[gelöst] freetz auf 7170 29.04.55beta: stunnel startet nicht

Sieht so aus als hättest du keine Zertifikate generiert. Hier gibts eine Schritt für Schritt Anleitung.

MfG Oliver

Oder deine Stunnel-Config ist leer/falsch ...
Für den Client-Modus braucht man nämlich kein Zertifikat. Und "stunnel.pem" ist glaub ich was aus der Standard-Config, wenn das Config-file leer ist.

Ach ja: stunnel_svcs nicht anfassen, es sei denn du weisst was du tust ! Die Stunnel-config sollte über die Web-Oberfläche bearbeitbar sein.

Also ich weiss ja nicht genau, was sich bei freetz gegenüber dem ds-mod geändert hat, aber eigentlich sollte das so ablaufen:
Über das CGI kannst du die Datei "/tmp/flash/stunnel_clsvcs" bearbeiten. Die wird dann wiederum verwendet, um die komplette Config-Datei für Stunnel in "/var/mod/etc/stunnel-client.conf" zu bauen.

Wenn bei dir die stunnel_clsvcs leer ist, du aber Einträge in der Web-Oberfläche siehst, läuft entweder im CGI-file was falsch, oder im .def File.

@Oliver: Hat sich da in freetz was geändert ?

Es hat sich was geändert. Siehe Trac.

MfG Oliver

olistudent schrieb:

Es hat sich was geändert. Siehe Trac.

Zum Vergrößern anklicken....

Ok, hab mal schnell über alles drübergesehen und mir ist direkt aufgefallen, dass im init-Script das Conf-File nicht als Parameter mit angegeben wird. Da warst du mit dem Rot-Stift etwas zu übereifrig

make/stunnel/files/root/etc/init.d/rc.stunnel (Zeile 45)

... sollte sein ...


Wie ich sehe hast du auch eine Möglichkeit reingemacht, ein pem-file zu verwenden. Allerdings so wie ich das sehe noch nicht richtig ! Private-Key und Cert dürfen AUF KEINEN FALL in ein und demselben File sein. Public-Key und Private-Key müssen getrennt sein (und der Private-Key darf nicht World-readable sein) !
Ausserdem gibt man eigentlich für jeden Eintrag in den Services im Server-Modus ein extra Zertifikat/Private-Key-Paar an und nicht global (Stunnel service level options). Praktisch kann man natürlich aber im Fall der Fritz!Box global ein File für Zertifikat/Private-Key angeben.

Update:
So, jetzt hab ich es auch mal gewagt und freetz draufgemacht. Die Angabe des conf-Files ist nicht unbedingt nötig (Standard-Suchpfad ist wohl /etc/stunnel.conf). ABER du hast die globale Option
rausgemacht. Was dazu führt, dass Stunnel standardgemäß im Server-Modus startet und damit auch nach Key-Files sucht. Davon rate ich dringend ab !

Sinnvoller ist es, für einzelne Dienste den Server-Modus zu aktivieren !


@wollet42: du kannst das temporär beheben, indem du in den Stunnel-Services VOR allen anderen Einträgen ein
einfügst.

wollet42 schrieb:

PS: ich setz den Thread auf gelöst. Wie landet das jetzt im freetz?

Zum Vergrößern anklicken....

Wenn du die Sachen bei dir implementiert hast, kannst du mir

ein Diff erstellen (dieses hier oder in einem Ticket im Trunk), was einer der Menschen mit Schreibberechtigung auf das Repository dann einchecken kann.

LG

ist das Verzeichnis deiner Wahl. Denn die Änderungen dort sind nur wichtig. Alles andere wird ab und an neu erstellt.

Hi.

@DPR
Ich hab das nicht selbst gemacht. Zumindest hab ich keine Ahnung was du da schreibst. Aber wenn du dich damit auskennst, dann würde ich dich bitten einen Patch dafür zu machen. Oder reicht das was wollet42 gepostet hat?

MfG Oliver

olistudent schrieb:

@DPR
Ich hab das nicht selbst gemacht. Zumindest hab ich keine Ahnung was du da schreibst. Aber wenn du dich damit auskennst, dann würde ich dich bitten einen Patch dafür zu machen. Oder reicht das was wollet42 gepostet hat?

Zum Vergrößern anklicken....

Ok, sorry Oliver - wollte dir nicht den "schwarzen Peter" zuschieben (oder irgendjemand anderem)

Das mit dem Key-Files sollte auch noch geändert werden ... sprich so ziemlich jedes File des freetz-Stunnel-Pakets muss angefasst werden (init-script, CGI, conf, ...).

Heute werd ich wohl nicht mehr dazu kommen, vielleicht morgen. Mal schaun ob ich dann auch die Zeit finde ein erstes Paket für xyssl und xrelayd für dsmod/freetz zu bauen.

Was wollet42 gepostet hat, reicht damit der Client-Modus läuft. Für den Server-Modus muss aber noch was geändert werden.

Ich poste dir dann gerne die Patches bzw. gleich das ganze Paket, sobald ich dazu komme. Und ja, ich kenn mich damit aus, weil ich ja damals das erste Paket für den dsmod zusammengestellt habe

Dank DPR gibts ein Update für das stunnel Package.
http://trac.freetz.org/changeset/1990

MfG Oliver