Freifunk-Gateway aufsetzen/Routing-ins-Internet - Versionsgeschichte

Miki: /* IPv4 */ MSS Clamping Hack ergänzt.

2021-10-07T08:31:44Z

IPv4: MSS Clamping Hack ergänzt.

← Nächstältere Version		Version vom 7. Oktober 2021, 10:31 Uhr
Zeile 16:		Zeile 16:
	Ansonsten passieren lustige Dinge mit MTU, die dazu führen können, dass manche Seite nicht laden.		Ansonsten passieren lustige Dinge mit MTU, die dazu führen können, dass manche Seite nicht laden.

	Außerdem sollte MSS Clamping aktiviert werden, damit auch Webseiten funktionieren, die ICMP Pakete blockieren (pfui!)		Außerdem sollte MSS Clamping aktiviert werden, damit auch Webseiten funktionieren, die ICMP Pakete blockieren (pfui!). Dafür kann in <code>/etc/network/interfaces</code> bei jedem Interface, das Babel verwendet, folgender Zweizeiler im IPv4 Bereich ergänzt werden.
	~~TODO~~.
			<pre>
			post-up iptables -t mangle -A POSTROUTING -p tcp --tcp-flags SYN,RST SYN -o $IFACE -j TCPMSS --clamp-mss-to-pmtu
			pre-down iptables -t mangle -D POSTROUTING -p tcp --tcp-flags SYN,RST SYN -o $IFACE -j TCPMSS --clamp-mss-to-pmtu
			</pre>

			Hintergrundinfos: https://de.wikipedia.org/wiki/Maximum_Segment_Size#MSS_Clamping

	=== IPv6 ===		=== IPv6 ===

ChristianD: /* IPv6 */

2020-06-07T05:59:25Z

IPv6

← Nächstältere Version		Version vom 7. Juni 2020, 07:59 Uhr
Zeile 22:		Zeile 22:
	Bei IPv6 wird nicht wie bei IPv4 mit NAT gearbeitet. Daher sind öffentliche Adressen nötig, die dann auch passend geroutet werden müssen. (Nicht jeder Uplink lässt Pakete mit beliebigen Quelladressen durch).		Bei IPv6 wird nicht wie bei IPv4 mit NAT gearbeitet. Daher sind öffentliche Adressen nötig, die dann auch passend geroutet werden müssen. (Nicht jeder Uplink lässt Pakete mit beliebigen Quelladressen durch).

	Öffentliche IPv6 Adressen können hier bezogen werden~~: https://wiki~~.~~freifunk-franken.de/w/Portal:Layer3Peering#sonstiges~~		Öffentliche IPv6 Adressen können [[IPv6\|hier]] bezogen werden.
	Auch für diese Adressen gilt: die passenden Routen werden im Freifunk announced, daher ist nichts weiter zu tun.		Auch für diese Adressen gilt: die passenden Routen werden im Freifunk announced, daher ist nichts weiter zu tun.

	.. Es können (und sollten, so die Möglichkeit besteht) natürlich auch eigene Adressen verwendet werden. :-)		.. Es können (und sollten, so die Möglichkeit besteht) natürlich auch eigene Adressen verwendet werden. :-)


	= Traffic direkt am Server ins Internet ausleiten =		= Traffic direkt am Server ins Internet ausleiten =

Fblaese: /* Abuse minimieren */

2019-06-23T14:46:56Z

Abuse minimieren

← Nächstältere Version		Version vom 23. Juni 2019, 16:46 Uhr
Zeile 111:		Zeile 111:

	Gateways, welche beim Hoster Hetzner stehen, sollte weitere Vorkehrungen treffen. Hetzner monitored den Traffic, den die Gateways verursachen. Sollten Verbindungsversuche zu nicht gerouteten IPs dabei sein, generiert Hetzner Abuse und schickt es (Achtung!) nicht an die hinterlegte Abuse-Adresse. Was man dagegen tun kann ist hier beschrieben: [[Hetzner]]		Gateways, welche beim Hoster Hetzner stehen, sollte weitere Vorkehrungen treffen. Hetzner monitored den Traffic, den die Gateways verursachen. Sollten Verbindungsversuche zu nicht gerouteten IPs dabei sein, generiert Hetzner Abuse und schickt es (Achtung!) nicht an die hinterlegte Abuse-Adresse. Was man dagegen tun kann ist hier beschrieben: [[Hetzner]]

	~~'''-> Nur nötig wenn Traffic direkt ins Internet geleitet wird!'''~~

	= VPN-Tunnel zu Anonymisierungsdienst =		= VPN-Tunnel zu Anonymisierungsdienst =

Fblaese: /* Traffic direkt am Server ins Internet ausleiten */

2019-06-23T14:46:44Z

Traffic direkt am Server ins Internet ausleiten

@@ Zeile 90: / Zeile 90: @@
 [...]
 </pre>
 = VPN-Tunnel zu Anonymisierungsdienst =

Fblaese: Die Seite wurde neu angelegt: „= Einleitung = Es gibt verschiedene Möglichkeiten Traffic ins Internet zu routen. * Einen anderen Router ins Internet routen lassen und dessen angebotene Rout…“

2019-06-23T12:49:26Z

Die Seite wurde neu angelegt: „= Einleitung = Es gibt verschiedene Möglichkeiten Traffic ins Internet zu routen. * Einen anderen Router ins Internet routen lassen und dessen angebotene Rout…“

Neue Seite

= Einleitung =
Es gibt verschiedene Möglichkeiten Traffic ins Internet zu routen.
* Einen anderen Router ins Internet routen lassen und dessen angebotene Route nutzen.
* Direkt am eigenen Server ins Internet routen
* Über einen VPN Anbieter ins Internet routen

= Über Babel an ein FFF-Exit-Gateway =

=== IPv4 ===
Babel trägt automatisch die von anderen Routern announcte "default-Route" in die 'fff' Tabelle ein.

Dadurch werden die Pakete, für die keine bessere ("more specific") Route gefunden wurde zu dem Server geleitet, der diese "default-Route" announct hat.

Es sollte darauf geachtet werden, dass die Option net.ipv4.icmp_errors_use_inbound_ifaddr (siehe oben) gesetzt ist.
Ansonsten passieren lustige Dinge mit MTU, die dazu führen können, dass manche Seite nicht laden.

Außerdem sollte MSS Clamping aktiviert werden, damit auch Webseiten funktionieren, die ICMP Pakete blockieren (pfui!)
TODO.

=== IPv6 ===
Bei IPv6 wird nicht wie bei IPv4 mit NAT gearbeitet. Daher sind öffentliche Adressen nötig, die dann auch passend geroutet werden müssen. (Nicht jeder Uplink lässt Pakete mit beliebigen Quelladressen durch).

Öffentliche IPv6 Adressen können hier bezogen werden: https://wiki.freifunk-franken.de/w/Portal:Layer3Peering#sonstiges
Auch für diese Adressen gilt: die passenden Routen werden im Freifunk announced, daher ist nichts weiter zu tun.

.. Es können (und sollten, so die Möglichkeit besteht) natürlich auch eigene Adressen verwendet werden. :-)

= Traffic direkt am Server ins Internet ausleiten =
Bevor ihr "fremden" Traffic direkt ausleitet, solltet ihr euch unbedingt über die rechtlichen Konsequenzen informieren und euch mit eurem Provider oder Serververmieter in Verbindung setzen.

=== IPv4 ===

Hierfür ist ein NAT nötig, dass die internen Adressen auf die passende öffentliche Adresse übersetzen kann.

Weiterhin muss eine passende default Route in der 'fff' Tabelle angelegt werden:

<pre>
~$ ip route show tab main | grep default
default via 192.0.2.4 dev ens3
</pre>

<pre>
~$ ip route replace default via 192.0.2.4 dev ens3 proto static tab fff
</pre>

Das ganze muss dann noch Rebootfest gemacht werden. Dafür bietet es sich an, einen {pre-|post-}up Block in der Debian Interfacekonfiguration zu schreiben.

Anschließend muss noch ein passendes NAT aktiviert werden.

<pre>
iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE
</pre>

Will man diese default Route auch anderen Routern zur Verfügung stellen, muss der Filter in '''/etc/babeld.conf''' angepasst werden:

<pre>
redistribute ip 0.0.0.0/0 eq 0
</pre>
Diese Zeile bedeutet: "Announce alle Routen aus der import-table, die innerhalb von 0.0.0.0/0 liegen und die Prefixlänge 0 haben."

=== IPv6 ===
(Achtung ungetestet!)

Hier wird ein freies /64 Netz für jede Hood benötigt. Das vorgehen ähnelt im Prinzip sehr den fd43 Adressen nur das im radvd eine Default Route mitgegeben wird. Natürlich muss dafür gesorgt werden, dass das Subnetz ins Internet kann bzw. aus dem Internet erreichbar ist.

Folgendes muss getan werden:

Aus dem Subnetz muss eine einzelne IP an das bat Interface:
<pre>
[...]
post-up ip -6 addr add 2001:db8::1/64 dev $IFACE
[...]
</pre>
Eine Route muss in die fff Tabelle:
<pre>
[...]
post-up ip -6 route replace 2001:db8::1/64 dev $IFACE proto static table fff
[...]
</pre>
Im radvd muss eine default route announced werden dazu AdvDefaultLifetime nicht auf 0 setzen sondern erhöhen (z.b. 600). Weiterhin muss das Subnetz auch announced werden in /etc/radvd.conf:
<pre>
[...]
prefix 2001:db8::/64 {
AdvOnLink on;
AdvAutonomous on;
};

[...]
</pre>

= VPN-Tunnel zu Anonymisierungsdienst =
Nicht zu empfehlen, sollte nur im Notfall verwendet werden wenn keine andere Option vorhanden ist!

https://wiki.freifunk-franken.de/w/Freifunk-Gateway_aufsetzen/VPN-Exit