Keine VPN Verbindung mehr möglich (Synology NAS & iPhone)

[JerryCurwen]

Hallo zusammen,

seit kurzem bekomme ich keine VPN Verbindung mehr von meinem iPhone zu meinem Heimnetzwerk hergestellt. Sowohl wenn ich IPSec auf der FritzBox als auch OpenVPN in meiner Synology NAS aktiviere. Ich habe nichts verändert.

Wenn ich IPSec mit der FritzBox verwende erhalte ich immer die Meldung das der VPN Server nicht gefunden werde kann. Ich hab in der FritzBox den Benutzer entsprechend eingerichtet und die FritzBox ist auch über MyFritz von außen erreichbar.

Beim Versuch mich mit OpenVPN zu verbinden erhalte ich den Fehler: "There was an error attempting to connect to the selected server". Ports sind in der FritzBox entsprechend freigegeben. Das Error Log von OpenVPN auf meinem iPhone zeigt auch sonst keine Fehler an außer das der Server nicht gefunden werden kann... Was ich einfach nicht verstehe. Ich habe so überhaupt keinen Anhaltspunkt oder Ahnung woran das auf einmal liegen kann?!

Einstellungen OpenVPN auf NAS:

• Port: 1194
• UDP
• AES-256-CBC
• Komprimierung auf der VPN-Verknüpfung verwenden
• Clients den Server-LAN-Zugriff erlauben

 

[esb315]

Hat sich vielleicht die externe IP geändert?

 

[DeusoftheWired]

Wenn du über einen myfritz-Namen oder sonstigen DDNS-Dienst zugreifst, probier’s mal mit der blanken WAN-IP der FRITZ!Box.

 

[JerryCurwen]

Hey, danke für eure Antworten. Also der MyFritz Service von AVM beinhaltet einen DynDNS Service. Diese Adresse habe ich nach wie vor eingetragen. Ich habe es auch direkt mal mit der IP Adresse vom Provider versucht. Sowohl mit der IPv4 als auch der IPv6 Adresse. Auch das brachte nicht den gewünschten Erfolg.

 

[benjiman]

Check mal ob du ueberhaupt noch eine eigene IPv4 extern hast...

Vergleich mal ob du die gleiche extern IPv4 im Router und hier siehst: https://www.wieistmeineip.de/

 

[DeusoftheWired]

Hrm. Das Zertifikat ist noch gültig und nicht abgelaufen, richtig?

Siehst du in den Logs der Server irgendwelche fehlgeschlagenen Verbindungsversuche? Dann kommt das Signal zumindest erst mal bis zu ihnen durch.

Ansonsten ist es ohne Logs schwierig, etwas aus der Ferne zu diagnostizieren. :I

 

[JerryCurwen]

Ja, die IP Adresse im Router stimmt mit der Adresse in meiner FritzBox überein. Ich habe heute noch das Zertifikat für die Synology (VPN) aktualisiert. Ist ein Let's encrypt Zertifikat dahinter. Für die FritzBox habe ich keins angelegt. Da scheint standardmäßig eines drin zu sein.

Ich Versuche mal die Logs aus der OpenVPN App herauszubekommen. Bei der FritzBox kann ich keine Logs finden. Bei Synology schaue ich auch mal.

Hier mal die Logs aus der iOS App von OpenVPN:

2020-12-04 17:17:10 ----- OpenVPN Start -----
OpenVPN core 3.git::2952f561 ios arm64 64-bit

2020-12-04 17:17:10 OpenVPN core 3.git::2952f561 ios arm64 64-bit

2020-12-04 17:17:10 Frame=512/2048/512 mssfix-ctrl=1250

2020-12-04 17:17:10 UNUSED OPTIONS
1 [tls-client]
3 [pull]
5 [script-security] [2]

2020-12-04 17:17:10 EVENT: RESOLVE

2020-12-04 17:17:10 Contacting [91.49.206.182]:1194/TCP via TCPv4

2020-12-04 17:17:10 EVENT: WAIT

2020-12-04 17:17:21 Server poll timeout, trying next remote entry...

2020-12-04 17:17:21 EVENT: RECONNECTING

2020-12-04 17:17:21 EVENT: RESOLVE

2020-12-04 17:17:21 Contacting [91.49.206.182]:1194/TCP via TCPv4

2020-12-04 17:17:21 EVENT: WAIT

2020-12-04 17:17:31 Server poll timeout, trying next remote entry...

2020-12-04 17:17:31 EVENT: RECONNECTING

2020-12-04 17:17:31 EVENT: RESOLVE

2020-12-04 17:17:31 Contacting [91.49.206.182]:1194/TCP via TCPv4

2020-12-04 17:17:31 EVENT: WAIT

2020-12-04 17:17:41 EVENT: CONNECTION_TIMEOUT [ERR]

2020-12-04 17:17:41 Raw stats on disconnect:
  CONNECTION_TIMEOUT : 1
  N_RECONNECT : 2

2020-12-04 17:17:41 Performance stats on disconnect:
  CPU usage (microseconds): 40088
  Network bytes per CPU second: 0
  Tunnel bytes per CPU second: 0

2020-12-04 17:17:41 EVENT: DISCONNECTED

2020-12-04 17:17:41 Raw stats on disconnect:
  CONNECTION_TIMEOUT : 1
  N_RECONNECT : 2

2020-12-04 17:17:41 Performance stats on disconnect:
  CPU usage (microseconds): 52232
  Network bytes per CPU second: 0
  Tunnel bytes per CPU second: 0

 

[benjiman]

Bist du mit dem iPhone im WLAN? Oder LTE? Mal beides abwechselnd ausprobiert? Handy mal neugestartet?

 

[DeusoftheWired]

Hier mal die Logs aus der iOS App von OpenVPN:

Danke fürs Log! Die Zeilen, die „Contacting“ beinhalten, haben am Ende ein 1194/TCP via TCPv4. Im Startbeitrag schriebst du, daß Port 1194 UDP genutzt wird. Hast du im OpenVPN-Client die Möglichkeit, zwischen TCP und UDP zu wechseln? Wenn ja, mal mit UDP probieren.

Um den Hinweis von benjiman aus #5 aufzugreifen: Probier mal mit https://www.ipvoid.com/udp-port-scan/, ob eine eingehende Verbindung via 1194 UDP akzeptiert wird und der OpenVPN-Server auf dem NAS auf diesem Port auf eingehende Verbindungen lauscht.

 

[JerryCurwen]

Ich bin mit dem iPhone im mobilen Netz der Deutschen Telekom. Allerdings habe ich hier nur E womit eine Verbindung trotzdem hergestellt werden sollten, da es vorher ja auch immer ging. Wenn ich im WLAN bin klappt es mit der direkten IP Adresse vom Internet Provider nicht. Auch mit meiner Domain die ich normalerweise dafür nutze. Ich habe die DynDNS Adresse in den DNS Einstellungen meiner privaten Domain hinterlegt. All das klappt nicht. Ich erhalte auch absolut keine aussagekräftigen Hinweise aus den Logs. Auf der Synology NAS finde ich z.B. garnichts.

Ich habe jetzt testweise auch mal auf meinem Android Tablet die OpenVPN App geladen und über mein iPhone einen mobilen Hotspot aufgemacht. Auch damit klappt es nicht.

Ich verstehe das einfach nicht.

@DeusoftheWired Sorry, ich hatte in der zwischen Zeit auch auf TCP umgestellt. Also beides versucht sowohl UPD was vorher immer eingestellt war, als auch jetzt TCP.

Ergänzung (4. Dezember 2020)

So, ich habe in der Zwischenzeit etwas getestet und ja, es scheint irgendwie an den Ports zu liegen. Wenn ich in den VPN Einstellungen der Synology NAS den Port auf TCP ändere und auch in der FritzBox die Freigabe entsprechend auf TCP anpasse, funktioniert es nicht. Es scheint nur über UDP zu klappen. Mittlerweile habe ich auch wieder eine Verbindung über mein iPhone. Allerdings nicht über IPSec in Kombination mit der FritzBox.

Es klappt jetzt auch wieder sowohl mit meiner privaten Subdomain welche auf meine FritzBox routet oder mit der IP Adresse meines Internet Anbieters. Gibt es da auch irgendwie eine Art Cache oder sowas das von außen trotz der Umstellung auf TCP nur UDP erreichbar ist?