OpenVPN mit EdgeRouter X-SFP - Versionsgeschichte

PK: Link zur Übersichtsseite

2020-12-16T09:56:01Z

Link zur Übersichtsseite

← Nächstältere Version		Version vom 16. Dezember 2020, 09:56 Uhr
Zeile 1:		Zeile 1:
	Die allgemeinen Voraussetzungen zum Einrichten eines Tunnels sind in der Übersichtsseite dargestellt. Dieser Artikel geht nur auf die rudimentäre Konfiguration des [[Hardware/EdgeRouter_X-SFP\|EdgeRouter]] ein.		Die allgemeinen Voraussetzungen zum Einrichten eines Tunnels sind in der [[OpenVPN-Tunnel zu FunkFeuer\|Übersichtsseite]] dargestellt. Dieser Artikel geht nur auf die rudimentäre Konfiguration des [[Hardware/EdgeRouter_X-SFP\|EdgeRouter]] ein.

	Update 02/2018: ein EdgeOS-Wizard hierfür ist in Entwicklung: https://github.com/pocki80/ER-wizard-0xFF-OpenVPN2TS		Update 02/2018: ein EdgeOS-Wizard hierfür ist in Entwicklung: https://github.com/pocki80/ER-wizard-0xFF-OpenVPN2TS

Zeile 77:		Zeile 78:
	save		save

	4) Im OLSRd_V1 Wizard für das Interface br9 für OLSR aktivieren. Mode "mesh" kann man bei bedarf auf "silent" umstellen, um Bandbreite zu sparen. Das geht aber nur, wenn der VON-Router keine weiteren OLSR-Router "hinter sich" hat: diese sind dann nur erreichbar, wenn es einen weiteren Pfad (übers Mesh-Netz) bis um Tunnelserver gibt. Das ist nur für Router mit Tunnel und beschränktem Datenvolumen sinnvoll, wenn sie '''nur''' den Tunnel als Partner haben.		4) Im OLSRd_V1 Wizard für das Interface br9 für OLSR aktivieren. Mode "mesh" kann man bei bedarf auf "silent" umstellen, um Bandbreite zu sparen. Das geht aber nur, wenn der VON-Router keine weiteren OLSR-Router "hinter sich" hat: diese sind dann nur erreichbar, wenn es einen weiteren Pfad (übers Mesh-Netz) bis zum Tunnelserver gibt. Das ist nur für Router mit Tunnel und beschränktem Datenvolumen sinnvoll, wenn sie '''nur''' den Tunnel als Partner haben.

PK: Klammer zu

2020-12-15T20:59:09Z

Klammer zu

← Nächstältere Version		Version vom 15. Dezember 2020, 20:59 Uhr
Zeile 1:		Zeile 1:
	Die allgemeinen Voraussetzungen zum Einrichten eines Tunnels sind in der Übersichtsseite dargestellt. Dieser Artikel geht nur auf die rudimentäre Konfiguration des [[Hardware/EdgeRouter_X-SFP EdgeRouter ein.		Die allgemeinen Voraussetzungen zum Einrichten eines Tunnels sind in der Übersichtsseite dargestellt. Dieser Artikel geht nur auf die rudimentäre Konfiguration des [[Hardware/EdgeRouter_X-SFP\|EdgeRouter]] ein.
	Update 02/2018: ein EdgeOS-Wizard hierfür ist in Entwicklung: https://github.com/pocki80/ER-wizard-0xFF-OpenVPN2TS		Update 02/2018: ein EdgeOS-Wizard hierfür ist in Entwicklung: https://github.com/pocki80/ER-wizard-0xFF-OpenVPN2TS

Erich am 19. November 2020 um 00:56 Uhr

2020-11-19T00:56:17Z

← Nächstältere Version		Version vom 19. November 2020, 00:56 Uhr
Zeile 31:		Zeile 31:


	Zusätzlich, wenn es erforderlich ist, die MTU ~~anzupassen~~ wie folgt		Zusätzlich, wenn es erforderlich ist, kannst Du die MTU anpassen wie folgt:
	tun-mtu 1500		tun-mtu 1500
	mssfix		mssfix
	UND		'''UND'''
	a) für eine MTU von 1500 Byte (1472 Byte Nutzlast + 20 Byte IP Header + 8 Byte UDP Header):		a) für eine MTU von 1500 Byte (1472 Byte Nutzlast + 20 Byte IP Header + 8 Byte UDP Header):
	fragment 1472		fragment 1472
Zeile 50:		Zeile 50:
	Sollte Kompression eingesetzt werden, ist der ermittelte Wert um weitere 4 Byte für die Kompressionsheader zu reduzieren.		Sollte Kompression eingesetzt werden, ist der ermittelte Wert um weitere 4 Byte für die Kompressionsheader zu reduzieren.
	Der Parameter "fragment" lautet dann also 1468 bei 1472 für eine Leitungs-MTU 1500 oder 1460 für 1464, was einer Leitungs-MTU von 1492 entspricht.		Der Parameter "fragment" lautet dann also 1468 bei 1472 für eine Leitungs-MTU 1500 oder 1460 für 1464, was einer Leitungs-MTU von 1492 entspricht.




Zeile 79:		Zeile 77:
	save		save

	4) Im OLSRd_V1 Wizard für das Interface br9 für OLSR aktivieren. Mode "mesh" kann man bei bedarf auf "silent" umstellen, um Bandbreite zu sparen. Das geht aber nur, wenn der VON-Router keine weiteren OLSR-Router "hinter sich" hat: diese sind dann nur erreichbar, wenn es einen ~~weitern~~ Pfad (übers Mesh-Netz) bis um Tunnelserver gibt. Das ist nur für Router mit Tunnel und beschränktem Datenvolumen sinnvoll, wenn sie '''nur''' den Tunnel als Partner haben.		4) Im OLSRd_V1 Wizard für das Interface br9 für OLSR aktivieren. Mode "mesh" kann man bei bedarf auf "silent" umstellen, um Bandbreite zu sparen. Das geht aber nur, wenn der VON-Router keine weiteren OLSR-Router "hinter sich" hat: diese sind dann nur erreichbar, wenn es einen weiteren Pfad (übers Mesh-Netz) bis um Tunnelserver gibt. Das ist nur für Router mit Tunnel und beschränktem Datenvolumen sinnvoll, wenn sie '''nur''' den Tunnel als Partner haben.

Damadmai: Fix Typo

2020-11-18T23:04:14Z

Fix Typo

← Nächstältere Version		Version vom 18. November 2020, 23:04 Uhr
Zeile 30:		Zeile 30:
	auth none		auth none



	Zusätzlich, wenn es erforderlich ist, die MTU anzupassen wie folgt		Zusätzlich, wenn es erforderlich ist, die MTU anzupassen wie folgt
Zeile 50:		Zeile 49:

	Sollte Kompression eingesetzt werden, ist der ermittelte Wert um weitere 4 Byte für die Kompressionsheader zu reduzieren.		Sollte Kompression eingesetzt werden, ist der ermittelte Wert um weitere 4 Byte für die Kompressionsheader zu reduzieren.
	Der Parameter "~~fragmetn~~" lautet dann also 1468 bei 1472 für eine Leitungs-MTU 1500 oder 1460 für 1464, was einer Leitungs-MTU von 1492 entspricht.		Der Parameter "fragment" lautet dann also 1468 bei 1472 für eine Leitungs-MTU 1500 oder 1460 für 1464, was einer Leitungs-MTU von 1492 entspricht.

Erich am 18. November 2020 um 22:59 Uhr

2020-11-18T22:59:01Z

← Nächstältere Version		Version vom 18. November 2020, 22:59 Uhr
Zeile 66:		Zeile 66:
	3) Folgende Config am EdgeRouter vornehmen (lokalen Gateway für Static-Route entsprechend ändern)		3) Folgende Config am EdgeRouter vornehmen (lokalen Gateway für Static-Route entsprechend ändern)

	set interfaces bridge br9 address ~~78.41.000.000~~/32		set interfaces bridge br9 address [zugeteilte IP Adresse aus dem Redeemer]/32
	set interfaces bridge br9 aging 300		set interfaces bridge br9 aging 300
	set interfaces bridge br9 bridged-conntrack disable		set interfaces bridge br9 bridged-conntrack disable

Erich am 18. November 2020 um 22:58 Uhr

2020-11-18T22:58:04Z

← Nächstältere Version		Version vom 18. November 2020, 22:58 Uhr
Zeile 10:		Zeile 10:
	dev vtun0		dev vtun0
	dev-type tap		dev-type tap
	proto ~~udp~~		proto udp4
	remote 78.41.115.16		remote 78.41.115.16
	''port [5XXX]''		''port [5XXX]''
Zeile 28:		Zeile 28:
	secret /config/user-data/funkfeuer.secret		secret /config/user-data/funkfeuer.secret
	cipher none		cipher none
			auth none



			Zusätzlich, wenn es erforderlich ist, die MTU anzupassen wie folgt
			tun-mtu 1500
			mssfix
			UND
			a) für eine MTU von 1500 Byte (1472 Byte Nutzlast + 20 Byte IP Header + 8 Byte UDP Header):
			fragment 1472

			b) bei PPPoE, etwa bei DSL mit einer Fritzbox (1464 Byte Nutzlast + 20 Byte IP Header + 8 Byte UDP Header + 8 Byte PPPoE Header):
			fragment 1464

			c) bei anderen Anschlüssen je nach ermitteltem MTU-Wert. Unter EdgeOS, wie auch unter Linux geht das mit
			configure
			sudo su
			ping -Mdo -c1 -s1472 78.41.115.16
			- wenn der Befehl einen Zeitwert zurückliefert, ist 1472 OK - siehe a), sonst den Wert um je 2 Byte reduzieren (1470, 1468..., 1252), bis der Ping erfolgreich ist.
			Den so ermittelten Wert nennst Du bitte Deinem jeweiligen Ansprechpartner im Tunnelserver-Team, denn Änderungen an der MTU müssen auf beiden Seiten des Tunnels identisch sein.

			Sollte Kompression eingesetzt werden, ist der ermittelte Wert um weitere 4 Byte für die Kompressionsheader zu reduzieren.
			Der Parameter "fragmetn" lautet dann also 1468 bei 1472 für eine Leitungs-MTU 1500 oder 1460 für 1464, was einer Leitungs-MTU von 1492 entspricht.

	~~Sowie~~
	~~auth none~~
	~~oder, wenn man Dir das explizit so mitgeteilt hat:~~
	~~auth SHA256~~

	~~Wir verzichten bei neuen Tunneln im Moment auf Kompression, weil es Probleme~~ mit ~~verschiedenen OpenVPN-Versionen gibt. D.h. außer es steht in den Dir übermittelten Tunnelkonfigurationen so, vermeide jeden Eintrag mit comp-lzo oder compress.~~

			Auf Glasfaserleitungen mit 100 Mbit/s (symmetrisch) kann zusätzlich eingetragen werden:
			txqueuelen 10000


	2) funkfeuer.secret - wenn ein Key angelegt wurde, wie in 1) beschrieben.		2) funkfeuer.secret - wenn ein Key angelegt wurde, wie in 1) beschrieben.

Damadmai: Wichtige Info nur mode silent zu verwenden, wenn sonst keine Nachbarn

2020-03-23T08:02:55Z

Wichtige Info nur mode silent zu verwenden, wenn sonst keine Nachbarn

← Nächstältere Version		Version vom 23. März 2020, 08:02 Uhr
Zeile 57:		Zeile 57:
	save		save

	4) Im OLSRd_V1 Wizard für das Interface br9 für OLSR aktivieren. Mode "mesh" kann man bei bedarf auf "silent" umstellen, um Bandbreite zu sparen. Das geht aber nur, wenn der VON-Router keine weiteren OLSR-Router "hinter sich" hat: diese sind dann nur erreichbar, wenn es einen weitern Pfad (übers Mesh-Netz) bis um Tunnelserver gibt.		4) Im OLSRd_V1 Wizard für das Interface br9 für OLSR aktivieren. Mode "mesh" kann man bei bedarf auf "silent" umstellen, um Bandbreite zu sparen. Das geht aber nur, wenn der VON-Router keine weiteren OLSR-Router "hinter sich" hat: diese sind dann nur erreichbar, wenn es einen weitern Pfad (übers Mesh-Netz) bis um Tunnelserver gibt. Das ist nur für Router mit Tunnel und beschränktem Datenvolumen sinnvoll, wenn sie '''nur''' den Tunnel als Partner haben.

Erich am 25. August 2019 um 19:46 Uhr

2019-08-25T19:46:11Z

← Nächstältere Version		Version vom 25. August 2019, 19:46 Uhr
Zeile 31:		Zeile 31:
	Sowie		Sowie
	auth none		auth none
	oder		oder, wenn man Dir das explizit so mitgeteilt hat:
	auth SHA256		auth SHA256

	~~Je nachdem, was Dir von den Tunneladmins mitgeteilt worden ist, eventuell noch~~		Wir verzichten bei neuen Tunneln im Moment auf Kompression, weil es Probleme mit verschiedenen OpenVPN-Versionen gibt. D.h. außer es steht in den Dir übermittelten Tunnelkonfigurationen so, vermeide jeden Eintrag mit comp-lzo oder compress.
	~~comp-lzo~~
	Wir verzichten bei neuen Tunneln im Moment auf Kompression, weil es Probleme mit verschiedenen OpenVPN-Versionen gibt.

	2) funkfeuer.secret - wenn ein Key angelegt wurde, wie in 1) beschrieben.		2) funkfeuer.secret - wenn ein Key angelegt wurde, wie in 1) beschrieben.

Erich: /* Einrichten des Tunnels */

2019-08-25T19:44:13Z

Einrichten des Tunnels

← Nächstältere Version		Version vom 25. August 2019, 19:44 Uhr
Zeile 16:		Zeile 16:
	down-pre		down-pre
	up-restart		up-restart
	~~comp-lzo~~
	script-security 2		script-security 2
	nobind		nobind
Zeile 34:		Zeile 33:
	oder		oder
	auth SHA256		auth SHA256

			Je nachdem, was Dir von den Tunneladmins mitgeteilt worden ist, eventuell noch
			comp-lzo
			Wir verzichten bei neuen Tunneln im Moment auf Kompression, weil es Probleme mit verschiedenen OpenVPN-Versionen gibt.

	2) funkfeuer.secret - wenn ein Key angelegt wurde, wie in 1) beschrieben.		2) funkfeuer.secret - wenn ein Key angelegt wurde, wie in 1) beschrieben.

Pocki: if-up und Skript entfernt

2019-08-14T21:03:22Z

if-up und Skript entfernt

← Nächstältere Version		Version vom 14. August 2019, 21:03 Uhr
Zeile 27:		Zeile 27:
	mute 2		mute 2
	verb 0		verb 0
	~~up "/config/user-data/funkfeuer-ifupdown.sh silent"~~
	~~down "/config/user-data/funkfeuer-ifupdown.sh silent"~~
	secret /config/user-data/funkfeuer.secret		secret /config/user-data/funkfeuer.secret
	cipher none		cipher none
Zeile 40:		Zeile 38:

	Diese Datei beinhaltet einen individuellen kryptographischen Schlüssel (shared key), der sicherstellt, dass der Tunnel nur von jenen Clients genutzt werden kann, denen er auch tatsächlich zugewiesen wurde. Das soll verhindern, dass ein Tunnel missbräuchlich oder versehentlich mehrfach genützt wird.		Diese Datei beinhaltet einen individuellen kryptographischen Schlüssel (shared key), der sicherstellt, dass der Tunnel nur von jenen Clients genutzt werden kann, denen er auch tatsächlich zugewiesen wurde. Das soll verhindern, dass ein Tunnel missbräuchlich oder versehentlich mehrfach genützt wird.
	Diesen Schlüssel erhältst Du per E-Mail und Du musst ihn lediglich in dieser Datei speichern.		Diesen Schlüssel erhältst Du per E-Mail und Du musst ihn lediglich in dieser Datei speichern.

	~~3) funkfeuer-ifupdown.sh~~

	~~Dieses Skript sorgt dafür, dass das Tunnel-Interface, nachdem es gestartet wurde, in die richtige Bridge gelegt wird, auf der bereits OLSR im vorgesehenen Modus läuft:~~

	~~#!/bin/sh~~
	~~logger "$dev $script_type"~~
	~~br="br9"~~
	~~case "$script_type" in~~
	~~up)~~
	~~/sbin/brctl addif $br $dev~~
	~~/sbin/ip link set $br promisc on~~
	~~/sbin/ip link set $dev up~~
	;;
	~~down)~~
	~~/sbin/ip link set $dev down~~
	~~/sbin/ip link set $br promisc off~~
	~~/sbin/brctl delif $br $dev~~
	;;
	*)
	~~esac~~
	~~exit 0~~

	3) Folgende Config am EdgeRouter vornehmen (lokalen Gateway für Static-Route entsprechend ändern)		3) Folgende Config am EdgeRouter vornehmen (lokalen Gateway für Static-Route entsprechend ändern)
Zeile 77:		Zeile 53:
	set protocols static route 78.41.115.16/32 next-hop 192.168.0.1 description 'TunnelServer via ISP'		set protocols static route 78.41.115.16/32 next-hop 192.168.0.1 description 'TunnelServer via ISP'
	set interfaces openvpn vtun0 config-file /config/user-data/funkfeuer.ovpn		set interfaces openvpn vtun0 config-file /config/user-data/funkfeuer.ovpn
	~~chmod +x /config/user-data/funkfeuer-ifupdown.sh~~
	commit		commit
	save		save

	4) Im OLSRd_V1 Wizard für das Interface br9 ~~entweder~~ silent, ~~ether oder mesh für~~ OLSR ~~aktivieren~~		4) Im OLSRd_V1 Wizard für das Interface br9 für OLSR aktivieren. Mode "mesh" kann man bei bedarf auf "silent" umstellen, um Bandbreite zu sparen. Das geht aber nur, wenn der VON-Router keine weiteren OLSR-Router "hinter sich" hat: diese sind dann nur erreichbar, wenn es einen weitern Pfad (übers Mesh-Netz) bis um Tunnelserver gibt.