Open VPN su Server Synology Nas (rete Nas ok. connessione internet no.)

[Trinidad]

Ciao a tutti,

La problematica che vi sto ponendo è un problema che ho verificato essere molto comune, per questo anticipo che sono giorni che ci sbatto la testa fra varie guide e discussioni sul forum ma ahimè non sono riuscito a risolvere nonostante abbia seguito pedissequamente tutte le istruzioni disponibili.

Vi espongo il caso:

1) VPN Server Synology NAS configurata con OpenVPN

Link di riferimento alla guida:
https://www.synology.com/it-it/knowledg ... /vpn_setup

2) Esportato file .zip e modificato il file di configurazione per il client openvpn.ovpn

Link di riferimento alla guida:
https://www.synology.com/it-it/knowledg ... _or_Mac#t3

Aperto il file esportato openvpn.ovpn e sostituito YOUR_SERVER_IP con l'indirizzo IP pubblico di Synology NAS (personalmente uso un ddns non avendo un IP statico)
Le richieste in ingresso verso la porta 1194 vengono instradate sul NAS grazie alla configurazione del port forwarding

Per inviare tutto il traffico su VPN, ho rimosso # da #redirect-gateway def1 (questo credo sia il campo incriminato, questa modifica dovrebbe assegnare il gateway della VPN immagino)

Purtroppo connettendo la VPN da una rete esterna, riesco correttamente a collegarmi alla rete interna e vedere tutte le cartelle dal NAS ma non riesco ad accedere a internet.

Ho notato che il DHCP è abilitato
L'indirizzo viene assegnato (in questo caso 10.8.0.6)
Subnet mask IPv4 255.255.255.252

Gateway predefinito IPv4 (non assegna nulla)
Server DHCP IPv4 10.8.0.5

Ho rimosso # da #redirect-gateway def1 come vi dicevo precedentemente ma non riesco comunque a reindirizzare gateway.

Avete dei suggerimenti? Non capisco proprio dove sia l'errore ma credo proprio che il colpevole sia il file openvpn.ovpn perché ho eseguito la procedura sul cellulare, installando OpenVpn e si connette alla rete del NAS ma non naviga su internet

Spero che sia una cosa di facile risoluzione perchè ormai sto perdendo le speranze

[eberi]

Questo è il mio e riesco a navigare

dev tun
tls-client

remote xxxxxxxxxxxx 1194

# The "float" tells OpenVPN to accept authenticated packets from any address,
# not only the address which was specified in the --remote option.
# This is useful when you are connecting to a peer which holds a dynamic address
# such as a dial-in user or DHCP client.
# (Please refer to the manual of OpenVPN for more information.)

#float

# If redirect-gateway is enabled, the client will redirect it's
# default network gateway through the VPN.
# It means the VPN connection will firstly connect to the VPN Server
# and then to the internet.
# (Please refer to the manual of OpenVPN for more information.)

#redirect-gateway def1

# dhcp-option DNS: To set primary domain name server address.
# Repeat this option to set secondary DNS server addresses.

#dhcp-option DNS DNS_IP_ADDRESS

pull

# If you want to connect by Server's IPv6 address, you should use
# "proto udp6" in UDP mode or "proto tcp6-client" in TCP mode
proto udp

script-security 2


comp-lzo

reneg-sec 0

cipher AES-256-CBC

auth SHA512

auth-user-pass

[Trinidad]

Grazie mille Eberi per la risposta

Ho verificato entrambi i file e l'unica differenza è che non hai rimosso # da #redirect-gateway def1

Ho provato a reinserire # da #redirect-gateway def1 come nella tua configurazione ma non cambia nulla, ho sempre lo stesso problema.

Che strano

[Trinidad]

Eberi, vorrei aggiornarti sulla situazione, potrebbe essere utile anche per altri che possono avere lo stesso problema.

- Ho cancellato il vecchio certificato

- Da VPN Server esportato una nuova configurazione

- Effettuato l'accesso dal portatile tramite hotspot del cellulare

- installato nuovamente Open VPN sul PC e modificato il file openvpn.ovpn

Non ho rimosso # da #redirect-gateway def1

Navigo correttamente e accedo alla rete del NAS

Credo che l'errore fosse dato dal fatto che la prima configurazione effettuata sul portatile venne fatta sulla stessa rete del NAS e questa situazione abbia creato qualche problema.

Direi che il problema è risolto ma ho una domanda.

Dopo l'avvenuta connessione, digitando ad esempio tracert www.google.it al prompt dei comandi,pensavo che il primo hop corrispondesse al server VPN installato sul NAS Synology remoto (generalmente, 10.8.0.1).

Mentre il secondo hop al router cui il NAS è collegato (quindi 192.168.1.1)e successivamente uscire in rete.

Collegandomi dall'hot spot del cellulare però vedo che con il tracert a www.google.it ottengo subito l'indirizzo IP assegnato dalla rete wi-fi del telefono e non il server VPN.

Sapresti dirmi se è corretto?

Grazie per tutto

[burghy86]

Nella rete dove c'è il server vpn di solito si cerca di avere una rete non standard.
192.169.1.1 oppure 192.168.0.1 andrebbero evitate perché il 90% delle abitazioni danno quella rete.

Metti che so: 192.168.168.1

[eberi]

Eberi, vorrei aggiornarti sulla situazione, potrebbe essere utile anche per altri che possono avere lo stesso problema.

- Ho cancellato il vecchio certificato

- Da VPN Server esportato una nuova configurazione

- Effettuato l'accesso dal portatile tramite hotspot del cellulare

- installato nuovamente Open VPN sul PC e modificato il file openvpn.ovpn

Non ho rimosso # da #redirect-gateway def1

Navigo correttamente e accedo alla rete del NAS

Credo che l'errore fosse dato dal fatto che la prima configurazione effettuata sul portatile venne fatta sulla stessa rete del NAS e questa situazione abbia creato qualche problema.

Direi che il problema è risolto ma ho una domanda.

Dopo l'avvenuta connessione, digitando ad esempio tracert www.google.it al prompt dei comandi,pensavo che il primo hop corrispondesse al server VPN installato sul NAS Synology remoto (generalmente, 10.8.0.1).

Mentre il secondo hop al router cui il NAS è collegato (quindi 192.168.1.1)e successivamente uscire in rete.

Collegandomi dall'hot spot del cellulare però vedo che con il tracert a www.google.it ottengo subito l'indirizzo IP assegnato dalla rete wi-fi del telefono e non il server VPN.

Sapresti dirmi se è corretto?

Grazie per tutto

si è corretto fa lo split tunneling

[Trinidad]

Grazie Mille a tutti per i consigli

[dMajo]

La configurazione dipende dall'obbiettivo che si vuole ottenere.

Generalmente la propria infrastruttura (rete casalinga(se hi la configura ha esperienza)/aziendale) dovrebbe essere il punto sicuro in quanto opportunamente protetta da buoni firewall opportunamente configurati.
Da un punto di vista della protezione, a seconda dei firewall utilizzati, spesso la vpn li bypassa creando un link diretto fra il client esterno e la rete interna. Lo split-tunnel in questo caso rappresenta un rischio maggiore in quanto crea un potenziale punto di passaggio fra l'internet esterno e la vpn nel client remoto, aprendo così una finestra sulla ns rete.

Altro motivo per cui spesso si utilizza una vpn (a pagamento, che con il nas può esser evitato) è per proteggersi quando ci si trova in giro negli hot-spot pubblici (aeroporti, alberghi, ...) anche qui lo split-tunneling vanifica la protezione in quanto il traffico non diretto alla ns. LAN (navigazione internet) passerà attraverso le strutture wi-fi dell'aeroporto/albergo. Senza lo split-tunnel invece tutto il traffico generato dal client viene diretto al server VPN: quello locale raggiungerà i nodi locali della rete, mentre quello 'di navigazione' attraverso il server vpn ed il suo router uscirà in internet secondo le regole e concessioni fatte dall'amministratore della rete locale. Questa è sicuramente l'opzione più sicura.

[Trinidad]

Grazie mille dMajo,

Dopo aver letto il tuo messaggio e eliminato # da #redirect-gateway def1 ho verificato il risultato digitando tracert www.google.it al prompt dei comandi, ora il primo hop corrisponde al server VPN installato sul NAS Synology remoto.

In questo caso credo di avere il link diretto fra il client esterno e la rete interna, come desideravo

Grazie ancora a tutti, ogni commento è stato preziosissimo

[Trinidad]

La configurazione dipende dall'obbiettivo che si vuole ottenere.

Generalmente la propria infrastruttura (rete casalinga(se hi la configura ha esperienza)/aziendale) dovrebbe essere il punto sicuro in quanto opportunamente protetta da buoni firewall opportunamente configurati.
Da un punto di vista della protezione, a seconda dei firewall utilizzati, spesso la vpn li bypassa creando un link diretto fra il client esterno e la rete interna. Lo split-tunnel in questo caso rappresenta un rischio maggiore in quanto crea un potenziale punto di passaggio fra l'internet esterno e la vpn nel client remoto, aprendo così una finestra sulla ns rete.

Altro motivo per cui spesso si utilizza una vpn (a pagamento, che con il nas può esser evitato) è per proteggersi quando ci si trova in giro negli hot-spot pubblici (aeroporti, alberghi, ...) anche qui lo split-tunneling vanifica la protezione in quanto il traffico non diretto alla ns. LAN (navigazione internet) passerà attraverso le strutture wi-fi dell'aeroporto/albergo. Senza lo split-tunnel invece tutto il traffico generato dal client viene diretto al server VPN: quello locale raggiungerà i nodi locali della rete, mentre quello 'di navigazione' attraverso il server vpn ed il suo router uscirà in internet secondo le regole e concessioni fatte dall'amministratore della rete locale. Questa è sicuramente l'opzione più sicura.

dMajo,

Ho letto alcuni tuoi post sul Forum riguardo l'utilizzo di connessioni VPN con split-tunneling e senza split-tunneling.

Mi pare di aver capito che lo split-tunneling disattivato sulla mia configurazione precedentemente descritta mi permette di reindirizzare la navigazione secondo le regole e concessioni fatte nella mia rete locale, quindi un tunnel sicuro.

Ora ti chiedo, se volessi utilizzare un ulteriore servizio VPN per poter vedere contenuti video non presenti in italia e mantenere l'anonimato questo sarebbe implementabile sul NAS in aggiunta alla configurazione presente?

Correggimi se sbaglio, ma in questa configurazione appena descritta, il NAS non sarebbe più il Server ma sarebbe il Client che di conseguenza si connetterebbe al Server del servizio VPN utilizzando la funzionalità dello split-tunneling

Secondo te, questa, sarebbe una configurazione ideale e fattibile oppure creerebbe dei problemi di accesso al NAS tramite la VPN precedentemente configurata?


Ps. ho letto questi post e mi è venuta questa curiosita

viewtopic.php?f=31&t=5040