Wenn der OpenVPN Client keine Verbindung aufbaut, können unterschiedliche Ursachen vorliegen. Je nach Fehlerursache ist eine entsprechende Fehlermeldung in der OpenVPN Logdatei enthalten. Anhand dieser Fehlermeldung kann die mögliche Fehlerursache eingegrenzt werden:

1. Fehlermeldungen laut OpenVPN-Logdatei

1.1 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
1.2 AUTH: Received control message: AUTH_FAILED
1.3 RESOLVE: Cannot resolve host address: xxxx.mdex.de
1.4 Certificate has expired
1.5 Verifiy error / certificate verify failed
1.6 Incoming plaintext read error / TLS handshake failed

Sollten Sie den OpenVPN Client auf einem Windows PC installiert haben, finden Sie weitere Hinweise in der FAQ Warum baut der Leitstellentunnel (OpenVPN GUI) keine Verbindung auf?.

1.1 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)

Problem:
Die Logdatei des OpenVPN-Client zeigt beim erfolglosen Verbindungsaufbau die nachfolgende Fehlermeldung an:

TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
TLS Error: TLS handshake failed 

Mögliche Ursachen:

• Eine Firewall verhindert den UDP/TCP Verbindungsaufbau des OpenVPN Client zum mdex OpenVPN Server.
  • Der OpenVPN-Client baut die Verbindung zu mdex in aller Regel über UDP-Port 1194 oder 9300 auf und darf nicht blockiert werden.
  • Wenn eine explizite Freischaltung in der Firewall für bestimmte IP-Adressen zur OpenVPN Verbindungsherstellung eingerichtet wurde, müssen die aktuellen IP-Adressen der mdex Server in der Firewall eingestellt werden. Weitere Infos dazu siehe FAQ Grundvoraussetzungen zum Aufbau einer OpenVPN Verbindung).
• Der OpenVPN Client verwendet einen falschen Port zum OpenVPN-Verbindungsaufbau. Den erforderlichen UDP/TCP Port des mdex Zugang laut mdex OpenVPN-Einstellungen verwenden.
• Bei Verwendung eines Teltonika RUT240/955 mit einer mdex Easy SIM (KPN) funktioniert der OpenVPN-Verbindungsaufbau seit dem Upgrade von der Legacy Firmware auf die aktuelle Version nicht mehr, weil die MTU 1120 eingestellt ist. Weitere Hinweise siehe FAQ MTU einer mdex SIM-Karte einstellen -> Teltonika Router.
• Der Router hat eine schlechte Internetverbindung mit zu langen Paketlaufzeiten.

---

1.2 AUTH: Received control message: AUTH_FAILED

Problem:
Der OpenVPN Client baut keine Verbindung zum mdex VPN auf. In der Logdatei des OpenVPN Client erscheint die Fehlermeldung:

AUTH: Received control message: AUTH_FAILED

Mögliche Ursachen:

• Der Username und/oder das Passwort des OpenVPN Zugang sind falsch oder fehlen.
• Falsches oder fehlendes OpenVPN CA Zertifikat.
• Es wurden die falschen OpenVPN Einstellungen für diesen mdex Zugang verwendet, siehe mdex OpenVPN-Einstellungen.

---

1.3 RESOLVE: Cannot resolve host address: xxxx.mdex.de

Problem:
Der OpenVPN Client baut keine Verbindung zum mdex VPN auf. In der Logdatei des OpenVPN Client erscheint die Fehlermeldung:

RESOLVE: Cannot resolve host address: xxx.mdex.de

Ursache & Lösung:

• Der OpenVPN Client hat keine Internetverbindung. Die Internetverbindung des Routers prüfen und ggf. den Empfang verbessern.
• Der OpenVPN Client kann keine DNS Namen auflösen. Die eingestellten DNS Server prüfen und ggf. alternativ die mdex DNS-Server (46.16.216.25 | 46.16.220.26) verwenden.
• Bei Verwendung eines separaten VPN-Routers (z.B. MX200 oder MRT150N), der die OpenVPN-Verbindung über einen separaten Internet-Router aufbaut, stimmen die Netzwerkeinstellungen im VPN-Router nicht mehr. Bitte die Netzwerkeinstellungen (IP-Adresse, Standardgateway, DNS-Server) im VPN-Router prüfen und ggf. anpassen.

---

1.4 Certificate has expired

Problem / Fehlerbild:

• Seit dem 3.11.2022 baut der OpenVPN-Client plötzlich keine Verbindung mehr zu mdex auf.
• In der Logdatei erscheint ua. folgende Meldung:

  TLS Error: TLS handshake failed 
  TLS Error: TLS object -> incoming plaintext read error
  TLS_ERROR: BIO read tls_read_plaintext error: error:14090086:lib(20):func(144):reason(134)
  VERIFY ERROR: depth=0, error=certificate has expired: C=DE, ... 

Ursache:
Am 2. November 2022 um 23:00 Uhr lief bei den alten mdex OpenVPN Servern fixedip.mdex.de und publicip.mdex.de (altes Sicherheitslevel 10) das OpenVPN-Zertifkat ab. Die OpenVPN-Verbindungsherstellung zu diesen mdex OpenVPN-Servern ist seitdem technisch nicht mehr möglich. Da diese mdex OpenVPN-Server nicht mehr dem aktuellen Sicherheitsstandard entsprechen, können OpenVPN-Verbindungen nur noch zum aktuellen mdex OpenVPN-Server (Sicherheitslevel 20) hergestellt werden. Weitere Informationen hierzu siehe FAQ Welche Maßnahmen sind zur Umstellung des mdex OpenVPN-Servers erforderlich?.

Lösung:
Verwenden Sie die aktuellen mdex OpenVPN-Einstellungen laut mdex OpenVPN-Einstellungen.

• Bei Verwendung eines mdex Routers finden Sie hier die erforderlichen Maßnahmen.
• Für andere Router/Systeme finden Sie hier die erforderlichen Anpassugen zur Aktualsierung der OpenVPN-Einstellungen.

---

1.5 Verifiy error / certificate verify failed

Problem / Fehlerbild:

• Seit dem 22.7.2022 baut der OpenVPN-Client (OpenVPN GUI) plötzlich keine Verbindung mehr zu mdex auf.
• In der Logdatei erscheinen z.B. folgende Meldungen:

  VERIFY ERROR:
  OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed 

Ursache:
Es werden veraltete OpenVPN-Einstellungen zur Verbindungsherstellung zu mdex verwendet, bei denen u.a. die mdex 'Certificate Revocation List' via crl-verifiy im OpenVPN Client implementiert wurde. Das CRL-Zertifikat ist am 22.7.2022 abgelaufen, seitdem kann keine OpenVPN-Verbindung mehr zu mdex hergestellt werden.

Lösung:
Verwenden Sie die aktuellen mdex OpenVPN-Einstellungen laut mdex OpenVPN-Einstellungen.

---

1.6 Incoming plaintext read error / TLS handshake failed

Problem / Fehlerbild:

• Der OpenVPN-Client wurde ordnungsgemäß eingerichtet und der mdex OpenVPN-Server ist erreichbar.
• Der UDP Port 1194 (oder 9300) wird nicht durch eine Firewall blockiert.
• Trotzdem erfolgt keine erfolgreiche Authentifizierung. In der Logdatei erscheinen z.B. folgende Meldungen:

  OpenSSL: error:1416F086:lib(20):func(367):reason(134)
  TLS_ERROR: BIO read tls_read_plaintext error
  TLS Error: TLS object -> incoming plaintext read error
  TLS Error: TLS handshake failed 

Ursache:
Das eingestellte Datum des Routers, auf dem der OpenVPN-Client eingerichtet wurde, ist älter als das mdex OpenVPN-Server Zertifikat. Erfolgreichen OpenVPN-Authentifizierungen von Routern mit einem veralteten Datum sind nicht möglich.

Lösung:
Aktualisieren Sie das Datum, bzw. die Uhrzeit im Router. Idealerweise sollte der NTP Uhrzeitabgleich automatisch erfolgen, damit Datum/Uhrzeit im Router grundsätzlich aktuell sind. Bei mdex Routern, bzw. von mdex vorkonfigurierten Teltonika Routern ist der automatische NTP Uhrzeitabgleich zu time.mdex.de (über Port 123) voreingestellt.