PiVPN - keine Verbindung (Timeout)

[newbe24]

Hallo,
ich habe heute auf meinen Debian Server PiVPN installiert, auf diesem läuft seit längerem erfolgreich Pi-Hole. Bei der Installation wurde gefragt ob Pi-Hole genutzt werden soll was auch mit "yes" bestätigt wurde. Statt einer festen IP wird ein DynDNS Dienst verwendet, dieser ist in meiner Fritzbox eingetragen, ebenso der Port 1194 für den Debian Server freigegeben worden. Nach Abschluss wurde ein Profil via

pivpn add

angelegt und die generierte ".ovpn" Datei auf meinen Debian Client kopiert.

Auf dem Client wurde mittels

apt install openvpn

und

apt install network-manager-openvpn

die notwendige Software installiert. Das Profil wurde dann im Network Manager (über die GUI) importiert, dass Passwort (welches bei der Profil Anlage ebenfalls erstellt worden ist) eingegeben.

Verbinde ich meinen Debian Client mit meinem Handy Hotspot und wähle anschließend das VPN läuft das ganze ins Timeout.

Wie/wo kann ich nach der Ursache suchen?

[newbe24]

Meine Vermutung ist, dass DynDNS nicht funktioniert, aber wenn ich mir das hier so anschaue sollte es je eigentlich gehen

[mat6937]

Meine Vermutung ist, dass DynDNS nicht funktioniert, ...

Du könntest mit tcpdump auf dem Server und aus dem Internet mit einem geeigneten online-tool (UDP port checker) testen/schauen, was/ob auf deinem Server am UDP-Port 1194 ankommt.

[newbe24]

Hab ein weiteres Profil angelegt und auf einen Win11 Rechner eines Bekannten ausprobiert - konnte erfolgreich eine VPN-Verbindung herstellen.

Auf meinem Server ergibt tcpdump folgendes:

sudo tcpdump -i tun0 port 1194
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
listening on tun0, link-type RAW (Raw IP), snapshot length 262144 bytes


^C
0 packets captured
0 packets received by filter
0 packets dropped by kernel

habe nach ca. 1min den Vorgang abgeborchen da sich nichts getan hat.
Auf dem Win11 Client mit einem online UDP Port checker sieht es genau so mau aus:
[image]gallery/image/5453[/image]

[mat6937]

Auf meinem Server ergibt tcpdump folgendes:

sudo tcpdump -i tun0 port 1194
tcpdump: verbose output suppressed, use -v[v]... for full protocol decode
listening on tun0, link-type RAW (Raw IP), snapshot length 262144 bytes

habe nach ca. 1min den Vorgang abgeborchen da sich nichts getan hat.

Warum benutzt Du den Port 1194 (als Filter) mit dem tun0-Interface? ... wenn doch mit dem lan- oder wlan-Interface auf dem (UDP-)Port 1194 "gelauscht" wird, ... oder?
Wie sind auf deinem Server die Ausgaben von:

Code: Alles auswählen

ip a
sudo netstat -tulpena | grep -i 1194   # oder gleichwertig

?
BTW: PiVPN ist nur das "Installaions-/Konfiguraions-tool" für OpenVPN bzw. WireGuard. Oder kann man mit PiVPN auch noch ein anderes VPN installieren/konfigurieren?

[newbe24]

Warum benutzt Du den Port 1194 (als Filter) mit dem tun0-Interface? ... wenn doch mit dem lan- oder wlan-Interface auf dem (UDP-)Port 1194 "gelauscht" wird, ... oder?

Habe das so verstanden dass auf dem tun0 gelauscht wird, Denkfehler meinerseits... Bin noch am lernen

Wie sind auf deinem Server die Ausgaben von:

Code: Alles auswählen

ip a
sudo netstat -tulpena | grep -i 1194   # oder gleichwertig

?

Code: Alles auswählen

ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host noprefixroute 
       valid_lft forever preferred_lft forever
2: enp0s25: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 00:22:68:0e:69:5d brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.100/24 brd 192.168.1.255 scope global enp0s25
       valid_lft forever preferred_lft forever
    inet6 2a02:3100:61eb:cc00:222:68ff:fe0e:695d/64 scope global dynamic mngtmpaddr 
       valid_lft 6910sec preferred_lft 3310sec
    inet6 fd00::222:68ff:fe0e:695d/64 scope global dynamic mngtmpaddr 
       valid_lft 6910sec preferred_lft 3310sec
    inet6 fe80::222:68ff:fe0e:695d/64 scope link 
       valid_lft forever preferred_lft forever
4: tun0: <POINTOPOINT,MULTICAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UNKNOWN group default qlen 500
    link/none 
    inet 10.14.98.1/24 scope global tun0
       valid_lft forever preferred_lft forever
    inet6 fe80::eaae:63f5:635f:df26/64 scope link stable-privacy 
       valid_lft forever preferred_lft forever

Code: Alles auswählen

sudo netstat -tulpena | grep -i 1194
[sudo] Passwort für rs4: 
udp        0      0 0.0.0.0:1194            0.0.0.0:*                           0          26173      3232/openvpn

BTW: PiVPN ist nur das "Installaions-/Konfiguraions-tool" für OpenVPN bzw. WireGuard. Oder kann man mit PiVPN auch noch ein anderes VPN installieren/konfigurieren?

genau, PiVPN vereinfacht die Instalaltion und Kofiguration eines OpenVPN bzw. Wireguard. Weitere Protokolle kann meines Wissens nach PiVPN nicht.

[newbe24]

Wie geht's jetzt weiter?
Ich weiß zwar jetzt welche IP-Adresse welcher Netzwerkadapter hat. Was sagt mir

Code: Alles auswählen

netstat -tulpena

Mit der Antwort kann ich persönlich nicht viel anfangen
Danke an jedem der mir bei der Fehelersuche hilft

[mat6937]

Wie geht's jetzt weiter?

Jetzt kannst Du mit tcpdump, am Lan-Interface sniffen:

Code: Alles auswählen

sudo tcpdump -c 30 -vvveni enp0s25 port 1194

[newbe24]

Wie geht's jetzt weiter?

Jetzt kannst Du mit tcpdump, am Lan-Interface sniffen:

Code: Alles auswählen

sudo tcpdump -c 30 -vvveni enp0s25 port 1194

Wenn ich tcpdump ausführe wie oben beschrieben dann passiert auch nach meheren Min. nix

Code: Alles auswählen

sudo tcpdump -c 30 -vvveni enp0s25 port 1194

[sudo] Passwort für rs4: 
tcpdump: listening on enp0s25, link-type EN10MB (Ethernet), snapshot length 262144 bytes 
^C
0 packets captured
0 packets received by filter
0 packets dropped by kernel

Und nun?

[mat6937]

Wenn ich tcpdump ausführe wie oben beschrieben dann passiert auch nach meheren Min. nix

Dann sende in dieser Zeit einen Ping durch den VPN-Tunnel oder deaktiviere und aktiviere in dieser Zeit, den VPN-Tunnel.

[newbe24]

Wenn ich tcpdump ausführe wie oben beschrieben dann passiert auch nach meheren Min. nix

Dann sende in dieser Zeit einen Ping durch den VPN-Tunnel oder deaktiviere und aktiviere in dieser Zeit, den VPN-Tunnel.

auf dem Server ist nachwievor nix zu sehen, Ergebnis sieht immer noch gleich aus, auch wenn auf dem Client der VPN-Tunnel aktiviert wird.
Auf dem Client sieht das tcpdump wie folgt aus:

Code: Alles auswählen

sudo tcpdump -c 30 -vvveni wlo1 port 1194
tcpdump: listening on wlo1, link-type EN10MB (Ethernet), snapshot length 262144 bytes
22:19:12.351070 6c:88:14:2a:f8:14 > 38:10:d5:72:6a:08, ethertype IPv6 (0x86dd), length 116: (flowlabel 0x9dbc4, hlim 64, next-header UDP (17) payload length: 62) 2a02:3100:5f51:f801:ac1a:2f9d:4ced:66b6.46132 > 2a02:3100:5207:15c8:3a10:d5ff:fe72:6a0b.1194: [udp sum ok] UDP, length 54
22:19:28.085153 6c:88:14:2a:f8:14 > 38:10:d5:72:6a:08, ethertype IPv6 (0x86dd), length 116: (flowlabel 0x9dbc4, hlim 64, next-header UDP (17) payload length: 62) 2a02:3100:5f51:f801:ac1a:2f9d:4ced:66b6.46132 > 2a02:3100:5207:15c8:3a10:d5ff:fe72:6a0b.1194: [udp sum ok] UDP, length 54

[mat6937]

Wenn ich tcpdump ausführe wie oben beschrieben dann passiert auch nach meheren Min. nix

Dann sende in dieser Zeit einen Ping durch den VPN-Tunnel oder deaktiviere und aktiviere in dieser Zeit, den VPN-Tunnel.

auf dem Server ist nachwievor nix zu sehen, Ergebnis sieht immer noch gleich aus, auch wenn auf dem Client der VPN-Tunnel aktiviert wird.
Auf dem Client sieht das tcpdump wie folgt aus:

Code: Alles auswählen

sudo tcpdump -c 30 -vvveni wlo1 port 1194
tcpdump: listening on wlo1, link-type EN10MB (Ethernet), snapshot length 262144 bytes
22:19:12.351070 6c:88:14:2a:f8:14 > 38:10:d5:72:6a:08, ethertype IPv6 (0x86dd), length 116: (flowlabel 0x9dbc4, hlim 64, next-header UDP (17) payload length: 62) 2a02:3100:5f51:f801:ac1a:2f9d:4ced:66b6.46132 > 2a02:3100:5207:15c8:3a10:d5ff:fe72:6a0b.1194: [udp sum ok] UDP, length 54
22:19:28.085153 6c:88:14:2a:f8:14 > 38:10:d5:72:6a:08, ethertype IPv6 (0x86dd), length 116: (flowlabel 0x9dbc4, hlim 64, next-header UDP (17) payload length: 62) 2a02:3100:5f51:f801:ac1a:2f9d:4ced:66b6.46132 > 2a02:3100:5207:15c8:3a10:d5ff:fe72:6a0b.1194: [udp sum ok] UDP, length 54

Das ist aber nicht die IPv6-Adresse von deinem Server, zu dem dein Client die Verbindung herstellen will/soll.

[newbe24]

In der Config Datei für meinen Client steht die DynDNS Adresse für meinen Server drinnen, hier der Auszug:

Code: Alles auswählen

client
dev tun
proto udp
remote pi-vpn.v6.rocks 1194
resolv-retry infinite
nobind
remote-cert-tls server
tls-version-min 1.2
verify-x509-name debian_09bc47dd-71e0-4ab1-a329-0f8671a17a8b name
cipher AES-256-CBC
auth SHA256
auth-nocache
verb 3
<ca>
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
</ca>
<cert>
-----BEGIN CERTIFICATE-----
MIIBxTCCAWygAwIBAgIQYzHx4AdjSMH6uJj2JZxFrzAKBggqhkjOPQQDAjAWMRQw
EgYDVQQDDAtFYXN5LVJTQSBDQTAeFw0yNTAzMjExNjMxMTdaFw0yODAzMDUxNjMx
MTdaMA8xDTALBgNVBAMMBFc1MjAwWTATBgcqhkjOPQIBBggqhkjOPQMBBwNCAAQ8
UvSBZqNGAbmM8sETpU21T06+U285L0EpJsDEpZXMdvxHoIcFq5Di6xaOkHs/6S5l
BqIFJEyp0okyyrAykwPLo4GiMIGfMAkGA1UdEwQCMAAwHQYDVR0OBBYEFEaRuNGz
+z+/PXKeWd0mKoHsAm0nMFEGA1UdIwRKMEiAFFjqYGfkDsrPW94k1OoCsw+PVhYW
oRqkGDAWMRQwEgYDVQQDDAtFYXN5LVJTQSBDQYIUWqb6ABWd4CyjVhk8XgMSD7CD
k8YwEwYDVR0lBAwwCgYIKwYBBQUHAwIwCwYDVR0PBAQDAgeAMAoGCCqGSM49BAMC
A0cAMEQCIDl21R/Y4B0WWnusz45IYFLS/SZTvkO0aH6IP3HqKTokAiAvajwe6THz
dYPKX3UXCINLXHOc62eD9zqC3h9TSQinow==
-----END CERTIFICATE-----
</cert>
<key>
-----BEGIN ENCRYPTED PRIVATE KEY-----
MIHjME4GCSqGSIb3DQEFDTBBMCkGCSqGSIb3DQEFDDAcBAjt6jvs6G6BVQICCAAw
DAYIKoZIhvcNAgkFADAUBggqhkiG9w0DBwQIyJ/Ed/a7VssEgZArOOJAvVv3abmQ
s/r1s0Zi9y+BTkh+ZnDDCHi5joLx2Ugh4DoVx6E2m4oDDwT84C6CcQVugUUXeCTn
Ba+bL7zYY5i/VDWXRUTOGfRnyxmjH3qzegJYm8Ja4jrveTmhkf2LElaT5eTV1K4m
A/dkubfttZA8ams4mH+r8q+1tq4nD4/LMeTG3drCGmcBhVbz1/I=
-----END ENCRYPTED PRIVATE KEY-----
</key>
<tls-crypt>
#
# 2048 bit OpenVPN static key
#
-----BEGIN OpenVPN Static key V1-----
9b6e9b48c779fd0411bbeb0528fdb9e4
b49e73bbbc44832bd5043e64e8425f8b
72a6dadc0b2118bff4d8a290493da5f5
55e0e0bd6c48d68b209c38327bb1f4b5
a4544ab7b5344558f57faea14462ce06
7455a5264631e294c46026586fda392b
59701270cc5429a127ec5ff8a6e1d1ed
9c8494b996460830ac571c2660a6e2b8
b23f2d41a2b03f1755e0d75a8b70c766
4b274d3cec18189547fdf77e416eb409
f2d095dc061dc6bbea5209b4024e1b52
3532506b15f32df3fcedb22b9d63a6b4
3b79376d6b1f7d4e0b9a90953c282071
ceecf1a617f8f45300c716fedb4299de
e6d40869342a8948fb541a3264575c95
6b80f7d8e88551dcc9d1864e8035ea4f
-----END OpenVPN Static key V1-----
</tls-crypt>

Laut dem DynDNS Provider sollte die Verdinung auch hergestellt sein

[MSfree]

In der Config Datei für meinen Client steht die DynDNS Adresse für meinen Server drinnen, hier der Auszug:

Code: Alles auswählen

client
dev tun
proto udp
remote pi-vpn.v6.rocks 1194
resolv-retry infinite
nobind
remote-cert-tls server
tls-version-min 1.2
verify-x509-name debian_09bc47dd-71e0-4ab1-a329-0f8671a17a8b name
cipher AES-256-CBC
auth SHA256
auth-nocache
verb 3
<ca>
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
</ca>
<cert>
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
</cert>
<key>
-----BEGIN ENCRYPTED PRIVATE KEY-----
MIHjME4GCSqGSIb3DQEFDTBBMCkGCSqGSIb3DQEFDDAcBAjt6jvs6G6BVQICCAAw
DAYIKoZIhvcNAgkFADAUBggqhkiG9w0DBwQIyJ/Ed/a7VssEgZArOOJAvVv3abmQ
s/r1s0Zi9y+BTkh+ZnDDCHi5joLx2Ugh4DoVx6E2m4oDDwT84C6CcQVugUUXeCTn
Ba+bL7zYY5i/VDWXRUTOGfRnyxmjH3qzegJYm8Ja4jrveTmhkf2LElaT5eTV1K4m
A/dkubfttZA8ams4mH+r8q+1tq4nD4/LMeTG3drCGmcBhVbz1/I=
-----END ENCRYPTED PRIVATE KEY-----
</key>
<tls-crypt>
#
# 2048 bit OpenVPN static key
#
-----BEGIN OpenVPN Static key V1-----
9b6e9b48c779fd0411bbeb0528fdb9e4
b49e73bbbc44832bd5043e64e8425f8b
72a6dadc0b2118bff4d8a290493da5f5
55e0e0bd6c48d68b209c38327bb1f4b5
a4544ab7b5344558f57faea14462ce06
7455a5264631e294c46026586fda392b
59701270cc5429a127ec5ff8a6e1d1ed
9c8494b996460830ac571c2660a6e2b8
b23f2d41a2b03f1755e0d75a8b70c766
4b274d3cec18189547fdf77e416eb409
f2d095dc061dc6bbea5209b4024e1b52
3532506b15f32df3fcedb22b9d63a6b4
3b79376d6b1f7d4e0b9a90953c282071
ceecf1a617f8f45300c716fedb4299de
e6d40869342a8948fb541a3264575c95
6b80f7d8e88551dcc9d1864e8035ea4f
-----END OpenVPN Static key V1-----
</tls-crypt>

Laut dem DynDNS Provider sollte die Verdinung auch hergestellt sein

Vielen Dank fürs veröffentlichen deiner Schlüssel. Soll ich probieren, ob ich mit der Konfiguration auf deinen Rechner komme?

Mein Rat, erzeuge ganz schnell neue Schlüssel, bevor du es vergißt. Denn früher oder später wird ein weniger freundlich gesinnter Zeitgenosse damit versuchen auf deinen Rechner zu kommen.