Passende Konfig sieht bei mir für eine Fritzbox 7170 - Fritzbox 7320 bridge mit Zertifikaten so aus - alle openvpn Dateien je auf USB Sticks:
passende openvpn binary und zertifikate / keys entweder auf den USB-Stick legen oder alternativ via debug.cfg per wget nach /var/tmp laden und ausführbar machen (finde ich für die Zertifkate nur akzeptabel bei lokalem Webserver)
Vorsicht openvpn binary - es gibt Versionen für Kernel 2.4 / 2.6 und jetzt noch die für die 73xx Boxen. Hier im Forum zu finden.
#zunächst in ar7.cfg mit nvi ergänzen
bei brinterfaces das "tap0" in der Liste bei interfaces (Komma nicht vergessen) (server und client) und
bei dslinterfaces die forwardrules mit "udp 0.0.0.0:1194 0.0.0.0:1194 0 # openvpn" (nur server)
Server config:
Code:
#server.conf ## auf 7170 (bzw. gefritzer W900V)
dev tap
dev-node /var/tmp/tun
mssfix
tun-mtu 1500
proto udp
port 1194
ca /var/media/NEW_LINK/openvpn/keys/ca.crt
cert /var/media/NEW_LINK/openvpn/keys/server.crt
key /var/media/NEW_LINK/openvpn/keys/server.key
dh /var/media/NEW_LINK/openvpn/keys/dh2024.pem
server-bridge <<serveripbereich, z.b 192.168.178.0 255.255.255.0>> <<Bereich für die einzubindenden IPs, zB 192.168.178.150 192.168.178.200>>
mode server
tls-server
ifconfig-pool-persist ipp.txt
client-to-client
comp-lzo
max-clients 5
user nobody
group nobody
chroot /var/media/NEW_LINK/openvpn
persist-key
persist-tun
log-append /var/media/NEW_LINK/openvpn/log/openvpn.log
status /var/media/NEW_LINK/openvpn/log/openvpn-status.log
verb 4 #oder kleiner
keepalive 10 120
Code:
# startopenvpn.sh (server und client)
echo 'nobody:x:65534:65534:nobody:/:/bin/false' >> /var/tmp/passwd
echo 'root:x:0:' > /var/tmp/group
echo 'nobody:x:65534:' >> /var/tmp/group
mknod /var/tmp/tun c 10 200
/var/media/NEW_LINK/openvpn/openvpn --config /var/media/NEW_LINK/openvpn/server.conf --daemon
#ipp.txt (nur auf dem server) enthält z.B.
client1, <<interne IP, die er (wieder) bekommen soll>>
Nach dem start von openvpn kannst du mit ps sehen ob openvpn gestartet ist und mit brctl show, ob das tap0 in der bridge drin ist.
und der Client:
Code:
#Client.conf dann analog
tls-client
dev tap
dev-node /var/tmp/tun
proto udp
remote <<feste ip oder dyndns des server>> 1194
resolv-retry infinite
nobind
persist-key
persist-tun
mute-replay-warnings
ca ca.crt
cert client.crt
key client.key
ns-cert-type server
comp-lzo
verb 3
user nobody
group nobody
log-append /var/media/NEW_LINK/openvpn/log/openvpn.log
chroot /var/media/NEW_LINK/openvpn
Ergänzung zu Fragen von voipd am 30.7.2011
>Welches Binary muss ich nutzen? Aktuelle Firmware auf 7240.
Binaries findest du mittels Suche hier im Forum oder auch mit google auf
www.wehavemorefun.de mit Suchworten "openvpn" und "binaries".
Ich vermute mal, du wirst die kernel 2.6 Version brauchen. Versuch macht kluch.
>kann ich die Files auch auf dem "INTERNEN NAS Speicher" der 7240 ablegen
Internen NAS Speicher kenne ich nicht, nur den auf USB Stick. Ich habe das sowohl mit einer 7170 als einer 7320 jeweils in ein von mir erstelltes Verzeichnis /openvpn auf den usb Stick gelegt (NAS Speicher USB in der weboberfläche aktiviert). Die Dateien könnten natürlich auch auf jedem anderen für die Box sichtbaren Speicher liegen, z.B. /var/tmp, nur sind sie dann nach Neustart evt. weg.
>Ich kann nur mit dem Keyfile arbeiten. Laeuft das auch auf der Box ohne die Zertifikate?
Ja, hatte ich auch schon mal, aber nicht mit der oben gegebenen config. Meine alte config habe ich nicht mehr. Da gibt es eine brauchbare, alte Anleitung bei tecchannel (für tunnel mit keyfiles, wenn ich mich recht entsinne). Evt. bieten die dort noch 2.4 binaries an. Du brauchst vermutlich die 2.6er, siehe oben.
>Was kann ich alles an Konfigs, bzw. Arbeitsschritten weglassen wenn ich die Box nur als OpenVPN Client laufen lasse?
Die Client Konfiguration muss natürlich zur Server Konfiguration passen. Für oben beschriebene Situation brauchst Du beim Client die Änderungen an der ar7.cfg, das tap device /var/tmp/tun, die client.conf, das openvpn binary, ca.cert, client.crt und key.crt, und zum Starten das startopenvpn.sh (der Startbefehl kann natürlich auch direkt in die debug.cfg, die Lösung mit startopenvpn.sh scheint mir pflegeleichter).
>auf den havemorefun Seiten sind die Binaries von 2007 und daraus schliesse ich, dass auch die Anleitung so alt ist, dass sie ggf. nicht mehr passend ist fuer die aktuellen Boxen
Ich habe diverse Anleitungen für bridges mit Zertifikaten in den letzten 2 Wochen angesehen. Die wehavemorefun schien mir recht brauchbar. Einzig die neuen binaries für die 73xx Versionen waren wohl nicht erwähnt (oder ich habe es überlesen). Da ich die ar7.cfg direkt bearbeite, habe ich mich nicht überzeugt, ob das mit den Umleitungstricks via weboberfläche auch (noch) geht.
Gruß
finreg
