Killswitch für OpenVPN

[deady1000]

Hallo,

ich benutze momentan das Programm OpenVPN um mich mit meinem VPN-Dienst Private Internet Aceess (PIA) zu verbinden.

Das normale Programm von PIA für Windows funktioniert bei meiner Routerkonfiguration leider nicht, da ich von der Telekom einen Speedport Hybrid benutze, der eigentlich sowieso VPNs gar nicht unterstützen sollte.
Auch mit einer hintergeschalteten FritzBox klappt es nur über OpenVPN.

Wenn ich das PIA-Programm starte, kann es sich zwar mit den Servern verbinden, jedoch habe ich praktisch keinen Down- oder Upstream.
Seiten werden nicht aufgebaut.

Mit OpenVPN klappt alles wunderbar, jedoch vermisse ich einige Funktion von PIA.
Hier mal ein Screenshot aus dem Programm, welches bei mir nicht läuft:



Die wichtigste Funktion für mich ist eigentlich, dass Windows auf keinen Fall die normale Internetverbindung benutzt, wenn der VPN mal zusammenbricht.
Bei PIA gab es da die Funktion "VPN Killswitch".
Danach wurde die gesamte Verbindung sofort getrennt, bis der VPN wieder online war.

Gibt es sowas auch für OpenVPN?

LG

 

[vincez]

Sicherer wäre es, das Gerät per Firewall zu isolieren, sodass es lediglich Verbindungen aufbauen darf zu der IP des VPN Servers.

Diese Einstellung würdest du in deiner Fritzbox vornehmen.

(Falls das Gerät ein PC ist, den du auch für weitere Aufgaben nutzen möchtest, könntest du deine zu isolierene Anwendung in einer virtualisierte Umgebung laufen lassen (VM/Docker) und die Firewall dort entsprechend konfigueren).

 

[R O G E R]

Ich weiß ja jetzt nicht warum der Speedport Hybrid kein VPN unterstützen sollte.
Ich nutze selber diesen mi... Router und habe eine VPN Verbindung über OpenVPN realisiert.
Als VPN-Server nutze ich einen RasberryPi und habe halt einen Port direkt auf den Raspberry weitergeleitet im Router Menü.
DynDNS funktioniert auch ohne Probleme.
Ich weiß jetzt nicht warum dein PIA dort nicht laufen sollte.

Ich sehe gerade das du nur raus willst und nicht auf dein Heimnetzwerk zugreifen möchtest.
Das sollte doch eigentlich ohne jegliche Konfiguration klappen.

 

[deady1000]

Das Windows PIA-VPN Programm funktioniert mit dem Speedport bei mir nicht.
Auch wenn ich alle Firewalls auschalte und fast alle Ports freigebe, kann ich nach der Verbindung keine Seiten aufrufen.

Mit OpenVPN klappt es bei mir ja auch.
Ich brauche dafür nicht einmal eine FritzBox.
Mein PC hängt direkt am Speedport und darüber läuft OpenVPN ohne Probleme.

DynDNS funktioniert auch ohne Probleme.

Bei mir ist das noch nicht so.
Ich kann keine "Update"-URL eingeben...
Das Format des Links wird nicht erkannt.

___

Die Lösung mit der Firewall werde ich mir nochmal näher ansehen.
Allerdings hatte ich mir eher etwas vorgestellt, was man mit wenigen Klicks ein- und ausschalten kann.
Ich nutze den VPN nicht durchgehend.

Ergänzung (3. Mai 2017)

Kann mich da jemand anleiten, wie ich die Firewall so einstelle, dass Sie nur Verbindungen über eine IP durchlässt?
Also ich habe die feste Server-IP vom VPN.
Wie kann ich jetzt alle anderen Verbindungen über den Netzwerkadapter blockieren?

Ist das überhaupt zielführend?

 

[Raijin]

Von Hand könntest du das so machen:

Per Batch oder mit einem Tool wie NetSetMan mit einem Klick deine (W)LAN-Verbindung von DHCP auf statisch wechseln und dort das Gateway leer lassen (kein Gateway, kein Internet). Um dennoch VPN nutzen zu können, muss allerdings eine Route zum VPN-Server eingerichtet werden. Geht ebenfalls in der Batch bzw. dem Profil. So wird nach erfolgter Umschaltung die Internetverbindung via (W)LAN lahmgelegt. Startet man nun VPN inkl. "redirect-gateway", wird beim Verbindungsaufbau das VPN als Gateway genutzt.


Eine kurze googelung zeigt aber, dass es auch einfacher geht: Klick!

 

[deady1000]

Bin hier gerade leicht am verzweifeln mit der Firewall...
Bekomme es leider nicht gebacken den Internetverkehr über meinen normalen Ethernetadapter zu blockieren und den VPN-Adapter offenzulassen.


Ich kann zwar den IP-Adressbereich meines LAN-Adapters blockieren, aber dann geht der VPN auch nicht mehr durch.

Wie kann ich es machen, dass "nur das Nötigste" durch den LAN-Adapter geht, damit der VPN wenigstens aufgebaut wird?

 

[Raijin]

Naja, "nur das Nötigste für VPN" ist der Traffic zwischen VPN-Client und VPN-Server. In der Regel identifiziert man diesen Traffic einfach anhand der Ziel-IP. Wenn du alles blockst, blockst du ja auch den eigentlichen VPN-Tunnel. Daher musst du eine Ausnahme hinzufügen, die Traffic zur öffentlichen IP des VPN-Servers erlaubt.

Wie dem auch sei, ich habe dir oben doch ausreichend Alternativen gezeigt. Du kannst jetzt noch Stunden, Tage, Wochen damit verbringen, das Rad neu zu erfinden, oder du du probierst die Tools bzw. Skripte aus dem Link aus. Es ist nicht zielführend, wie ein Irrer in der Firewall alles mögliche zu blocken, wenn man ganz einfach das Standard-Gateway bzw. die Standard-Route entfernt. Dann wird zwar nix "geblockt", sondern es wird von Windows schlicht und ergreifend in den Müll geworfen, weil Windows nicht weiß wohin mit dem Mist. Probier's aus. Stell deinen PC auf statische IP um falls er auf DHCP eingestellt ist und lösche das Standard Gateway. Du wirst sehen: Nix geht mehr mit Internet.



Kleine Anmerkung am Rande: Ich persönlich würde nie den gesamten Traffic permanent via VPN laufen lassen. Zum einen kastriert man damit in der Regel unnötig den Internetzugang, weil der VPN-Anbieter oft genug nicht den Speed bieten kann wie der eigene Anschluss leisten kann. Zum anderen verlagert man etwaige "Mitlese"-Paranoia von einem lokalen Provider, der an deutsche Gesetze gebunden ist, auf einen beliebigen VPN-Anbieter in Land xy, der beliebigen Schindluder mit deinen Daten treiben kann. VPN ist nämlich nur zwischen dir und dem VPN-Server verschlüsselt. Dahinter ist alles so offen lesbar bzw. verschlüsselt wie es auch beim direkten Surfen über den Internet-Provider wäre.

Darüberhinaus gehen immer mehr Dienste dazu über, bekannte VPNs per Blacklist zu blocken. Einige Streamingdienste, Online-Shops, Online-Banking und dergleichen mögen es nicht, wenn sie von einschlägigen VPN-Diensten aus angesurft werden. Je permanenter du dein Setup baust, umso anstrengender ist es, wenn du mal genau vor so einem Problem stehst.