OpenVPN + chroot + DNS

[µRaCoLi]

Ich habe zwei Boxen per OpenVPN miteinander verbunden, was auch seit Monaten hervorragend läuft. Nachdem das Ganze jetzt mit chroot läuft, kann eine Box nach einer Zwangstrennung den Dyndns-Namen der anderen Box nicht mehr auflösen.

Apr 14 07:48:50 fritz daemon.err openvpn[1966]: RESOLVE: Cannot resolve host address: xxx.dyndns.org: [HOST_NOT_FOUND] The specified host is unknown.

 

[olistudent]

Kommt vielleicht vorher ein Fehler, dass er die resolv.conf oder hosts nicht lesen kann? Mit dnsmasq gabs hier ein ähnliches Problem.

MfG Oliver

 

[µRaCoLi]

Hab jetzt ein bisschen gegoogelt und dies gefunden: http://www.astaro.org/astaro-beta-v...0-dns-problems-openvpn-client-connection.html
Man muss wohl das chroot-Gefängnis ein bisschen besser ausstatten. Hab da heute Abend Zeit für. Welche Busybox-Bibliotheken müsste man rüberkopieren, damit DNS läuft? Alle Bibliotheken sind n bisschen viel...

 

[mehle]

Es scheint so zu sein, daß openvpn die libresolv und libdns nicht offen lässt. Auch wird /etc/resolv.conf nicht offen gelassen.

Bei diesem Fehler bin ich mir aber nicht mehr sicher, ob wir das chroot setzen sollten - libs umkopieren kostet wertvollen Speicher.

Vielleicht sollten wir chroot als Option anbieten?

Ciao
Stephan

 

[µRaCoLi]

Oder das chroot-Verzeichnis ins gleiche Dateisystem wie das Root-Dateisystem. Dann kann man mit Hardlinks die Bibliotheken setzen, was keinen Platz kostet.

 

[mehle]

Dies ist eine gute Idee, aber / ist nicht schreibbar, also sollte diese Idee flach fallen.

Ciao
Stephan

 

[Silent-Tears]

Das ginge vor dem Flashen.

 

[mehle]

guter Punkt - wie macht man denn so etwas? D.h. wo muß ich denn im Build-Prozess anfassen, damit im Image diese Links entstehen?

Danke
Stephan

 

[olistudent]

Du musst das Verzeichnis bzw. die Links im openvpn Verzeichnis (make/openvpn/files/root anlegen)? Aber ob das mit Hardlinks funktioniert weiß ich gar nicht.

MfG Oliver

 

[mehle]

Hard links kann man nur anlegen, wenn die Datei existiert - die Hardlinks werden ja direkt in die Inode der Datei geschrieben.

Ciao
Stephan

 

[olistudent]

Kann man die Hardlinks nicht zur Laufzeit auf der Box anlegen?

MfG Oliver

 

[RalfFriedl]

Nicht im Read-Only Dateisystem im Flash. Ansonsten würde es gehen.

 

[olistudent]

Das openvpn chroot ist doch aber nicht im Flash!?

MfG Oliver

 

[mehle]

Derzeit ist das chroot in /tmp/openvpn - das kann man aber überhall hinlegen.

Hardlinks kann man nur innerhalb einer Partition anlegen. D.h. wenn unsere Quelldateien in /lib liegen, muss unser chroot dir mit den hardlinks auch auf der root-Partition liegen.

Ciao
Stephan

 

[RalfFriedl]

Wenn das chroot nicht im Flash ist, dann gehen die Hard-Links auf Dateien im Flash nicht. Hard Links funktionieren nur innerhalb eines Dateisystems, im Gegensatz zu den Soft/Symbolischen Links.

Evtl. könnte etwas mit dem "mount bind" funktionieren, daß man da die Dateien über Dateisystem Grenzen hinweg verfügbar machen kann.

Bevor wir uns aber in der Hinsicht übermäßig Gedanken machen, wäre es sinnvoll, wenn man mit strace oder aus Protokoll-Meldungen sicher wüßte, ob/welche Libraries genau fehlen. Normalerweise sollten alle Libraries beim Start geladen werden und danach nicht nochmal benötigt werden.

 

[µRaCoLi]

So, hab jetzt /etc/resolv.conf und /lib/libresolv.so.0 ins chroot rüberkopiert und /lib/libc.so.0 per mount -o bind rübergemountet. Es läuft Bei der resolv.conf muss man noch überlegen, wann man die beim Booten rüberkopiert, weil die ja verschiedene Inhalte haben kann: Als Router 192.168.180.1, als Client hinter nem Router halt nen Eintrag per DHCP...

 

[olistudent]

Ich denke, dass es auch nur mit der /etc/resolv.conf klappen sollte. Kannst du mal bitte die Libs löschen und probieren?

MfG Oliver

 

[µRaCoLi]

Oh ja, da bin ich etwas übers Ziel hinausgeschossen ;-) /etc/resolv.conf reicht.

 

[mehle]

/etc/resolv.conf reicht?

Wenn dies so ist, sollten wir ein chroot für openvpn im Flash, sagen wir mal /var/run/openvpn haben und darin ein etc/resolv.conf welches ein hardlink auf die echte /etc/resolv.conf sein sollte.

Nur habe ich keine Ahnung, an welcher Stelle das Image noch als Verzeichnisbaum vorliegt, damit man solch ein hardlink erzeugen kann.

Ciao
Stephan

 

[µRaCoLi]

Also die "echte" /etc/resolv.conf ist ein Symlink auf /var/tmp/resolv.conf, da die ja je nach Konfiguration der Box anders ausfällt. Einen Hardlink hierhin fände ich nicht ganz so praktisch, weil ich nicht weiss, wann diese Datei überhaupt erstellt wird und sollte sie mal gelöscht und neuerstellt werden (Umkonfiguration) ist der Hardlink auch tot und man hat 2 verschiedene Dateien. Ich plädiere für ein "cp" vorm Starten von OpenVPN.