Unitymedia VPN Tunnel mit Raspberry Pi

[ES2608]

Hallo,

ich habe zwei Internetanschlüsse und möchte die Heimnetze an beiden Orten via VPN Tunnel verbinden. Am Standort A habe ich einen Unitymedia Zugang neuerer Art (DS-Lite Problematik) mit dem wunderbaren TC-7200. Am Standort B ist O2 der Provider und der Router ebenfalls nur sehr eingeschränkt einstellbar. Allerdings habe ich bereits getestet, dass ich einen VPN Server am Standort B etablieren kann, der auch von außen erreichbar ist.

Ich möchte nun folgendes tun. Am Standort B möchte ich direkt an den Router einen Raspberry Pi als VPN Server anschließen. Am Standort A möchte ich an den TC 7200 ebenfalls einen Raspberry Pi allerdings als VPN Client anschließen, um dann zwischen den beiden Raspberries einen VPN Tunnel aufzubauen. Die Raspberries sollen dabei jeweils so eingerichtet sein, dass sie als Gateway fungieren.

Use Case 1 ist, dass ich die beiden Heimnetze an beiden Standorten verbinde und so auch auf meinen NAS arbeiten kann. Use Case 2 ist, dass ich mit Geräten im mobilen Einsatz einen weiteren Tunnel zum Standort B aufbauen möchte, um meine dortige Internetverbindung zu nutzen.

Spricht aus unitymedia-technischer Sicht etwas gegen dieses Vorhaben? Sprich, kann ich trotz der fehlenden Weiterleitung im Unitymedianetz den Tunnel in diese Richtung etablieren?

Danke für die Antworten!

 

[tq1199]

Sprich, kann ich trotz der fehlenden Weiterleitung im Unitymedianetz den Tunnel in diese Richtung etablieren?

Ja, das ist möglich. Ich empfehle dir, diesen Thread zu verfolgen: http://www.forum-raspberrypi.de/Thread-frage-open-vpn-lan-zu-lan-connection

 

[GoaSkin]

Wenn man die Clients weiterhin einfach mit DHCP und Autoconf betreiben möchte, ohne statische Routing-Einträge vornehmen zu wollen, muss man im Router noch eine Ziel-Route für das Netzwerk einrichten, was hinter dem VPN liegt mit der lokalen IP des Raspberries als Gateway. Bei den Fritzboxen geht das ohne Probleme, in wie weit dies auch mit dem TC7200 geht, weiss ich nicht.

Mit einer FB läuft das dann so, dass die Clients zunächst einmalig versuchen, eine IP hinter dem VPN über das Standard-Gateway zu senden. Die Fritzbox sendet daraufhin dem Client ein RIP-Paket zurück mit dem Hinweis, dass ein anderer Router mit IP so und so genutzt werden soll, woraufhin der Client einen temporären Routing-Eintrag anlegt.

Was es bei OpenVPN ebenfalls zu beachten gibt, ist dass Zeroconf-Nachrichten bzw. Bonjour/MDNS nicht über Subnet-Grenzen hinweg funktioniert - außer man konfiguriert OpenVPN als Bridge, was man unbedingt lassen sollte. Das virtuelle Netzwerksegment des OpenVPN Tunnels ist nicht geeignet, um diese Daten zu transportieren. Grund ist, dass das tun-Device zwar Multicast-fähig ist, aber keinen Broadcast kennt. Da kann man mit MDNS-Proxies und Reflektoren herum expermentieren, wie man will. Faktisch sind die Rechner also nur über ihre IP ansprechbar oder über Namen, die man in der hosts-Datei auf allen Clients festlegt.

 

[ES2608]

Danke für die Infos! Ich habe die Anleitung gelesen und werde es genauso probieren. Die Einstellmöglichkeiten des TC7200 prüfe ich bei nächster Gelegenheit!

 

[SpaceRat]

Ich hab diesen Aufbau jetzt aus aktuellem Anlaß mal bei Glasfaseranschlüssen gemacht und dabei ein kleines, aber in den Auswirkungen gewaltiges Problem:

Entweder sobald auf dem Pi IPv4-Forwarding an ist oder sobald die statische Route in der Fritz!Box steht (Den genauen Zusammenhang muß ich noch suchen), erkennt die Fritz!Box den Pi als Router und "weist" ihm nur noch mit Widerwillen bis gar nicht eine IPv6 zu (Bzw. ignoriert sie) ... und das ist natürlich bei einem Anschluß der für die Erreichbarkeit auf IPv6 angewiesen ist absolut tödlich.

Firmware der Fritz!Box ist in diesem Fall allerdings auch die aktuelle Bug-Sau 6.20 ... allerdings kommt man an diesen Glasfaseranschlüssen um diese aktuelle Version kaum herum, mit den älteren kommen die 100 MBit/s symetrisch nicht voll an.

Als was die Fritz!Box ein angeschlossenes Gerät erkennt, kann man sehen, wenn man sich mal die Einstellungen exportiert und in der .export den Abschnitt "landevices" studiert.
Da findet man dann zu jedem device einen solchen Eintrag:

type = neightype_unknown; (Den habe ich bei mir fast nur)
type = neightype_router;
type = neightype_pc_windows_vista;
type = neightype_pc_linux;
type = neightype_mac_ios;

Das alleine scheint aber nicht den Ausschlag zu geben. Wenn ich das IPv4-Forwarding und die statische Route auf dem Pi lösche, dann scheint die Fritz!Box auch wieder zu akzeptieren, daß das Teil IPv6-Adressen hat, trotzdem bleibt es bei "neightype_router".

Auch spannend:
Löse ich bei mir auf dem Pi den Hostname des Pi auf, kommt ...
root@himbeere ~ # host himbeere
himbeere.fritz.box has address 192.168.1.5
himbeere.fritz.box has IPv6 address fd12:3456:d015:affe:ba27:ebff:fe12:3456
himbeere.fritz.box has IPv6 address 2001:db8:1234:4567:ba27:ebff:fe12:3456

Der Pi an der Fritz!Box mit FW 6.20 hingegen löst sich selbst nur so auf:
root@raspberry ~ # host raspberry
raspberry.fritz.box has address 192.168.1.10

"host fritz.box" wiederum ergibt bei beiden das gleiche Ergebnis (Auflösen der Fritz!Box nach IPv4 und IPv6) ...
Alles sehr strange.

 

[GoaSkin]

Hast du mal probiert, auf dem Raspberry einfach den avahi-daemon zu installieren? Bei mir hatte der Raspberry sich zwar weiter eine IPv6-Adresse per autoconf gegeben, allerdings war der Host der Fritzbox völlig unbekannt, sodass ich auch keine IPv6-Freigabe einrichten konnte. Durch Betrieb des avahi-Dienstes hat sich das aber irgendwie gelöst.

 

[SpaceRat]

Hast du mal probiert, auf dem Raspberry einfach den avahi-daemon zu installieren? Bei mir hatte der Raspberry sich zwar weiter eine IPv6-Adresse per autoconf gegeben, allerdings war der Host der Fritzbox völlig unbekannt, sodass ich auch keine IPv6-Freigabe einrichten konnte. Durch Betrieb des avahi-Dienstes hat sich das aber irgendwie gelöst.

Guter Tip!

Zumindest das Auflösen des Hosts klappt nun .... da bin ich mal gespannt, ob die Fritte jetzt auch dauerhaft an die IPv6 des Pi glaubt (Er hatte zwar eine, aber die Fritz!Box glaubte ihm das nicht).