Haupt VPN

Version vom 3. September 2006, 18:01 Uhr

Info

Wer am Haupt VPN Teilnehmen möchte, also eine ausreichend schnelle Internetverbindung besitzt, kann sich von den VPN Admins einen Schlüssel erstellen lassen.

Die Teilnahme am VPN erzeugt momentan etwa 4kb konstanten Verkehr im up- und downstream, plus die übertragenen Daten über die Leitung. Durch den künstlich sehr hohen ETX Wert, werden Daten aber nur darüber übertragen, wenn es wirklich keine fruchtbare Verbindung gibt.

Installation

Zuerst muß OpenVPN installiert werden. Du benötigst dazu einen ssh shell, wie unter Windows z.B. PuTTY

Zuerst kannst du das Archiv, welches die Admins dir geschickt haben, auf den Linksys laden. Benutze dazu scp oder das Übertragunsprogram von Putty. Speichere die Datei am besten unter /tmp

scp vpn-[irgenwas].tar.gz root@192.168.1.1:/tmp

Logge dich als root auf dem Linksys ein und gib folgende Befehle ein:

ipkg update
ipkg install openvpn-ssl-nolzo
ipkg install freifunk-openwrt-compat

VPN-Keys besorgen

Die Keys sind beim den VPN-Admins zu besorgen. Falls die Dateien als Archiv kommen, kannst du sie entpacken

cd /
tar xvzf /tmp/vpn-[irgenwas].tar.gz

und danach in /etc/openvpn verschieben. Bei mehreren VPN-Verbindungen empfehlen wir, Unterverzeichnisse anzulegen.

cd /etc
mkdir openvpn
mv /42-1/* /etc/openvpn/

Client-Konfiguration

cd /etc/openvpn
vi 239.conf

Einstellungen des Clients: (abgelegt als 239.conf in /etc/openvpn) Drückt i (steht für insert mode) und gebt ein:

remote vpn.freifunk-leipzig.quamquam.org
client
dev tap
proto tcp
port 5000
ca ca.crt
cert $NAME.crt
key $NAME.key
cipher AES-128-CBC 
#nach der kommenden Zertifikatumstellung dann 
#cipher none
ns-cert-type server
#tun-mtu 1500
#bei Tunnelung ueber internet, z.b. DSL braucht man folgende Zeile
#mssfix 1397
tun-mtu 1472
mssfix

$NAME ist natürlich durch euern Key zu ersetzen

dann wie immer ESC und :x dann ENTER zu speichern

OLSR-Einstellungen

cd /etc
rm local.olsrd.conf
cp /rom/etc/local.olsrd.conf .
vi local.olsrd.conf

OLSR Einstellungen sind wie folgt:

i drücken

# Add your addons (e.g. plugins) to olsrd.conf here,
# addons for interfaces in /etc/local.olsrd.conf.eth1
Interface "tap0" "tap1"
{
HelloInterval           5.0
HelloValidityTime       90.0
TcInterval              2.0
TcValidityTime          270.0
MidInterval             15.0
MidValidityTime         90.0
HnaInterval             15.0
HnaValidityTime         90.0
Ip4Broadcast 104.255.255.255

        LinkQualityMult 104.61.239.1 0.1
}

dann ESC drücken, und :x sowie ENTER

Firewall und NAT anpassen

Am einfachsten ist es, die VPN-Sache auf einem Linksys laufen zu lassen, dessen Firewall ausgeschaltet ist. Damit umgeht ihr die Feinanpassungen der Firewall größtenteils. Falls ihr auf die Firewall nicht verzichten wollt oder könnt, probiert folgendes:

cd /etc
rm local.fw
cp /rom/etc/local.fw /etc/local.fw . 
# nun die nötigen zeilen einfügen:
vi local.fw

geht mit dem Cursor vor den eintrag

       ;;
       stop)
       ;;

Drückt "i" (steht für insert mode) und gebt ein:

iptables -I INPUT -i tap0 -j ACCEPT
iptables -I OUTPUT -o tap0 -j ACCEPT
iptables -t nat -A POSTROUTING -o tap0 -s 192.168.1.0/255.255.255.0 -j MASQUERADE
iptables -I FORWARD -i tap0 -o eth1 -j ACCEPT
iptables -I FORWARD -i eth1 -o tap0 -j ACCEPT

Nun esc drücken. Und mit ":x" den editor beenden.

automatischer VPN-Start

Um das VPN automatisch bei jedem Neustart hochfahren zu lassen, macht folgendes:

cd /etc/init.d
rm S99done
cp /rom/etc/init.d/S99done . 
vi S99done

geht mit dem Cursor ans ende:

Drückt "i" (steht für insert mode) und gebt am Ende ein:

/etc/init.d/openvpn restart

Nun esc drücken. Und mit ":x" den editor beenden.

statistik

auf der kommandozeile eingeben:

nvram set ff_stat_gateway1=tap0
nvram set ff_stat_gateway2=tun0
nvram commit

DIe Anzeige funktioniert dann ab dem nächsten Neustart.

ausprobieren

Nun einen Neustart. Das sollte eigendlich alles gewesen sein.

Wenn das Gerät wieder erreichbar ist, könnt ihr euch einloggen und die Log-Datei anzeigen lassen.

logread -f

das VPN startet etwas später, d.h. ihr habt noch 1-2 Minuten Zeit bis zur ersten Meldung... Abbruch der Anzeige mit CTRL - C

Wenn probleme auftauchen

Wenn ihr nicht ins VPN kommt. SSH auf den Linksys und eingeben:

killall openvpn
cd /etc/openvpn
openvpn --config 239.conf

Das gibt erstmal recht viel aus, aber zeigt auch woran es hängt.

Checkliste

• openvpn installiert?
• compat installiert?
• /etc/local.fw verändert?
• /etc/local.olsrd.conf verändert?
• /etc/init.d/S99done verändert?
• keys in /etc/openvpn?
• conf-datei in /etc/openvpn?
• neugestartet und lange gewartet?

als letzter hinweis: falls die Uhrzeit auf dem Gerät noch auf 2000 steht, dann gehts nicht, weil das Zertifikat damals noch gar nicht gültig war :-)

date -s 20060601

sollte helfen. Ansonsten solltet ihr Euern Nameserver oder Internetanbindung checken, wahrscheinlich ist dort ein Fehler.