Zugriff auf den Router von "innen und "aussen"

Das Freifunk Netz ist aus Sicht des Internets von IPv4 eine „geschlossene Netzblase“ und nur mit IPv6 gut von außen erreichbar. Es gibt mehrere Wege bzw. Umwege, um zu Administrationszwecken auf einen Freifunk Router zuzugreifen.

• lokaler Zugang per Konfigurationsmodus: wenn man vor dem Gerät sitzt. Dies wird hier erklärt.
• ssh-Zugang aus dem Freifunk Netz: der eigene Rechner muss auch im Freifunk-Netz sein
• ssh-Zugang aus dem Internet mit IPv6: der eigene Internet-Router muss IPv6 haben.
• ssh-Zugang aus dem Internet mit IPv4: administrativer OpenVPN Zugang

• In Config-Mode unter „Fernzugriff“ einen SSH-Key hinterlegen
• IPv6-Adresse des Node mit der Karte herausfinden (alle Adressen die mit2… anfangen)
• Per SSH verbinden, z.B. unter Linux mit

  ssh 2001:4ba0:... -l root

• gegebenenfalls beim ersten Verbinden den Fingerprint bestätigen

Für den Zugang aus dem Internet, wenn du nur IPv4 kannst, gibt es einen speziellen OpenVPN Server. Mit diesem bekommt der OpenVPN-Client Zugriff auf das Clientnetz des betreffenden Freifunk Segmentes, die lokale Adresse kommt via dhcp. Die Authentifizierung erfolgt über eine beliebige Username/Passwort Kombination. Der OpenVPN-Client verhält sich dann Netz-technisch wie ein normaler Freifunk Client (Layer2 Bridging). Das benutzte Segment wird über den Port des OpenVPN-Servers gesteuert:

Port 2000 + Segment → Port 2008 → Segment 8.

Eine OpenVPN Konfiguration hängt an, in dieser muss die Zeile

remote gw05n03.gw.freifunk-stuttgart.de 2008

durch eine mit dem passenden Port getauscht werden, oder man legt sich Routen von Hand.

(funktioniert nicht mit OpenVPN unter WIndows und NetworkManager unter Linux)

client
dev ffs08
dev-type tap
proto udp
remote gw05n03.gw.freifunk-stuttgart.de 2008
remote-random
resolv-retry infinite
nobind
user nobody
group nogroup
persist-key
persist-tun
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]
mute-replay-warnings
<ca>
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
</ca>
remote-cert-tls server
cipher AES-256-CBC
verb 3
mute 20
auth-user-pass
tun-mtu 1308
tun-mtu-extra 92