NEWS
Tut-OpenVPN Server im Container unter Proxmox
-
@lemuba schau ich mir heut oder morgen mal an, bleibt dann nur noch, wie ich es dem USG bei bringe, da ich keine Fritzbox mehr verwende.
-
Hallo @H4lunkE
So, dann hier weiter ;-)
Ich erkläre das kurz auf meine Hardware bezogen - musst Du ggf. für Deine anpassen...
- Benötigst Du einen DynDns Account, die Daten werden dann entsprechend im Router eingetragen.
Sieht dann nach erfolgreicher Eingabe der Daten und Anmeldung meines Routers (Fritzbox 7590) so aus:
DynDNS: aktiviert, "meinName".selfhost.eu, IPv4-Status: erfolgreich angemeldet, IPv6-Status: unbekannt
-
DynDns war zu meiner Zeit kostenlos über selfhost.eu zu bekommen und gibt es wohl immer noch:
http://selfhost.eu/cgi-bin/selfhost?p=cms&article=free&CGISESSID=f5b53416172e611211362f0eb7c5942e -
Danach installierst Du von den Proxmox Container Templates:
turnkey-openvpn
Dafür reicht ne Minimalinstallation mit wenig Resourcen, schaust Du bei mir:
-
Nachdem der Container läuft, seine IP-Adresse ermitteln, wenn Du keine feste IP vergeben hast (sollte aber eine Feste sein...).
-
Zurück zu Deinem Router und eine Port-Forwarding Regel für OpenVPN anlegen:
Port: 1194, UDP auf die IP Adresse Deines OpenVPN Containers -
Danach gehst Du im Browser auf das TurnKey OpenVPN Webinterface, einfach per Eingabe der IP - es sollte dann das kommen:
-
Klicke da im Menü zur Info auf: Quick Referenece
-
Erstelle in der Proxmox Open VPN Konsole dann Dein eigenes Schlüsselfile pro gewünschtem Client (z.b. für ein Tablet):
Beispiel:
root@OpenVpn ~# openvpn-addclient mydevice info@test.de- Sollte dann Folgendes bei rauskommen:
Debian GNU/Linux 9 OpenVpn tty1 OpenVpn login: root Password: Last login: Fri Sep 11 23:11:38 CEST 2020 on tty1 Welcome to Openvpn, TurnKey GNU/Linux 15.1 / TurnKey 9.7 Stretch System information (as of Wed Sep 16 23:49:35 2020) System load: 0.70 Memory usage: 25% Processes: 25 Swap usage: 0% Usage of /: 18.0% of 3.87GB IP address for eth0: 192.168.12.8 IP address for tun0: 10.207.137.1 TKLBAM (Backup and Migration): NOT INITIALIZED To initialize TKLBAM, run the "tklbam-init" command to link this system to your TurnKey Hub account. For details see the man page or go to: https://www.turnkeylinux.org/tklbam Linux OpenVpn 5.4.60-1-pve #1 SMP PVE 5.4.60-2 (Fri, 04 Sep 2020 10:24:50 +0200) x86_64 root@OpenVpn ~# openvpn-addclient meintablet info@test.de Using Common Name: meintablet Generating a RSA private key ..................................................................................................................................................................................................................................................................................................+++++ ...........+++++ writing new private key to 'meintablet.key' ----- Using configuration from /etc/openvpn/easy-rsa/openssl.cnf Check that the request matches the signature Signature ok The Subject's Distinguished Name is as follows countryName :PRINTABLE:'US' stateOrProvinceName :PRINTABLE:'CA' localityName :PRINTABLE:'San Francisco' organizationName :PRINTABLE:'TurnKey Linux' organizationalUnitName:PRINTABLE:'OpenVPN' commonName :PRINTABLE:'meintablet' name :PRINTABLE:'openvpn' emailAddress :IA5STRING:'info@test.de' Certificate is to be certified until Sep 14 21:52:12 2030 GMT (3650 days) Write out database with 1 new entries Data Base Updated INFO: generated /etc/openvpn/easy-rsa/keys/meintablet.ovpn root@OpenVpn ~# openvpn-addclient mydevice info@test.de Using Common Name: mydevice Generating a RSA private key ...................................................................................................................................................................................+++++ ....................................................+++++ writing new private key to 'mydevice.key' ----- Using configuration from /etc/openvpn/easy-rsa/openssl.cnf Check that the request matches the signature Signature ok The Subject's Distinguished Name is as follows countryName :PRINTABLE:'US' stateOrProvinceName :PRINTABLE:'CA' localityName :PRINTABLE:'San Francisco' organizationName :PRINTABLE:'TurnKey Linux' organizationalUnitName:PRINTABLE:'OpenVPN' commonName :PRINTABLE:'mydevice' name :PRINTABLE:'openvpn' emailAddress :IA5STRING:'info@test.de' Certificate is to be certified until Sep 14 21:57:21 2030 GMT (3650 days) Write out database with 1 new entries Data Base Updated INFO: generated /etc/openvpn/easy-rsa/keys/mydevice.ovpn root@OpenVpn ~10: Dieses Key-File (mydevice.ovpn) benötigst Du nun, ziehe ich z.B. mit Filezilla, per SFTP, runter: INFO: generated /etc/openvpn/easy-rsa/keys/mydevice.ovpn
11. Auf meinem Iphone und IPad habe ich OpenVPN Connect installiert - klick mich:
- Öffne dort die Key Datei mit OpenVPN Connect - das sollte es dann gewesen sein, der Rest erklärt sich selber.
Falls ich aufgrund Demenz etwas vergessen habe, oder nicht funktioniert, melde Dich nochmal. Viele Wege führen nach Rom, vielleicht wissens auch Andere hier noch besser...
Ich habe einen 500/100MBit - Glasfaseranschluss - die Begrenzung war bisher nur das Unterwegs-Gastnetzwerk in dem ich eingeloggt war, aber nie mehr die VPN Verbindung als Solche. VPN direkt eingerichtet über eine Fritzbox oder anderen schwachen Router/Hardware begrenzt da teilweise ganz gewaltig. Sofern VPN über einen potenten NUC (wie unseren ;-) ) eingerichtet, sicherlich eine sehr gute Option.
Hoffe ich konnte helfen,
Gruß,
Matthias
Edit/Generelle Info: Einige Hotel Wlans, aber auch Fritzbox Gastnetztwerke erlauben nur das reine Surfen und Email abbrufen - also nicht wundern, wenn Du aus einem solchem Wlan nicht per VPN nach Hause kommst, sich keine Verbindung aufbaut... Sofern ich dann alternativ auf meinem Iphone ne gute LTE Verbindung übers Mübilfunknetz habe, deaktiviere ich das Gastnetz-Wlan und OpenVpneeee per LTE nach Hause... Es gibt (gab?) aber auch wohl Mobilfunktarife, die ganz billgen, bei denen auch VPN gesperrt ist/war - tbc...
Lohnt sich immer man nachzuschauen falls man einen günstigen NUC/MiniPc sucht - klick mich.
-
Bin nun in Dänemark. Also über Openvpn funktioniert hier Alles. Sogar SFTP nach Hause. Habe darüber gerade ein Drittes Client-File für den Laptop eingerichtet und heruntergeladen. Speed im Wlan wackelt hier. Teilweise gehts mit VPN schneller als ohne...
-
Bin nun in Dänemark. Also über Openvpn funktioniert hier Alles. Sogar SFTP nach Hause. Habe darüber gerade ein Drittes Client-File für den Laptop eingerichtet und heruntergeladen. Speed im Wlan wackelt hier. Teilweise gehts mit VPN schneller als ohne...
@lemuba Ja, danke nochmals, läuft bei mir auch richtig schnell, durch UDP kann man die VPN immer aktiv lassen, es läuft echt alles, auch Banking-Apps etc..
:+1: :+1: :+1: :+1: :+1:
-
@lemuba Ja, danke nochmals, läuft bei mir auch richtig schnell, durch UDP kann man die VPN immer aktiv lassen, es läuft echt alles, auch Banking-Apps etc..
:+1: :+1: :+1: :+1: :+1:
-
@Lenny-CB
Tja, ich bringe es leider nicht hin.
Mit turnkey-init kann man das Teil ja sozusagen resetten und die Installationsroutine neu starten. Dabei die Adressen wieder eingeben.
Ich habe letztendlich die voreigestellten 10er (10.x.x.x Adressen) genommen. So oder so, ich komme leider mit keinem Routing in der Fritzbox hin.Mein Router: 192.168.12.1
Mein TKVPN: 192.168.12.8Meine Server Config:
# PUBLIC_ADDRESS: ich.selfhost.eu (used by openvpn-addclient) port 1194 proto udp dev tun comp-lzo keepalive 10 120 persist-key persist-tun user nobody group nogroup chroot /etc/openvpn/easy-rsa/keys/crl.jail crl-verify crl.pem ca /etc/openvpn/easy-rsa/keys/ca.crt dh /etc/openvpn/easy-rsa/keys/dh2048.pem tls-auth /etc/openvpn/easy-rsa/keys/ta.key 0 key /etc/openvpn/easy-rsa/keys/server.key cert /etc/openvpn/easy-rsa/keys/server.crt ifconfig-pool-persist /var/lib/openvpn/server.ipp client-config-dir /etc/openvpn/server.ccd status /var/log/openvpn/server.log verb 4 # virtual subnet unique for openvpn to draw client addresses from # the server will be configured with x.x.x.1 # important: must not be used on your network server 10.55.75.0 255.255.255.0 # push routes to clients to allow them to reach private subnets push "route 10.0.1.0 255.255.255.0"Ich glaube ich haue das Ding (Container) in die Tonne und suche was besser dokumentiertes. Hatte mir nun auch schon die Finger wund gegoogelt.
-
@lemuba Das hast du super gemacht, funktioniert einwandfrei.
Man braucht nur die IP in sein internes Netz im LXC Container anpassen und es funktioniert (Bsp. 192.168.1.20)@lemuba - Vielen Dank für den Link.
Die Installation hat gut funktioniert, allerdings bekomme ich keine Verbindung auf meinem Iphone. Ich habe einen DS-Lite Anschluss und somit keine öffentliche IPv4 Adresse. Hier vermute ich mein Problem. Hat jemand hierzu eine Idee?
-
@lemuba - Vielen Dank für den Link.
Die Installation hat gut funktioniert, allerdings bekomme ich keine Verbindung auf meinem Iphone. Ich habe einen DS-Lite Anschluss und somit keine öffentliche IPv4 Adresse. Hier vermute ich mein Problem. Hat jemand hierzu eine Idee?
Ne, nicht wirklich, aber hilft Dir vielleicht dieser Artikel weiter?:
https://www.glasfaser-huenstetten.de/anleitung-ds-lite-open-vpn-server/
Das Gerüst meines Containers sollte ja auch die Möglichkeit bieten, OpenVPN in Richtung IPV6 wie im Artikel beschrieben zu konfigurieren. Ich habe Gott sei Dank einen vollwertigen Glasfaser Anschluss ;-) Mit IPV6 habe ich mich auch noch nicht wirklich beschäftigen müssen.
-
Hallo @H4lunkE
So, dann hier weiter ;-)
Ich erkläre das kurz auf meine Hardware bezogen - musst Du ggf. für Deine anpassen...
- Benötigst Du einen DynDns Account, die Daten werden dann entsprechend im Router eingetragen.
Sieht dann nach erfolgreicher Eingabe der Daten und Anmeldung meines Routers (Fritzbox 7590) so aus:
DynDNS: aktiviert, "meinName".selfhost.eu, IPv4-Status: erfolgreich angemeldet, IPv6-Status: unbekannt
-
DynDns war zu meiner Zeit kostenlos über selfhost.eu zu bekommen und gibt es wohl immer noch:
http://selfhost.eu/cgi-bin/selfhost?p=cms&article=free&CGISESSID=f5b53416172e611211362f0eb7c5942e -
Danach installierst Du von den Proxmox Container Templates:
turnkey-openvpn
Dafür reicht ne Minimalinstallation mit wenig Resourcen, schaust Du bei mir:
-
Nachdem der Container läuft, seine IP-Adresse ermitteln, wenn Du keine feste IP vergeben hast (sollte aber eine Feste sein...).
-
Zurück zu Deinem Router und eine Port-Forwarding Regel für OpenVPN anlegen:
Port: 1194, UDP auf die IP Adresse Deines OpenVPN Containers -
Danach gehst Du im Browser auf das TurnKey OpenVPN Webinterface, einfach per Eingabe der IP - es sollte dann das kommen:
-
Klicke da im Menü zur Info auf: Quick Referenece
-
Erstelle in der Proxmox Open VPN Konsole dann Dein eigenes Schlüsselfile pro gewünschtem Client (z.b. für ein Tablet):
Beispiel:
root@OpenVpn ~# openvpn-addclient mydevice info@test.de- Sollte dann Folgendes bei rauskommen:
Debian GNU/Linux 9 OpenVpn tty1 OpenVpn login: root Password: Last login: Fri Sep 11 23:11:38 CEST 2020 on tty1 Welcome to Openvpn, TurnKey GNU/Linux 15.1 / TurnKey 9.7 Stretch System information (as of Wed Sep 16 23:49:35 2020) System load: 0.70 Memory usage: 25% Processes: 25 Swap usage: 0% Usage of /: 18.0% of 3.87GB IP address for eth0: 192.168.12.8 IP address for tun0: 10.207.137.1 TKLBAM (Backup and Migration): NOT INITIALIZED To initialize TKLBAM, run the "tklbam-init" command to link this system to your TurnKey Hub account. For details see the man page or go to: https://www.turnkeylinux.org/tklbam Linux OpenVpn 5.4.60-1-pve #1 SMP PVE 5.4.60-2 (Fri, 04 Sep 2020 10:24:50 +0200) x86_64 root@OpenVpn ~# openvpn-addclient meintablet info@test.de Using Common Name: meintablet Generating a RSA private key ..................................................................................................................................................................................................................................................................................................+++++ ...........+++++ writing new private key to 'meintablet.key' ----- Using configuration from /etc/openvpn/easy-rsa/openssl.cnf Check that the request matches the signature Signature ok The Subject's Distinguished Name is as follows countryName :PRINTABLE:'US' stateOrProvinceName :PRINTABLE:'CA' localityName :PRINTABLE:'San Francisco' organizationName :PRINTABLE:'TurnKey Linux' organizationalUnitName:PRINTABLE:'OpenVPN' commonName :PRINTABLE:'meintablet' name :PRINTABLE:'openvpn' emailAddress :IA5STRING:'info@test.de' Certificate is to be certified until Sep 14 21:52:12 2030 GMT (3650 days) Write out database with 1 new entries Data Base Updated INFO: generated /etc/openvpn/easy-rsa/keys/meintablet.ovpn root@OpenVpn ~# openvpn-addclient mydevice info@test.de Using Common Name: mydevice Generating a RSA private key ...................................................................................................................................................................................+++++ ....................................................+++++ writing new private key to 'mydevice.key' ----- Using configuration from /etc/openvpn/easy-rsa/openssl.cnf Check that the request matches the signature Signature ok The Subject's Distinguished Name is as follows countryName :PRINTABLE:'US' stateOrProvinceName :PRINTABLE:'CA' localityName :PRINTABLE:'San Francisco' organizationName :PRINTABLE:'TurnKey Linux' organizationalUnitName:PRINTABLE:'OpenVPN' commonName :PRINTABLE:'mydevice' name :PRINTABLE:'openvpn' emailAddress :IA5STRING:'info@test.de' Certificate is to be certified until Sep 14 21:57:21 2030 GMT (3650 days) Write out database with 1 new entries Data Base Updated INFO: generated /etc/openvpn/easy-rsa/keys/mydevice.ovpn root@OpenVpn ~10: Dieses Key-File (mydevice.ovpn) benötigst Du nun, ziehe ich z.B. mit Filezilla, per SFTP, runter: INFO: generated /etc/openvpn/easy-rsa/keys/mydevice.ovpn
11. Auf meinem Iphone und IPad habe ich OpenVPN Connect installiert - klick mich:
- Öffne dort die Key Datei mit OpenVPN Connect - das sollte es dann gewesen sein, der Rest erklärt sich selber.
Falls ich aufgrund Demenz etwas vergessen habe, oder nicht funktioniert, melde Dich nochmal. Viele Wege führen nach Rom, vielleicht wissens auch Andere hier noch besser...
Ich habe einen 500/100MBit - Glasfaseranschluss - die Begrenzung war bisher nur das Unterwegs-Gastnetzwerk in dem ich eingeloggt war, aber nie mehr die VPN Verbindung als Solche. VPN direkt eingerichtet über eine Fritzbox oder anderen schwachen Router/Hardware begrenzt da teilweise ganz gewaltig. Sofern VPN über einen potenten NUC (wie unseren ;-) ) eingerichtet, sicherlich eine sehr gute Option.
Hoffe ich konnte helfen,
Gruß,
Matthias
Edit/Generelle Info: Einige Hotel Wlans, aber auch Fritzbox Gastnetztwerke erlauben nur das reine Surfen und Email abbrufen - also nicht wundern, wenn Du aus einem solchem Wlan nicht per VPN nach Hause kommst, sich keine Verbindung aufbaut... Sofern ich dann alternativ auf meinem Iphone ne gute LTE Verbindung übers Mübilfunknetz habe, deaktiviere ich das Gastnetz-Wlan und OpenVpneeee per LTE nach Hause... Es gibt (gab?) aber auch wohl Mobilfunktarife, die ganz billgen, bei denen auch VPN gesperrt ist/war - tbc...
Lohnt sich immer man nachzuschauen falls man einen günstigen NUC/MiniPc sucht - klick mich.
@lemuba
Hallo,
ich bin auf diesen Beitrag gestoßen weil ich dasselbe Problem habe einen OpenVPN Server im Proxmox Container zum Laufen zu bekommen. IO Broker selbst nutze ich bisher nicht.
Da der DL bereits entfernt wurde wollte ich nun dem Angebot folgen und mir den Link schicken lassen. Ich bekomme es aber nicht mal hin eine PM an @lemuba zu schicken .. :confused:
Kann mir bitte einer sagen wie das in diesem Forum geht.
Besten Dank
Thomas -
@lemuba
Hallo,
ich bin auf diesen Beitrag gestoßen weil ich dasselbe Problem habe einen OpenVPN Server im Proxmox Container zum Laufen zu bekommen. IO Broker selbst nutze ich bisher nicht.
Da der DL bereits entfernt wurde wollte ich nun dem Angebot folgen und mir den Link schicken lassen. Ich bekomme es aber nicht mal hin eine PM an @lemuba zu schicken .. :confused:
Kann mir bitte einer sagen wie das in diesem Forum geht.
Besten Dank
Thomas@Schevenhütte rechts auf die 3 Punkte...Beginne neuen Chat
-
@crunchip
Hi,
das ist alles? Chat / Mail hab ich nicht kapiert. Dumm von mir.
Danke .. -
@crunchip
Hi,
das ist alles? Chat / Mail hab ich nicht kapiert. Dumm von mir.
Danke ..Hatte Euch den Link per PM geschickt, hier aber nun nochmal für einige Zeit direkt...:
https://www.amazon.de/clouddrive/share/BKIa571uUWRmCnTRcTE5KO4xw2Xk166RIAfKD9a0NUz
Gruß,
Lemuba
-
Hatte Euch den Link per PM geschickt, hier aber nun nochmal für einige Zeit direkt...:
https://www.amazon.de/clouddrive/share/BKIa571uUWRmCnTRcTE5KO4xw2Xk166RIAfKD9a0NUz
Gruß,
Lemuba
-
Ne, nicht wirklich, aber hilft Dir vielleicht dieser Artikel weiter?:
https://www.glasfaser-huenstetten.de/anleitung-ds-lite-open-vpn-server/
Das Gerüst meines Containers sollte ja auch die Möglichkeit bieten, OpenVPN in Richtung IPV6 wie im Artikel beschrieben zu konfigurieren. Ich habe Gott sei Dank einen vollwertigen Glasfaser Anschluss ;-) Mit IPV6 habe ich mich auch noch nicht wirklich beschäftigen müssen.
-
@lemuba Die Doku hinter deinem Link sieht vielversprechend aus. Das wird wohl ein längeres Projekt. Mal schauen, ob ich es zum Erfolgt bringe. Ich werde berichten.
-
@lemuba
Besten Dank nochmals für den Backup CT!Nachdem ich begriffen habe wo ich das Backup ablegen muß um es unter Proxmox zurückspielen zu können ging das Restore soweit.
Die Netzwerkeinstellungen habe ich auf mein LAN angepasst.
Anschließend den Container gestartet.
Wenn ich dann aber die Konsole starte kommt kein Login um der Anleitung weiter zu folgen.
Hat jemand eine Idee was ich falsch machen könnte?Besten Dank
Thomas -
@lemuba
Besten Dank nochmals für den Backup CT!Nachdem ich begriffen habe wo ich das Backup ablegen muß um es unter Proxmox zurückspielen zu können ging das Restore soweit.
Die Netzwerkeinstellungen habe ich auf mein LAN angepasst.
Anschließend den Container gestartet.
Wenn ich dann aber die Konsole starte kommt kein Login um der Anleitung weiter zu folgen.
Hat jemand eine Idee was ich falsch machen könnte?Besten Dank
Thomas@Schevenhütte ich gehe mal davon aus, das du deinem CT keine feste IP gegeben hast/Ipv6 auf auto stehen hast. Da kann es passieren, das unter Umstanden, es ein paar Minuten dauert, bis du auf der Konsole was siehst.
Stoppe den CT vergib eine feste Ipv4 und stelle ipv6 auf slaac. Starten freuen -
@lemuba
Besten Dank nochmals für den Backup CT!Nachdem ich begriffen habe wo ich das Backup ablegen muß um es unter Proxmox zurückspielen zu können ging das Restore soweit.
Die Netzwerkeinstellungen habe ich auf mein LAN angepasst.
Anschließend den Container gestartet.
Wenn ich dann aber die Konsole starte kommt kein Login um der Anleitung weiter zu folgen.
Hat jemand eine Idee was ich falsch machen könnte?Besten Dank
ThomasMoin Thomas,
@crunchip hatte Dir ja schon geantwortet - ich habe da auch keine weitere Idee.
Wenn Du es gar nicht zum Laufen bekommst, vielleicht nochmal einige zusätzliche Infos geben.
Proxmox Version/Hardare auf der es läuft, Router Hersteller und Typ, IP Adressbereiche DHCP und Statisch. Router IP, etc.Sind ja einige hier dabei, bei denen es direkt lief und ich bin auch gerade erst wieder problemlos auf einen neuen NUC umgezogen.
Gruß,
lemuba
-
Moin Thomas,
@crunchip hatte Dir ja schon geantwortet - ich habe da auch keine weitere Idee.
Wenn Du es gar nicht zum Laufen bekommst, vielleicht nochmal einige zusätzliche Infos geben.
Proxmox Version/Hardare auf der es läuft, Router Hersteller und Typ, IP Adressbereiche DHCP und Statisch. Router IP, etc.Sind ja einige hier dabei, bei denen es direkt lief und ich bin auch gerade erst wieder problemlos auf einen neuen NUC umgezogen.
Gruß,
lemuba
@lemuba Danke für deine Antwort, aber bei mir läuft es doch😉 sogar mein Grafana erreich ich wieder von ausserhalb, was vorher via vpn/ipsec nicht funktionierte
Edit: war ja nur eine Erwähnung und nicht auf mich bezogen, passiert, wenn man im halbschlaf ließt😂 -
@crunchip @lemuba
Hallo crunchip, danke für deine / eure Hilfe.
Im Grunde hatte ich alles so eingestellt wie du es beschrieben hast.
Container hat eine feste IP die ich zuvor in der Fritzbox gecheckt hatte.
Dann habe ich noch die Cores reduziert da mein HP ProLiant G7 N54L nur 2 hat und @lemuba 4 eingestellt hatte.
Nach Start des CT wurde die MAC dann auch in der Fritzbox angezeigt, jedoch ohne IP. Konnte der MAC innerhalb der Fritzbox allerdings auch keine IP vergeben!
Habe dann den Netzwerkteilnehmer in der Fritzbox mal gelöscht und anhand der MAC händisch angelegt. Dann konnte ich dem Teilnehmer eine IP zuweisen. Start / Stop des Containers aber wieder erschien kein Login in der Konsole.
Erst dein Tip die ipv6 Einstellung auf slaac zu stellen hat das Problem gelöst. :+1:
Muss mal nachlesen was slaac bedeutet, hab echt keine Ahnung.Nun werde ich der Anleitung von @lemuba weiter folgen.
Sorry wenn sich das bei mir so endlos hinzieht, bin beruflich im Heizungsbau unterwegs und der Winter naht .. :snow_cloud:
Gruß
Thomas
Support us
558
Online32.5k
Benutzer81.7k
Themen1.3m
Beiträge