Gateway-VPN

Das Gateway-VPN ermöglicht es sämtlichen Traffic über ein zentrales Gateway zu leiten.

Achtung, diese Seite ist als „ungepflegt“ markiert. Das heißt, dass die Inhalte dieser Seite nicht mehr vollständig aktuell erscheinen und daher mit Vorsicht behandelt werden sollten

Es tut uns leid, dass nicht immer alles aktuell ist, prinzipiell wissen wir ja um den Mehrwert guter Dokumentation. Bitte hilf mit, die Seite aktuell zu halten, indem du sie bearbeitest oder uns per Mail oder auf einem Treffen darauf hinweist.

Nicht mehr aktuell +++ muss überarbeitet werden +++ Fragmente die Konfig betreffend nutzbar

OpenWRT Backfire

• Installiere Dir ein Firmware-Image mit den Paketen
  • libopenssl
  • openvpn
  • luci-app-openvpn nicht mehr verfügbar 08.07.14
• Fordere von uns einen Gateway-VPN-Schlüssel an. Das klappt am besten auf dem Freifunk Treffen.
• Öffne das Webinterface des Routers und nimm folgende Einstellungen unter Services -> OpenVPN vor:
• Beim hinzufügen einer neuen "Instanz" wähle: Client configuration for a routed multi-client VPN

• Hier sind die wichtigen Einstellungen nochmal als OpenVPN-Config:

client
dev tun
proto udp
remote gw-vpn.freifunk-potsdam.de 1193
nobind
persist-key
persist-tun
ca ianua-melle-ca.crt
cert ianua-melle_apXX-YYfreifunk-potsdamde.crt
key ianua-melle_apXX-YYfreifunk-potsdamde.key
ns-cert-type server

• Kontrolliere nochmal die Einstellungen auf der Konsole. Die Datei /etc/config/openvpn sollte folgenden Eintrag enthalten:

config 'openvpn' 'freifunk_vpn_udp'
        option 'nobind' '1'
        option 'float' '1'
        option 'proto' 'udp'
        option 'client' '1'
        option 'reneg_sec' '0'
        option 'management' '127.0.0.1 31194'
        option 'dev' 'tun'
        option 'persist_tun' '1'
        option 'persist_key' '1'
        option 'remote_cert_tls' 'server'
        option 'verb' '3'
        option 'ca' '/lib/uci/upload/cbid.openvpn.client_tun.ca'
        option 'cert' '/lib/uci/upload/cbid.openvpn.client_tun.cert'
        option 'key' '/lib/uci/upload/cbid.openvpn.client_tun.key'
        option 'port' '1193'
        option 'remote' 'gw-vpn.freifunk-potsdam.de'
        option 'enable' '1'

• Der folgende Eintrag muss entfernt werden, sonst startet OpenVPN nicht:

option 'explicit_exit_notify' '1'

• Gehe im Webinterface zum Menü Network -> Interfaces und lege ein Netzwerkinterface mit folgenden Einstellungen an:

• Gehe auf Firewall und füge das Interface der Zone "Freifunk" hinzu:

• Ich musste noch folgendes tun um openvpn zum laufen zu bekommen:
  • auf dem CLI mit /etc/init.d/openvpn enable das starten von openvpn beim booten einschalten
  • den cert. Dateien unter /lib/uci/upload mussten noch die Leserechte mit chmod og-r für other und group entzogen werden.

OpenWRT Whiterussian ("classic" Freifunk Firmware)

Die Einrichtung des VPNs über die "Classic Freifunk Firmware" erfolgt so:

• Firmware 1.7.4 installieren, das geht am schnellsten von der Shell
• Unter "Verwalten -> Zapp P2P-Filter" Zapp mit Schwellwert 200 aktivieren
• Du bekommst von uns ein .tar-File z.B. ianua-melle_ap4-192freifunk-potsdamde.tar
• Falls Du schon ein IC-VPN eingerichtet hast, kannst Du eine zweite OpenVPN-Konfiguration anlegen.
• Unter "Verwalten -> OpenVPN" folgendes einstellen:
  • Verbindungsart: Punkt-zu-Mehrpunkt (MULTI)
  • Betriebs-Rolle: Klient
  • Gerät: Tunnel (tun)
  • 2xnicht über Tunnel
  • NAT: ausschalten
  • Tunnel nur für OLSR: Policy-Routing
  • Gegenstation: gw-vpn.freifunk-potsdam.de
  • Portnummer: 1193
  • Protokoll: UDP
  • LZO-Kompression: Ausgeschaltet
  • Ca-Zertifikat (ca.crt): Hier den Inhalt der Datei ianua-melle-ca.crt einfügen
  • Zertifikat (*.crt) & Schlüssel (*.key): Hier den Inhalt der Dateien ianua-melle_ap4-192freifunk-potsdamde.crt und ianua-melle_ap4-192freifunk-potsdamde.key hintereinander einfügen.
• Übernehmen klicken und neu starten

Das ganze sollte so aussehen:

Der Effekt ist nun, dass sämtliche Verbindungen aus dem OLSR-Netz über das VPN gehen und LAN-Verbindungen direkt über die WAN/PPP-Schnittstelle laufen.