Babel und dnsmasq in unsere firmware

Diese Seite befindet sich noch im Entwurfsstadium.
Hilf mit sie zu verbessern!

Um aus einem Router ein Gateway zu machen, muss in die Firmware Babel und dnsmasq mit eingebaut werden. Dieses Patch baut diese 2 Programme plain mit ein, es müssen danach noch diverse Konfigurationen und Routingparameter gesetzt werden. Es kann sich dazu ganz grob an die Anleitung zum Gateway aufsetzen gehalten werden.

Achtung! Man sollte sich bei solchen Experiementen immer gut überlegen wie man den Router noch erreichen kann, man kann sich relativ leicht selbst komplett aussperren.

Achtung Patch ist nur für ar71xx muss u.U. auch für andere Hardware manuell angepasst werden!

From d2db4645831742269a391fddbedad8d8a46ad3c6 Mon Sep 17 00:00:00 2001
From: Christian Dresel <fff@chrisi01.de>
Date: Sun, 18 Dec 2016 17:44:20 +0100
Subject: [PATCH] Add Babel and dnsmasq

Signed-off-by: Christian Dresel <fff@chrisi01.de>
---
 bsp/ar71xx/.config | 2 +-
 buildscript        | 2 +-
 2 files changed, 2 insertions(+), 2 deletions(-)

diff --git a/bsp/ar71xx/.config b/bsp/ar71xx/.config
index e827685..4abc536 100644
--- a/bsp/ar71xx/.config
+++ b/bsp/ar71xx/.config
@@ -16,7 +16,7 @@ CONFIG_CLEAN_IPKG=y
 # CONFIG_FASTD_ENABLE_METHOD_COMPOSED_GMAC is not set
 # CONFIG_FASTD_ENABLE_METHOD_GENERIC_GMAC is not set
 # CONFIG_PACKAGE_ALFRED_VIS is not set
-# CONFIG_PACKAGE_dnsmasq is not set
+CONFIG_PACKAGE_babeld=y
 # CONFIG_PACKAGE_firewall is not set
 CONFIG_PACKAGE_gpioctl-sysfs=y
 CONFIG_PACKAGE_kmod-ifb=y
diff --git a/buildscript b/buildscript
index 25cf291..90af8a9 100755
--- a/buildscript
+++ b/buildscript
@@ -37,7 +37,7 @@ GLUON_PKGS="kmod-batman-adv-legacy micrond simple-tc uradvd"
 ROUTING=(routing
          https://github.com/openwrt-routing/packages.git
          e870c3373eea80df852d42fac3f40aaffd7a0f58)
-ROUTING_PKGS="alfred"
+ROUTING_PKGS="alfred babeld"

 FFF=(fff)
 FFF_PKGS="-a"
--
2.1.4

das ganze liegt fertig kompiliert hier:

http://fff-gw-cd1.fff.community/dev/babeld/ (!!ACHTUNG!! ungetestet!! Verwendung auf eigene Gefahr!)

Ganz zwingend sollte nach dem flashen zuerst komplett unterbunden werden, das er noch eine BatmanVPN Verbindung aufbaut:

rm /usr/sbin/vpn-select
rm /usr/lib/micron.d/vpn-select
rm /usr/lib/micron.d/fff-sysupgrade
/etc/init.d/micrond restart

Folgendes muss grundsätzlich danach noch getan werden damit er als Gateway verwendet werden kann:

Verbindung ins L3 Netz

Irgendeine Art von Verbindung in unser L3 Netz. Ich habe dazu fastd im tun Modus verwendet um ein Gateway über das Internet zu erreichen, natürlich sind auch Glasfaser, WLAN, Laser, Morsecode o.ä. Verbindungen denkbar.

Server:

bind any:1234; # UDP Port 1234 auf allen Interfaces
mode tun;
interface "fffbabelVPN";
method "null";
mtu 1426;
secret "SECRET KEY DES SERVERS";

#include peers from "peers";
include peer "/etc/fastd/fff.babel/peers/router1";
on up "
  ip link set up $INTERFACE
  ip address add 10.50.252.****/32 dev $INTERFACE # eigene Tunnelip setzen
";

fff-gw-cd1 /etc/fastd/fff.babel/peers # cat router1
key "PUBLIC KEY DES ROUTERS";

Client:

 
log to syslog level warn;
method "null";
mode tun;
interface "fffgwcd1VPN";
mtu 1426;
peer "fffgwcd1" {
  remote ipv4 "SERVERIP" port 1234;
  key "SERVER PUBLIC KEY";
}
secret "EIGENER SECRET KEY";
on up "
ip link set up fffgwcd1VPN
ip address add 10.83.252.xx/32 dev $INTERFACE # eigene IP
ip -6 addr add fe80::c11:xxxx dev $INTERFACE # gefakte Locallink
ip rule add from 10.0.0.0/8 table fff prio 20
ip rule add to 10.0.0.0/8 table fff prio 20
ip route add 10.50.xxx.1/32 dev br-mesh proto static table fff # eigene Gatewayip der Hood
ip route add 10.50.xxx.0/24 dev br-mesh proto static table fff # Range die per dhcp vergeben wird
";
secure handshakes no;

Ebenfalls muss fastd noch in den Autostart (/etc/rc.local -> "fastd -c /etc/fastd/CONFIGFILE &") das "&" am Ende keinesfalls vergessen! Sonst wird ab hier die File nicht mehr weiter ausgeführt und der ganze rest danach fehlt!!

2 wertvolle Links die bei fastd extrem weiterhelfen: [1] [2]

Folgende Routingregeln müssen am Router angelegt werden

Auf dem Router muss ebenfalls die 10 fff angelegt werden:

vi /etc/iproute2/rt_tables

...
10     fff
...

Weiterhin müssen folgende Regeln angelegt werden falls dies noch nicht in den VPN Sachen gemacht wird (Router ohne VPN müssen es wo anders machen!):

ip rule add from 10.0.0.0/8 table fff prio 20
ip rule add to 10.0.0.0/8 table fff prio 20
ip route add 10.50.XXX.XXX/XX dev br-mesh table fff # eigenes Subnetz das später per DHCP vergeben wird

falls man dies in der /etc/rc.local macht, aufpassen das jede Zeile mit & abgeschlossen wird, da er sonst u.U. beim booten hängen bleibt und die File nicht bis zu Ende ausführt, ganz ekliges Zeug...

Das Interface br-mesh muss noch die Gateway IP bekommen:

/etc/config/network

...
config interface 'mesh'
        option type 'bridge'
        option auto '1'
        option macaddr '30:b5:c2:XXXXXX'
        list ip6addr 'fdff:0::30b5:c20e:XXXXX/64'
        list ip6addr 'fdff:0::1/64'
        list ip6addr 'fdff:0::32b5:c2ff:fe0e:XXXXX/64'
        option ipaddr '10.50.X.1'
        option netmask '255.255.X.0'
        option proto 'static'
        option ifname 'eth0.1 bat0'
...

ToDo: IPv6 muss auch angepasst werden!

dnsmasq konfigurieren

ebenfalls muss noch dnsmasq konfiguriert werden:

/etc/dnsmasq.conf

dhcp-range=10.50.131.1,10.50.131.127,255.255.254.0,1h                            
dhcp-option=3,10.50.130.1
dhcp-option=option:dns-server,10.83.252.11,10.50.40.10,10.50.252.0                                                          
log-queries  

natürlich die IP Adressen entsprechend anpassen der Syntax lautet:

dhcp-range=DHCP_RANGE_START,DHCP_RANGE_ENDE,SUBNETZMASK,LEASETIME
dhcp-option=3,STANDARTGATEWAYIP
dhcp-option=option:dns-server,DNSSERVER
log-queries  

Danach den Router neu starten, dnsmasq neu starten hat hier irgendwie nicht geholfen!

Babel konfigureren

die Datei /etc/babeld.conf öffnen, alles löschen und dies einfügen:

# For more information about this configuration file, refer to
# babeld(8)

interface IF1 wired true max-rtt-penalty 128
interface IF2 wired true max-rtt-penalty 128
#... einfach weiterführen für mehr Interfaces.
export-table 10
import-table 10

# redistribute IPv4 default route into babel
## redistribute local ip 0.0.0.0/0 le 0 metric 128

# Babel refuses to redistribute routes with a protocol number of "boot";
# this is standard practice, and means that you cannot easily
# redistribute the default route installed by dhcp.  It is however
# possible to redistribute such route by explicitly specifying "proto 3"
# on the redistribute line.
## redistribute ip 0.0.0.0/0 le 0 proto 3 metric 128

# same but for IPv6
## redistribute local ip ::/0 le 0 metric 128

redistribute metric 128 #grad nicht ganz sicher ob so richtig
redistribute local ip 10.0.0.0/8
redistribute local deny

local-port 33123
#local-port-readwrite 34567 #funktioniert anscheinend nicht!

dabei ganz oben die Interfaces anpassen. /etc/config/babeld löschen! Danach /etc/init.d/babeld start und Router nochmals neu starten. Fertig.

Alfred

Inzwischen gibt es den alfred-monitoring-proxy und alfred-json gibt es als OpenWRT Packages.

Allerdings ist ein Fehler im alfred-monitoring-proxy in Zeile 9:

Anstatt --data "{$fetch_id: $data}" müsste es --data "{\"$fetch_id\": $data}" heißen.

WLAN Parameter

Ebenfalls müssen die WLAN Parameter angepasst werden, wenn eine eigene Hood entsteht sollten mindestens folgende Parameter geändert werden:

Mesh:

• BSSID
• SSID

AP:

• SSID

Die eigene Hood kann aber auch mit ganz anderen Parametern betrieben werden, so ist z.b. denkbar die Hood auf 802.11s umzustellen oder gar eine andere Batmanversion zu verwenden.

und das geilste daran...

Wenn man auch den Layer 3 Endpunkt selbst betreibt und dort genug L3 Peerings zu verschiedenen Personen hat, ist dieser Aufbau absolut dezentral und kann von keiner zentralen Position mehr abgeschaltet werden. Es wird kein KeyXchange und auch sonst keine "zentrale Instanz" mehr benötigt.

Beispiel Neunhof und Unterfürberg

Diese zwei Layer 2 Netze hängen jeweils an vm2-fff-gw-cd1.fff.community angebunden. Dieser Server wird auch von mir alleine administriert. Auf diesen Server habe ich mich um viele Layer 3 Peerings zu anderen Personen gekümmert. Wenn ich mich nicht gerade verzählt habe, müssten darin 6 Personen hängen die alle das Peering zu mir kappen müssten um mein Netz vom Freifunk zu trennen und selbst dann würde es durch eigenen Internetexit (Mullvad) zumindest noch Internet haben. Das ist für mich dezentralität.