[gelöst] DNS-Leaks trotz OpenVPN Verbindung

[Houbey]

Hallo Debianer,

nach längeren Suchen im Internet und hier im Debianforum, habe ich leider nichts passendes gefunden, was mein Problem wirklich gelöst hat. Mein Problem ist, dass bei aktiver VPN Verbindung über Terminal und auch über den Network-Manager-Gnome weiterhin die DNS meines Internet Providers angezeigt wird, wenn ich auf verschiedenen DNS Testseiten bin.

Hier im Forum habe ich den Beitrag von barand3 (erstellt am 08.04.2018) DNS Leak bei Verbindung mit OpenVPN gefunden, welcher mir aber nicht so ganz weiterhilft. Vielleicht habe ich auch einfach einen Denkfehler. Dann habe ich bei YouTube z. B. ein Video vom Anonymous VPN Kanal gesehen, welches unter Ubuntu 18, Debian 9, Khali Linux 2018 funktionieren soll. How to fix dns leaks Ubuntu 18, Debian 9, Kali Linux 2018. Diese Methode löst aber bei mir unter Debian 9.9 mein Problem auch nicht. Auf YouTube findet man dann noch ein paar weitere und ähnliche Methoden die unter Ubuntu ausgeführt werden, wie bei dem oben genannten Video bereits getan, welche aber auch nicht mein Problem lösen. Ich bin dann im Arch-Wiki gewesen und habe dann diesen Abschnitt gelesen, welcher aber nur bedingt nachzustellen ist unter Debian. Es fehlt hier z.B. der erwähnte Ordner "scripts" im /etc/openvpn/ Verzeichnis. Ob man diesen einfach nur erstellen braucht, stand da jetzt nicht explizit mit bei. Da ich allerdings vorsichtig sein möchte, gerade was die Ordner im /etc betrifft, wollte ich mich nun einmal bei euch melden und hoffe, dass vielleicht irgendjemand eine Idee hat, oder selber in dieser Situation war und das Problem sogar lösen konnte.

Die letzte Möglichkeit die mir jetzt noch einfallen würde wäre, die DNS Adressen von meinem VPN-Provider in den Network-Manager-Gnome einzutragen. Dies muss dann allerdings unter meiner Kabelverbindung und unter meinen VPN Verbindung gemacht werden. Aber ich habe dann doch noch die Hoffnung, dass es vielleicht doch noch mittels dem oben im ersten Video gezeigten Weg funktioniert.

Ich bedanke mich schon einmal vorab für eine mögliche Hilfe.

[bluestar]

Ich frag mal meine Glaskugel nach deinem VPN-Setup:

Die Konfiguration konnte nicht gefunden werden.

Tja leider kann ich dir hier nicht weiterhelfen

[Houbey]

Hmm, ich nehme an das die Konfiguration doch wichtiger ist als ich angenommen habe zuerst.

Ich habe es anfangs mit dieser Anleitung versucht, was ja an sich auch funktioniert, da die Verbindungen alle zustande kommen, nur der DNS-Leak wird nicht wie bei der hauseignen "App" unterbunden. Bei deren hauseigenen App die ich nicht so gerne benutzen möchte, weil ich freie und openSource Software bevorzuge, wird die /etc/resolv.conf automatisch bearbeitet und meine DNS-IP (nennt man die so?) verändert und auf deren DNS-IP gesetzt. Dies passiert aber nicht wenn ich openVPN verwende.

Benutzen tu ich hier UDP mit AES-256-CBC und SHA256, was die "starke" Verschlüsselung wäre. Es gibt noch eine mit 128, die ich aber nicht nutze. Über die App meines VPN-Provider kann man auch noch AES-256-GCM benutzen, welches aber mittels openVPN nicht angeboten wird. TCP nutze ich nicht, weil dies die Geschwindigkeit spürbar einschränkt, meiner Internetleitung.

Dann habe ich vor längerer Zeit schon dieses Script gefunden mit dieser Anleitung gefunden, welches automatisiert alles einrichtet. Hier muss ich lediglich im Network-Manager-Gnome noch drei Haken setzen, weiter unten auf einem Screenshot zu sehen. Hier ist lediglich der Port von 1198, auf 1197 zu wechseln. Wieso der auf dem Screenshot auf 1198 steht, weiß ich nicht.

[bluestar]

/etc/resolv.conf automatisch bearbeitet und meine DNS-IP (nennt man die so?) verändert und auf deren DNS-IP gesetzt. Dies passiert aber nicht wenn ich openVPN verwende.

Nun dann musst du ein Script schreiben, was nach dem Aufbau der OpenVPN Verbindung deine/etc/resolv.conf ändert und dort den passenden DNS-Server eintragen, den du während der VPN-Verbindung nutzen möchtest. Beim Abbau rufst du auch wieder ein Script auf, was die /etc/resolv.conf zurückändert.

Es gibt die OpenVPN Optionen "up" und "down" darüber kannst du Scripte starten, alles weitere überlasse ich deiner Phantasie.

P.S.: Deine Konfiguration hast du nicht gepostet, lediglich Links wo man wohl die Anfänge deiner Konfiguration herunterladen kann (ungeprüft, da nichts heruntergeladen) ....

[Houbey]

Ach so, dann meintest du vermutlich die .ovpn Dateien als Konfiguration? Weil mehr habe ich eigentlich nicht. Diese .ovpn Dateien werden durch das von mir verlinkte .sh Script welches ich benutzt habe zur Einrichtung, in den /etc/NetworkManager/system-connections Ordner gespeichert. Der Inhalt einer solchen .ovpn Datei sieht dann bei mir so aus. 40805

Bis auf die Remote Adresse mit welchem Land man sich verbinden möchte, ist alles gleich.

Diese Optionen die du mit up und down erwähnt hast, sind mir soweit bekannt. Diese wurden unter anderen bei dem von mir ersten verlinkten YouTube Video auch gezeigt, dass diese in die .ovpn Datei eingetragen werden sollen, aber dies funktioniert leider auch nicht bei mir.

Code: Alles auswählen

script-security 2
up /etc/openvpn/update-systemd-resolved
down /etc/openvpn/update-systemd-resolved
down-pre
dhcp-option DOMAIN-ROUTE .

Auf einer Ubuntuseite wird auch nur von diesem Teil geschrieben:

Code: Alles auswählen

script-security 2
up /etc/openvpn/update-systemd-resolved
down /etc/openvpn/update-systemd-resolved

Was aber auch nicht funktioniert.

Dankeschön aber für die Infos in deiner letzten Nachricht. Hoffe du meintest die Konfiguration mit dem Inhalt der .ovpn Dateien.

[bluestar]

Der Inhalt einer solchen .ovpn Datei sieht dann bei mir so aus. 40805

Also das ist keine .opvn Konfigurationsdatei, vermutlich handelt es sich um eine Network Manager Konfigurationsdatei handelt.

]

Code: Alles auswählen

script-security 2
up /etc/openvpn/update-systemd-resolved
down /etc/openvpn/update-systemd-resolved

Was aber auch nicht funktioniert.

ich weiß nicht ob das Script /etc/openvpn/update-systemd-resolved die resolv.conf so abändert, wie ich es in meinem Post erwähnt hatte.

[Houbey]

Hmm, also mehr habe ich hier auf dem System unter meinem Dateisystem nicht gefunden, was nach .ovpn aussieht. Ich könnte z. B. nochmal .ovpn Dateien direkt manuell herunterladen von meinem Provider, die sehen komischerweise etwas anders aus vom Aufbau her, aber wie bereits geschrieben, habe ich lediglich diese, welches das sh Script erstellt hat, wo ich dir eine Inhaltskopie hochgeladen habe.

40806

So sieht eine .ovpn Datei aus, wenn ich alles manuell eingerichtet hätte, ein wenig anders als die, die ich dir gezeigt hatte. Aber das scheint dann bestimmt auch keine Konfigurationsdatei zu sein, oder?

Ich weiß leider auch nicht, ob ein Script mir da weiterhelfen kann, um dieses Problem zu lösen. Als ich mal zu testzwecken die App vom VPN-Provider installiert hatte, fiel mir auf, dass meine resolv.conf bearbeitet wird und zwar wurde da meine DNS-IP entfernt und die derer eingetragen. Nach dem abmelden der App, wurde die resolv.conf wieder zurückgesetzt. Ist wohl doch ein komplexeres Thema.

Ich bedanke mich trotzdem schon einmal für deine versuchte Hilfe und investierte Zeit.

[bluestar]

40806

So sieht eine .ovpn Datei aus, wenn ich alles manuell eingerichtet hätte, ein wenig anders als die, die ich dir gezeigt hatte. Aber das scheint dann bestimmt auch keine Konfigurationsdatei zu sein, oder?

Ja das ist eine OpenVPN Konfigurationsdatei, da kannst du mit den Scripten andocken, siehe ältere Posts.

Das Script wirst du höchstwahrscheinlich auch selbst erstellen müssen... Ein vorgefertigtes liegt bei mir nicht rum.

Ich frag mich, wenn ich das alles hier so lese ob du wirklich glaubst, dass du deine Sicherheit/Anonymität im Netz wirklich durch solch einen VPN-Anbieter steigerst.

[Houbey]

Alles klar, dann weiß ich erst einmal Bescheid.
Dann habe ich erstmal was, wo ich ansetzen kann und werde mal rum probieren.
Zu deiner Frage, ich denke einfach mal, da nichts zu 100 % sicher ist, kann ich damit lediglich den Versuch erschweren, etwas über mich preiszugeben.

Danke für deine Hilfe und Zeit.

[TomL]

...kann ich damit lediglich den Versuch erschweren, etwas über mich preiszugeben.

In Ergänzung dessen, was bluestar im letzten Absatz gesagt/gefragt hat, ist meine persönlich Meinung, dass du deine Situation mit dem VPN möglicherweise sogar verschlechtert hast. Fakt ist, wenn man nur flüchtig hinsieht und was man vielleicht als Vorteil werten könnte, Du hast erfolgreich Deinen DSL-Provider aus der Rechnung entfernt... der sieht deinen Traffic nicht mehr.

Aber ist das wirklich ein Vorteil? Ich denke nicht, weil ohne VPN der TCP-Traffic direkt ab DSL-Provider sofort in die breite des Internets verteilt würde. Der DSL-Provider sieht zwar alles, aber direkt dahinter ist alles nur noch in der Weite des WWW fragmentiert. Mit VPN sieht das aber so aus, dass Du deinen gesamten Traffic durch das Nadelöhr des VPN-Providers schickst. Das bedeutet, ein Dir völlig unbekanntes Unternehmen mit Dir unbekannten Interessen und Geschäftszielen sieht vermutlich alles von dir, nicht ein Bit entgeht ihm. Und das vor dem ebenfalls meist unbekannten Hintergrund, dass hinter all den verschiedenen VPN-Providern nur ne handvoll Unternehmen stehen. Ich bezweifle, dass dabei wirklich das Interesse der User im Vordergrund steht , sondern eher möglichst umfassende Daten zu erheben... wofür auch immer.... für wen auch immer.

Um das zu erreichen, was du willst, müsstest du IMHO zusätzlich noch den Tor-Browser nutzen. Aber dann ist das eigene Internetverhalten solchen Restriktionen unterworfen, die bei Missachtung sofort alle deine Maßnahmen neutralisieren....meiner Meinung nach ist das fürs normale Surfen völlig ungeeignet.

Ich glaube, bezogen auf 'einen' User nutzt Dein VPN-Account nur demjenigen, der die Provision oder den Vermittlungsbonus kassiert hat... und natürlich dem VPN-Provider.

Jm2c

[Houbey]

Also von der Seite aus habe ich es noch nicht betrachtet.
Du @ TomL magst da wie auch @ bluestar vermutlich recht haben.
Ich habe mir nur gedacht, dass man seine Sicherheit damit erhöhen kann, wenn man bedenkt was man in den letzten Jahren so mit erlebt hat mit dem ganzen NSA Gerede, Snowden und wie sie alle heißen. Man möchte sich ja nur irgendwie schützen, so gut es geht. Sei es vor der eigenen Regierung oder den Sicherheitsdiensten.
Dem VPN-Provider zu vertrauen ist wohl auch das gleiche wie mit einem Entwickler zu vertrauen, der sein Programm unter eine proprietären Lizenz freigibt.
Hmm, nun gut, ist vermutlich alles nicht sonderlich gut durchdacht von mir.

Danke für die Informationen. Dann muss ich mir das wohl doch nochmal durch den Kopf gehen lassen.