Ich beschäftige mich gerade mit VPN. Das Fernziel ist fli4l und Freifunk etwas näher zusammenzubringen. Um ein bisschen die Füße nass zu kriegen mit tun und tap und die ganzen Kenntnisse von Routing, Paketfiltern usw. etwas aufzufrischen, hab ich mir was angeschaut, was ich schon ewig vor hatte: eine simple Roadwarrior-Config für den OpenVPN auf dem fli4l. Wie man in der Newsgroup spline.fli4l.dev nachlesen kann, verwende ich hier folgende Config (noch ohne Zugriff auf das hinter dem OpenVPN liegende Netz):
OPT_OPENVPN='yes' OPENVPN_EXPERT='no' OPENVPN_WEBGUI='yes' OPENVPN_DEFAULT_CIPHER='AES-128-CBC' # alix 2d3 OPENVPN_DEFAULT_DIGEST='SHA256' OPENVPN_N='1' OPENVPN_1_NAME='tiffy' OPENVPN_1_ACTIV='yes' OPENVPN_1_LOCAL_PORT='14187' OPENVPN_1_LOCAL_VPN_IP='10.131.205.1' OPENVPN_1_REMOTE_VPN_IP='10.131.205.2' OPENVPN_1_SECRET='tiffy.secret' OPENVPN_1_TYPE='tunnel'
Der Teufel liegt natürlich im Detail. Bei fli4l werden für die OpenVPN-Verbindung sogenannte secrets, also pre shared keys in Form von Dateien verwendet.1 Das knifflige ist die ganzen Optionen, die bei fli4l explizit und implizit gesetzt werden, auf dem Roadwarrior korrekt einzustellen. Ich verwende hier Debian Jessie mit KDE4 und dem NetworkManager. Entscheidend waren neben den korrekten IP-Adressen die richtigen Einstellungen für Cipher und Auth und die richtigen Haken an den richtigen Stellen. Erschwert wird sowas immer dadurch, dass es subtil andere Bezeichnungen gibt, vor allem, wenn auch noch übersetze GUIs im Spiel sind.
Die Zuordnung ist im vorliegenden Fall wie folgt (auch auf »Erweitert« klicken ;-) ):
| fli4l | KDE Plasma NetworkManager |
|---|---|
| OPENVPN_x_LOCAL_HOST (leer) | Gateway |
| OPENVPN_x_REMOTE_VPN_IP | Lokale IP-Adresse |
| OPENVPN_x_LOCAL_VPN_IP | Entfernte IP-Adresse |
| OPENVPN_x_LOCAL_PORT | Gateway-Port |
| OPENVPN_DEFAULT_FRAGMENT | UDP-Fragmentgröße |
| OPENVPN_DEFAULT_COMPRESS | LZO-Komprimierung verwenden |
| OPENVPN_DEFAULT_CIPHER | Chiffre |
| OPENVPN_DEFAULT_DIGEST | HMAC-Authentifizierung |
Und weil’s vielleicht besser ersichtlich ist, auch nochmal als Screenshots.
Die Pings gehen jetzt durch und zwar sowohl gegen fli4l 3.10 als auch gegen fli4l 4.0 und der nächste Schritt ist die Anpassung der Paketfilter. Dann kommt vielleicht noch die dauerhafte Verbindung dieser beiden Netze und vielleicht teste ich auch nochmal was mit tap devices. Da fällt mir schon noch was ein. Aber hier ging’s ja erstmal nur um Roadwarrior und für heute soll’s das hier erstmal gewesen sein.
- OpenVPN bietet auch noch public/private Key und Passwörter, das wird bei fli4l aber nicht benutzt. [↩]