Import von VCard- und ICal-Dateien ueber ADB

[krt-msg] / 2008-05-16T00:00:00Z.msg

From: Boris Kraut <krt@nurfuerspam.de>\r
Date: Fri, 16 May 2008 00:00:00 +0000\r
Category: \r
Sender: \r
Message-ID: <20080516000000.aZT62B@silberbruch>  \r
References: \r
Keywords: \r
Comments: \r
To: undisclosed-recipients: ;\r
Subject: WRT54GL mit OpenWRT Firmware und OpenVPN\r
\r
OpenWRT [1] laesst sich bequem ueber das Webinterface der Original-Firmware\r
beziehungweise jeder anderen Custom-Firmware einspielen -in meinem Fall\r
DD-WRT [2]. Fuer den Linksys WRT54GL [3] muss man noch auf die Version mit dem\r
alten 2.4er Kernel (openwrt-wrt54g-2.4-squashfs.bin [4]) zurueckgreifen, da\r
die Treiber fuer die WLAN-Komponente momentan nur dort stabil laufen, wer\r
WLAN nicht braucht, kann auch die 2.6er Version nehmen. Vor dem Flashen\r
der Firmware sollte man per Reset-Knopf alles auf die Standard-Einstellungen\r
zuruecksetzen und nach dem Flashen auch gut ein paar Minuten warten bis\r
alles fertig ist.\r
\r
Standardmaessig nimmt der Router nach dem Flashen die IP 192.168.1.1 an und\r
wartet auf dem Telnet-Port auf Befehle. Zu aller erst habe ich einige\r
Einstellungen vorgenommen, die verhinden sollen, dass ich das Geraet durch\r
unvorsichtige Spielereien in einen Haufen Elektroschrott verwandle:\r
\r
$ telnet 192.168.1.1\r
\r
$ nvram set boot_wait=on\r
$ nvram set boot_time=10\r
$ nvram commit && reboot\r
\r
In einem zweiten Schritt vergebe ich ein Passwort fuer den root-Account.\r
OpenWRT stellt dann auch gleich von Telnet auf SSH um. Wer will kann ja\r
auch gleich noch von Passwort-Auth in der /etc/config/dropbear auststellen\r
und auf PublicKey umstellen, hierzu bitte ins OpenWRT-Wiki schauen, wo sich\r
ein eigener Eintrag dem Thema Dropbear Public Key Auth [5] widmet. Fuer die\r
Einrichtung des Routers reicht mir vorerst allerdings ein..\r
\r
$ telnet 192.168.1.1\r
\r
$ passwd\r
$ reboot\r
\r
Bei den meisten Leuten soll ein Router vor allem einen Zugang zum Internet\r
herstellen, so auch bei mir. Ich stelle also zum einen die ueblichen DSL-\r
Angaben ein und aendere bei der Gelegenheit auch gleich noch die IP und den\r
Hostnamen des Routers. Das meiste kann man auch ueber die /etc/config/network\r
einstellen:\r
\r
$ ssh root@192.168.1.1\r
\r
$ uci set network.lan.ipaddr="192.168.0.1"\r
$ uci set network.wan.proto=pppoe\r
$ uci set network.wan.username=DSLBENUTZER\r
$ uci set network.wan.password=DSLPASSWORT\r
$ uci commit network\r
$ uci set system.cfg1.hostname=XSPHOSTNAME\r
$ uci commit system\r
$ ifup wan && reboot\r
\r
Um weitere Programme besonders einfach auf dem Geraet zum Laufen zu bringen,\r
bietet OpenWRT ein eigenes Repository, das man mit dem Werkzeug ipkg sich zu\r
Nutze machen kann. Ich verbinde mich also wieder per SSH mit dem Router und\r
aktualisiere die lokale Liste der vorhandenen Programme und fuehre gleich ein\r
Upgrade von wget durch, dass angeblich im momentanen Release von OpenWRT\r
fehlerhaft sein kann:\r
\r
$ ssh root@192.168.0.1\r
\r
$ ipkg update\r
$ ipkg -force-overwrite install wget\r
\r
Als naechstes moechte ich, dass ich auch von aussen ueber das Internet auf\r
meinen Router und das dahinter liegende Netzwerk zugreifen kann; was auch\r
spaeter  beim Einrichten des OpenVPN sehr wichtig werden wird. Da ich meine\r
IP-Adresse dynamisch von meinem Provider zugewiesen bekomme und weil ich\r
natuerlich mir auch die IP nicht wirklich merken will, habe ich mir schon\r
vor einiger Zeit einen Account bei dem DynDNS-Anbieter No-Ip [6] besorgt, den\r
ich jetzt vom Router aus aktualisieren lasse. Neben No-Ip kann mann auch\r
noch andere Anbieter nutzen, muss dann aber entsprechende AEnderungen\r
vornehmen; zoneedit, tzo, changeip, dyndns, hn, noip, eurodyndns,\r
ods, ovh und regfish sind moeglich. Weitere Informationen gibt es natuerlich\r
im OpenWRT-Wiki DDNS-HowTo [7]; die Konfigurationsdatei ist die\r
/etc/config/updatedd.\r
\r
$ ipkg install updatedd updatedd-mod-noip\r
$ uci set updatedd.cfg1=updatedd\r
$ uci set updatedd.cfg1.service=noip\r
$ uci set updatedd.cfg1.username=NOIPBENUTZER\r
$ uci set updatedd.cfg1.password=NOIPPASSWORT\r
$ uci set updatedd.cfg1.host=NOIPHOSTNAME\r
$ uci set updatedd.cfg1.update=1\r
$ uci commit updatedd\r
\r
Fuer die meisten ist es zwar eher uninteressant, ob auf dem Router die\r
richtige Uhrzeit eingestellt ist oder nicht, aber fuer Logdateien und spaeter\r
den OpenVPN-Einsatz ist es wichtig, einen korrekten Zeitgeber zu haben. Ich\r
lasse den Router ueber NTP die aktuelle Zeit vom Ubuntu-Server abrufen. Wer\r
zudem noch will, dass der Router die Zeit auch weiterverteilt, sollte\r
sich das openntpd-Paket anschauen. Mir genuegt der simple ntpclient:\r
\r
$ ipkg install ntpclient\r
$ /usr/sbin/ntpclient -c 1 -s -h ntp.ubuntu.com\r
$ nvram set ntp_server=ntp.ubuntu.com\r
$ nvram set time_zone=UTC\r
$ nvram commit\r
\r
Eher zufaellig habe ich festgestellt, dass standardmaessig ein HTTP-Server\r
gestartet wird, was mich ja bei DD-WRT schon sehr gestoert hat. Der Server\r
macht nicht viel, man kann ihn die Daten aus /www/ ausgeben lassen und wird\r
wohl fuer die optional verfuegbare GUI-Konfiguration benoetigt; ich dagegen\r
deaktiviere ihn also kurzer Hand:\r
\r
$ /etc/init.d/httpd disable\r
\r
Das Funknetzwerk ist dagegen standardmaessig deaktiviert und muss also erst\r
freigegeben werden. Ich stelle also den Channel und die SSID ein, sorge\r
dafuer, dass die SSID auch oeffentlich bekanntgegeben wird. Bei der\r
Verschluesselung kann man zwischen wep, wpa, wpa2, psk und psk2 waehlen. WPA\r
bezeichnet hier immer die Enterprise Variante, WPA Personal wird hier nach\r
dem Private Shared Key mit PSK bezeichnet.\r
\r
$ ipkg install nas\r
$ uci set wireless.wl0.disabled=0\r
$ uci set wireless.wl0.channel=10\r
$ uci set wireless.cfg2.ssid=SSIDNAME\r
$ uci set wireless.cfg2.hidden=0\r
$ uci set wireless.cfg2.encryption=psk2\r
$ uci set wireless.cfg2.key=WPA2KEY\r
$ uci commit wireless && wifi\r
\r
Weiterhin habe ich einige Einstellungen an der /etc/dnsmasq.conf vorgenommen,\r
die noch nicht ueber uci erreichbar sind:\r
\r
> # hostname auf hostname.domain erweitern\r
> expand-hosts\r
>\r
> # Autoritativer Server\r
> dhcp-authoritative\r
>\r
> #\r
> domain=local\r
>\r
> # Rechner aus der Domain .local nur intern Aufloesen und nicht an einen\r
> # uebgergeordneten DNS-Server weitergeben; auch:\r
> # /local2.domain.tld/ip.ip.ip.ip. -  *.local2.domain.tld ueber ip.ip.ip.ip aufloesen\r
> # //ip.ip.ip.ip                   -  nicht FQDNs ueber ip.ip.ip.ip aufloesen\r
> # //                              -  FQDNslokal aufloesen\r
> local=/local/\r
>\r
> # Spezielle DHCP-Optionen; 3 gibt den Router an, 6 den DNS-Server. Weitere\r
> # Moeglichkeiten ueber dnsmasq --help dhcp.\r
> dhcp-option=3,192.168.0.1\r
> dhcp-option=6,192.168.0.1\r
>\r
> # Statische IPs an bestimme MAC-Adresse / Hostname vergeben:\r
> dhcp-host=MAC:MAC:MAC:MAC:MAC:MAC,HOSTNAME,IP.IP.IP.IP,infinite\r
\r
OpenVPN zu installieren ist relativ einfach und laesst sich wieder ueber\r
ipkg erledigen. Weiterhin leg ich noch ein gesondertres Verzeichnis fuer\r
OpenVPN an.\r
\r
$ ipkg install openvpn\r
$ mkdir /etc/openvpn/ && cd /etc/openvpn\r
\r
Die noetigen Schluessel - genauere Informationen liefert die Webseite von\r
OpenVPN [8] - erstelle ich aufgrund der staerkeren Rechenleistung auf einem\r
richtigen Rechner mit OpenSSL und OpenVPN und kopiere sie dann auf den\r
Router. Fuer jeden Teilnehmer im VPN sollte man natuerlich eigene\r
Clientzertifikate erstellen, hier die markierten Zeilen:\r
\r
$ openssl req -nodes -new -x509 -days 1825 -keyout ca.key -out ca.crt\r
\r
$ openssl req -nodes -new -keyout server.key -out server.csr\r
$ openssl ca -cert ca.crt -keyfile ca.key -out server.crt -in server.csr\r
\r
$ openssl req -nodes -new -keyout client.key -out client.csr\r
$ openssl ca -cert ca.crt -keyfile ca.key -out client.crt -in client.csr\r
\r
$ openssl dhparam -out dh.pem 2048\r
\r
$ openvpn --genkey --secret shared.key;\r
\r
$ scp * root@192.168.0.1:/etc/openvpn\r
\r
Zurueck auf dem Router lege ich noch eine Konfigurationsdatei an:\r
\r
$ cd /etc/openvpn\r
$ chmod 0600 /etc/openvpn/server.key\r
$ vi server.conf\r
\r
> ### network options\r
> port 1194\r
> proto udp\r
> dev tun\r
> ### certificate and key files\r
> ca /etc/openvpn/ca.crt\r
> cert /etc/openvpn/server.crt\r
> key /etc/openvpn/server.key\r
> dh /etc/openvpn/dh.pem\r
> ### (optional) use a shared key to initialize TLS negotiation\r
> tls-auth /etc/openvpn/shared.key 0\r
> ### VPN subnet\r
> server 10.8.0.0 255.255.255.0\r
> ### (optional) make local network behind the VPN server accessible for the VPN clients\r
> push "route 192.168.1.0 255.255.255.0"\r
> ### (optional) make the VPN server a gateway for the internet for the VPN clients\r
> push "redirect-gateway"\r
> ### (optional) compression (might make your WRT sluggish or not, depending on the model and what you have running...)\r
> comp-lzo\r
> keepalive 10 120\r
> status /tmp/openvpn.status\r
\r
Einen ersten Testlauf des Servers starte ich mit dem folgenden Befehl:\r
\r
$ openvpn --config /etc/openvpn/server.conf\r
\r
Da keine Fehler aufgetreten sind, aktiviere ich den OpenVPN-Server beim\r
Booten und starte danach den Router neu.\r
\r
$ /etc/init.d/openvpn enable\r
$ reboot\r
\r
Da ich mich ja nicht nur aus dem lokalen Netzwerk mit dem OpenVPN-Server\r
verbinden will, sondern auch von aussen -also aus dem Interenet- eine\r
gesicherte Verbindung ins heimische Netz herstellen will, muessen auch noch\r
einige Einstellungen an der Firewall gemacht werden, die leider auf der\r
offiziellen Webseite von OpenVPN nicht komplett beschrieben waren;\r
zusaetlich gebe ich in diesem Schritt auch gleich noch den Port 22 frei,\r
um von aussen per SSH auf den Router zu kommen. Die noetigen Einstellungen\r
werden in der /etc/firewall.user gemacht:\r
\r
> ### OpenVPN\r
> ## -- Allow connections from outside\r
> iptables -t nat -A prerouting_wan -p udp --dport 1194 -j ACCEPT\r
> iptables        -A input_wan      -p udp --dport 1194 -j ACCEPT\r
> iptables -A INPUT   -i tun+ -j ACCEPT\r
> iptables -A FORWARD -i tun+ -j ACCEPT\r
> iptables -A OUTPUT  -o tun+ -j ACCEPT\r
> iptables -A FORWARD -o tun+ -j ACCEPT\r
>\r
> ### SSH (optional)\r
> ## -- Allow connections from outside\r
> iptables -t nat -A prerouting_wan -p tcp --dport 22 -j ACCEPT\r
> iptables        -A input_wan      -p tcp --dport 22 -j ACCEPT\r
\r
Nachdem nun alles grundsaetzlich eingerichtet ist, kann man das VPN nun einem\r
ersten Funktionstest unterziehen. Dazu hole ich mir erstmal via SSH\r
beziehungsweise SCP die benoetiten Schluessel vom Router, erstelle eine\r
client.conf und starte OpenVPN; wohl gemerkt, alles auf dem Clientrechner,\r
auf dem natuerlich auch OpenVPN installiert sein muss:\r
\r
$ mkdir -p /home/vpntest/openvpn/\r
$ cd /home/vpntest/openvpn/\r
$ scp root@ACCOUNT.DYNDNSDOMAIN:/etc/openvpn/client.crt ./\r
$ scp root@ACCOUNT.DYNDNSDOMAIN:/etc/openvpn/ca.crt ./\r
$ scp root@ACCOUNT.DYNDNSDOMAIN:/etc/openvpn/client.key ./\r
$ scp root@ACCOUNT.DYNDNSDOMAIN:/etc/openvpn/dh.pem ./\r
$ scp root@ACCOUNT.DYNDNSDOMAIN:/etc/openvpn/shared.key ./\r
$ scp root@ACCOUNT.DYNDNSDOMAIN:/etc/openvpn/client.csr ./\r
$ vi client.conf\r
\r
Die angesprochene client.conf sieht in etwa so aus:\r
\r
> client\r
> dev tun\r
> # dev-node TAP\r
> proto udp\r
> remote ACCOUNT.DYNDNSDOMAIN.TLD 1194\r
> nobind\r
> ### (optional) degrade privileges to this user and group after initialization\r
> #user nobody\r
> #group nogroup\r
> ca /home/vpntest/openvpn/ca.crt\r
> cert /home/vpntest/openvpn/client.crt\r
> key /home/vpntest/openvpn/client.key\r
> dh /home/vpntest/openvpn/dh.pem\r
> ### (optional) use a shared key to initialize TLS negotiation\r
> tls-auth /home/vpntest/openvpn/shared.key 1\r
> ### (optional) compression (use only if the server has it)\r
> comp-lzo\r
\r
Gestartet wird das ganze dann ueber:\r
\r
$ sudo openvpn --config /home/vpntest/openvpn/client.conf\r
\r
Generell sollte eine grundlegende VPN-Verbindung nun aufgbeaut sein,\r
allerdings faengt hier ja der Spass erst an. Welche genauen Moeglichkeiten\r
man mit VPNs hat und wie man diese unter OpenVPN nutzt, sollte sich\r
leicht mit den folgenden Links und der jeweils bevorzugten Suchmaschine\r
herausfinden lassen. Ich hoffe, dass der Artikel einigen Leuten geholfen hat,\r
sei es in Sachen OpenWRT oder beim Einrichten von OpenVPN.\r
\r
\r
[1] http://www.openwrt.org/\r
[2] http://www.dd-wrt.com/\r
[3] http://www-de.linksys.com/servlet/Satellite?c=L_Product_C2&childpagename=DE%2FLayout&cid=1130276894513&pagename=Linksys%2FCommon%2FVisitorWrapper\r
[4] http://downloads.openwrt.org/kamikaze/7.09/brcm-2.4/openwrt-wrt54g-2.4-squashfs.bin\r
[5] http://wiki.openwrt.org/DropbearPublicKeyAuthenticationHowto\r
[6] http://www.no-ip.com/\r
[7] http://wiki.openwrt.org/DDNSHowTo\r
[8] http://www.openvpn.net/\r
[9] http://arctic-things.blogspot.com/2008/01/internet-gateway-openvpn-openwrt-on.html\r
[10] http://wiki.openwrt.org/OpenWrtDocs/KamikazeConfiguration\r
[11] http://forum.openwrt.org/viewtopic.php?id=12979\r
[12] http://wiki.openwrt.org/OpenVPNHowTo\r
[13] http://wiki.openwrt.org/OpenVPNTunHowTo\r
[14] http://www.openvpn-wiki.de/wiki/index.php/Hauptseite