Freifunk-Gateway aufsetzen/VPN/fastd - Versionsgeschichte

Miki: /* fastd */ Kommentar ergänzt, "secure handshakes no" ab fastd v19 wirkungslos.

2021-10-18T23:37:56Z

fastd: Kommentar ergänzt, "secure handshakes no" ab fastd v19 wirkungslos.

← Nächstältere Version		Version vom 19. Oktober 2021, 01:37 Uhr
Zeile 52:		Zeile 52:
	on down "/etc/fastd/down.sh";		on down "/etc/fastd/down.sh";

			# Deprecated and has no effect with fastd v19
	secure handshakes no;		secure handshakes no;

Adrian Schmutzler: /* Einzelne Router sperren */

2020-01-13T13:26:04Z

Einzelne Router sperren

@@ Zeile 187: / Zeile 187: @@
 fi
 </pre>
 Und anschließend ausführbar machen:
 <pre>

McUles: /* Script um über alle Sockets nach einer Mac Adresse zu suchen */

2020-01-13T12:52:57Z

Script um über alle Sockets nach einer Mac Adresse zu suchen

← Nächstältere Version		Version vom 13. Januar 2020, 14:52 Uhr
Zeile 148:		Zeile 148:
	for file in /run/fastd*.sock		for file in /run/fastd*.sock
	do		do
	nc -U $file \| jq -r '.peers \| keys[] as $k \| "\(.[$k] \| .connection.mac_addresses[]) \($k)"' \| grep $1		echo $file
			nc -U $file \| jq -r '.peers \| keys[] as $k \| "\(.[$k] \| .connection.mac_addresses[]) \(.[$k] \| .address) \($k)"' \| grep $1
	done		done
	</pre>		</pre>

Adrian Schmutzler: /* Einzelne Router sperren */

2020-01-13T11:11:38Z

Einzelne Router sperren

← Nächstältere Version		Version vom 13. Januar 2020, 13:11 Uhr
Zeile 155:		Zeile 155:

	== Einzelne Router sperren ==		== Einzelne Router sperren ==
	Folgende Variablen ~~werden~~ in ~~die~~ fastd config ~~übertragen~~:		Folgende Variablen sind in der fastd config verfügbar:
	* LOCAL_ADDRESS: the local IP address		* LOCAL_ADDRESS: the local IP address
	* LOCAL_PORT: the local UDP port		* LOCAL_PORT: the local UDP port

Adrian Schmutzler: /* Mit Whitelist arbeiten */

2020-01-09T20:58:01Z

Mit Whitelist arbeiten

← Nächstältere Version		Version vom 9. Januar 2020, 22:58 Uhr
Zeile 235:		Zeile 235:
	'''Die folgende Beschreibung sollte keinesfalls ohne Rücksprache mit der Community bei dem zentralen Keyxchange umgesetzt werden, da es dort zu unvorhersehbaren Problemen kommen kann'''		'''Die folgende Beschreibung sollte keinesfalls ohne Rücksprache mit der Community bei dem zentralen Keyxchange umgesetzt werden, da es dort zu unvorhersehbaren Problemen kommen kann'''

	In der fastd.conf muss folgende Zeile geändert werden:		In der fastd.conf muss folgende Zeile geändert werden (anstelle "hood1" den Namen des fastd-Hoodordners angeben):

	<pre>		<pre>
	on verify "/etc/fastd~~/fff.hood1~~/fastd-keylist.sh $PEER_KEY";		on verify "/etc/fastd/fastd-keylist.sh hood1 $PEER_KEY";
	</pre>		</pre>

	Das Script fastd-keylist.sh kann so aussehen:		Das Script fastd-keylist.sh kann so aussehen (durch die $hood-Variable kann dasselbe Skript für mehrere Hoods verwendet werden):

	<pre>		<pre>
	#!/bin/bash		#!/bin/bash
	if [ -n "$~~(cat~~ /etc/fastd/~~fff.bat_hood1/fastdkey_hood1~~/~~list~~.key ~~\| grep "$1")" ]~~; then
			hood=$1
			key=$2

			if grep -q "$key" /etc/fastd/$hood/whitelist.key; then
	exit 0;		exit 0;
	else		else
Zeile 252:		Zeile 256:
	</pre>		</pre>

	in der ~~list~~.key müssen dann alle Keys eingefügt werden, welche die Hood betreten dürfen. Ein neuer Key kann ohne fastd restart hinzugefügt werden, wird ein key entfernt bleibt der Router allerdings bis zu einem fastd restart (evtl. reicht reload?) verbunden. Um ~~dies list~~.key zwischen mehreren Servern zu ~~syncronisieren~~ kann z.b. ein Git verwendet werden.		in der whitelist.key müssen dann alle Keys eingefügt werden, welche die Hood betreten dürfen. Ein neuer Key kann ohne fastd restart hinzugefügt werden, wird ein key entfernt bleibt der Router allerdings bis zu einem fastd restart (evtl. reicht reload?) verbunden. Um die whitelist.key zwischen mehreren Servern zu synchronisieren kann z.b. ein Git verwendet werden.

	Das auslesen des Keys aus einem Router kann folgendermaßen geschehen:		Das auslesen des Keys aus einem Router kann folgendermaßen geschehen:

Adrian Schmutzler: /* Einzelne Router sperren */

2020-01-09T20:53:20Z

Einzelne Router sperren

← Nächstältere Version		Version vom 9. Januar 2020, 22:53 Uhr
Zeile 171:		Zeile 171:
	<pre>		<pre>
	#!/bin/sh		#!/bin/sh

			key=$1
			addr=$2

	timestamp() {		timestamp() {
Zeile 176:		Zeile 179:
	}		}

	if [ -n "$~~(cat~~ /etc/fastd/key.blacklist ~~\| grep "$1")" ]~~; then		if grep -q "$key" /etc/fastd/key.blacklist; then
	echo "$(timestamp)\t$1\t$2\tblocked" >> /var/log/fastd.blacklist;		echo "$(timestamp)\t$key\t$addr\tblocked" >> /var/log/fastd.blacklist;
	exit 1;		exit 1;
	else		else

McUles: /* Mit globaler Blacklist arbeiten */

2020-01-03T15:16:38Z

Mit globaler Blacklist arbeiten

← Nächstältere Version		Version vom 3. Januar 2020, 17:16 Uhr
Zeile 212:		Zeile 212:

	== Mit globaler Blacklist arbeiten ==		== Mit globaler Blacklist arbeiten ==
	Mit der globalen Blacklist kannst du alle gemeldeten Router ~~auf~~ sperren die gerade bekannt sind.		Mit der globalen Blacklist kannst du alle gemeldeten Router sperren die gerade bekannt sind.

	Hierunter fallen eigentlich nur Router welche das Netz massiv stören und wo der Fehler nicht abgestellt werden kann.		Hierunter fallen eigentlich nur Router welche das Netz massiv stören und wo der Fehler nicht abgestellt werden kann.

McUles: /* Mit globaler Blacklist arbeiten */

2020-01-03T15:16:10Z

Mit globaler Blacklist arbeiten

← Nächstältere Version		Version vom 3. Januar 2020, 17:16 Uhr
Zeile 212:		Zeile 212:

	== Mit globaler Blacklist arbeiten ==		== Mit globaler Blacklist arbeiten ==
	~~ACHTUNG: DIES IST AKTUELL NOCH NICHT SCHARF GESCHALTET!~~

	Mit der globalen Blacklist kannst du alle gemeldeten Router auf sperren die gerade bekannt sind.		Mit der globalen Blacklist kannst du alle gemeldeten Router auf sperren die gerade bekannt sind.

Zeile 221:		Zeile 219:
	<pre>		<pre>
	#Load fastd blacklist		#Load fastd blacklist
	/5 * * * wget -O /etc/fastd/key.blacklist https://~~keyserver~~.~~freifunk-franken~~.de~~/v2~~/blocklist.php?cron=1 2>&1		/5 * * * wget -O /etc/fastd/key.blacklist https://fff.itstall.de/blocklist.php?cron=1 2>&1
	</pre>		</pre>

Miki: Router sperren ausführlicher beschrieben und Script korrigiert.

2020-01-03T15:04:36Z

Router sperren ausführlicher beschrieben und Script korrigiert.

@@ Zeile 162: / Zeile 162: @@
 * PEER_NAME: the peer’s name in the local configuration
 * PEER_KEY: the peer’s public key
 In der fastd.conf folgende Zeile ändern:
@@ Zeile 199: / Zeile 170: @@
 Folgende Datei anlegen: /etc/fastd/blacklist.sh
 <pre>
-#!/bin/bash
+#!/bin/sh
 timestamp() {
@@ Zeile 206: / Zeile 177: @@
 if [ -n "$(cat /etc/fastd/key.blacklist | grep "$1")" ]; then
-         echo -e "$(timestamp)\t$1\t$2\tblocked" >> /var/log/fastd.blacklist;
+         echo "$(timestamp)\t$1\t$2\tblocked" >> /var/log/fastd.blacklist;
          exit 1;
 else
          exit 0;
 </pre>
 Und anschließend ausführbar machen:
@@ Zeile 222: / Zeile 194: @@
 </pre>
-Jetzt legt ihr noch einen Cronjob an um die Liste aktualisieren zu lassen:
+Nun können in der Datei "key.blacklist" die vorher ermittelten problematischen Keys eingetragen werden. Die Formatierung ist egal, es kann beliebiger Text ergänzt werden, wie zum Beispiel Datum des Fundes und was für eine Störung beobachtet wurde.
 <pre>
-#Load fastd blocklist
+#Load fastd blacklist
 */5 * * * * wget -O /etc/fastd/key.blacklist https://keyserver.freifunk-franken.de/v2/blocklist.php?cron=1 2>&1
 </pre>

Rola: /* fastd socket */

2020-01-02T14:32:58Z

fastd socket

← Nächstältere Version		Version vom 2. Januar 2020, 16:32 Uhr
Zeile 124:		Zeile 124:
	</pre>		</pre>

	Mit netcat kann man die Daten daraus abfragen.		Mit netcat kann man die Daten daraus abfragen. Es wird das Paket nc.openbsd benötigt. netcat6 (braucht man für den babelsocket) und nc.traditional können nicht aus Unix-sockets lesen.
	<pre>		<pre>
	nc -U /run/fastd-HOOD.sock		nc -U /run/fastd-HOOD.sock