OpenVPN für eingehende Verbindung, ausgehend über "normale" Internetverbindung

[Andy81]

Hallo an alle,
folgendes Problem habe ich aktuell:

Ich habe eine OpenVPN Verbindung laufen, über die eingehend auf Geräte dahinter zugegriffen wird. Funktioniert alles wunderbar.

Allerdings wird die OpenVPN Verbindung auch für ausgehenden Traffic benutzt. Hier sollte dies einfach über eth erfolgen. Ich habe versucht die Routen zu ändern (metric Wert). Ausgehend hat auch funktioniert, aber eingehend hat die OpenVPN Verbindung dann garnicht mehr funktioniert.
Wie kann ich Linux dazu bringen, bei ausgehendem Traffic nicht den Tunnel zu benutzen?

Andy

 

[Incanus]

Bitte erkläre zunächst einmal was wie wohin eine OpenVPN Verbindung aufbaut und wo Du etwas verändern möchtest. Bisher ist kein einziges Gerät benannt und wir wissen auch nur, dass irgendwo irgendein Linux am werkeln ist.

 

[Andy81]

Intel NUC baut eine OpenVPN Verbindung zu einem externen Server auf (Anbieter internet-xs.de für eine feste IPv4-Adresse). Ich möchte beim surfen einfach nur wie bisher über die "normale" Netzwerkkarte an diesem NUC nach außen ins Internet und nicht über den VPN-Tunnel. Dabei ist es doch völlig irrelevant welche Geräte beim eingehenden Traffic hinter dem NUC erreicht werden.

 

[nutrix]

Du müßtest iptables mit Bridging verwenden, um das beispielsweise auf alle http und https Anfragen umzubiegen. Du müßtest eventuelle Anwendungen einbeziehen, die andere Ports verwenden, und ebenso direkt ins Internet sollen.

 

[Incanus]

Dabei ist es doch völlig irrelevant welche Geräte beim eingehenden Traffic hinter dem NUC erreicht werden.

Hast Recht, ist alles irrelevant, was Du da hast und ich bin raus.

 

[BFF]

Dabei ist es doch völlig irrelevant welche Geräte beim eingehenden Traffic hinter dem NUC erreicht werden.

Genauso irrelevant ist, das ein vollständiger VPN-Tunnel immer eingehend und ausgehend ist. 🤷‍♂️

 

[Andy81]

Verstehe ich nicht: Warum spielen Geräte eine Rolle die eingehend hinter dem OpenVPN Zugang herstellenden Gerät sind, wenn es hier um das lokale Gerät mit ausgehendem Traffic geht?

@nutrix
Danke, bei Iptables war ich schon mit Gedanken, dann muss ich da nochmal ran und probieren.

 

[qiller]

Ich möchte beim surfen einfach nur wie bisher über die "normale" Netzwerkkarte an diesem NUC nach außen ins Internet und nicht über den VPN-Tunnel.

Redirect-Gateway rausnehmen, entweder aus der "Push-config" aufm OpenVPN-Server, oder der Client muss die Anweisung halt ignorieren.

https://community.openvpn.net/openvpn/wiki/IgnoreRedirectGateway

 

[Andy81]

@qiller
Das habe ich auch schon aus der config genommen. Hat sich nur nichts geändert. Aber ich merke, dass ich schon richtig gedacht habe, muss ich nochmal rumprobieren.

Ergänzung (13. Dezember 2023)

@qiller
Das mit deinem Link hat nicht geklappt, alles was ich in die config vom Client eintrage wird ignoriert, keine Wirkung.

 

[qiller]

alles was ich in die config vom Client eintrage wird ignoriert

Dann musste mal in die Log gucken. Da steht eigt. der Grund drin, wenn der OpenVPn-Client einen Befehl ignoriert. Notfalls mal irgendein Quatschbefehl eintragen, dann sollte ja ne Fehlermeldung kommen. Wenn die nicht kommt, bist du wahrscheinlich nicht in der richtigen config-Datei drin.

 

[Raijin]

Verstehe ich nicht: Warum spielen Geräte eine Rolle die eingehend hinter dem OpenVPN Zugang herstellenden Gerät sind, wenn es hier um das lokale Gerät mit ausgehendem Traffic geht?

Die Zeit, die du zum Diskutieren über die Sinnhaftigkeit dieser Informationen investiert hast, hättest du auch einfach dafür verwenden können, die Fragen zu beantworten. Du willst hier doch Hilfe und du bist mit deinem Latein am Ende, verweigerst aber Antworten auf Fragen, weil du meinst zu wissen, dass sie nicht relevant sind. Aber wie beurteilst du die Relevanz, wenn du doch vor einem Problem stehst, welches du nicht lösen kannst? Womöglich gibt es Gründe für Fragen, die sich dir zwar nicht erschließen mögen, aber vielleicht zur Problemlösung beitragen könnten.



Sei's drum, @qiller hat schon auf die zuständige Option hingewiesen. redirect-gateway in der client.ovpn oder als push in der server.ovpn ist dafür verantwortlich, dass das Standard-Gateway des Systems beim Herstellen der Verbindung auf den VPN-Server umgebogen wird. Meistens passiert das mit zwei zusätzlichen Routen, die die eigentliche Standardroute des Systems überlagern.
Neben 0.0.0.0 /0 --> Router gibt es dann zwei Routen mit 0.0.0.0 /1 bzw. 128.0.0.0 /1 -> VPN-Server.
Das OpenVPN-Log wird dir Aufschluss geben welche Optionen lokal verwendet oder vom Server gepusht werden. Gegebenenfalls musst du dazu aber das Loglevel hochschrauben. => verb 3 in die client.ovpn
Selbstverständlich musst du dir sicher sein, dass du in der richtigen Datei unterwegs bist