Moin
Ich glaube, Du bringst da ein paar Sachen durcheinander... ich versuch mal, das aufzudröseln.
Zunächst mal eine Frage: Hast Du den
"erfolgreichen (?)" Verbindungstest vom Client zum Server über einen fremden ISP durchgeführt? Weil inhouse (alles innerhalb des Router-Wirkungsbereiches) sind die Ergebnisse u.U. falsch.
Also, wenn ich Dich richtig verstanden habe, hast Du einen Debian-PC als VPN-Server und einen Windows PC als VPN-Client. Der Debian-PC hängt an einem Router, der wiederum via DSL oder so mit einem ISP verbunden ist. Der Windows-Client geht irgendwo irgendwie ins Internet, via UMTS, WLAN-Hotspot, oder vielleicht sogar mit Patchkabel über einen Gastgeber-Router ... also wie auch immer. Ist das soweit richtig?
Jetzt die erste wichtige Feststellung: Sowohl das Interface (NIC=Ethernet-Netzwerkadapter) des Routers als auch das Interface des Windows-PC sind jeweils mit einem ISP verbunden. Wäre das nicht so, hätten sie keine Verbindung ins Internet. Und für diese Verbindung bekommen sie beide vom jeweiligen ISP eine IP-Adresse zugewiesen. Dieser Umstand bleibt konstant, das heissst, diese vergebenen IP-Adressen bleiben bei beiden Geräten für die Dauer der Internetverbindung (<24h) unverändert bis zu einem Re-Connect bestehen.
OpenVPN nutzt diese Gegebenheiten, um die beiden entfernten, aber zeitgleich mit dem Internet verbundenen PC's über zwei zusätzliche (!) Interfaces miteinander zu verbinden. Und zwar hier über ein virtuelles Tun-Device im Server-PC und eins im Windows-PC. Für dieses virtuelle Tun-Device ist wiederrum eine eigene Netzwerkdeklaration erforderlich, die aber abweichend vom normalen Router-Netz ist. Nehmen wir an, Dein Router-Netz heisst z.B. 192.168.0/24, dann heisst vielleicht das VPN-Netz 172.10.10/24. Also besteht neben den zwei ISP-WAN-IP noch ein lokaler LAN-IP-Range durch den Router (192.168.0.x), und ein weiterer LAN-IP-Range für das VPN (172.10.10.x). Im Grundenommen hast Du bei einer bestehenden VPN-Verbindung 4 Hosts, zweimal einen (W)ISP, einmal Deinen Router, und zuletzt Deinen VPN-Server.
Im Endeffekt bedeuetet das bei einer bestehenden VPN-Verbindung:
1. die Geräte sind mit physischen Devices (NIC = Ethernet-Netzwerkadapter) grundsätzlich mit dem Internet verbunden und erhalten dafür vom ISP eine WAN-IP
2. dein Router (Host) versorgt zuhause deine angeschlossenen Clients auf deren physischen Interfaces via DHCP mit einer IP = 192.168.0.x
3. der VPN-Server-PC ist gleichzeitig Client vom Router (192.168.0.x) und ausserdem selber Host und DHCP für die VPN-Clients (172.10.10/24)
4. mit jeweils 1 virtuellen TUN-Interace auf VPN-Server und VPN-Client wird ein Tunnel zwischen den beiden Geräte erstellt. Stell Dir das wie einen ewig langen Gartenschlauch quer durch Deutschland vor, dem es völlig egal ist, wo er hergeführt ist, wie lang er ist, was sonst auf dem Weg liegt. Du füllst am einen Ende was ein, am anderen kommt es raus. Die beiden Tun-Devices markieren den Anfang und das Ende der Leitung. Dabei werden während der ganzen Zeit immer die physischen Interfaces mit den für den Moment konstanten WAN-IP-Adressen genutzt. Würde sich da zwischendurch on-the-fly irgendwas ändern, ist sofort die VPN-Verbindung unterbrochen.
5. Die Daten werden letzten Endes also trotzdem immer über die physischen Interfaces auf die Reise durchs Internet geschickt!
Die Verbindung sieht dann in etwa so aus:
Code: Alles auswählen
<-WAN-IP WAN-IP -> LAN-IP ->
Client (Interface ETH0) ----------- (W)ISP ---- Internet ---- ISP ----------- Router ----------- Server (ETH0)
Client (virt. Tun-Interface) ------------------------------------------------------------------- Server (TUN)
<- LAN-IP VPN
Um ins Surf-Internet zu kommen, verwendet der Client seinen örtlichen (W)ISP und Dein heimischer Router (und die Clients dahinter) verwenden den zuhause vorhandenen örtlichen ISP. Es gibt also nur eine Stelle, wo sich eine IP (anscheinend) verändert oder verändern könnte.... und zwar die Surf-IP des Clients - damit ist aber nicht die ISP-WAN-IP des Clients gemeint. Das heisst, wenn Du im Browser bei My-IP nachschaust, welche IP Dein Windows-Client bekommen hat, dann siehst Du die vom örtlichen ISP vergebenene IP, mit dem Du jetzt verbunden bist. Die bleibt auch auf diesem Interface IMMER gleich, sonst gäbs eben keinen Verbindung ins Internet.
Es gibt aber die Möglichkeit, auch den normalen Surf-Traffic über das virtuelle TUN-Device auf das VPN und damit auf den Router Zuhause umzuleiten. Und damit würde neben dem VPN-Netzwerk-Traffic auch der Surf-Traffic durch den "Gartenschlauch" geschickt werden. Und ab dem Moment würdest Du bei My-IP die WAN-IP von Deinem ISP zuhause angezeigt bekommen. Das bedeutet aber nicht, dass die WAN-IP von dem (W)ISP, wo du jetzt gerade als Gast eingeloggt bist (also die des physischen Interfaces am Client), sich ändern würde... die bleibt natürlich immer gleich.
Das war jetzt eine komplizierte Angelegenheit.... kompliziert in Worte zu fassen... wenn man sich ein Bild aufmalt, ist es leichter zu verstehen.... das habe ich selber erst vor ein paar Tagen lernen müssen.
Wenn ich jetzt blödsinn erzählt habe, sorry... dann bessern die Fachleute hoffentlich hier noch ein bisschen nach.....
ppilihp hat geschrieben:
Ausgangslage:
Ich habe sowohl auf meinem Debian - Test-root-server als auch auf meinem Windows 8.1 - Client den OpenVPN-Dienst installiert. Verbindungen klappen wunderbar. Soweit so erfreulich.
Folgende Verständnisfrage:
Wenn ich eine bestehende SSH-Verbindung vom Client (mittels Putty) zum Server habe und dann die OpenVPN Verbindung vom Client zum Server aufbaue, sollte sich - nach meinem bisherigen Verständnis - die IP des Clients doch für alle ausgehenden Verbindungen auf die IP des OpenVPN Netzwerks ändern, oder? Das hieße doch eigentlich, dass eine bestehende Putty-Verbindung abbrechen müsste. Das passiert aber nicht. Warum nicht?
Liegt das an Windows? Internetverbindungen, im Übrigen, brechen erwartungsgemäß ab und werden nach kurzer Zeit unter der IP des Servers fortgesetzt.
Abschließend zu den veränderten IP kann man feststellen: Die IP verändern sich während einer Verbindung nicht, Du kannst nur Deine Perspektive verändern.
ansonsten..... HTH ...
die Default-Route vom Interface zum Host, im Normalfall bei einem Roadwarrior zum (W)ISP.