Firmware:MeshVPN-Client: Unterschied zwischen den Versionen

Aus Freifunk Rheinland e.V.
Zur Navigation springen Zur Suche springen
(ebtables)
Keine Bearbeitungszusammenfassung
 
(3 dazwischenliegende Versionen von einem anderen Benutzer werden nicht angezeigt)
Zeile 18: Zeile 18:




*Node anmelden (Automatische anmeldung momentan noch nicht eingebaut)
*Node anmelden  
Im Browser die Register-Seite für die Community öffnen z.b. http://register.rheinufer.freifunk-rheinland.net<br>
Im Browser die Register-Seite für die Community öffnen z.b. http://register.rheinufer.freifunk-rheinland.net<br>
Beide Felder müssen ausgefüllt werden, der Knoten Name muss eindeutig sein.<br>
Beide Felder müssen ausgefüllt werden, der Knoten Name muss eindeutig sein.<br>
Zeile 46: Zeile 46:
  uci commit fsm
  uci commit fsm


## Rouge router filter


Damit Announcements anderer IPv6-Router als die der [[Super-Node|Super-Nodes]] nicht weitergeleitet werden, verwendene wir die folgende Zeile
== Rouge router filter ==


   ebtables -A FORWARD -p IPv6 -s ! 04:be:ef:ca:fe:00/ff:ff:ff:ff:ff:00 -i bat0 --ip6-proto ipv6-icmp --ip6-icmp-type router-advertisement -j DROP
 
Damit Router Advertisements anderer IPv6-Router als die der [[Super-Node|Super-Nodes]] nicht über das Mesh-Netzwerk weitergeleitet werden, müssen sie an den Übergängen verworfen werden.
 
Auf den Super-Nodes verwendene wir die folgende Zeile:
 
   ebtables -A FORWARD -p IPv6 -s ! 04:be:ef:ca:fe:00/ff:ff:ff:ff:ff:00 --ip6-proto ipv6-icmp --ip6-icmp-type router-advertisement -j DROP
 
So werden nur die Router mit den Mac-Adressen 04:be:ef:ca:fe:00 bis 04:be:ef:ca:fe:ff zugelassen.
 
Auf den regulären Nodes befindet sich folgender Filter im Betrieb:
 
  ebtables -A FORWARD -p IPv6 --ip6-proto ipv6-icmp --ip6-icmp-type router-advertisement -j IN_ONLY
  ebtables -A IN_ONLY -i ! bat0 --logical-in br-mesh -j DROP  
 
So werden Advertisements von Clients geblockt.

Aktuelle Version vom 27. März 2014, 09:36 Uhr

Normalerweise melden sich Clients selber beim Mesh-VPN an wenn diese das erste mal booten bzw wenn diese das erste mal mit dem WAN-Port zum Internet verbunden sind. Diese Anleitung ist nur für die manuelle Einrichtung falls das Registrierungs-Script nicht sauber durchläuft. Die Nodes brauchen beim ersten booten etwa 5-6 Minuten bis die Verbindung zum Mesh-VPN aufgebaut wird.


Fastd Client auf Node einrichten

  • Secret & Public key generieren
root@Meine-Node:~# fastd --generate-key
2013-11-05 12:07:15 +0100 --- Info: Reading 32 bytes from /dev/random...
Secret: 684242a7fa256afdefb69e75e8250fdf011fa00022f1eee9035badcd77d84e6a
Public: 2a950089c43a1adc51a5286b5ffb784d57c325ddab5f1c6bdabbb5e5aeb8cd0e
  • Secret in config schreiben mittels vim:
vim /etc/fastd/mesh-vpn/secret.conf
secret "684242a7fa256afdefb69e75e8250fdf011fa00022f1eee9035badcd77d84e6a";


  • Node anmelden

Im Browser die Register-Seite für die Community öffnen z.b. http://register.rheinufer.freifunk-rheinland.net
Beide Felder müssen ausgefüllt werden, der Knoten Name muss eindeutig sein.
In das Feld VPN-Schlüssel wird der Public-key der vorher generiert wurde eingefügt.
Wenn die Registrierung abgeschlossen ist dauert es in etwa 5 Minuten bis die Verbindung aufgebaut werden kann.


  • Fastd service beim booten starten:
/etc/init.d/fastd enable
  • Fastd starten
/etc/init.d/fastd start

Nun sollte die Node zum VPN verbinden, falls gewünscht können vorhandene Gateways im VPN verwendet werden. z.b. einen großen Exit-Gateway. Um diese Gateways zu nutzen gibt es zwei Queen Mode Settings:

- VPN-Hybrid
Die Node verteilt selbst IP-Adressen an Clients aber nutzt als Gateway sowie DNS-Server ein Exit-Gateway. Um den VPN-Hybrid Mode zu nutzen muss das folgende eingegeben werden:

uci set fsm.meshfsm.net_queenmode=vpn-hybrid
uci commit fsm

- VPN-Bridge
Die Node verteilt keine IP-Adressen sondern nutzt die DHCP-Funktionalität des Exit-Gateway. Um den VPN-Bridge Mode zu nutzen muss das folgende eingegeben werden:

uci set fsm.meshfsm.net_queenmode=vpn-bridge
uci commit fsm


Rouge router filter

Damit Router Advertisements anderer IPv6-Router als die der Super-Nodes nicht über das Mesh-Netzwerk weitergeleitet werden, müssen sie an den Übergängen verworfen werden.

Auf den Super-Nodes verwendene wir die folgende Zeile:

 ebtables -A FORWARD -p IPv6 -s ! 04:be:ef:ca:fe:00/ff:ff:ff:ff:ff:00 --ip6-proto ipv6-icmp --ip6-icmp-type router-advertisement -j DROP

So werden nur die Router mit den Mac-Adressen 04:be:ef:ca:fe:00 bis 04:be:ef:ca:fe:ff zugelassen.

Auf den regulären Nodes befindet sich folgender Filter im Betrieb:

 ebtables -A FORWARD -p IPv6 --ip6-proto ipv6-icmp --ip6-icmp-type router-advertisement -j IN_ONLY
 ebtables -A IN_ONLY -i ! bat0 --logical-in br-mesh -j DROP 

So werden Advertisements von Clients geblockt.