[Gelöst] Was mach ich falsch: ETS über Kunden-VPN [V3.0 IP4 und 5.1]

[Robosoc]

Ich versuche erstmals seit einem Servertausch (Nach FreshUp haben meine beiden Server den Ort getauscht) per ETS über das bereits eingerichtete udn bestehende Kunden-VPN auf meinen entfernten Server zu verbinden und KNX-Geräte damit zu programmieren (unter anderem auch den TWS selber dabei durch partielles Schreiben zu ergänzen). Aber ich bekomme aus der ETS keine Verbindung zustande

Irgendwas mache ich falsch und früher habe ich es ohne Probleme realisiert...daher hier mal eine Frage, was ich beachtgen muss / sollte und was ich eventuell vergesse:

Das Kunden-VPN läuft über eth0 mit NAT.
Das Kunden-VPN ist von meinem Windowsrechner mittels Open VPN Connet Client mit dem Kunden-VPN verbunden.
Ich kann ohne Probleme auf alle Webseiten des abgesetzten Servers zugreifen und konnte auch ohne Schwierigkeiten das Update von IP4 auf IP5.1 machen. Zugriff auf Grafana des abgesetzten Servers funktioniert ebenfalls problemlos.
Mein Problem mit der ETS KNX-Programmier-Verbindung bestand vor und nach dem Update auf V3 IP5.1 ... hat meines Erachtens nichts mit dem TWS zu tun, sondern mit mir.
In der ETS wird trotz laufender VPN Verbindung zum abgesetzten Server der lokale, zweite TWS als Schnittstelle gefunden. Das wundert mich schonmal.
In der ETS füge ich daher im Abschnitt BUS eine neue Schnittstelle manuell hinzu, vergebe einen Namen, vergebe eine Individuelle PA (aus dem Bereich, die ich im Projekt dem TWS zugeordnet habe), gebe die IP-Adresse des TWS, zu dem ich die VPN-Verbindung aufgebaut habe ein und übernehme den Port der Schnittstelle, der mir in der Web-Schnittstellenansicht des TWS angezeigt wird. Ich kann beobachten, wie in der Schnittstelle des entfernten Servers eine Verbindung auf dem nächsten freien KNX-PA geöffnet wird...aber nach einer Weile ohne Fortschritt bricht die ETS ab und melde einen Fehler der Verbindung..."Gerät kann nicht erreicht werden"...

Ist es ein Fehler die IP-Adresse des TWS einzugeben auf den ich ja die VPN-Verbindung anlege??? Irgendwie stehe ich auf dem Schklauch und habe längst gelerntes wohl vergessen.

[flo1988hhsh]

Hi Sven,

Ich kann es noch nicht so nachvollziehen. Ich habe es bei mir mal getestet, allerdings läuft der OpenVPN auf einem anderen Router.

Ich habe in der ETS eine neue Schnittstelle angelegt, die lokale IP-Adresse des entfernten TWS eingegeben und den Port (3700). PA habe ich die der Applikation übernommen. Funktionierte auf Anhieb.

Viele Grüße

[Robosoc]

Ich habe in der ETS eine neue Schnittstelle angelegt, die lokale IP-Adresse des entfernten TWS eingegeben und den Port (3700). PA habe ich die der Applikation übernommen. Funktionierte auf Anhieb.

Exakt so hatte ich es auch in Erinnerung und ich meine eigentlich das Gleiche gmacht zu haben...Danke schommal.

[StefanW]

Hi Sven,

bitte mal mit "NAT Mode" aus der ETS probieren

lg

Stefan

[Robosoc]

Hatte es mit NAT-Mode probiert (und auch ohne), weil das ja auch auf der Seite Kunden-VPN so steht, wenn man "eth0 mit NAT" auswählt.

Ich habe es jetzt mit folgender Einstellung hinbekommen: Anstelle der lokalen eth0-Adresse des entfernten Server habe ich die tun-user-vpn IP-Adresse des entfernten Wolf verwendet, wieder im NAT-Modus... jetzt hat alles geklappt. Aber ich erinnere mich nicht es jemals schon so gemacht zu haben und auch Flo hat es oben ja explizit mit der lokalen IP-Adresse beschrieben...merkwürdig. MErkwürdig finde ich ja auch, dass ich trotz laufender VPN Verbindung zum entfernten Wolf auf mein lokales Netzwerk zugreifen kann...ich hätte eigentlich gedacht, dass das nicht ginge, weil ich ja von meinem Windows zum entfernten Wolf tunnel...aber vielleicht mach ich auch da einen Gedankenfehler, bin inzwischen völlig verwirrt und schlafe besser ma leine Nacht drüber.

[StefanW]

Hi Sven,

lass uns das mal für das Wiki ordentlich beschreiben.

1. Es kommt darauf an, wie das VPN angelegt wird, welche IP-Adresse zu verwenden ist

2. Klar kannst Du auch lokal zugreifen (weil es so konfiguriert ist). Wir haben auf unseren Rechnern mehrere solche VPNs parallel und kommen überall gleichzeitig hin (lokales Netz, alles hinter VPN1, alles hinter VPN2, alles hinter VPN3). Aber kommt immer drauf an, wie es konfiguriert ist.

lg

Stefan

[Dragonos2000]

Mit Split-Tunneling geht das prinzipiell schon, auf lokale und entfernte Ressourcen zuzugreifen - je nach VPN Client und dessen Konfiguration. Für mich persönlich ist das jedoch "Teufelswerk"...

Nachtrag: Stefan war schneller...

[Robosoc]

lass uns das mal für das Wiki ordentlich beschreiben.

sehr gerne, ich mache grne mit, aber da ich echt gefährliches Halbwissen habe, kann ich nicht der Erstformulierer sein, ich kann nur prüfen und naive Fragen zur Erklärung stellen oder Screenshots beistellen.

2. Klar kannst Du auch lokal zugreifen (weil es so konfiguriert ist). Wir haben auf unseren Rechnern mehrere solche VPNs parallel und kommen überall gleichzeitig hin (lokales Netz, alles hinter VPN1, alles hinter VPN2, alles hinter VPN3). Aber kommt immer drauf an, wie es konfiguriert ist.

so richtig viel Einstellen kann ich als Nutzer ja garnicht (was auch gut so ist), oder übersehe ich etwas...sämtliche Einstellungen ergeben sich doch quasi aus der Auswahl des Netzwerkzugriffs auf der Kunden-VPN Seite, oder?


Deinen Punkt 2. verstehe ich jetzt so, dass Ihr die VPN-Einstellungen dahinter so konfiguriert habt, dass man quasi lokalen Zugriff und Remote-Zugriff paralell hat. Dann passt das Verhalten bei mir ja aktuell erstmal dazu und in der Vergangenheit ist es mir bloß nicht aufgefallen, so oft nutze ich VPN auch nicht und bisher wahrscheinlich noch nie zu zwei Servern gleichzeitg...

Nehmen wir mal an die lokale IP-Adresse des TWS meines Fritz-Box-Netzwerkes am entfernten Server wäre 192.168.1.123 (ich nutze ein anderes IP-Subnet aber für das Beispiel hier ist es ja egal). Würdet Ihr dann auch erwarten, dass ich in der ETS als IP Adresse genau diese Adresse für die Schnittstelle eintragen müsste, wenn das VPN aufgebaut ist? Oder müsste es die 10.102.xxx.xxx VPN-Adresse sein, die ich jetzt hier nicht komplett poste, weil ich nicht einschätzen kann, ob davon ein Sicherheitsrisiko ausgeht...allerdings glaube ich ohnehin, dass dies bei allen Servern die gleiche ist.

Ich hatte letztlich nur Erfolg mit der 10.102.xxx.xxx und die lokale (hier im Beispiel 192.168.1.123) hat bei mir nicht zum Erfolg geführt. Aber ich wäre mir ziemlich sicher gewesen, dass ich in der Vergangenheit die Lokale verwendet habe!

[gbglace]

Irgendwo hatte ich mal schon den Unterschied gelesen, ich glaube in dem KB-Artikel oder in einem Beitrag von Matthias wie er das VPN eingerichtet hatte. Eine Variante erlaubt dann nur den Zugriff auf den TWS und eine andere auf das ganze lokale LAN.

Ich würde das dann so verstehen, das ich entweder nur die IP des TWS erreiche und anderen Falls den TWS und der dann wiederum ein Türchen quasi ein Stück zurück auf den DHCP/Router öffnet wo der TWS dran hängt (Fritzbox), damit damit auch andere Clients im LAN erreicht werden können. In meiner naiven Vorstellung von Containern im MAC-VLAN müsste man das wahrscheinlich dann immer so machen, das gesamte LAN in dem VPN erreichbar zu machen, weil Du sonst nicht auf einen solchen Container kommen könntest, weil die ja in dem Modus eine eigene IP von der FB erhalten. Wenn die Container ohne MC-VLAN laufen dann sind die ja in einem eigenen Netzt innerhalb des TWS, wodurch dann wohl auch mit der engeren Version des VPN mit nur auf TWS, der Container erreichbar sein sollte.

ggf ist das dann auch der Unterschied welche IP man dann als Ziel im VPN Tunnel angeben muss.

[Robosoc]

Diese Erklärung die Du meinst ist auf der Kunden-VPN Seite selber.
Wenn Du eine der drei Einstellungen, die ich oben gepostet habe, auswählst, dann kommt da ein aus meiner Sicht erstmal sehr guter Hinweistext.
Aufgrund dieses Textes wähle ich immer "eth0 mit NAT".


Es ist nicht ganz optimal, dass der Hinweistext erst angezeigt wird, nachdem man etwas auswählt hat und nicht z.B. auch als Tooltipp bei der Auswahl, aber das ist eine andere Kosmetik.

Ich wähle also bewusst den Punkt mit dem NAT aus, (habe auch MacVlan aktiv aber auf dem Server noch keinen Container eingerichtet, der MacVlan nutzt, ist also noch eigentlich überflüssig).

Könnte schon sein, dass es daher notwendig ist, dass ich die VPN-Adresse wählen muss...aber ich hatte auch in der Vergangenheit immer MacVlan aktiv und kann mich einfach nicht errinnern jemals die VPN-Adresse verwendet zu haben.