Ich mache hierzu ein neues thread auf, weil das ja Interessierten ganz hilfreich sein kann.
Ich möchte Softether VPN auf UCS installieren. Quasi für mein privates Studienprojekt “Eierlegender Wollmilchserver”
Analog zu
“Folgende Pakete sollten vor der Installation der VMware-Tools installiert werden:
build-essential
univention-kernel-headers”
mein Problem:
Zur Installation von Softether VPN muß ich build-essentials und u.U noch andere Bibliotheken laden.
(Die gut funktionierenden Centos Server [Lamp, Kolab, Samba] , die ich mir aufgebaut habe, quasi immer nach Rezepten)
Wie ist denn das Rezept diese Bibliotheken zu laden?
Wie findet UCS die passenden Bilbiotheken?
apt-get install buils-essential -y findet eben nichts.
Da muß ich wohl bestimmte Packetquellen irgendwo ergänzen?
Im Grund funktioniert schon was, mit Softetherstandardport 443 funktioniert einiges, aber nicht mehr die Serveroberfläche (HTTPS).
Also ändere ich die Ports, da vermute ich aber nun, da plötzlich nichts mehr funktioniert (Verwaltung über Windowsclient), daß die UCS
Firewall blockiert.
Gibt es ein einfaches Rezept, wie ich ports freigeben kann? iptables wird ja irgendwie über registry gemanagt.
Da bin ich wieder. Ich habe zwar jetzt eine VPN Verbindung zum UCS Server, aber auf der passiert nichts. (Aufruf der ip im Browser von extern)
In der Zwischenzeit habe ich den Softether VPN Server auf Windows10 installiert und hatte das gleiche Problem.
Dort war es eine erweiterte Einstellung in der Firewall, daß unaufgefordert eingehende UDP Packete auf den ports nicht angenommen werden.
Funktioniert nun super.
Nun die Fragen:
Ist die Univentionfirewall auch so eingestellt?
wie kann ich das dann ändern?
wie kann ich zum Testen die Firewall ganz abschalten?
root@master:~# ucr search security/packetfilter
[snip]
security/packetfilter/tcp/.*: <empty>
Variables following the scheme 'security/packetfilter/tcp/*' allow the configuration of packet filter rules for TCP ports. A verbose description can be found in the Univention developer reference <http://docs.univention.de/>.
security/packetfilter/udp/.*: <empty>
Variables following the scheme 'security/packetfilter/udp/*' allow the configuration of packet filter rules for UDP ports. A verbose description can be found in the Univention developer reference <http://docs.univention.de/>.
[/snip]
root@master:~# ucr search security/packetfilter/disabled
security/packetfilter/disabled: <empty>
If this option is enabled, Univention Firewall isn't used. If the variable is unset, Univention Firewall is used.
Hallo!
Das posting war mir sehr hilfreich und ich kann nun mit der Firewall etwas umgehen.
Ich mache folgendes
ucr set security/packetfilter/udp/4500/all=ACCEPT
ucr set security/packetfilter/udp/500/all=ACCEPT
nun sehe ich mit ucr search security/packetfilter die ports angezeigt.
sehe ich mir aber sbin/iptables -L > xx mit nano an und suche 500, finde ich nur 4500 als einzigen Fund
ich habe nun port 500 mehrfach mit unset und set versucht zu entfernen und neu anzulegen, was in security/packetfilter gelingt,
aber nicht in den iptables landet.
Leider haben Sie die Ausgabe von iptables nicht angehängt…
Sie schrieben weiter von Port 443 und Webbrowser. Webbrowser nutzen TCP zur Kommunikation, nicht UDP. Sprich Sie haben im Zweifelsfall noch einen dritten beteiligten Port, für den Sie natürlich auch noch eine Regel benötigen. Die Portnummern 500 und 4500 lassen stark auf ein IPSEC-basierendes VPN schließen.
Sprich: Ports 500, 4500 UDP und Verwaltungsport (normalerweise 443, von Ihnen aber umkonfiguriert) TCP.
Gerade setze ich laienhaft UCS neu auf und probiere das am jungfräulichen System.
Mit viel Probieren ohne es genau zu wissen nimmt man (bzw. schaffe ich das) Linux ja ab und zu die Unschuld.
Ich brauche 5555 und/oder 8888 TCP und 500 und 4500 UDP.
443 TCP hat sich als eigentlich nicht nötig herausgestellt. Softether VPN lauscht auch auf 443 TCP zur VPN Serververwaltung,
aber die 5 vorgesehenen ports kann man bis auf einen abschalten bzw konfigurieren.
Aber standardmäßig blockiert(e) das erst mal die UCS Verwaltunkskonsole (HTTPS), was behoben ist.
500 und 4500 UDP sind tatsächlich fur ipsec/lpt2 nötig, 8888 oder 5555 TCP für die Steuerung
xx.txt ist der output von iptables. Das ist dabei, aber seltsamerweise oben in der mail.
Ich habe mittlerweile die Firewall ganz ausgeschaltet, weil ich nicht weiterkomme.
Den Tunnel kann ich öffnen, es findet aber kein Traffic statt.
Nun bin ich darüber gestolpert, daß wenn man nicht diverse mir suspekte Komfortfunktionen
(Dyndns nach Japan & sog. Secure Nat) verwendet, DHCP braucht.
Mein Client bekommt offensichtlich keine IP vom Server.(ipconfig)
Zwar macht meine Fritzbox DHCP (hab ein ziemlich hetrogenes Netzwerk auch zum Experimentieren) -
aber nun sollte wohl auch der Univention Server noch DHCP machen.
Wie kann ich denn UCS klarmachen, daß es mir für parallel zur Fritzbox für vpn DHCP für VPN macht?
Centos ist das eine - UCS das andere.
Ich will ja Richtung UCS, weil das momentan doch eine elegantere Verwaltungsoberfläche hat als vi /etc/…
Wenn besagter VPN-Client auf einem Interface DHCP machen muss, dann muss auch der VPN-Client selber den DHCP-Client für genau dieses Interface starten. Das ist nicht Job vom Betriebssystem.
Warum nun der Client nicht so tut, wie er tut? Keine Ahnung, das ist allerdings auch Dritt-Hersteller-Software, die wir hier im UCS-Forum nun wirklich nicht supporten können. Sorry.
Hab herausgefunden, daß man beim Softether Vpnserver herumschalten kann und z.B virtuelles dhcp an.
Nun habe ich eine Client-IP. Geht aber immer noch nicht. Ich werde das mal unter Centos ausprobieren.
u.U finde ich so das Problem.
Das mit der Drittherstellersoftware ist mir schon klar. Vielen Dank also für die Unterstützung.
Mittlerweile habe ich das VPN auf einem minimal Centos zum funktionieren gebracht.
Letztendlich muß man den “virtuellen DHCP” Server passend einrichten und eine zweite Netzwerkkarte einbauen,
eine für VPN und eine für den Rest, da man sonst nicht auf Anwendungen auf dem Server zugreifen kann. (nur auf den Rest des Netwerks)
Das soll irgendwie an Kernelbeschränkungen liegen.
Allerdings hat da wohl meine Fritzbox solange gestreikt, bis ich den Netzwerkkarten feste IP’s vergeben habe.
Das möchte ich nun auf UCS nachziehen.
Darf ich das auf dem UCS auch, mache ich das manuell über die Kommandozeile oder muß die registry einstellen?