Remote Programmierung via Wiregate (OpenVPN)

[spookyt.]

(Trotzdem würde ich gerne die Ursache lösen, keinen Workaround schaffen)

Danke. Ich hatte offenbar irgendwo einen Typo. K.a. - jedenfalls klappts jetzt. Ist in sofern auch super, weil man dafür nun keine statische Route mehr setzen muss, sondern die Konfig komplett im WG stattfindet!

Das "eigentliche Problem" ist -wie du schreibst- damit natürlich noch nicht gelöst...

[makki]

+ Tastatur (USB oder PS/2) und 1x Enter oder anykey, sonst ist der Screensaver (=off) an - WG ist ja total green und die Grafikkarte schläft

Makki

[swiss]

aber auf die Konsole kommst du mit der Tastenkombination ALT + F2 ? Dann kannst du dort ganz normal die konfig ändern.

[spookyt.]

AFAIR steht auf der "Startseite" wenn man den monitor anschliesst auch die IP-Adresse des WG. Damit sollte es leicht sein eine verbinung über LAN aufzubauen.

Zeigt mein ach so toller Monitor aber nicht an...sondern immer nur "resultion out of range" - na hurra.
Wireshark log sagt mir ehrlich gesagt nicht so viel. (s. Anhang - ist ne RAR, die ich zum Hocladen hier umbenannt habe). Ich sehe immer nur die IP vom PC, aber nicht vom WG.
Aufruf über wiregatexxx klappt auch nicht.

Das Wiregate zurücksetzen geht wahrscheinlich mit nem Bootstick, oder? Was muss ich aufn Stick kopieren, damit das klappt?

[swiss]

AFAIR steht auf der "Startseite" wenn man den monitor anschliesst auch die IP-Adresse des WG. Damit sollte es leicht sein eine verbinung über LAN aufzubauen.

[makki]

Aber wie finde ich jetzt die IP des WG raus bzw. wie komme ich nun wieder auf die Konsole?

Mit Crossover sollte es per Browser/ssh mit wiregateXXX (Windows) bzw. wiregateXXX.local (Mac, Linux) gehen.
Sollte ich mich gerade täuschen sucht der hartgesottene mit "nmap -sP 169.254.0.0" oder wirft einen Blick in Wireshark.

Schlimmstenfalls setzen wir die Netzwerkconfig per USB-Stick auf default..
Edit: lokale Konsole ist auch ne Variante, vorher Alt+F2 drücken..

Makki

[swiss]

Am einfachsten ist es warscheinlich, wenn du einen Monitor und eine Tastatur am WG anschliesst und dort auf die Konsole zugreifst. Da kannst du dann auch die Datenen nochmals überarbeiten.

[spookyt.]

hab gedacht, ich hätte verstanden, was du geschrieben hast.

Hab jedenfalls das bridge-Zeug installiert und in der config entsprechend meinem fritzbox Netzes als statische IP die 192.168.178.45 fürs WG eingetrgaen (mit WinSCP).
Auch in der Fritzbox hab ich die .45 reserviert und die MAC dazu eingetragen.

Nach dem Reboot des WG zeigt die Fritzbox zwar an, dass die .45 verbunden ist, aber hinpingen kann ich nicht mehr.
K.a. warum.

Also hab ich erstmal versucht zurückzubauen. Verbindung per Crossoverkabel baut er -wie du beschrieben hast- auf und mein PC bekommt auch ne IP vom WG. Aber wie finde ich jetzt die IP des WG raus bzw. wie komme ich nun wieder auf die Konsole?

[makki]

VPN Bridge-Howto

Nene, deswegen mein expliziter Hinweis auf "Default" (VPN mit sep. Subnetz&Routing, was eigentlich technisch vernünftiger ist)
Beim Helmut werden die VPN's ins LAN gebridged. Sonderlocke #437..

Nachdem es nun raus ist aber per Webif nicht geht - und es hier das Problem löst - muss ich wohl rausrücken
(Trotzdem würde ich gerne die Ursache lösen, keinen Workaround schaffen)

[Wichtig]
- Nur, wenn man sich halbwegs sicher auf die Konsole traut!
-> Man kann sich leicht aussperren u.v.m.
- Weiss was eine IP-Adresse + Subnetzmaske bedeutet
- Man kann danach die IP-Einstellungen nicht mehr per normalem (User)-Webif ändern!
- VPN->Bridge ins LAN ist eigentlich eher suboptimal, weil es bedeutet das jeder VPN-Client auch z.B. unnötig mit sämtlichen Broadcasts im LAN (Win tut das gerne&oft) zugeblasen wird; in grösseren Netzten und/oder langsamen Verbindungen kann das schnell nachteilig werden.
Für reine KNX-Fernwartung ist jedoch oft einfacher.

- Wir verkaufen für sowas ggfs. auch Support-Packs, ist eine Sache von Minuten
[/Wichtig]

Aber so richtig schwierig ists auch nicht; Also:
- Anmelden per SSH als root

apt-get install bridge-utils
wget http://repo.wiregate.de/wiregate/ovpnbr.zip
unzip ovpnbr.zip
cp OpenVPN_Bridge/*.sh /etc/openvpn
chmod a+x /etc/openvpn/*.sh
cp OpenVPN_Bridge/server.conf /etc/openvpn/server.conf
mcedit /etc/openvpn/server.conf

In der /etc/openvpn/server.conf muss man nun die IP's anpassen (geht natürlich auch per WinSCP o.ä. statt mcedit)

Also die Zeile
server-bridge 192.168.60.88 255.255.255.0 192.168.60.240 192.168.60.245

-> 192.168.60.88 255.255.255.0
ist hier die statische IP-Adresse & Subnetzmaske des WG im LAN
-> 192.168.60.240 192.168.60.245
Der IP-Bereich für VPN-Clients; diese bekommen diese IPs - nicht per DHCP - auch wenn ein DHCP-Server im LAN aktiv ist!

Nun gehts an die Netzwerk-config, ssh als root oder (Win)SCP bearbeiten wir /etc/network/interfaces

mcedit /etc/network/interfaces

fügen oben eine Zeile ein: (verhindert nur das man aus versehen mit dem User-Webif die config lötet)

#noautocfg

und ändert diese das sie danach an o.g. Beispiel so aussieht (Änderungen in rot&fett)

..
[B][COLOR="Red"]#noautocfg[/COLOR][/B]
..
auto lo eth0 [COLOR="Red"][B]br0[/B][/COLOR]
iface lo inet loopback
	allow-hotplug eth0

# The primary network interface
iface eth0 inet [COLOR="Red"][B]manual[/B][/COLOR]

[COLOR="Red"][B]iface br0 inet static
        address 192.168.60.88
        netmask 255.255.255.0
        gateway 192.168.60.1
        bridge_ports eth0
        bridge_maxwait 0
[/B][/COLOR]

IP, Netzmaske und Gateway sind natürlich wieder anzupassen.
(Wenn man dabei Fehler macht, sollte die Auto-IP (Crossover-Kabel) immernoch gehen.)


Dann noch ein "reboot" auf der Konsole + 2 Minuten Zeit und fertig ist das Bridge-VPN.

Danach die VPN-config für den VPN-Client neu aus dem Webif laden (oder in der <clientname>.ovpn "tun" in "tap" ändern)

Makki

[spookyt.]

Makki, wir müssen noch rausfinden, was wir falsch machen...

Beim Lintschinger scheint das nämlich zu funktionieren: https://knx-user-forum.de/knx-eib-fo...tml#post173445

[makki]

Mit testen meinte ich: "normales" VPN aufmachen und ETS(4) mit Falcon 2.0 Gruppenmonitor anwerfen, bei mir blieb das in sämtlichen Konstellationen nach dem ersten Telegramm stehen - wenn man den WinTAP (Default) verwendet und dieser nicht gebridged ist (Default).
Müsste also mit jedem OpenVPN so sein..

Edit: Die ETS zeigt auch immer das an, wozu sie gerade lust hat.

Also ich das in diesem Kontext getestet habe, hat mich das Gefühl eben auch irgendwie beschlichen

Makki

[ThorstenGehrig]

Hi
@makki: was meinst du mit testen? Das die Antwort mit der VPN-IP kommt?
Ist das nicht "normal" wenn die pakete udp=sessionless kommen und vom Sender (richtige nic und vpn nic) zum Empfänger der kürzeste Weg über das VPN ist, man auch diese nic als absenderadresse nimmt?

Gruß
T.

[spookyt.]

Danke für den Workaround...theoretisch klappt das schonmal :-)

Rein praktisch ist meine Busverbindung offenbar aber nicht sehr stabil. S. Log.
Somit ist es mir nicht gelungen ein einfaches Gerät wie ein BWM zu programmieren.

Wieso bekomme ich immer wieder ein Verbindungsereignis? meine UMTS Verbindung ist eigentlich recht brauchbar. Kann man da noch "tunen"?

Edit: Die ETS zeigt auch immer das an, wozu sie gerade lust hat. Manchmal erscheint die eibd Verbindung unter "gefundene Verbindungen", aber beim Auswählen kommt dann "kann nicht verbunden werden". Also das ist mal echt ne Katastrophe.

[makki]

@Thorsten: das wird sicher funktionieren, ich greife jeden Tag via eibd auf mein Home-Netz via VPN, ist aber halt ned so richtig "Anwenderfreundlich"

@All: bitte wenn das mal jemand testen könnte: wäre gut. Ich denke es ist ein Bug in der ETS aber..(?)

Makki

[ThorstenGehrig]

Hi,
nachdem Tom wohl das ein oder andere Problem quält - habe ich mir eben mal folgende Konstellation ausgedacht:
Am Ziel-Standort: KNX-Netz mit Wiregate (sagen wir mal 192.168.178.0/24)
Wiregate VPN-Netz = 192.168.3.0/24 - Wiregate Server = 192.168.3.1

Am "Remote Standort"
(UMTS) Router mit 192.168.1.0/24
Client 192.168.1.100 - dort nativ oder in eine VM (192.168.1.101) eine ETS
Eine ZWEITE VM (192.168.1.102) mit einem Minimal-Linux, openvpn und eibd.

Jetzt die Konfig:
Die Linux-VM baut einen openvpn-Tunnel auf (192.168.3.6).
Der eibd arbeitet als EIB-Router

/usr/bin/eibd -e 1.1.254 -c -S -D -i -T -d -u --pid-file=/var/run/eibd.pid  ipt:192.168.3.1

In der ETS konfiguriert man die Schnittstelle als eib-tunnel auf 192.168.1.102

Ziel der ganzen Geschichte: Die ETS arbeitet erstmal lokal im Netz mit einem eibd server. Die Hoffnung ist das der Eibd auf der Remote-Seite sauber mit dem eibd auf dem WG zusammenarbeitet...

Makki, wie siehst du die Erfolgs-Chancen?

Gruß
Thorsten