UniFi OpenVPN-Verbindung funktioniert nach einem Update nicht mehr? So lösen Sie das Problem

Ihre UniFi OpenVPN-Verbindung funktioniert nicht mehr, seit der Server aktualisiert wurde? Wenn Sie VPN Tracker verwenden, liegt es wahrscheinlich an unterschiedlichen Kompressionseinstellungen: Der aktualisierte UniFi-Server verwendet keine Kompression mehr, während in Ihrer bestehenden Verbindung noch LZO eingestellt ist.

Die gute Nachricht: In der Regel müssen Sie Ihre VPN-Verbindung nicht vollständig neu einrichten. Sie können entweder die Kompression in der bestehenden Verbindung deaktivieren oder ein aktuelles .ovpn-Profil aus UniFi exportieren und neu importieren.

Was hat sich durch das UniFi OpenVPN-Server-Update geändert?

Ältere von UniFi erzeugte OpenVPN-Profile konnten die LZO-Komprimierung verwenden. Nach einer Aktualisierung des OpenVPN-Server-Stacks kann UniFi diese Komprimierung deaktivieren. In einer bereits vorhandenen Client-Verbindung kann die bisherige LZO-Einstellung jedoch erhalten bleiben.

Das Kompressionsverhalten von OpenVPN muss an beiden Enden des Tunnels kompatibel sein. Wenn der aktualisierte Server keine Kompression mehr verwendet, das Client-Profil aber noch das bisherige Kompressionsformat erwartet, kann der Verbindungsaufbau scheitern – obwohl Serveradresse, Benutzername, Passwort und Zertifikate unverändert sind.

Deshalb kann eine Verbindung, die direkt vor dem UniFi-Update noch funktioniert hat, plötzlich ausfallen, ohne dass Sie etwas an Ihrem Mac geändert haben.

Warum wird die OpenVPN-Komprimierung deaktiviert?

Das Abschalten der Komprimierung ist eine Sicherheitsverbesserung. OpenVPN hat Kompression als veraltet eingestuft, weil die Kombination aus komprimierten und verschlüsselten Daten Angriffe wie VORACLE ermöglichen kann. Die aktuelle OpenVPN-Empfehlung lautet daher, die Komprimierung zu deaktivieren.

Technische Hintergründe finden Sie in den OpenVPN-Hinweisen zur Komprimierung.

So aktualisieren Sie Ihre bestehende UniFi-Verbindung in VPN Tracker

Wenn auf dem UniFi-Server nur die Kompression geändert wurde, können Sie Ihre bestehende Verbindung direkt anpassen:

1. Öffnen Sie Ihre UniFi-OpenVPN-Verbindung in VPN Tracker zur Bearbeitung.
2. Wechseln Sie zu Advanced Options und öffnen Sie Phase 2 (OpenVPN).
3. Stellen Sie Compression auf No.
4. Entfernen Sie LZO aus der Liste der Komprimierungsalgorithmen.
5. Speichern Sie die Verbindung und stellen Sie sie erneut her.

Für diese Änderung allein müssen Sie keine neue .ovpn-Datei importieren. Die zugehörige VPN Tracker Support-FAQ fasst diese Schritte kompakt zusammen.

Alternative Lösung: Eine neue UniFi-OpenVPN-Konfiguration importieren

Ein Neuimport ist sinnvoll, wenn Ihre Administration ein neues Profil bereitgestellt hat oder wenn Sie nicht sicher sind, ob ausschließlich die Kompression auf dem Server geändert wurde.

1. Öffnen Sie die VPN-Server-Einstellungen in der UniFi Network Application.
2. Exportieren Sie eine aktuelle OpenVPN-Konfiguration für den betreffenden Benutzer.
3. Importieren Sie die neue .ovpn-Datei in VPN Tracker.
4. Speichern Sie die neue Verbindung und testen Sie den Zugriff auf die benötigten Ressourcen im entfernten Netzwerk.

Ein aktueller Export kann auch Änderungen an Zertifikaten, Schlüsseln, Serveradresse, Port, Routing oder weiteren Verbindungsparametern enthalten. Behalten Sie die bisherige Verbindung, bis Sie die neue erfolgreich getestet haben.

Die vollständige Server- und Client-Einrichtung finden Sie in unserer Anleitung VPN für Ubiquiti UniFi einrichten. Ubiquiti beschreibt die aktuellen Voraussetzungen und den Export außerdem in der englischsprachigen Anleitung UniFi Gateway OpenVPN Server.

Sollten Sie die LZO-Komprimierung wieder aktivieren?

In den meisten Fällen nicht. Wenn Sie die veraltete Komprimierung wieder aktivieren, machen Sie den Sicherheitsvorteil des Server-Updates rückgängig. Passen Sie stattdessen das Client-Profil an die neue Serverkonfiguration ohne Kompression an.

Wenn Sie das UniFi-Gateway nicht selbst verwalten, fragen Sie Ihre Netzwerkadministration, ob der OpenVPN-Dienst aktualisiert und ein neues Profil bereitgestellt wurde. Nehmen Sie keine serverseitigen Änderungen vor, ohne diese mit der zuständigen Administration abzustimmen.

UniFi OpenVPN verbindet sich weiterhin nicht? Prüfen Sie diese Punkte

Falls die geänderte Kompressionseinstellung das Problem nicht löst, wurden möglicherweise weitere Parameter aktualisiert – oder der zeitliche Zusammenhang ist zufällig. Prüfen Sie Folgendes:

• Aktuelle Konfiguration: Exportieren Sie eine neue .ovpn-Datei aus UniFi und testen Sie diese als separate Verbindung.
• Zugangsdaten und Zertifikate: Prüfen Sie, ob der Benutzer weiterhin aktiviert ist und ob Zertifikate und Schlüssel noch aktuell sind.
• Serveradresse: Prüfen Sie die öffentliche IP-Adresse oder den DDNS-Hostnamen. Diese Angaben können sich durch ein Update oder einen Router-Neustart geändert haben.
• Erreichbarkeit: Befindet sich das UniFi-Gateway hinter einem weiteren Router, prüfen Sie die Portweiterleitung an die richtige interne Adresse.
• Routing: Wird der Tunnel aufgebaut, interne Ressourcen sind aber nicht erreichbar, prüfen Sie die entfernten Netzwerke, mögliche Überschneidungen mit dem lokalen Netzwerk und die UniFi-Firewall-Regeln.
• Verbindungsprotokoll: Prüfen Sie das VPN Tracker Protokoll auf Fehler bei Kompression oder Aushandlung. Bei Bedarf können Sie einen Technical Support Report für das VPN Tracker Support-Team erstellen.

Sie konfigurieren ohnehin neu? Verwalten Sie Ihre VPN-Verbindungen in einer App

Ein Server-Update ist ein guter Anlass, veraltete Profile aufzuräumen. VPN Tracker kann aktuelle UniFi-.ovpn-Konfigurationen importieren und OpenVPN gemeinsam mit WireGuard®, IPsec, L2TP, SSTP und weiteren Business-VPN-Protokollen in einer App verwalten.

Für Teams ermöglicht TeamCloud die zentrale Bereitstellung vorkonfigurierter Verbindungen und späterer Konfigurationsänderungen. So lässt sich die nächste Gateway-Änderung einfacher ausrollen, als neue Profile manuell an alle Benutzer zu verteilen.

Häufig gestellte Fragen

Muss ich nach dem UniFi-Update eine neue .ovpn-Datei exportieren?

Nicht unbedingt. Wenn nur die Komprimierung deaktiviert wurde, genügt es, Compression auf No zu stellen und LZO aus der bestehenden VPN Tracker Verbindung zu entfernen. Importieren Sie ein neues Profil, wenn sich weitere Servereinstellungen geändert haben oder Ihre Administration Sie dazu auffordert.

Warum enthält mein altes UniFi-OpenVPN-Profil weiterhin LZO?

Das Profil bildet die Serverkonfiguration zum Zeitpunkt des Exports ab. Ein Server-Update aktualisiert eine bereits auf Ihrem Mac gespeicherte Verbindung nicht automatisch.

Ist die LZO-Komprimierung sicher?

OpenVPN rät von Kompression in verschlüsselten VPN-Tunneln ab, da Angriffsmethoden wie VORACLE bekannt sind. Wenn möglich, sollten Client und Server ohne Kompression konfiguriert sein.

Handelt es sich um einen Fehler in VPN Tracker?

Nein. Die Verbindung scheitert, weil die alte Client-Konfiguration und der aktualisierte UniFi-Server nicht mehr dieselben Kompressionseinstellungen verwenden. Durch die Anpassung der bestehenden Verbindung oder den Import des neuen UniFi-Profils beheben Sie diesen Unterschied.

Kann ich auf UniFi statt OpenVPN auch WireGuard verwenden?

Viele aktuelle UniFi-Gateways bieten auch WireGuard an. Ob eine Migration sinnvoll ist, hängt von Ihrem Gateway, den Client-Geräten, den Anforderungen Ihrer Bereitstellung und den Vorgaben Ihrer Administration ab. Nur zur Behebung dieses LZO-Problems müssen Sie das VPN-Protokoll nicht wechseln.