Beiträge von Morty

Zitat von Stefan71

Bin gerade überfordert

Meinst du ich sollte mal eine Statische Route mit der Port Weiterleitung probieren oder auch mit der WAN Lokale Regel wie von BlackSpy vorgeschlagen?

Portweiterleitung ist eigentlich nicht nötig. WAN lokal Regel würde ich dringend davon abraten. du möchtest doch sicher nicht das Pakete aus dem Internet in dein Heimnetz geschleust werden. Die Pakete aus dem VPN kommen ja nicht vom WAN am USG an sondern am Raspi. Statische Route ist nichts womit ich mich sehr gut auskenne.

wg0.conf auf dem Server checken

hast du dort beim Raspi client die lokale IP drin?

in deiner Anleitung stehen auch die IPTables drin die so gesetzt sein müssen.

sonst sieht das doch schonmal ganz gut aus, du kommst schonmal auf den Raspi über den VPN.

jetzt gilt es rauszufinden wo die Pakete für 192er Adressen hängen bleiben. dazu mach doch mal ein trace route vom Server aus oder vom Handy

da sollte man sehen wo die pakete ankommen

Zitat von BlackSpy

Bin mir nicht sicher ob das Projekt noch läuft

https://github.com/boostchicken/udm-utilities

Die UDM Utilities sollen Bootfest sein und bieten OpenVPN und Wireguard sowohl als Client und Server.

Danke, sowas hab ich verzweifelt gesucht. Hab die UDM erst seit 12.20 und war schon enttäuscht weil mir sowas fehlt.

sorry für den Doppelpost, muss mich erst wieder an sowas wie Forenkultur gewöhnen.

daran hab ich nicht gedacht. die externe IP wenn du mit dem VPN verbunden bist wäre dann deine heimische IP.

also prüfe ob mit VPN Client1 (Handy) eine Verbindung zu VPN Client2 (Raspi) besteht.

wenn das nicht geht mit den 10.61. IP Adressen muss auf dem Server was angepasst werden.

wenn das geht erreichen sich die Clients und du musst am Raspi basteln damit er dich auf die 192. IP Adressen lässt

wenn der Raspi eine VPN Verbindung zum VPS hat geht das eigentlich an Fritzbox und Unifi Geräten vorbei daher ignoriere ich das Thema mal. anders als wenn der Raspi der VPN Server ist dann müssen in der Fritzbox und weiteren NAT Routern Portfreigaben gesetzt werden.

wenn ich in einer Firma bin und dort die VPN Verbindung anschmeiße gehe ich an allen Geräten zwischen VPN Client und Server vorbei. mein Netzwerkverkehr geht vom Client zum Server und zurück.

kommt jetzt ein Gerät als VPN User dazu ist es nicht üblich das 2 VPN Clients sich sehen sondern Client sieht den Server und das Netzwerk in dem der Server steht und normalerweise auch der WAN Zugriff mit nutzen darf.

du möchtest aber mit dem zweiten VPN Client zum ersten VPN Client verbinden und Geräte dahinter ansprechen, ist das etwas speziell.

Ich würde den Raspberry zum VPN Server machen und der Routet in das LAN dann kannst du dir den VPS komplett sparen.

hat denn schon mal jemand versucht auf einem unifi UDM oder ähnlichem openvpn oder Wireguard Server aufzusetzen? oder ist das alles beim nächsten Update wieder weg?

die Raspi config würde mich sehr interessieren. denn dort liegt zu 99% dein Problem.

also ist der VPS der Wireguard Server.

damit kannst du den Ansatz Portfreigaben vergessen. Portfreigaben brauchst du nur wenn der Raspi der Server ist.

woher soll denn dein Handy im WLAN wissen das der Raspi eine VPN Verbindung hat die das Handy nutzen soll?

also muss der Raspi im Heimnetz zum Gateway werden.

ein schönes Gedankenspiel was ich so auch gern umsetzen würde. aber ich stecke noch in der Planungsphase

schau mal ob auf dem Raspi eine Firewall läuft und ob dort das VPN Netz in das lokale Netz verbinden darf.

Zitat von Stefan71

Hallo,

ich habe mir vor einigen Wochen einen VPS Server mit Wireguard und zuhause einen Raspberry Pi als VPN Wireguard Gateway eingerichtet. Soweit funktioniert das auch alles.

ist das korrekt das die Wireguard Verbindung steht? dann sind die Portfreigaben schon korrekt und nicht das Problem.

wenn keine Verbindung zum LAN besteht und der Raspi das Wireguard Gateway in deinem Netz ist, sollte dort mal die Firewall geprüft werden ob die evtl. den Zugang zum Lan blockiert.

Hallo, da ich mich sehr intensiv mit dem Thema UDM und VPN beschäftigt habe muss ich jetzt hier paar Erfahrungen da lassen.

Probleme im Windows gibt es mit 2 Gegebenheiten:

IKEv1 wird standardmäßig nicht mehr unterstützt

SHA1 wird standardmäßig nicht genutzt

Probleme der UDM:

kein IKEv2

veraltete IPsec Algorithmen aktiv

L2TP ohne IPsec ist möglich, selbst wenn ein PSK in der UDM definiert wurde was ich für eine schwere Sicherheitslücke halte.

ich würde ja lieber openVPN nutzen aber leider hat die UDM nur einen Client implementiert

Zitat von Launi

Habs jetzt mit zwei anderen Androiden mit Android 10 auch hinbekommen. Allerdings nur L2TP.

Typ: L2TP

Server: meine DynDNS

L2TP-Schlüssel: nicht verwendet

komisch... sind nur diese drei Felder. Und trotzdem hat es jetzt erst beim 10. Versuch geklappt.

BlackSpy Ich habs jetzt mit deinen Einstellungen auch mal getestet. Geht auch mit Pre Shared Key.

Alles anzeigen

das finde ich sehr erschreckend das die UDM SHA1 und L2TP ohne IPsec ermöglicht und man dies nicht in der GUI ändern kann.
Security würde ich das nicht nennen, in einem Firmennetz wäre das untragbar. Wenn ich ein PSK/Secret im Netzwerk anlegen muss sollte das auch zwingend notwendig sein um die Verbindung aufzubauen. Wenn ein User sein Kennwort schlecht wählt ist es vorbei mit der Netzwerksicherheit deswegen gibt es ja den PSK/secret

auch mag die UDM nicht mit dem Linux Standard strongswan arbeiten und im offiziellen Forum steht dann man solle es durch openswan ersetzen.

AES128-sha1 war das sicherste was sich konfigurieren ließ in den IPsec Einstellungen.

Trauriges Fazit für die UDM das es nicht möglich ist ein DDNS mit doppelten NAT einzurichten und ein VPN nicht mit sicheren (aktuellen) Protokollen und Verschlüsselungen nutzen kann.