1/24 geändert.

Kein Unterschied

Update 4:

VPN IP Bereich auf 192.168.4.1/24 geändert. Damit geht es!

Bringt mich zu der Überzeugung, dass es mit meiner nachträglichen Änderung des IP Bereichs für das Main Netz von 10.0.0.0/8 auf 10.1.1.0/24 zu tun hat.

Frage ist nur, wie man das wieder beheben kann.

Update 5:

Wenn ich VPN wieder zurück auf 10.0.0.1 ändere, geht es wieder nicht. Hab auch mal das Main Netzt von 10.1.1.1 auf 192.168.irgendwas und wieder zurück auf 10.1.1.1 geändert. Das hat leider auch nichts gerade gebogen. Die Kombination VPN 10.0.0.1 und Haupt Netzt 10.1.1.1 funktioniert nicht.

Nachdem hier wohl keiner eine echte Lösung hat, werde ich bei Gelegenheit auf Werkseinstellungen zurücksetzen und neu anfangen.

Gibts ne brauchbare Möglichkeit die aktuellen Einstellungen zu „sichern“?

Klar, Backup. Aber das würde ich in dem Fall nicht nutzen wollen, da ich mir damit im Zweifelsfall die kaputten Einstellungen wieder zurück hole.

Wollte einfach jede Config-Seite ausdrucken. Die sind aber so dämlich formatiert, dass ich nicht die ganze Seite, sondern immer nur den aktuell sichtbaren Ausschnitt gedruckt bekomme.

Jemand ne gute Idee?

Und zwecks Ursachenforschung noch mal die Frage, ob man sich die aktuellen FW Regeln über CLI anzeigen lassen kann?

Hallo Uwe ,

die Firewall-Regeln kannst Du Dir auf dem Gateway mit iptables -L ansehen - als root natürlich nur.

Mit tcpdump - falls auch bei Dir verfügbar - kannst Du auch noch den TCP-Verkehr sehen. Ich habe z.B. mit tcpdump -i wg2 meine WireGuard-Verbindung kontrolliert. Könnte Dir vielleicht auch helfen.

root@USG:# tcpdump --help
tcpdump version 4.7.4
libpcap version 1.7.4
OpenSSL 1.0.1t  3 May 2016
Usage: tcpdump [-aAbdDefhHIJKlLnNOpqRStuUvxX#] [ -B size ] [ -c count ]
                [ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
                [ -i interface ] [ -j tstamptype ] [ -M secret ] [ --number ]
                [ -Q in|out|inout ]
                [ -r file ] [ -s snaplen ] [ --time-stamp-precision precision ]
                [ --immediate-mode ] [ -T type ] [ --version ] [ -V file ]
                [ -w file ] [ -W filecount ] [ -y datalinktype ] [ -z command ]
                [ -Z user ] [ expression ]

Zitat von razor

kannst Du Dir auf dem Gateway mit iptables -L ansehen - als root natürlich nur.

Mit tcpdump - falls auch bei Dir verfügbar

just add my Two cents:

iptables -L

Iptables -L -t nat

iptables -L -t mangle

für ALLE Tabelle inklusive irgendwelche NAT und Markierung Tabellen.

(im Grunde sind nur die normale und die NAT Tabelle interessant)

IP oder Ports selber wirst du da aber nicht wirklich drinnen finden.

Die sind alle fein säuberlich in IP listen abgespeichert...

in iptables dann sowas wie:

RETURN gre -- anywhere anywhere match-set UBIOS_62ff7435f435870f273ca295 src

ipset list UBIOS_62ff7435f435870f273ca295 

zeigt dann den Inhalt der Liste an.

ipset list zeigt sie ALLE an..

ipset -n list nur ne Übersichtt welche Listen existieren.

Namen können abweiche. Grade die IPtables haben ggf. generische Namen...

Und die Listen sind verschachtelt, du bekommst also evt. ne andere Liste

in der dann die Daten drinnen stehen... (mächtige Waffe)

tcpdump existiert im übrigen auf jedem UNIFI devide das mit SSH erreichbar ist.

Hatte jedenfalls noch keins in den Finger wo das nicht so ist.

tcpdump -D listen dir die Interfaces auf die su hast.

tcpdump -I any host 192.168.1.23 filter auf eine IP für alle Schnittstellen

tcpdump -I any port 5060 oder Filter auf einen Port

tcpdump -I any host 192.168.1.23 and port 5060 oder beides

Danke euch beiden!

Puh, das ist VIEL. Jedenfalls 10mal mehr als man online sehen kann.

Werd mal bischen durchstöber, aber schwierig (für mich) da was zu finden.

Hab jetzt ipset list -o xml genommen, alles markiert, als .xml gespeichert und das dann in Excel geöffnet.

Dann hat man zumindest eine lesbare Tabelle mit allen Filtermöglichkeiten. Was Auffälliges hab ich da aber erst mal nicht gefunden.

Werde VPN zum Test noch mal auf 10.0.0.1 ändern und dann mit ipset das Ergebnis vergleichen.

Zitat von Uwe

Hab jetzt ipset list -o xml genommen, alles markiert, als .xml gespeichert und das dann in Excel geöffnet.

Das gibt es auch bei mir, kannte ich noch gar nicht. Mal sehen, was damit angezeigt wird.

Hallo

Ich würde diese Thema gerne aufwärmen. Ich habe ein ähnliches Problem und möchte deswegen keinen neuen Eintrag erstellen:

Mein setting sieht wie folgt aus:

UDM pro: LAN 192.168.1.0/24

VPN 192.168.2.0/24 L2TP

Die Verbindung über VPN funktioniert = ich kann mich anmelden und erreiche die meisten Geräte. So bekommt der VPN (WIN10) Rechner die IP 192.168.2.6 und ich kann Geräte im 192.168.1.0 Netz pingen, Webbrowser aufrufen und erhalte eine Verbindung mit dem SQL Server.

Einzig die NAS macht mir Probleme. Diese ist hat die IP 192.168.1.100 und ich kann sie weder pingen und kann keine Browser Verbindungaufbauen.

Wenn ich mich direkt im 192.168.1.0 Netz befinde, funktionieren die Verbindungen. Alle meine Lösungsversuche sind bis jetzt fehlgeschlagen. Die NAS hat eine statische Adresse und ich habe ihr jetzt einen statischen DNS-Eintrag hinzugefügt (192.168.1.1). Leider war dies auch nicht die Lösung.

Ich stehe vor allem an der Tatsache an, dass einige Geräte funktionieren und das NAS nicht.

Bin für jede Hilfe dankbar.

lg

Michael

Hallo Michael_19 und Glückwunsch zu Deinem ersten Beitrag.

Wie Du oben siehst sind ja schon einige Vorschläge gemacht worden. Wie sieht den ndas Ergebnis dieser Empfehlungen bei Dir aus?