Netzwerk & Firewall on Bernhard Steindl – IT-Security & Infrastruktur

Raspberry Pi als 3G/4G WLAN-Router mit OpenVPN-Verbindung

Mon, 29 Mar 2021 06:49:43 +0000

Vor einiger Zeit habe ich einmal versucht, einen Raspberry Pi 3 als 3G/4G WLAN-Router mit OpenVPN zu konfigurieren. Da ich damals keinen Artikel ausformuliert habe, hier meine nützlichen Links und mein damaliges Resümee:

Default-Routen können die Geduld auf die Probe stellen
wvdial funktioniert mit einem ZTE MF180 nicht so wirklich, NetworkManager funktioniert hier besser
NetworkManager kann auch ohne GUI konfiguriert werden, das funktioniert dann auch
Wenn man die Ethernet-Schnittstelle nicht verwenden möchte, sollte man sie auch nicht konfiguieren, (Default Routen sind eine Geduldsprobe).
Ein OpenVPN-Client mit der Option redirect-gateway def1 führt dazu, dass der gesamte Traffic über das VPN läuft.

Links und Credit

https://vpn-anbieter-vergleich-test.de/anleitung-raspberrypi-vpn-router/
https://hamy.io/post/0003/optimizing-openvpn-throughput/
https://thepi.io/how-to-use-your-raspberry-pi-as-a-vpn-router/
https://gist.github.com/superjamie/ac55b6d2c080582a3e64
https://stackoverflow.com/questions/43001223/how-to-ensure-that-there-is-a-delay-before-a-service-is-started-in-systemd
https://raspberrypi.stackexchange.com/questions/69866/wlan0-could-not-connect-to-kernel-driver
https://www.raspberrypi.org/documentation/configuration/wireless/access-point.md
https://www.raspberrypi.org/forums/viewtopic.php?t=247225
https://filippobuletto.github.io/home-router-lte/#internet-connection
https://unix.stackexchange.com/questions/113975/configure-gsm-connection-using-nmcli/114006#114006
https://fedoraproject.org/wiki/Networking/CLI
https://askubuntu.com/questions/537406/configure-gsm-connection-using-shell-nmcli
https://www.tecmint.com/setup-linux-as-router/
https://unix.stackexchange.com/questions/365380/how-to-persist-ip-rule-and-route-whenever-server-rebooted
https://www.cyberciti.biz/faq/howto-linux-configuring-default-route-with-ipcommand/
https://www.digitalocean.com/community/tutorials/how-to-use-iproute2-tools-to-manage-network-configuration-on-a-linux-vpshttps://www.digitalocean.com/community/tutorials/how-to-use-iproute2-tools-to-manage-network-configuration-on-a-linux-vps
https://wiki.linuxfoundation.org/networking/iproute2
https://unix.stackexchange.com/questions/198554/3g-connection-with-wvdial-gets-no-ip-exits-with-code-16
https://www.raspberry-pi-geek.de/ausgaben/rpg/2015/06/der-raspberry-pi-als-3g-hotspot/2/

ddclient als Daemon für DynDNS verwenden

Tue, 29 Dec 2020 14:57:00 +0000

Ich betreibe privat Server hinter dynamischen IP-Adressen. Mein Domain-Provider core-networks.de (kann ich sehr empfehlen), bietet für meine Domains auch einen DynDNS-Dienst an. Den nutze ich auf einer Debian-Maschine mit dem Tool ddclient.

Dieses Tool installiere und konfiguriere ich wie folgt:

Installation mit dem Befehl apt update && apt install ddclient
In der Datei /etc/ddclient.conf werden die Einstellungen für den DynDNS-Provider festgelegt, core-networks.de hat hier seine Config im FAQ stehen.
In der Datei /etc/default/ddclient stelle ich folgende Optionen um:
1. run_ipup auf false
2. run_daemon auf true
Mit dem Befehl systemctl start ddclient starte ich den ddclient als systemd-Dienst.
Damit das ganze auch beim Neustart noch funktioniert, mache ich noch ein systemctl enable ddclient

Damit ist das ganze schon wieder erledigt, und meine IP-Adresse wird zuverlässig bei core-networks.de aktualisiert, sobald sie sich ändert.

A1-TV hinter pfSense mit Doppel-NAT betreiben

Fri, 05 Jun 2020 04:42:33 +0000

⚠️ Veralteter Artikel: Dieser Beitrag stammt aus dem Jahr 2020 und ist technisch überholt. Versionen, Befehle und Vorgehensweisen entsprechen möglicherweise nicht mehr dem aktuellen Stand.

Da ich bei mir einen A1-Anschluss mit A1TV habe, und ich über m3u8-Playlists gerne auch TV zB auf meinem iPad sehen möchte, habe ich nach einer Lösung gesucht, per IGMP-Proxy die Multicast-Streams auch in meinem lokalen Netzwerk hinter einer pfSense-Firewall erreichbar zu machen. Weil Mulitcast über WLAN zB nicht wirklich gut funktioniert, greife ich noch auf ein kleines Programm namens udpxy zurück, dass mir die Multicast-Streams zu HTTP-Streams umwandelt.

Ubiquiti UNMS mit nginx Reverse-Proxy aufsetzen

Thu, 14 May 2020 09:01:31 +0000

⚠️ Veralteter Artikel: Dieser Beitrag stammt aus dem Jahr 2020 und ist technisch überholt. Versionen, Befehle und Vorgehensweisen entsprechen möglicherweise nicht mehr dem aktuellen Stand.

Da ich nun für den eigenen Gebrauch eine Funkstrecke auf Basis der Nanostation AC loco installiert habe, wollte ich mich einmal mit dem (nicht zwingend erforderlichen) Controller für diese Geräte beschäftigen, UNMS. Da ich das ganze natürlich, wenn es schon möglich ist, selber hosten möchte, habe ich es kurzerhand bei mir aufgesetzt. Warnung: Das ganze basiert auf Docker und läuft deshalb nicht auf LXC.

nsupdate.info DynDNS unter Synology einrichten

Thu, 07 May 2020 11:43:02 +0000

Um den nsupdate.info DynDNS-Service unter einer Synology DiskStation verwenden zu können, muss man wie folgt vorgehen:

Zuerst geht man auf Control Panel -> External Access -> DDNS.

Nun muss man den Menüpunkt Customize drücken, wo man einen neuen DDNS-Anbieter hinzufügen kann. Dazu einfach im Feld Service Provider einen Namen vergeben, zB nsupdate.info, und unter Query URL folgendes eintragen:

https://ipv4.nsupdate.info/nic/update

Nun drückt man Save, und auf den Menüpunkt Add. Unter Service Provider wählen wir nun unseren erstellten *nsupdate.info aus, bei Hostname geben wir den Hostname an, den wir im Web-Interface von Core-Networks angelegt haben. Unter Username und Password die entsprechend angelegten Zugangsdaten. Mit einem Klick auf Test Connection können wir die Verbindung testen. Dann sollte der Status Normal auftauchen. Wenn ihr nun auf OK klickt, kann es sein, dass der Status Loading steht, davon nicht beirren lassen, einfach das Control Panel schließen und nochmals öffnen.

Core-Networks DynDNS unter Synology einrichten

Thu, 07 May 2020 11:34:33 +0000

Um den Core-Networks DynDNS-Service unter einer Synology DiskStation verwenden zu können, muss man wie folgt vorgehen:

Zuerst geht man auf Control Panel -> External Access -> DDNS.

Nun muss man den Menüpunkt Customize drücken, wo man einen neuen DDNS-Anbieter hinzufügen kann. Dazu einfach im Feld Service Provider einen Namen vergeben, zB Core-Networks, und unter Query URL folgendes eintragen:

https://dyndns.core-networks.de/?hostname=__HOSTNAME__&myip=__MYIP__

Nun drückt man Save, und auf den Menüpunkt Add. Unter Service Provider wählen wir nun unseren erstellten *Core-Networks aus, bei Hostname geben wir den Hostname an, den wir im Web-Interface von Core-Networks angelegt haben. Unter Username und Password die entsprechend angelegten Zugangsdaten. Mit einem Klick auf Test Connection können wir die Verbindung testen. Dann sollte der Status Normal auftauchen. Wenn ihr nun auf OK klickt, kann es sein, dass der Status Loading steht, davon nicht beirren lassen, einfach das Control Panel schließen und nochmals öffnen.

Externe IP von Unifi-Device auslesen

Fri, 06 Dec 2019 10:17:33 +0000

Hin und wieder spinnt schon mal das DDNS bei manchen Geräten. Wenn man in diesen Netzen ein Unifi-Gerät auf einem erreichbaren Controller hat, kann man sich aber die externe IP von diesem einfach auslesen. Dazu im Controller auf das Gerät klicken, auf den Reiter „Config“ (Zahnrad) drücken und ganz unten auf „Download Device Info“. Dann erhält man eine JSON, in der man einfach nach „extip“ suchen kann, und schon hat man seine IP gefunden.

DDNS auf Synology DiskStation

Fri, 06 Dec 2019 10:16:35 +0000

Meinen Heimserver muss ich natürlich auch irgendwo sichern, Off-Site, versteht sich. Weil ich eine alte Synology DiskStation mit nur einem Festplattenschacht übrig hatte, und diese zu sonst nichts wirklich gut zu gebrauchen ist, nutze ich diese in einem anderen Haushalt als Backup-Endpunkt. Leider ist DSM, das Synology-OS, etwas eigenwillig, und deshalb ist nicht alles so trivial wie unter Debian. Um meinem DDNS-Provider nsupdate.info nutzen zu können, musste ich ein kleines Script im Internet suchen und modifizieren, um das ganze lauffähig zu bekommen.

Archer C7 von den Toten zurückholen

Sun, 13 Jan 2019 09:47:41 +0000

Heute hatten wir einen toten Archer C7 v1.1 vor uns, der nicht einmal mehr per TFTP-Recovery zurückzuholen war. Dies soll einen detaillierten Einblick geben, wie wir das Gerät wieder von den Toten zurückgeholt haben.

Verbindung zur seriellen Schnittstelle schaffen

Nachdem die integrierte Wiederherstellungsmöglichkeit von TP-Link, einen TFTP-Server aufzusetzen und damit das Image zu flashen, nicht mehr funktioniert hat, mussten wir zu einer anderen Lösung greifen: Der Wiederherstellung mittels serieller Schnittstelle.

Konfigurieren von OpenVPN auf dem USG

Tue, 20 Nov 2018 18:42:57 +0000

Hier eine Anleitung, die die Schritte ziemlich gut beschreibt: https://medium.com/server-guides/how-to-setup-an-openvpn-server-on-a-unifi-usg-e33ea2f6725d

Lediglich beim Konfigurieren der Client-OVPN-Files gibt es anzumerken, dass die Zertifikate in HTML-Tags gefasst gehören, sprich für das CA-Zertifikat, für das client-crt und für den client-key.

Wer nicht will, dass der gesamte Traffic über das VPN geleitet wird (zB nur für Wartungsarbeiten), der muss aus dem JSON die Zeile mit der Option „redirect-gateway def1“ löschen. Auch die IP-Adressen müssen angepasst werden an das zu wartende Netzwerk: „push-route“ und „nameserver“ sollen die IPs des zu wartenden Netzwerks sein.

Konfigurieren von DDNS mit eigenem Provider auf dem USG

Tue, 20 Nov 2018 18:36:49 +0000

Um sich mit dem USG auch bei dynamischen IP-Adressen verbinden zu können, brauchen wir einen Dynamischen DNS-Provider. Wir verwenden nsupdate.info. Dieser Dienst arbeitet mit dem ddclient. Dieser Client ist auf dem USG vorinstalliert. Lediglich die Konfiugration, die einem der Provider als ganzes ausspuckt, muss man reinkopieren

vi /etc/ddclient.conf

Anschließend kopiert man die Konfig hinein, startet den ddclient einmal manuel mittels dem Befehl

ddclient

Und wenn alles klappt, schreibt er einem „Good“ hin und die IP, die jetzt hochgepusht wurde. Das ist keine Hexerei.

Zugriff auf WAN-seitiges Modem-Interface bei USG

Tue, 20 Nov 2018 12:38:33 +0000

Beim Erstellen von Netzwerken müssen wir leider oft auf Doppel-Nating zurückgreifen, um hinter dem A1-Router ein USG nutzen zu können (Modemverwendung zB durch A1-TV nicht möglich). Um trotzdem auf das Webinterface des A1-Routers aus dem Netzwerk des USGs zugreifen zu können, müssen wir eine Firewall-Regel hinzufügen (Das geht leider momentan nur in der CLI. Für Vorschläge, wie das ganze im Webinterface des Controllers geht, sind wir gerne offen).

Konfiguration am USG

Folgende Konfiguration könnt ihr am USG vornehmen (einloggen über SSH). Diese Änderung ist jedoch nach dem nächsten „Provisioning“ vom USG wieder weg.

NGINX: Reverse-Proxy

Sat, 17 Nov 2018 13:52:55 +0000

Hin und wieder kommt man in die Verlegenheit, neue Services auf seinem Server zu installieren und etwas zu herumzuprobieren.

Nginx kann wie haproxy Streams per DNS-Name unterscheiden und danach Traffic umleiten. In diesem Beispiel, wollen wir den gesamten mailcow-Traffic umleiten:

server {
        listen 443 ssl http2;
        listen [::]:443 ssl http2;
        include https-ls;
        ssl_certificate /etc/letsencrypt/live/mail.e9a.at/fullchain.pem;
        ssl_certificate_key /etc/letsencrypt/live/mail.e9a.at/privkey.pem;

        #root /var/www/;
        #index index.php index.html index.htm;

        server_name mail.e9a.at;

        location / {
          proxy_pass http://127.0.0.1:8080/;
          proxy_set_header Host $http_host;
          proxy_set_header X-Real-IP $remote_addr;
          proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
          proxy_set_header X-Forwarded-Proto $scheme;
          client_max_body_size 100m;
        }
}

USG Adoption – Tipps und Tricks

Thu, 15 Nov 2018 19:39:05 +0000

Heute habe ich ein USG von Ubiquiti in mein bestehendes Heim-Netzwerk integriert. Diese Seite war dabei äußerst hilfreich:
https://help.ubnt.com/hc/en-us/articles/236281367-UniFi-USG-Adoption-How-to-Adopt-a-USG
Allerdings gibt es noch einige Tipps, die es zu beachten gibt:

Das USG muss eine bestehende WAN-Verbindung haben
Das USG muss im selben Netzwerk wie der Controller sein
Ihr legt das ganze Netzwerk lahm, also am besten machen, wenn keiner daheim ist

Links und Credit

https://help.ubnt.com/hc/en-us/articles/236281367-UniFi-USG-Adoption-How-to-Adopt-a-USG