VPN einrichten

[riversource]

Was für ein Debian hast du denn installiert? Hast du root Rechte beim Aufruf?

 

[Ray Donovan]

Debian 11.
Ja, klar. Bin natürlich als "user" eingeloggt, aber mit
su und dem root-Passwort kann ich alles machen.

Ich versuche es jetzt mit Lubuntu. Stelle ich mich einfach nur ziemlich dämlich an, habe ich einfach nur Pech und zwickt die VM ständig dazwischen?

 

[Raijin]

Raspbian kann man im übrigen durchaus in einer VM installieren.
Hintergrund war lediglich, dass PIVPN selbst Raspbian empfiehlt und es lightweight ist. Aber natürlich sind Debian oder Ubuntu nicht weniger geeignet.


Wenn sysctl nicht funktioniert, wurde evtl. ein abgespecktes Debian Image verwendet? Zur Not sollte es sich mit

apt-get install procps

nachinstallieren lassen.

 

[riversource]

Also sysctl ist bei Debian eigentlich Standard. Vermutlich fehlte es einfach nur im Pfad.

Eines generell: Wenn du bei jeder geringsten Kleinigkeit sofort alles über Bord wirfst und ein anderes Linux installierst, dann wirst du nie fertig. Das sysctl Problem hätte sich vermutlich sehr einfach lösen lassen.

Und was willst du mit Lubuntu? Das hat ja eine grafische Oberfläche, die brauchst du eigentlich gar nicht, die verschwendet nur unnötig Ressourcen.

 

[omavoss]

@Raijin:
zum Thema "VPN einrichten" würde doch auch passen: "VPN Funktionstest".
Deshalb hier kurz meine Frage dazu:
Ich habe vor Jahren eine Web-Seite verwendet, mittels der man aus dem lokalen Netz heraus die Funktion des VPN testen konnte. Leider habe ich die Adresse vergessen. Kann es sein, dass Du eine derartige Adresse weißt?

Klar ist mir, dass man das VPN auch mit einem Smartphone und mobilen Daten testen könnte (z.B. Thetering oder Hotspot), aber die vorherige Variante per Testserver im Internet wäre mir lieber.

 

[Ray Donovan]

Also sysctl ist bei Debian eigentlich Standard. Vermutlich fehlte es einfach nur im Pfad.

Eines generell: Wenn du bei jeder geringsten Kleinigkeit sofort alles über Bord wirfst und ein anderes Linux installierst, dann wirst du nie fertig. Das sysctl Problem hätte sich vermutlich sehr einfach lösen lassen.

Und was willst du mit Lubuntu? Das hat ja eine grafische Oberfläche, die brauchst du eigentlich gar nicht, die verschwendet nur unnötig Ressourcen.

Bei jeder Kleinigkeit? Ich habe dieses Image verwendet.
Das Problem ließ sich leider nicht lösen. Auch der Befehl von @Raijin hat nicht geholfen. Vermutlich hat wieder irgendeine Verknüpfung gefehlt. Leider fehlt mir da anscheinend zu viel Basiswissen. In Windows ist alles (was ich beötige) leider einfacher - von VPN Server erstellen mal abgesehen

So.
Lubuntu... warum ich das verwende? Keine Ahnung. Damit kann ich aber Wireguard installieren und es schmeißt keine Fehlermeldungen. Merkwürdig

Allerdings... erst beim zweiten Versuch.
Ich hatte Lubuntu "clean" installiert, danach sudo apt update und dann sudo apt upgrade gemacht. Letzteres schmiss viele Fehler, dauerte lange und Wireguard lies sich dann auch nicht korrekt installieren. Also Lubuntu nochmal neu installiert, auf sudo apt upgrade verzichtet und die Installation von Wireguard lief so, wie gewünscht. Keine Fehlermeldungen etc., Zertifikate wurden erstellt...

Funktionieren tut es leider noch nicht, aber immerhin bin ich einen Schritt weiter.
Wenn ich mich mit per Client auf dem VPN einwählen möchte (mit dem Zertifikat) kommt leider wieder:

wireguard handshake for peer 1 did not complete after 5 seconds

Ich vermute, dass ich anscheinend noch die Firewall von Linux (sofern bei Lubuntu von Haus aus eine dabei ist) den Wireguard Port, den ich im Router schon an die interne IP der VM (192.168.178.222, oder muss hier die VPN-IP rein, nein, oder?) weiterleite. Oder habt ihr noch eine andere Idee?

 

[riversource]

Also Lubuntu nochmal neu installiert, auf sudo apt upgrade verzichtet

Ganz schlechte Idee. Dringend und sofort nachholen! Und wenn es nicht funktioniert, dann Fehler suchen und beheben! Da können momentan Sicherheitslücken offen sein, und das System ist direkt am Internet, sogar mit offenen Server Ports. Das ist eine Katastrophe.

Ich glaube nicht, dass Lubuntu standardmäßig eine Firewall aktiviert. Wenn die Pakete bei Wireguard ankommen, dann kann es jedenfalls kein Firewall Problem sein.

wireguard handshake for peer 1 did not complete after 5 seconds

Sind das denn ein- oder ausgehende Pakete? Was ist denn die Gegenstelle?

 

[Ray Donovan]

Ganz schlechte Idee. Dringend und sofort nachholen! Und wenn es nicht funktioniert, dann Fehler suchen und beheben! Da können momentan Sicherheitslücken offen sein, und das System ist direkt am Internet, sogar mit offenen Server Ports. Das ist eine Katastrophe.

Dann versuche ich das nochmal...

Ich glaube nicht, dass Lubuntu standardmäßig eine Firewall aktiviert. Wenn die Pakete bei Wireguard ankommen, dann kann es jedenfalls kein Firewall Problem sein.


Sind das denn ein- oder ausgehende Pakete? Was ist denn die Gegenstelle?

Die Fehlermeldung kommt beim clienten. Also vom externen Notebook in einem anderen Netz.
Ich berürchte, ich komme da gar nicht an.

 

[riversource]

Die Fehlermeldung kommt beim clienten. Also vom externen Notebook in einem anderen Netz.
Ich berürchte, ich komme da gar nicht an.

Ah, ok. Ja, da stimme ich zu, das hört sich so an.

Dann fangen wir bei den Grundlagen an:

• Welchen Port nutzt Wireguard in der VM? Wichtig: Das ist ein UDP Port!
• Ist der Port als UDP (!) Port im Router auf die IP der VM weitergeleitet?
• Greift der Client auf die öffentliche IP und diesen Port zu?

Check noch mal, ob alle Parameter Ende-zu-Ende in allen Stationen konsistent sind.

 

[Ray Donovan]

Ah, ok. Ja, da stimme ich zu, das hört sich so an.

Dann fangen wir bei den Grundlagen an:

• Welchen Port nutzt Wireguard in der VM? Wichtig: Das ist ein UDP Port!
• Ist der Port als UDP (!) Port im Router auf die IP der VM weitergeleitet?
• Greift der Client auf die öffentliche IP und diesen Port zu?

Check noch mal, ob alle Parameter Ende-zu-Ende in allen Stationen konsistent sind.

Danke für deine Hilfe.

Das Problem mit dem "upgrade" liegt daran, weil ich nicht genug Speicherplatz frei hatte (shame on me). Ratest du du mir denn generell von Lubuntu ab? Ich kann das ganze auch nochmal mit Ubuntu (Desktop?) versuchen. Gerne die schlankeste Distru die für einen reinen VPN geeignet ist. Mehr soll die VM ja gar nicht machen.

Öffentliche, statische IP (Vodafone): 178.15.2XX.XXX
IP der VM (fest im Router zugewiesen): 192.168.178.222
Ich nutze Port 55739 (UDP) und habe diesen auch so freigegeben (siehe Anhang)
Die IP vom VPN lautet: 10.66.66.1 (die schlägt der Wireguard-Installer vor)
Die IP von Client01: 10.66.66.2
Die IP von Client02: 10.66.66.3

Der Wireguard installer hat folgende config für Client01 erstellt:

[Interface]
PrivateKey = ...
Address = 10.66.66.2/32,fd42:42:42::2/128
DNS = 94.140.14.14,94.140.15.15

[Peer]
PublicKey = ...
PresharedKey = ...
Endpoint = 178.15.2XX.XXX:55739
AllowedIPs = 0.0.0.0/0,::/0

Warum bei Adress die VPN-IP von Client01 steht, verstehe ich nicht. Hier hätte ich eher die vom VPN genommen (also mit 1 am Ende). Und warum bei AllowedIPs die 0er stehen, keine Ahnung. Wenn ich die Zeile wegnehme, ändert sich aber nichts.

 

[Raijin]

Ich habe vor Jahren eine Web-Seite verwendet, mittels der man aus dem lokalen Netz heraus die Funktion des VPN testen konnte. Leider habe ich die Adresse vergessen. Kann es sein, dass Du eine derartige Adresse weißt?

Ich bin mir leider nicht sicher ob ich verstehe was du meinst. So eine Seite ist mit nicht bekannt. Meinst du damit, dass man dort zB seine Wireguard-Konfig hochlädt und dann per Knopfdruck prüft die Seite ob die VPN-Verbindung läuft? Sowas würde ich offen gestanden nie nutzen, weil die dann ja in deinem Netz sind, und sei es auch "nur" auf dem VPN-Server. Dann lieber wie du schon sagst, selbst per Smartphone testen.

Ich hatte Lubuntu "clean" installiert, danach sudo apt update und dann sudo apt upgrade gemacht. Letzteres schmiss viele Fehler, dauerte lange und Wireguard lies sich dann auch nicht korrekt installieren.

Vielleicht zur Erklärung warum @riversource darauf so reagiert hat: apt update vs apt upgrade

update führt also kein Update der Software durch, sondern das wird durch upgrade ausgelöst. Erst dann kann man - nach erfolgreichem Abschluss - sicher sein, dass alle aktuellen Patches, etc. installiert wurden.

Wenn du nur von "viele Fehler" sprichst, bringt uns das nicht weiter wie du dir vorstellen kannst.

 

[riversource]

Ratest du du mir denn generell von Lubuntu ab?

Nein, das nicht. Es enthält nur Komponenten, die du nicht brauchst, z.B. den grafischen Desktop. Wenn der dir ganze Zeit mitläuft, braucht er CPU und Speicher, die du auch anderweitig nutzen kannst. Für Wireguard reicht ein minimales Ubuntu oder die Server Variante.

Warum bei Adress die VPN-IP von Client01 steht, verstehe ich nicht.

Das ist halt die Adresse von Client01. Woher soll Client01 denn sonst wissen, welche IP er im VPN Netz hat?

Und warum bei AllowedIPs die 0er stehen, keine Ahnung.

Das heißt, der komplette Internetverkehr wird darüber geleitet. Willst du das?

Wenn ich die Zeile wegnehme, ändert sich aber nichts.

Wegnehmen geht auf keinen Fall. Du könnest höchstens die 0.0.0.0/0 durch das Subnetz ersetzen, dass geroutet werden soll, also in deinem Fall ggf. das 192.168.178.0/24 und 10.66.66.0/24 fürs VPN Netz.

::0/0 ist das Defaultgateway für IPv6, das sollte dann ggf. auch raus oder durch fd42:42:42::/64 ersetzt werden.

 

[Ray Donovan]

Nein, das nicht. Es enthält nur Komponenten, die du nicht brauchst, z.B. den grafischen Desktop. Wenn der dir ganze Zeit mitläuft, braucht er CPU und Speicher, die du auch anderweitig nutzen kannst. Für Wireguard reicht ein minimales Ubuntu oder die Server Variante.

Ich versuche es jetzt nochmal mit der "Minimalen Installation" von Ubuntu.

Das ist halt die Adresse von Client01. Woher soll Client01 denn sonst wissen, welche IP er im VPN Netz hat?

Verstehe - hatte einen Denkfehler.

Das heißt, der komplette Internetverkehr wird darüber geleitet. Willst du das?


Wegnehmen geht auf keinen Fall. Du könnest höchstens die 0.0.0.0/0 durch das Subnetz ersetzen, dass geroutet werden soll, also in deinem Fall ggf. das 192.168.178.0/24 und 10.66.66.0/24 fürs VPN Netz.

Also müssen da beide Werte rein?
Also so:

[Interface] PrivateKey = ... Address = 10.66.66.2/32 DNS = 94.140.14.14,94.140.15.15 [Peer] PublicKey = ... PresharedKey = ... Endpoint = 178.15.2XX.XXX:55739 AllowedIPs = 192.168.178.0/24,10.66.66.0/24

?

Wenn das so passt, top, dann erstellt Wireguard Installer aber falsche config-Files?
Da es ja eh alles über IPv4 läuft, kann ich IPv6 ja rausnehmen? Oder lieber drin lassen?

 

[omavoss]

Für Virtualbox einfach ein fertiges DietPi-Image herunterladen, extrahieren, installieren und dort drin PiVPN installieren und konfigurieren:
https://dietpi.com/downloads/images/DietPi_VirtualBox-x86_64-Bullseye.7z

Für VMware dito:
https://dietpi.com/downloads/images/DietPi_VMware-x86_64-Bullseye.7z

Einfacher und DAU-sicherer geht es nicht.

Nebenbei:
Die Labor-Firmware für die Fritzbox 7590 kann inzwischen Wireguard.

 

[spcqike]

Du bist dir auch sicher dass deine VM die IP Adresse hat und nutzt? Auf ein paar Screenshots eine auf seite 2 hast du eine IP im Netz 10.0.2.0/24 gezeigt.

Nicht dass die 192.168.178.222 nur die IP deines Hosts/Rechners ist, nicht aber die VM.

 

[Ray Donovan]

Du bist dir auch sicher dass deine VM die IP Adresse hat und nutzt? Auf ein paar Screenshots eine auf seite 2 hast du eine IP im Netz 10.0.2.0/24 gezeigt.

Nicht dass die 192.168.178.222 nur die IP deines Hosts/Rechners ist, nicht aber die VM.

Ja, 100%. Ich sehe das anhand der MAC-Adresse.
Ich probiere das jetzt mit DietPi und melde mich dann nochmal.

 

[spcqike]

du kannst auch erst einmal eine „direkte“ Verbindung aus dem lokalen LAN heraus testen.

Also dass bspw dein Handy sich mit der VM verbindet, aber nicht über die externe IP sondern deine interne.

Dann muss am Handy im Peer der endpoint auf die lokale IP gestellt werden und die allowedIPs muss auf das VPN beschränkt werden. Wenn da eine Verbindung zustande kommt und die 10.66.66.1 angepingt werden kann, weißt du, dass wenigstens das klappt.

Dann kannst du immer noch gucken ob der Zugriff von extern klappt oder auch nicht.

 

[Ray Donovan]

Ich richte das gerade über AnyDesk ein, ich bin also nicht im besagten LAN vor Ort.
Ich richtige gerade das DietPi ein.

Frage:

Der Rechner/Server mit Windows 10 (wo die VM installiert wird) hat die interne IP: 192.168.178.48
Die VM aber 192.168.178.222. Ich gebe die Portweiterleitung zur VM, also mit der .222 am Ende und nicht die .48. Korrekt? Wenn ich das richtig verstehe, ist die .48 für meinen Zweck irrelevant?

Ich frage nur, weil DietPi mir die .48 anzeigt.

 

[Raijin]

Ja, das ist korrekt. Wenn die Netzwerkschnittstelle der VM als Netzwerkbrücke eingestellt ist, bekommt die VM gewissermaßen einen eigenen LAN-Port für das Netzwerk, so als wenn sie ein komplett autarker PC mit eigenem Kabel wäre. Das heißt, dass du in der Tat die IP der VM für die Portweiterleitung verwenden musst, also die 222.

Anders wäre es, wenn die Schnittstelle auf NAT stünde, dann wäre die VM in einem separaten Netzwerk innerhalb des Host-PCs und sie wäre nicht direkt im lokalen Netzwerk.

 

[Ray Donovan]

Verstehe. Netzwerkbrücke ist eingestellt.
So habe ich das auch verstanden, deswegen erhält die VM ja auch eine eigene MAC-Adresse.

Mich irritiert nur, dass DietPi mir die IP vom Host anzeigt.
Nicht, dass das nachher der Fehler ist.

Ergänzung (5. Februar 2022)

So, alles eingerichtet...
Gleiche Fehlermeldung.

wireguard handshake for peer 1 did not complete after 5 seconds
Was mache ich falsch?

Ich habe den Port gecheckt... er ist nicht offen, obwohl ich ihn freigegeben habe.