Guten Morgen,
nachdem der letzte Eintrag jetzt ja doch wieder ein Weilchen her ist (keine Sorge, ich habe auch die Artikelserie zum Thema Sicherheit nicht vergessen, ich bin nur aktuell 1. beschäftigt und 2. nicht sonderlich motiviert) habe ich hier mal wieder ein Goodie für euch:
Ein Script, das dafür sorgt, dass man seinen tinc-VPN-Server als Exitnode für einen Tunnel nehmen kann ohne sich dabei die Finger zu brechen.
Warnung: YMMV, ich habe alles auf der Konsole gemacht, ich habe keine Ahnung, ob sich das Script mit GUI-Foo wie z.B. dem network-manager verträgt.
Vorbereitung:
tinc installieren:
# apt-get install tinc
tinc.conf erstellen:
# echo "# Kurzname des Routers/Computers
Name = $NAME_DES_NODES
# Mit folgenden Computern versuchen zu verbinden
ConnectTo = $DEIN_SERVER
# Arbeitsweise des VPN
Mode = Router
# alternativen Port zu 655 verwenden
Port = 8656" > /etc/tinc/$DEIN_NETZWERK/tinc.conf |
# echo "# Kurzname des Routers/Computers
Name = $NAME_DES_NODES
# Mit folgenden Computern versuchen zu verbinden
ConnectTo = $DEIN_SERVER
# Arbeitsweise des VPN
Mode = Router
# alternativen Port zu 655 verwenden
Port = 8656" > /etc/tinc/$DEIN_NETZWERK/tinc.conf
tinc-up erstellen:
# echo "#!/bin/sh
ip addr add dev $INTERFACE 1.2.3.4/24 broadcast 1.2.255.255
ip link set dev $INTERFACE up" > /etc/tinc/$DEIN_NETZWERK/tinc-up |
# echo "#!/bin/sh
ip addr add dev $INTERFACE 1.2.3.4/24 broadcast 1.2.255.255
ip link set dev $INTERFACE up" > /etc/tinc/$DEIN_NETZWERK/tinc-up
tinc-down erstellen:
# echo "#!/bin/sh
ip route del default
ip route add default via $ORIGINAL_GATEWAY dev $INTERFACE" > /etc/tinc/$DEIN_NETZWERK/tinc-down |
# echo "#!/bin/sh
ip route del default
ip route add default via $ORIGINAL_GATEWAY dev $INTERFACE" > /etc/tinc/$DEIN_NETZWERK/tinc-down
Dateien ausführbar machen:
# chmod +x /etc/tinc/$DEIN_NETZWERK/tinc-* |
# chmod +x /etc/tinc/$DEIN_NETZWERK/tinc-*
Keys erstellen:
# mkdir /etc/tinc/$DEIN_NETZWERK/hosts |
# mkdir /etc/tinc/$DEIN_NETZWERK/hosts
# tincd -n $DEIN_NETZWERK -K |
# tincd -n $DEIN_NETZWERK -K
Dieser Befehl erstellt einen private- und einen public-key. Bitte beim private-key einfach mit Enter bestätigen und beim public-key
den Speicherort /etc/tinc/$DEIN_NETZWERK/hosts/$NAME_DES_NODES wählen.
Jetzt passt Du die host-Datei an
# vi /etc/tinc/$DEIN_NETZWERK/hosts/$NAME_DES_NODES |
# vi /etc/tinc/$DEIN_NETZWERK/hosts/$NAME_DES_NODES
Folgende Eintragungen sind vor dem Key zu machen:
Address = $IP_DES_NODES
Address = $FQDN_DES_NODES_1
Address = $FQDN_DES_NODES_2
Port = 8656
Geh jetzt die gleichen Schritte auf Deinem Server nochmals durch. Du solltest jetzt auf Client und Server jeweils ein Exemplar der host-Datei haben, diese sollten natürlich unterschiedliche IPs haben und unterschiedliche Namen. Mein Laptop z.B. heißt loki, der Server heißt bifroest.
Jetzt kopierst Du die host-Datei von Deinem Client auf den Server und umgekehrt:
# scp /etc/tinc/$DEIN_NETZWERK/hosts/$NAME_DES_NODES root@server. |
# scp /etc/tinc/$DEIN_NETZWERK/hosts/$NAME_DES_NODES root@server.
Wenn beide Dateien ausgetauscht sind sollten die beiden Rechner miteinander reden können:
# tincd -d 3 -n $DEIN_NETZWERK |
# tincd -d 3 -n $DEIN_NETZWERK
startet den tinc-daemon mit log-level 3.
# tail -f /var/log/syslog |
# tail -f /var/log/syslog
zeigt euch den Output. Wenn keine Fehlermeldungen aufblinken sollte es so weit tun.
Bis hierher ist das alles noch nichts besonderes, ihr habt jetzt also den ersten Schritt gemacht und könnt euren Server über ein VPN erreichen. So lange jetzt aber nicht alle Verbindungen über diesen Server geroutet werden, bringt euch das nicht wirklich weit.
Um sicherzustellen, dass das ganze Ding jetzt tut, was es soll, müsst ihr zunächst dem Server beibringen, das Richtige ™ zu tun.
Einsatz als Exitnode:
Dazu verbindet ihr euch mit dem Server:
und führt dort folgende Befehle durch:
# iptables -t nat --append POSTROUTING -i $DEIN_NETZWERK -j MASQUERADE
iptables -t nat --append POSTROUTING -j MASQUERADE
iptables -t nat --append PREROUTING -i $DEIN_NETZWERK -j ACCEPT
cat /proc/sys/net/ipv4/ip_forward |
# iptables -t nat --append POSTROUTING -i $DEIN_NETZWERK -j MASQUERADE
iptables -t nat --append POSTROUTING -j MASQUERADE
iptables -t nat --append PREROUTING -i $DEIN_NETZWERK -j ACCEPT
cat /proc/sys/net/ipv4/ip_forward
Das sorgt dafür, dass euer Server Verbindungen einfach durchschleift und sie nicht zwischendrin blockiert.
Wenn der Server so weit vorbereitet ist, könnt ihr das folgende Script auf dem Client ausführen:
#!/bin/sh
#I don't think that this is necessary but I'll do it anyway:
#License: CC
#define variables
GW="$(ip r get 8.8.8.8 | gawk '{print $3}')"
TUN="$IP_DES_SERVERS_IM_VPN"
INTERFACE="$(ip r get 8.8.8.8 | gawk '{print $5}')"
EXIT="$IP_DEINES_SERVERS/32"
# change routes
ip route del default
ip route add $EXIT via ${GW%0x*} dev ${INTERFACE%0x*}
ip route add $TUN dev $DEIN_NETZWERK
ip route add default via $TUN dev $DEIN_NETZWERK
echo 'nameserver 8.8.8.8' > /etc/resolv.conf
echo "routes established"
ip r show |
#!/bin/sh
#I don't think that this is necessary but I'll do it anyway:
#License: CC
#define variables
GW="$(ip r get 8.8.8.8 | gawk '{print $3}')"
TUN="$IP_DES_SERVERS_IM_VPN"
INTERFACE="$(ip r get 8.8.8.8 | gawk '{print $5}')"
EXIT="$IP_DEINES_SERVERS/32"
# change routes
ip route del default
ip route add $EXIT via ${GW%0x*} dev ${INTERFACE%0x*}
ip route add $TUN dev $DEIN_NETZWERK
ip route add default via $TUN dev $DEIN_NETZWERK
echo 'nameserver 8.8.8.8' > /etc/resolv.conf
echo "routes established"
ip r show
Ja, das sind mindestens 2 dirty hacks: awk den Hex-Wert abgewöhnen und die resolv.conf überschreiben aber es funktioniert. Ich habe
das Script unter /etc/tinc/$DEIN_NETZWERK/tinc-route gespeichert. Außerdem habe ich ein weiteres Script angelegt:
# echo "#!/bin/sh
tincd -n $DEIN_NETZWERK" > /etc/tinc/$DEIN_NETZWERK/tinc-auto |
# echo "#!/bin/sh
tincd -n $DEIN_NETZWERK" > /etc/tinc/$DEIN_NETZWERK/tinc-auto
Dieses dient dazu, beim Start der Netzwerkverbindung den tinc-daemon automatisch anlaufen zu lassen.
Meine /etc/network/interfaces habe ich angepasst wie folgt:
# dhcp-basiertes Kabelnetz
iface auto inet dhcp
pre-up "/etc/tinc/bifroest/tinc-auto"
post-up "/etc/tinc/bifroest/tinc-route" |
# dhcp-basiertes Kabelnetz
iface auto inet dhcp
pre-up "/etc/tinc/bifroest/tinc-auto"
post-up "/etc/tinc/bifroest/tinc-route"
Damit startet zunächst der tinc-daemon, dann bezieht das interface eine IP und dann werden die Routen angepasst.
Wenn ihr jetzt # mtr eingebt, sollte eure Route über euren Server verlaufen.
Fragen oder Anmerkungen wie immer jederzeit gern in den Kommentaren.
Was PowerPoint für Windows, ist unter Linux Impress aus dem Open- oder LibreOffice-Paket. Wer öfter mal Vorträge mit einer Folienpräsentation untermalt, wird das kennen. 
Nachdem es in den letzten Tagen und Wochen recht ruhig um die freie Geocacheverwaltung OpenCacheManager gewesen ist, stehen jetzt die Zeichen auf Weiterentwicklung. Geplant ist ja, die ganze Sache auf Java zu portieren, um sie so plattformunabhängig und vor allem auch als Android-App zur Verfügung stellen zu können. Die Android-App ist bereits in mehreren Versionen zum Alphatest freigegeben und nach einer etwas längeren Sommerpause wird nun weiter daran gearbeitet. 
