Support OpenVPN Gateway Tutorial

[hecht04]

Hier ist ein kleines Tutorial, wie man ein VPN Gateway einrichtet. So kann man jedes Gerät im eigenen Netzwerk ins VPN bringen.
Die IPTables Regeln blockieren jeglichen Verkehr der nicht übers VPN geht.
Ich habe das ganze auf einem BananaPI mit Cyberghost VPN auf Debian 9 am laufen, allerdings sollte es auch mit anderen Geräten, Distros und VPN Anbietern laufen.
Ich gehe in dem Tutorial von einer frischen Installation aus.

1. Updaten

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

2. Upgraden

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

3. OpenVPN installieren

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

4. Statische IP vergeben

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

interfaces:
Ihr müsst die IP Adressen an euer Netzwerk anpassen.
WICHTIG: Ihr solltet eine Range beim DHCP Server (in den meisten Fällen der Router) festlegen, damit keine IP-Adresskonflikte entstehen

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

5. OVPN Kofigurationsdateien runtertladen und in den Ordner /etc/openvpn verschieben.

6. connect.sh erstellen

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

connect.sh
Den Dateinamen eurer Config eintragen

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

6. auth.txt erstellen

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

auth.txt

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

6. iptables.sh erstellen


Ihr müsst noch die IP eures Netzwerks ergänzen (bspw. 192.168.0.0) und den UDP Port des VPNs (Standard ist 1194, bei Cyberghost 443)

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

iptables.sh

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

7. IP Forwarding aktivieren

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

net.ipv4.ip_forward=1 einfügen bzw. auskommentieren
net.ipv6.conf.all.disable_ipv6 = 1 einfügen bzw. auskommentieren um IPv6 Leaks zu vermeiden

Reboot

8. Erster Test

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

Testet die Verbindung mit einem anderen Gerät, das Gateway sollte der VPN Server sein.
Pingt mit dem Testgerät eine Domain (google.de).
Beendet OVPN mittels Strg + C der Ping sollte nun keine Verbindung bekommen.

Wenn alles funktioniert müsen die Scripte noch in den Autostart.
Dazu folgendes vor der Zeile "exit 0" in die /etc/rc.local schreiben:

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

Nach einem Neustart können alle Geräte in eurem Netzwerk ins VPN, indem ihr den VPN Server als Gateway einstellt.
Ihr sollte bei den zu verbindenden Geräten IPv6 deaktivieren um Leaks zu vermeiden.

 

[Hautdenlucas]

sehr gut beschrieben. nur eines frage ich mich dabei. zur zeit habe ich 2 pc 2 Smartphones und 3 enigma2 resis bei ghost angemeldet. an meinen anderen enigma2 boxen nutze ich den vpn er gigablue im Schlafzimmer, da stelle ich sicher das vpn aus ist. jetzt überlege ich wenn ich in meinem fall den rasberry pi anmelde und dann 11 geräte den vpn nutzen? geht das überhaupt?

# Make sure that you can communicate within your own network iptables -A INPUT -s #.#.#.#/24 -d #.#.#.#/24 -j ACCEPT iptables -A OUTPUT -s #.#.#.#/24 -d #.#.#.#/24 -j ACCEPT

für was steht #.#.#.#

 

[hecht04]

Du musst dich Anmelden oder Registrieren um den Inhalt der Angebote zu sehen!

Ja das geht. Kann sein, dass die Ethernet-Schnittstelle vom RPi ein wenig zu langsam ist, aber das musst du einfach testen.

Du musst dich Anmelden oder Registrieren um den Inhalt der Angebote zu sehen!

Die # musst du mit der IP deines Netzwerkes ersetzen. (in den meisten Heimnetzen 192.168.0.0 oder 192.168.1.0)
Also folgendermaßen:

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

 

[Hautdenlucas]

Danke dir habe die selbe router IP also 192.168.01 wie du hier im Beispiel dann passt das mit 192.168.0.0 ghost habe ich auch remote 9-1-ch.cg-dialup.net 443 steht in der client.conf.

Ihr müsst noch die IP eures Netzwerks ergänzen (bspw. 192.168.0.0) und den UDP Port des VPNs (Standard ist 1194, bei Cyberghost 443)

192.168.0.0 ist nun klar nur der port 443 wo in der iptables.sh?

 

[hecht04]

Du musst dich Anmelden oder Registrieren um den Inhalt der Angebote zu sehen!

1194 wird am bei den meisten Anbietern als UDP Port verwendet.
Also auch wieder so ändern (oder ggfs. einen anderen Port eintragen):

Du musst dich Anmelden oder Registrieren um den Inhalt der Codes zu sehen!

 

[Hautdenlucas]

Super mache mich morgen am testen, bin zur zeit noch auf arbeit. gebe dann Rückmeldung. super das du hier mithelfen tust. könnten di mods eigentlich anpinnen und dich zum king küren