Kabelmodem TC7200: VPN Server dahinter, Portforwarding, keine Verbindung

[alex99988]

Hallo,

ich habe ein TC7200 im Routermodus und dahinter einen eigenen Router (192.168.5.1/255.255.255.0), welcher einen VPN Server (über SSL) zur Verfügung stellt.
Damit der Port 443 weitergleitet wird habe ich dafür im TC7200 eine Portweiterleitung eingestellt:
von extern: 0.0.0.0, 443 auf intern 192.168.5.1, 443, Protokoll: Both
Beim Versuch mich per VPN einzuwählen sagt der VPN Client leider "connect to Meine_öffentliche_IP:443 failed".

Was kann hier noch falsch laufen?

Danke für Tipps,
Alex

 

[chrigu]

hast du ds-lite? dann wird es schwierig.

externe ip 0.0.0.0 ist hoffentlich nur ein beispiel...

 

[alex99988]

Laut Kundenservice (Vodafone) ist es kein DS-Lite, habe ich extra umstellen lassen, es wurde mir mehrmals bestätigt, dass das geschalten sei.

Nein, externe IP ist kein Beispiel, was müsste ich hier eintragen? Die externe weiß ich ja nicht, dachte 0.0.0.0 soll heißen "jede IP die von außen kommt"

 

[darkange_1]

0.0.0.0 (any) passt . Telnet von außen auf 443 gibt die gleiche Fehlermeldung? Server Firewall konfiguriert? Geht es denn intern auf 443?

Ergänzung (4. Juli 2017)

Beide Router sind im gleichen Subnetz?

 

[alex99988]

Hi,

- Server FW ist konfiguriert (geht automatisch)
- Telnet kann ich erst später testen
- von intern geht's. Aber natürlich nur, wenn ich in der OpenVPN-Client-Config meine dyndns Adresse (für Zugriff von außen) durch meine interne IP vom VPN Server ersetze

Beide Router sind im gleichen Subnetz

Nein. Technicolor hat 192.168.0.1/255.255.255.0, VPN-Server bzw. Router dahinter 192.168.5.1/255.255.255.0

LG, ALex

 

[DeusoftheWired]

Brauchst du den TC7200 überhaupt im Routermodus? Laß den doch als Bridge/Modem laufen.

Testest du die VPN-Einwahl zu deinem Anschluß von deinem eigenen Anschluß aus? Das probiert man am Anfang am besten von einem anderen aus, meinetwegen auch vom Mobilnetz.

 

[technik_el]

Externe feste IP ist nicht gleich öffentliche IP. Außer du bist im privaten Bereich, da kannst du drauf routen. Aber wenn du über das Internet drauf zugreifen willst, wird es schwierig, wenn es keine öffentliche IP ist.

Bitte mal deine externe IP checken, ob es eine private ist. Wenn es so ist, hast du von extern keinen Zugriff.

 

[alex99988]

Hi,

• Telnet macht timeout
• IP sollte öffentlich sein: 178.27.xxx.xxx

Testest du die VPN-Einwahl zu deinem Anschluß von deinem eigenen Anschluß aus? Das probiert man am Anfang am besten von einem anderen aus, meinetwegen auch vom Mobilnetz.

Habe es über Mobilnetz und aus der Arbeit versucht. Wenn ich versuche mich von "innen" zu verbinden reagiert der VPN Server, also der sollte an sich funktionieren. Von der Arbeit aus kann ich andere SSL-VPNs auch öffnen.

Brauchst du den TC7200 überhaupt im Routermodus? Laß den doch als Bridge/Modem laufen.

Routermodus brauche ich nicht unbedingt, ich fühle mich halt sicherer, da von außen eine Hürde mehr überwunden werden muss. EDIT: im Bridgemodus geht das WLAN an dem Gerät nicht mehr, oder? Dann wäre Routermodus auf jeden Fall ganz nett!

Noch ne Idee?

 

[DeusoftheWired]

Habe es über Mobilnetz und aus der Arbeit versucht. Wenn ich versuche mich von "innen" zu verbinden reagiert der VPN Server, also der sollte an sich funktionieren. Von der Arbeit aus kann ich andere SSL-VPNs auch öffnen.

Reagiert der VPN-Server, wenn du dich vom Mobilnetz aus verbindest?
Reagiert der VPN-Server, wenn du dich von der Arbeit aus verbindest?

Daß er beim Verbindungsversuch von innen eine Antwort gibt, ist erst mal nur ein Zeichen dafür, daß der Server grundlegend funktioniert. Das Problem ist das Davor.

Teste bitte mal mit http://www.canyouseeme.org/, was das zu einer Verbindung auf Port 443 ausspuckt.

Routermodus brauche ich nicht unbedingt, ich fühle mich halt sicherer, da von außen eine Hürde mehr überwunden werden muss.

Wer durch das NAT des ersten kommt, der kommt auch durch das des zweiten.

EDIT: im Bridgemodus geht das WLAN an dem Gerät nicht mehr, oder? Dann wäre Routermodus auf jeden Fall ganz nett!

Ja, WLAN ist dann aus. Aber dafür hast du ja den anderen Router dahinter, oder?

Mir geht’s eher darum, daß man fehlende Routinggeschichten vom TC7200 zum zweiten Router damit als Fehlerquelle ausschließen kann. Wenn es mit TC7200 im Bridge-Modus funktioniert und ohne nicht, dann hat man schon mal den Fehler.

Welcher Router ist der zweite eigentlich? Original-Firmware? OpenVPN-Server nach welcher Anleitung aufgesetzt? Welchen Client nutzt du?

 

[darkange_1]

Das heißt connect über 443 von außen geht schon mal nicht. Intern kannst du zugreifen. Aus welchem Netz kannst du intern zugreifen aus dem 0.0 oder 5.0?

Ich denke es macht Sinn uns mal das routing anschauen.

TC (Edge Router) 192.168.0.1/255.255.255.0, VPN-Server bzw. Router dahinter 192.168.5.1/255.255.255.0

Somit hat welcher deiner beiden Router zwei IPs aus denn selben Subnetz?

Ich versuche das mal exemplarisch auszuführen:

TC besitzt:
1. 192.168.0.1 (/24 eigenes Netz)
2. 192.168.5.2 (/24 Netz vom anderen Router)

Somit kennt der TC beide Netze.

Anderer Router:
1. 192.168.5.1

Hier muss ein statisches Routing eingetragen werden, dass alle Clients aus dem Netz 192.168.5.0/24 den IP-Range 192.168.0.0/24 über 192.168.5.2 finden.

(Das mit dem TC und den anderen Router kann man auch umdrehen, aber es bleibt dass einmal die Rückroute gesetzt wurde)

Ist das konfiguriert? Hast du die statischen route gesetzt, ansonsten funktioniert das Rückrouting nicht.

 

[alex99988]

Hi,
zuerst einmal danke für eure Hilfe und sorry für die späte Antwort, bin etwas eingespannt gerade...

@DeusoftheWired

Reagiert der VPN-Server, wenn du dich vom Mobilnetz aus verbindest?
Reagiert der VPN-Server, wenn du dich von der Arbeit aus verbindest?
Teste bitte mal mit http://www.canyouseeme.org/, was das zu einer Verbindung auf Port 443 ausspuckt.

Nein, nein, timeout

Daß er beim Verbindungsversuch von innen eine Antwort gibt, ist erst mal nur ein Zeichen dafür, daß der Server grundlegend funktioniert. Das Problem ist das Davor.

sehe ich genauso, Problem beim TC bzw. seinem Portforwarding

Wer durch das NAT des ersten kommt, der kommt auch durch das des zweiten.

sehe ich anders ;-) aber tut ja hier nix zur Sache

Ja, WLAN ist dann aus. Aber dafür hast du ja den anderen Router dahinter, oder?

Der Router dahinter hat leider (noch) kein WLAN (ist eine Security Appliance)




@darkange_1

Das heißt connect über 443 von außen geht schon mal nicht. Intern kannst du zugreifen. Aus welchem Netz kannst du intern zugreifen aus dem 0.0 oder 5.0?

5.0

Somit hat welcher deiner beiden Router zwei IPs aus denn selben Subnetz?

anders herum wie du es ausgeführt hast:
1) TC: 192.168.0.1, Netz: 192.168.0.0/24

2) WAN: 192.168.0.2
LAN: 192.168.5.1, Netz: 192.168.5.0/24

Somit muss auch keine Route gesetzt werden.

Das Problem:
Anfrage über ext_IP:443 -> Weiterleitung im TC an internen Router -> Antwort zurück vom internen Router über Standard Gateway, nämlich WAN -> TC -> Internet (...5.1 -> ...0.1 -> Internet). Sollte ja eigentlich kein Problem sein.
Also irgendwie klappt die Portweiterleitung nicht, sonst müsste ja wenigstens ein Versuch beim VPN Server aufklatschen (auch wenn er nicht zurück könnte, aber ankommen müsste ja was....)


P.S.: wenn ich jetzt dann mal den Internet-Zugang kurz abdrehen kann, werde ich mal auf Bridge-Modus umschalten zum Test. Letztens war leider das Kundenportal down.

 

[darkange_1]

Oh man, da haben wir wohl das Problem. Auch anders herum habe ich es beschrieben.

Woher soll der TC wissen wo er das 5.0 Netz findet, wenn du es ihm nicht sagst?

Laut deiner Ausführung hat dein VPN Gateway 5.1 - ergo wird da gar nichts weiter geleitet und alles bleibt beim TC hängen.

Einzig der andere Router funktioniert, weil er beide Netze kennt.

Du schreibst selbst, dass du im 5.0 Netz Testet und es funktioniert. Teste mal im 0.0 Netz ohne Rückroute, das dürfte nämlich nicht funktionieren.

 

[alex99988]

Hi,

danke für eure Hilfe. Die Weiterleitung vom SSL Port war so natürlich falsch . Ich muss natürlich auf 192.168.0.2 weiterleiten, nicht in das interne Netz. Eigentlich klar, aber das hab ich übersehen. Brauche auch nicht extra eine Rückroute, das übernimmt alles der Security Gateway mit seiner VPN Funktion :-)

Durch die Unterhaltung hier fiel das aber dann auf. Somit noch einmal: vielen Dank für euren Input und eure Gedanken!

LG,
Alex