OpnVPN über TCP 443

[PiMas]

Hallo

Ich möchte den OpnVPN Dienst auf TCP 443 umkonfigurieren. Allerdings habe ich auf 443 bereits meine Nextcloud am laufen. Diese ist via HAProxy eingerichtet, nach dieser Anleitung: https://schulnetzkonzept.de/opnsense.

Ist es überhaupt möglich, OpnVPN auch noch über 443 zu betreiben?

lg

[chemlud]

Warum soll denn der Tunnel über den Port für HTTPS aufgebaut werden? Man kann doch irgendeinen Port (12345? whatever...) verwenden.

https://serverfault.com/questions/391887/running-multiple-services-on-one-port-443-is-possible

[PiMas]

Es gibt halt Netze wo nur 80 & 443 erlaubt sind.

[Monviech (Cedrik)]

Die Firewall kann Anhand des eingehenden Interfaces, des Ports und des Protokolls entscheiden wie ein Paket behandelt wird.

Wenn auf Interface WAN, Port 443, Protokoll TCP der HA Proxy die Weiterleitung des Pakets erhält, hast du immer noch die Möglichkeit mit Interface WAN, Port 443, Protokoll UDP das OpenVPN Paket an den OpenVPN Server in der Opnsense zu senden.

[mimugmail]

Es gibt das Programm sslh zum splitten, allerdings nur via cli, ohne plugin

[PiMas]

Danke für eure Antworten.

Wenn in einem eingeschränkten Netz nur 443/TCP freigegeben ist, reicht die Lösung via UDP leider auch nicht.

Gibt es denn mit dem HAProxy eine Möglichkeit zu "splitten"?

[mimugmail]

Nicht das ich wüsste, glaub der kann nur http oder TCP.

[chemlud]

Wenn in einem eingeschränkten Netz nur 443/TCP freigegeben ist, reicht die Lösung via UDP leider auch nicht.

Wer betreibt denn sowas? Schulen?

[PiMas]

Hotels zB. Schon mehr als einmal erlebt.

[lewald]

Rein theoretisch geht das.

Open Vpn kann ja TCP und dann auch port 443.

Mit Pfsense hat jemand sowas schon gebaut.

https://forum.netgate.com/topic/149715/haproxy-with-openvpn-over-tcp-443-on-pfsense

Ich habe auch tricks gesehen die das via Port 53 machen. Da ginge auch udp und das ist auch offen (meistens).

Mit 443 auf haproxy braucht es halt idealerweise eine subdomain für vpn und eine für den webserver.

Zum Beispiel vpn.domain.de und www.domain.de. Damit der haproxy auf die backend verteilen kann.

PS: Bei einem Kunden von uns macht der Softwaredienstleister das OpenVPN via 443 und TCP.
Ob da ein Proxy am anderen Ende ist weiß ich allerdings nicht.

Je nach Firewall hilft das aber eben auch nicht. Weil es gibt durchaus Produkte die eine Protoll Inspection machen. Heißt die schauen ob das typische Protokoll für einen Port auch genutzt wird. Weicht es ab verhindern die das. Ich kenne das aus den von uns bisher verwendten  kommerziellen Produkten. Da gibst sowas wie erkenne Tunnel auf anderen Ports.

[chemlud]

...wenn (nicht) 53 geht, warum nicht vielleicht 123? :-)

[PiMas]

Rein theoretisch geht das.

Open Vpn kann ja TCP und dann auch port 443.

Mit Pfsense hat jemand sowas schon gebaut.

https://forum.netgate.com/topic/149715/haproxy-with-openvpn-over-tcp-443-on-pfsense

Ich habe auch tricks gesehen die das via Port 53 machen. Da ginge auch udp und das ist auch offen (meistens).

Mit 443 auf haproxy braucht es halt idealerweise eine subdomain für vpn und eine für den webserver.

Zum Beispiel vpn.domain.de und www.domain.de. Damit der haproxy auf die backend verteilen kann.

PS: Bei einem Kunden von uns macht der Softwaredienstleister das OpenVPN via 443 und TCP.
Ob da ein Proxy am anderen Ende ist weiß ich allerdings nicht.

Je nach Firewall hilft das aber eben auch nicht. Weil es gibt durchaus Produkte die eine Protoll Inspection machen. Heißt die schauen ob das typische Protokoll für einen Port auch genutzt wird. Weicht es ab verhindern die das. Ich kenne das aus den von uns bisher verwendten  kommerziellen Produkten. Da gibst sowas wie erkenne Tunnel auf anderen Ports.

Hallo lewald

Das Problem mit Protoll Inspection muss ich wohl in Kauf nehmen, für den Rest klingt das nach einer Lösung.

Ich habe für VPN und Web zwei verschiedene Subdomains.

Da ich zu wenig Erfahrung mit HAProxy habe, verstehe ich die Logik der Anleitung von netgate.com nicht. Reicht es "frontend TCP_HTTPS"  & "backend pfsense_openvpn_tcp_1194_ipvANY" zum meiner bestehenden Konfig hinzuzufügen?

lg

[lfirewall1243]

Rein theoretisch geht das.

Open Vpn kann ja TCP und dann auch port 443.

Mit Pfsense hat jemand sowas schon gebaut.

https://forum.netgate.com/topic/149715/haproxy-with-openvpn-over-tcp-443-on-pfsense

Ich habe auch tricks gesehen die das via Port 53 machen. Da ginge auch udp und das ist auch offen (meistens).

Mit 443 auf haproxy braucht es halt idealerweise eine subdomain für vpn und eine für den webserver.

Zum Beispiel vpn.domain.de und www.domain.de. Damit der haproxy auf die backend verteilen kann.

PS: Bei einem Kunden von uns macht der Softwaredienstleister das OpenVPN via 443 und TCP.
Ob da ein Proxy am anderen Ende ist weiß ich allerdings nicht.

Je nach Firewall hilft das aber eben auch nicht. Weil es gibt durchaus Produkte die eine Protoll Inspection machen. Heißt die schauen ob das typische Protokoll für einen Port auch genutzt wird. Weicht es ab verhindern die das. Ich kenne das aus den von uns bisher verwendten  kommerziellen Produkten. Da gibst sowas wie erkenne Tunnel auf anderen Ports.

Hallo lewald

Das Problem mit Protoll Inspection muss ich wohl in Kauf nehmen, für den Rest klingt das nach einer Lösung.

Ich habe für VPN und Web zwei verschiedene Subdomains.

Da ich zu wenig Erfahrung mit HAProxy habe, verstehe ich die Logik der Anleitung von netgate.com nicht. Reicht es "frontend TCP_HTTPS"  & "backend pfsense_openvpn_tcp_1194_ipvANY" zum meiner bestehenden Konfig hinzuzufügen?

lg

Hast du bereits einen HAProxy am laufen?

[PiMas]

Hi Ifirewall1234

Ja, HAProxy läuft bereits.
Meine aktuelle Konfiguration entspricht dem Punkt "Reverse-Proxy" von hier: https://schulnetzkonzept.de/opnsense
Damit wird Nextcloud zugänglich gemacht.

[lfirewall1243]

Hi Ifirewall1234

Ja, HAProxy läuft bereits.
Meine aktuelle Konfiguration entspricht dem Punkt "Reverse-Proxy" von hier: https://schulnetzkonzept.de/opnsense
Damit wird Nextcloud zugänglich gemacht.

Würde es dann wie folgt versuchen

OpenVPN auf dem Standard Port laufen lassen. Im HAProxy eine Regel einrichten für "Host enthält vpn.domain.de" und als Backend dann auf deinen VPN Server.

Die Regel dann im öffentlichen Bereich des HAProxys hinterlegen.

Denke das sollte dann laufen