[wiregate] - √ - Wiregate Netzwerk Config Problem

[tofele]

Ich habe gestern einen neuen Router (Fritzbox) in Berieb genommen und bei der Gelegenheit mein Netzwerk umgestellt:

Alt: IP 192.168.0.20 Subnet 255.255.255.0 GW 192.168.0.1

Neu: IP 192.168.10.20 Subnet 255.255.0.0 GW 192.168.10.1

Das hat alles geklappt ausser auf dem Wiregate. Ich schaffe es nicht, die IP Config via Web UI (zeigt nur br0 an) umzustellen, weder auf statisch noch DHCP. Vorher war es statisch, jetzt will ich DHCP mit reservierten Adressen. Bei Klick auf den "Speichern & Anwenden" Button passiert ... nichts. Nach mehren Versuchen muss ich das WG neu booten (Power off) und dann kann ich wieder via die alte IP rein ...

Nun habe ich festgestellt, dass auch ein br0 Interface konfiguriert ist und mir ist nicht klar wozu. Makki hat mal vor ca. 1.5 Jahren was drauf gemacht, ist das noch ein Überbleibsel?

/etc/networks/interfaces sieht wie folgt aus. Die Umstellung scheint teilweise gelungen zu sein, aber br0 ist immer noch auf der alten IP. Müsste das nicht auch auf 192.168.10.20 und 255.255.0.0 gesetzt werden? Wozu braucht es überhaupt eine Bridge?

auto lo eth0 br0
iface lo inet loopback
	allow-hotplug eth0

iface eth0 inet static
	address 192.168.10.20
	netmask 255.255.0.0
	broadcast 192.168.255.255
	network 192.168.0.0
	gateway 192.168.10.1

# The primary network interface
iface br0 inet static
	address 192.168.0.20
	netmask 255.255.255.0
	broadcast 192.168.0.255
	network 192.168.0.0
	bridge_ports eth0
	bridge_maxwait 0

Und ifconfig -a so hier

root@wiregate625:~# ifconfig -a
br0       Link encap:Ethernet  Hardware Adresse 00:0d:b9:0e:25:a4  
          inet Adresse:192.168.0.20  Bcast:192.168.0.255  Maske:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metrik:1
          RX packets:1692 errors:0 dropped:0 overruns:0 frame:0
          TX packets:491 errors:0 dropped:0 overruns:0 carrier:0
          Kollisionen:0 Sendewarteschlangenl?nge:0 
          RX bytes:163136 (159.3 KiB)  TX bytes:64577 (63.0 KiB)

br0:avahi Link encap:Ethernet  Hardware Adresse 00:0d:b9:0e:25:a4  
          inet Adresse:169.254.5.114  Bcast:169.254.255.255  Maske:255.255.0.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metrik:1

eth0      Link encap:Ethernet  Hardware Adresse 00:0d:b9:0e:25:a4  
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metrik:1
          RX packets:2206 errors:0 dropped:0 overruns:0 frame:0
          TX packets:600 errors:0 dropped:0 overruns:0 carrier:0
          Kollisionen:0 Sendewarteschlangenl?nge:1000 
          RX bytes:236648 (231.1 KiB)  TX bytes:77615 (75.7 KiB)
          Interrupt:11 Basisadresse:0xfc00 

eth0:avahi Link encap:Ethernet  Hardware Adresse 00:0d:b9:0e:25:a4  
          inet Adresse:169.254.5.114  Bcast:169.254.255.255  Maske:255.255.0.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metrik:1
          Interrupt:11 Basisadresse:0xfc00 

lo        Link encap:Lokale Schleife  
          inet Adresse:127.0.0.1  Maske:255.0.0.0
          UP LOOPBACK RUNNING  MTU:16436  Metrik:1
          RX packets:12243 errors:0 dropped:0 overruns:0 frame:0
          TX packets:12243 errors:0 dropped:0 overruns:0 carrier:0
          Kollisionen:0 Sendewarteschlangenl?nge:0 
          RX bytes:1176455 (1.1 MiB)  TX bytes:1176455 (1.1 MiB)

[luigi4711]

Hilft Dir vermutlich nicht furchtbar viel weiter... aber bei meinem WG gibts tatsächlich kein br0, alles direkt auf die eth0 konfiguriert...
Ein Bridge Interface kenne ich vom PC, wenn Du VMs etc. drauf laufen hast, aber das ist vermutlich beim WG nicht der Fall

root@wiregatexxx:~# more /etc/network/interfaces
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

# The loopback network interface
auto lo eth0
iface lo inet loopback
    allow-hotplug eth0

# The primary network interface
iface eth0 inet static
    address 192.168.3.9
    netmask 255.255.255.0
    broadcast 192.168.3.255
    network 192.168.3.0
    gateway 192.168.3.1

[tofele]

Ja, genau sowas in der Art hätte ich erwartet. Kann ich das jetzt einfach so zurücksetzen?

[StefanW]

Das klingt so, als wenn Du damals eine spezielle Konfig bekommen hast. Das passt natürlich nicht oder nur noch eingeschränkt zum Webmin, dass von der Modifikation nichts weiß.

Wir sollten das näher untersuchen, wozu ich Dich bitte, ein entsprechendes Support-Ticket zu öffnen.

Solche speziellen Modifikationen auf Kundenwunsch sind nichts für das allgemeine Forum, weil es verwirrt nur.

lg

Stefan

[tofele]

Habe ein Ticket erstellt. Das war damals kein Kundenwunsch sondern ich hatte Probleme mit dem Routing und Makki hat sich das mal angeschaut.

Danke
Tom

[StefanW]

Gut, wir klären das weitere per Ticket, weil sonst erhöht sich unser Aufwand, wenn wir im Forum und im Ticket gleichzeitig schreiben.

Ich bitte um Verständnis

Stefan

[makki]

Das ist IMHO durchaus ein Thema fürs Forum.
Denn es zeigt, das man mit dem WireGate alles machen kann.
Aber nicht alles davon sinnvoll ist, wenn man Jahre später erwartet, das man dann noch alles mit einem Klick ändern kann.
Das vermag kein komfortables Tool dieser Welt zu leisten, jegliche Flexibilität zuzulassen und das gleichzeitig Anwenderfreundlich zu präsentieren.
Jegliche GUI beraubt einen nunmal um mind. 50% der potentiellen Möglichkeiten, das ist auch 2014 noch so..

1) ja, ich habe mal beschrieben, wie das mit der Bridge aufs VPN geht. Und im selben Satz davon abgeraten.
Ich spare mir den Link bewusst, weils mehr Nach- als Vorteile hat, was ich auch damals schon geschrieben habe.
1a) ich habe aber auch damals sicher bereits gesagt und geschrieben, das eine Änderung der Netzwerk-Konfig dann nicht mehr per Webif möglich ist (aufgrund der 100x möglichen Varianten)
2) nachdem es sich trotzdem einige geschossen hatten, wurde das in irgendeinem PL deaktiviert, dass man das (Bridge) im Webif ändern kann. Eine Schutzfunktion..
Wenn man sowas macht, muss man auf die (SSH)Konsole (auch schon zur Einrichtung dessen!)
3) Dabei fast jedesmal darauf hingewiesen, das man vorher ein Backup machen & wissen sollte, was man tut. z.B.:
https://knx-user-forum.de/wiregate/2...rkbruecke.html


Also ist die Lösung einfach:
- Entweder "Rückbau"
- Oder eben die IP in /etc/network/interfaces ändern
Webinterface geht mit bridging nicht.

P.S.: Ich suche jetzt nicht ewig, aber falls ich die Bridge eingerichtet habe: sicher nicht ohne o.g. mehrfach explizit zu sagen oder zu schreiben!

Makki

Edit: nochmal alles gelesen, also:
- in /etc/network/interfaces bei br0 die neue IP eintragen (eth0 ist mit der bridge nicht mehr auf L3 aktiv)
- forwarden von 1194/UDP ist fürs Wartungs-VPN nicht notwendig, nur für den VPN-Server für eigene Clients.

[tofele]

Machen wir jetzt hier weiter? Auch ok ...

Danke makki für den Tipp. Ich habe noch ein bisschen im Forum gesucht/gelesen und konnte nun das Problem beheben, mit einer Ausnahme bei openvpn. Folgendes habe ich gemacht:

- WG an Bildschirm und Tastatur angeschlossen. Konsole macht mir keine Angst, da habe ich schon andere Kaliber unter den Fingern gehabt.
- Die Wartungs VPN ist jetzt offen, wiregate625
- /etc/network/interfaces wie folgt angepasst und neu gebotet. Jetzt kommt die richtige IP via DHCP und es lässt sich auch via Webmin umstellen und anpassen. Fein ...

root@wiregate625:/etc/network# cat /etc/network/interfaces
# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).
## #noautocfg

# The loopback network interface
auto lo eth0
iface lo inet loopback
	allow-hotplug eth0

# The primary network interface
iface eth0 inet dhcp
	gateway 192.168.10.1

- Wozu ist das noautocfg? Hat das was mit dem Webmin zu tun? Kann ich das entfernen?
- Unklar sind mir noch server.conf und wiregate-central.disabled in /etc/openvpn. Ich habe in /root/wg-skeleton/etc/openvpn alte/originale(?) Versionen dieser Dateien gefunden, die anders aussehen. Sind diese gültig/korrekt? Die Dateien in /etc/openvpn scheinen irgendwelche Spuren von Deiner letzten Wartungssession zu haben. Müssten diese nicht wie in /root/wg-skeleton aussehen, also ohne openvpn und mit wiregate-centra.conf statt .disabled?
- Gehören die Dateien /opt/elabvpn* noch aufs WG oder gehören die gelöscht?

root@wiregate625:/etc/openvpn# sdiff /etc/openvpn/server.conf /root/wg-skeleton/etc/openvpn/server.conf 
port 1194							port 1194
proto udp							proto udp
dev tap0						      |	dev tun0
ca keys/this-server-ca/ca.crt					ca keys/this-server-ca/ca.crt
cert keys/this-server-ca/server.crt				cert keys/this-server-ca/server.crt
key keys/this-server-ca/server.key				key keys/this-server-ca/server.key
dh keys/this-server-ca/dh1024.pem				dh keys/this-server-ca/dh1024.pem
server-bridge 192.168.10.20 255.255.0.0 192.168.10.240 192.16 |	server 172.24.254.0 255.255.255.0
crl-verify keys/this-server-ca/crl.pem				crl-verify keys/this-server-ca/crl.pem
tls-auth servers/server/ta.key 0			      <
cipher AES-128-CBC						cipher AES-128-CBC
user nobody							user nobody
group nogroup							group nogroup
status /var/run/openvpn.server.status			      |	status servers/server/logs/openvpn-status.log
log-append /var/log/openvpn.log				      |	log-append servers/server/logs/openvpn.log
script-security 2					      <
up "/etc/openvpn/up.sh br0"				      <
down "/etc/openvpn/down.sh br0"				      <
verb 2								verb 2
mute 20								mute 20
max-clients 100							max-clients 100
management 127.0.0.1 8001				      <
keepalive 10 120						keepalive 10 120
client-config-dir /etc/openvpn/servers/server/ccd		client-config-dir /etc/openvpn/servers/server/ccd
comp-lzo							comp-lzo
persist-key							persist-key
persist-tun							persist-tun
ccd-exclusive							ccd-exclusive
							      >	push "route 172.17.2.192 255.255.255.240"
							      >	push "route 172.17.2.64 255.255.255.224"

root@wiregate625:/etc/openvpn# diff /etc/openvpn/wiregate-central.disabled  /root/wg-skeleton/etc/openvpn/wiregate-central.conf 
42c42
< remote wg-vpn-maint.elabnet.de 1201
---
> remote elabvpn1.elabnet.de 1201
89,90c89,90
< cert keys/wiregate-central.crt
< key keys/wiregate-central.key
---
> cert keys/WGHOSTNAME.crt
> key keys/WGHOSTNAME.key
122d121
< #log-append /var/log/openvpn-central.log
126,128d124
< 
< script-security 2
< up /opt/elabvpn1-start-sendip.sh

Danke
Tom

[swiss]

Hallo Tom

Das noautoconfig führt im Webmin zu einer Meldung dass die Config nicht mehr über das Webmin verändert werden kann. Das sollte auch so sein, da man sich sonnst die Config mit dem Webmin noch ganz zerschiessen kann wenn man da Sonderlocken von Hand eingepflegt hat.

[tofele]

Ich habe inzwischen die Dateien /etc/network/interfaces und /etc/openvpn/server.conf auf die normalen Einstellungen (also ohne VPN Bridge) zurückgesetzt, jetzt läuft alles wieder wie neu, inkl. Web Interface.

Danke an makki und StefanW für die Hilfe im Support Ticket. Thema als gelöst markiert.

/etc/network/interfaces:

# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).

# The loopback network interface
auto lo eth0
iface lo inet loopback
        allow-hotplug eth0

# The primary network interface
iface eth0 inet dhcp
        gateway 192.168.10.1

/etc/openvpn/server.conf:

port 1194
proto udp
dev tun0
ca keys/this-server-ca/ca.crt
cert keys/this-server-ca/server.crt
key keys/this-server-ca/server.key
dh keys/this-server-ca/dh1024.pem
server 172.24.254.0 255.255.255.0
crl-verify keys/this-server-ca/crl.pem
tls-auth servers/server/ta.key 0
cipher AES-128-CBC
user nobody
group nogroup
status /var/run/openvpn.server.status
log-append /var/log/openvpn.log
verb 2
mute 20
max-clients 100
management 127.0.0.1 8001
keepalive 10 120
client-config-dir /etc/openvpn/servers/server/ccd
comp-lzo
persist-key
persist-tun
ccd-exclusive

Tom

[tofele]

Ich habe nun auch eine statische Route in der FB eingetragen, wie das makki andernorts schon mehrfach erklärt hat.

Netzwerk: 172.24.254.0
Subnet: 255.255.255.0
Gateway: IP des WG im lokalen Netz (also 192.168.10.x)

Damit funktioniert auch alles im Sinne des Erfinders, d.h. Zugriff auf andere Geräte im Heimnetz. ETS habe ich nicht probiert.

Nun habe ich auch eine Synology mit dem aktuellsten DSM 5 und auch dort einen OpenVPN Server eingerichtet (anderer Port).

Bei der Synology waren 2 "push route" im der server.conf notwendig, aber kein Eintrag im Router. Also:

push "route 192.168.10.0 255.255.255.0"
push "route 10.8.0.0 255.255.255.0"

Wenn das Analoge beim WG mache, also

push "route 192.168.10.0 255.255.255.0"
push "route 172.24.254.0 255.255.255.0"

reicht das nicht, hier brauche ich die statische Route, s.o. Nun verstehe ich aber nicht wieso das in einem Fall nötig ist, im anderen noch. Die restlichen z.T. unterschiedlichen ovpn Parameter bei VPN Clients haben m.M. nach mit Routing nichts zu tun. Kann mir das jemand erklären?

Danke
Tom