VPN naar TP-Link Archer MR600 4G router

[cellphone05]

Beste Forumgebruikers!

Ik heb een vraag over het gebruik van een TP-Link Archer MR600 4G Router.
Dit toestel kan met behulp van een 4G simkaartje internet voorzien.
Gemakkelijk op een plek waar je niet in de mogelijkheid bent om een vaste internet aansluiting te krijgen.

Onder de instellingen van deze TP-Link router kan je een VPN verbinding configureren.
Zo kan je gemakkelijk vanop afstand een VPN verbinding tot stand brengen.
Dit heb ik nodig om bijvoorbeeld PLC machines uit te kunnen lezen.
Nu is dit helaas niet mogelijk omwille van de Telenet Simkaart die erin steekt.
Op het forum van Telenet spreken ze over het volgende.

Het IP adres dat je terugkrijgt via dyndns is heel waarschijnlijk het WAN IPv4 adres van de TP Link router.
Dat is een CGNAT adres (uit het 100.64.0.0/10 blok), en niet het publiek IPv4 adres waarmee je op het internet komt.
Zelfs indien dyndns jouw publiek IPv4 adres zou kennen, kan je de router toch niet benaderen via dat adres, gezien deze achter een NAT zit (meerdere SIM kaarten van Telenet delen één publiek IPv4 adres).

Vervelend wel want het is wel nodig om een VPN verbinding te kunnen maken.
Zijn er hier ervaringsdeskundige die een soort gelijke situatie hebben?
Is er een alternatieve provider van Simkaarten die het wel toelaat om een VPN verbinding tot stand te brengen?
Ik denk dan aan bijvoorbeeld IoT Simkaarten?
Dit is voor particulieren wel te verstaan.

Alvast bedankt voor jullie inzichten!

[7zp]

Om een VPN Server te starten op dat machine gaat inderdaad geen (gemakkelijke) mogelijkheid zijn. Wat je wel kan doen is dat machine als een VPN client in te stellen, die dan verbinding maakt naar een VPN server die bereikbaar is op een vast IP, en site-to-site routing instellen.

Je kan bv bij een goedkope server boer een VPS huren die fungeert als VPN server.

Jij thuis (VPN Client) <--> VPN Server (op VPS) <--> TP-Link (VPN Client) <--> PLCs

[cellphone05]

Beste 7zp,

Bedankt voor je reactie!
Je alternatieve oplossing leek me inderdaad een mooie om het toch op te lossen.
Helaas heb ik net dit gevonden over de TP-Link Archer MR600.
Currently, the MR600 doesn't support VPN Client feature, but it supports VPN Passthrough, so you could configure VPN on your client devices to connect the remote NordVPN Server.
Bron: https://community.tp-link.com/en/home/f ... pic/546946

Dat betekent dat ik helaas geen VPN client kan configureren op deze router.
Ik vrees dat ik het 4G verhaal achterwegen moet laten en een vaste lijn ga moeten voorzien waar ik dan een Vast IP adres op activeer.
Tenzij er nog andere forumgebruikers zijn die mogelijks een oplossing hebben?

[Sinna]

Afhankelijk van hoe bedrijfskritisch die 4G-lijn is kan je eventueel een eenvoudige Raspberry Pi als client koppelen met de 4G-router en daarop je VPN client starten (ipv. van op de 4G-router zelf die dat blijkbaar niet ondersteunt). Die kan dan naar de VPS verbinden waar @7zp naar verwijst.

Als je thuis een internetlijn met vast IP-adres hebt, dan kan die VPS er volgens mij tussenuit. Als het een dynamisch IP-adres is, dan kan een DynDNS misschien helpen, maar geen idee hoe snel die VPN-service op de Raspberry Pi door zal hebben dat de verbinding opnieuw opgezet moet worden omdat het doeladres gewijzigd is.

Ik denk dat ik het wat simplistisch voorstel, maar dat zou in grote lijnen toch moeten kunnen.

[streulma]

Het is me zelf op deze manier gelukt met iptables via OpenVPN. (met Telenet simkaart)
Ter info: mijn desktop pc is/was wel verbonden met de openvpn van de server.

Als voorbeeld SSH open gezet (op mijn desktop pc) publiek op de vps met poort 2222.

Code: Selecteer alles

*filter
:INPUT DROP [8:320]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [131:15809]
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 2222 -j ACCEPT
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -s 10.8.0.0/24 -j ACCEPT
-A FORWARD -p tcp -d 10.8.0.2 --dport 22 -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
COMMIT

Code: Selecteer alles

*nat
:PREROUTING ACCEPT [16:616]
:INPUT ACCEPT [8:296]
:OUTPUT ACCEPT [2:156]
:POSTROUTING ACCEPT [1:78]
-A POSTROUTING -o ens3 -j MASQUERADE
-A POSTROUTING -s 10.8.0.0/24 -o ens3 -j MASQUERADE
-A PREROUTING -i ens3 -p tcp --dport 2222 -j DNAT --to 10.8.0.2:22
-A POSTROUTING -p tcp -d 10.8.0.2 --dport 22 -j MASQUERADE
COMMIT

Om te checken of de VPN connectie op de desktop pc draait gebruik ik dit script:

Code: Selecteer alles

#!/bin/bash +x
  while [ "true" ]
   do
        CON="vpn"
        STATUS=`nmcli con show --active | grep $CON | cut -f1 -d " "`
        if [ -z "$STATUS" ]; then
                echo "Disconnected, trying to reconnect..."
                (sleep 1s && nmcli con up $CON)
        else
                echo "Already connected !"
        fi
        sleep 30
   done

[philippe_d]

Dat betekent dat ik helaas geen VPN client kan configureren op deze router.
Ik vrees dat ik het 4G verhaal achterwegen moet laten en een vaste lijn ga moeten voorzien waar ik dan een Vast IP adres op activeer.
Tenzij er nog andere forumgebruikers zijn die mogelijks een oplossing hebben?

Ik gebruik in dergelijke setups een Fritz!Box 6850 LTE. Hierbij zijn er 2 mogelijkheden:

1. client-server:
   • de Fritz!Box LTE maakt een (permanente) VPN verbinding met de Fritz!Box thuis.
   • de Fritz!Box LTE is bereikbaar via een lokaal IP adres van mijn thuisnetwerk.
   • ik kan alleen de Fritz!Box LTE bereiken (voor instellingen), niet het achterliggend lokaal netwerk (tenzij portforwarding?).
2. LAN-LAN:
   • de Fritz!Box LTE en de Fritz!Box thuis maken een LAN-LAN VPN verbinding.
   • dit werkt ook als de Fritz!Box LTE achter een CGNAT zit.
   • ik kan het volledig remote netwerk bereiken op hun lokale IP adressen.

Mijn GSM is via Wireguard ook altijd verbonden met de Fritz!Box thuis, ik kan dus van onderweg ook deze remote sites bereiken.