Impossibile connettersi con openvpn da windows e mac

dicaml · 2023-08-20T20:26:04+00:00

Buonasera a tutti sto provando a creare una vpn con il router vigor3910 seguendo questa guida. Da Android sembrerebbe andare a buon fine anche se non riesco...

Marco25

Sarebbe utile se postassi tutta la configurazione omettendo l'indirizzo ip o dominio e certificati, chiavi se presenti nel file.

dicaml

client
dev tun
proto udp
remote (il mio indirizzo ip con il ddns di noip)
auth sha256
cipher aes-256-cbc
resolv-retry infinite
nobind

auth-user-pass

persist-key
persist-tun
reneg-sec 3600
ping 10
ping-exit 60
auth-nocache
#verb 5

<ca>
-----BEGIN CERTIFICATE-----

-----END CERTIFICATE-----
</ca>
<cert>
-----BEGIN CERTIFICATE-----

-----END CERTIFICATE-----
</cert>
<key>
-----BEGIN RSA PRIVATE KEY-----

-----END RSA PRIVATE KEY-----
</key>

Questo è il lato client per generare il file. Ho messo sia come scritto sulla guida che domain col mio indirizzo noip
Naturalmente sul fritz ho aperto le porte udp e tcp

Cosa significa questa dicitura? devo configurare qualcosa su lato client?

nushuth

dicaml ping-exit 60

questa option, prova a cancellarla dalla configurazione del client.
ma da quello che vedo, mi sembra che fallisca l'handshake TLS...

EDIT: ho visto ora, ma tu stai usando il client OpenVPN "ufficiale". prova invece a scaricare quello della draytek, specifico per i suoi router, dovrebbe essere questo:
https://www.draytek.com/products/smart-vpn-client/

dicaml Cosa significa questa dicitura? devo configurare qualcosa su lato client?

no, non devi toccare nulla anche perche vedo che il file di configurazione te lo ha generato direttamente il router. ti sta dicendo che il server openVPN implementato supporta solo interfacce di tipo TUN e non di tipo TAP (che invece openVPN "completo", per cosi dire, dovrebbe supportare.

dicaml

nushuth Ti ringrazio ma vorrei evitare il loro software oltre ad essere penoso mi ha creato molti problemi in passato.
A questo ho provato ad installare "openvpn as" su ubuntu
Non vorrei andare OF nel caso chiedo scusa in anticipo, comunque una volta installato e provato a configurare, sembra tutto funzionare tranne la cosa che serve a me ovvero accedere da remoto alla mia rete lan sia su pc che nas in smb.
Non riesco nemmeno a pingarli e neanche accedere al router da 192.168.1.1 nonostante sia tutto connesso e l'ip sembra proprio quello del modem, allego qualche foto della congiurazione se riesci a darmi una mano te ne sarei grato, sono due giorni che ci provo:

Ho impostato il router in modo che gli indirizzi ip 192.168.1.x devono essere impostati in modo statico mentre 192.168.2.1 sono in dhcp
Principalmente mi interessa collegarmi da remoto sui primi e possibilmente anche sugli altri. Uno dei fritzbox a monte ha le porte aperte ed anche sul vigor sembra tutto funzionare tranne questo, su internet ho netto che può essere dovuto al routing ma non riesco a sistemarlo.

nushuth

dicaml i ringrazio ma vorrei evitare il loro software oltre ad essere penoso mi ha creato molti problemi in passato.

però un tentativo con il loro software per vedere se con quello funziona, va fatto. perche il router ti genere un file di configurazione specifico per il suo client.

veniamo a openvpn-as: sempre come prova, imposta il routing su "NAT" invece che "routing".

ho anche visto che la LAN sul modem è atipica, hai come netmask una /22 invece che una /24.
la LAN di openvpn-as (o meglio, ubuntu) è impostata nello stesso modo?

gli indirizzi IP assegnati ai client VPN non devono rientrare nel range IP della tua rete LAN. siccome il tuo LAN segment è 192.168.0.0/22, sicuramente non puoi usare 192.168.3.0 per i client VPN perche non verrebbero mai instradati.
prova a usare, per i client VPN, una rete completamente diversa. per esempio, 172.16.0.0/16. assegnali solo dinamicamente, niente assegnazione statica per i client.

dicaml

nushuth però un tentativo con il loro software per vedere se con quello funziona, va fatto. perche il router ti genere un file di configurazione specifico per il suo client.

In questi giorni farò un tentativo

Allora ho provato in questo modo:

Adesso sembra funzionare ma solo sullo smartphone su pc windows non è cambiato nulla.

nushuth ho anche visto che la LAN sul modem è atipica, hai come netmask una /22 invece che una /24

Si perché uso 192.168.1.x per tutti i dispositivi con indirizzi ip statici mentre 192.168.2.0 per i dhcp (in pratica sono tutti i dispositivi che si collegano in wi-fi) e infatti l'ho lasciato così di proposito

Solo non capisco perché su Android riesco a collegarmi a tutto e su pc no. Devo usare programmi come filezilla?

Ok ho risolto è bastato cancellare il profilo utente che ho creato sul client e rimetterlo.
Ti ringrazio tantissimo per l'aiuto poi magari in questi giorni proverò sul router.
Un' ultimissima domanda ho installato openvpn as seguendo la guida sul sito ufficiale, e ho fatto la semplice configurazione tramite il web server, ti volevo chiedere in termini di sicurezza è già abbastanza così? Perché su openvpn client basta solo l'ip, user e password per accedere mentre col router dovevo creare il file di configurazione con tanto di certificato ed importarlo. C'è qualcosa che posso fare per renderlo più sicuro? le porte per il momento sono quelle di default ma le cambierò. Altro cosa posso fare?

nushuth

dicaml 'è qualcosa che posso fare per renderlo più sicuro?

Si, puoi abilitare (e ti consiglio di farlo) 2FA (two-factor authentication). openvpn access server è compatibile con gli strumenti 2FA di google (ma ormai è uno standard aperto, quindi di fatto come autenticator puoi usare quello che preferisci)

dicaml

nushuth perfetto proverò. Invece l’autentica ione con un token usb che ne pensi? Ha lo stesso grado di sicurezza?

nushuth

dicaml perfetto proverò. Invece l’autentica ione con un token usb che ne pensi? Ha lo stesso grado di sicurezza?

"token USB" per l'autenticazione viene usato in diversi modi, non sapendo esattamente a quale tecnologia specifica ti riferisci è difficile dare una risposta. Tuttavia tutte le grandi company, le banche, i circuiti di carta di credito, si affidano ormai a sistemi a doppia autenticazione con codice MFA inviato tramite APP (e non tramite SMS, che sono soggetti ad attacco di tipo SIM-SWAP) perche ritenuti piu sicuri.

dicaml

nushuth per token usb intendevo quello scritto qui
Comunque era solo per una prova
Nel frattempo ti ringrazio di nuovo funziona tutto ora. Grazie

nushuth

dicaml per token usb intendevo quello scritto qui

Aaaaahhhhhhh!! QUEL token! scusami, non avevo capito! 🙂
è sicuramente uno strumento sicuro, ma non universale.. richiede driver, che potrebbero in futuro non essere piu disponibili per nuove piattaforme, e richiede un investimento in denaro.

considerato tutto, credo che multi factor authentication sia ancora la soluzione migliore, meno costosa, di piu facile implementazione, compatibile con tutto, e con un grado di sicurezza elevato.

Informativa privacy - Informativa cookie - Termini e condizioni - Regolamento - Disclaimer - 🏳️‍🌈 🇵🇸
P.I. IT16712091004 - info@fibraclick.it

♻️ Il server di questo sito è alimentato al 100% con energia rinnovabile