OpenVPN Client tap0 Firewall/NAT

[burtb]

Hallo liebe IPPF'ler!

Meine FB 7270V2/Freetz arbeitet im Netzwerk als IP Client über LAN1 und OVPN Client.

Nun habe ich das Problem das die Fritzbox Weboberfläche und andere Dienste die auf der FB laufen über die externe VPN IP erreichbar sind, also kein NAT oder ähnliches dazwischen steht.

Hier ein paar Daten zu meiner Konfig:

openvpn.conf

float
client
dev tap
proto udp
nobind

; Cert
ca /var/media/ftp/uStor01/openvpn/keys/ca.crt
ns-cert-type server
cipher BF-CBC	#Blowfish

;Vpn server

remote-random
remote host.name 1194
remote host.name2 10010
remote host.name3 10020


;Auth
auth-user-pass /var/media/ftp/uStor01/openvpn/keys/xyz.dat #passwd
#auth-nocache

persist-key
persist-tun

; Logging
comp-lzo
verb 4
log /var/media/ftp/uStor01/logs/OpenVPN.log

ifconfig bei aktiver VPN Verb.

cpmac0    Link encap:Ethernet  HWaddr xx:xx:xx:xx:BE
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:14884 errors:0 dropped:0 overruns:0 frame:0
          TX packets:9217 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:3658895 (3.4 MiB)  TX bytes:4093003 (3.9 MiB)

eth0      Link encap:Ethernet  HWaddr xx:xx:xx:xx:BE
          UP BROADCAST RUNNING ALLMULTI MULTICAST  MTU:1500  Metric:1
          RX packets:14884 errors:0 dropped:0 overruns:0 frame:0
          TX packets:9216 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:128
          RX bytes:3658895 (3.4 MiB)  TX bytes:4092913 (3.9 MiB)

guest     Link encap:Ethernet  HWaddr xx:xx:xx:xx:BE
          inet addr:192.168.179.1  Bcast:192.168.179.255  Mask:255.255.255.0
          UP BROADCAST RUNNING ALLMULTI MULTICAST  MTU:1500  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:639 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:0 (0.0 B)  TX bytes:32318 (31.5 KiB)

lan       Link encap:Ethernet  HWaddr xx:xx:xx:xx:BE
          inet addr:192.168.1.8  Bcast:192.168.1.255  Mask:255.255.255.0
          UP BROADCAST RUNNING ALLMULTI MULTICAST  MTU:1500  Metric:1
          RX packets:14884 errors:0 dropped:0 overruns:0 frame:0
          TX packets:9228 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:3390983 (3.2 MiB)  TX bytes:4093541 (3.9 MiB)

lan:0     Link encap:Ethernet  HWaddr xx:xx:xx:xx:BE
          inet addr:169.254.1.1  Bcast:169.254.255.255  Mask:255.255.0.0
          UP BROADCAST RUNNING ALLMULTI MULTICAST  MTU:1500  Metric:1

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:6827 errors:0 dropped:0 overruns:0 frame:0
          TX packets:6827 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:471889 (460.8 KiB)  TX bytes:471889 (460.8 KiB)

tap0      Link encap:Ethernet  HWaddr xx:xx:xx:xx:9A
          inet addr:xxx.73.218.25  Bcast:xxx.73.218.255  Mask:255.255.255.0
          UP BROADCAST RUNNING ALLMULTI MULTICAST  MTU:1500  Metric:1
          RX packets:96 errors:0 dropped:0 overruns:0 frame:0
          TX packets:6 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100
          RX bytes:5506 (5.3 KiB)  TX bytes:324 (324.0 B)

route ausgabe:

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
xxx.73.212.234  dns.fritz.box   255.255.255.255 UGH   0      0        0 lan
192.168.179.0   *               255.255.255.0   U     0      0        0 guest
192.168.1.0     *               255.255.255.0   U     0      0        0 lan
xxx.73.218.0    *               255.255.255.0   U     0      0        0 tap0
169.254.0.0     *               255.255.0.0     U     0      0        0 lan
default         xxx.73.218.1    128.0.0.0       UG    0      0        0 tap0
128.0.0.0       xxx.73.218.1    128.0.0.0       UG    0      0        0 tap0
default         dns.fritz.box   0.0.0.0         UG    9      0        0 lan

Wie kann ich nun das tap0 Interface schützen?

 

[M66B]

Possible solution: use ip-tables to allow only traffic between your tap0 and lan interface.
Something like isolating the guest network from LAN: click.

Edit: another example: click.

 

[burtb]

Hi M66B!
I can`t use iptables because this package isn`t part of this freetz image.
I thougt to configure tap0 device in ar7.cfg, so it will be used as a fake dsl interface with nat.
But i don`t know how to do...

 

[hermann72pb]

@burtb: Du weiß aber, dass wir es hier ungerne sehen, wenn du deine Images anderswo besorgst. Dann frag doch gleich dort nach, damit der Autor von deinem Image dich supported.

MfG

 

[burtb]

@hermann72pb
Wie kommst du zu dieser Unterstellung?