Pogoplug/ Raspberry Pi – transparenter Proxy als Werbefilter und Debuggingproxy

 

Proxyserver hatten zu Zeiten des “langsamen” Internets (gut, das kommt dank der Telekom ja bald wieder) eine gewisse Daseinsberechtigung. Zur Beschleunigung von Seitenaufbauzeiten sowie Verringerung der Datenübertragungsmengen sind Proxyserver mittlerweile eher nicht mehr gebräuchlich. Eine gute Möglichkeit für einen Proxyserver (z.B. Squid) ist das Bereinigen von Internetseiten. Werbebanner, Tracking-Bilder und andere Datensammelgeschichten lassen sich recht einfach rausfiltern. Etwas Aufwand in die weitere Pflege der geblockten Seiten vorausgesetzt kommt man nach und nach nicht mehr mit den Adservern in Berührung, Webseiten werden wieder ansehnlich und die Datensammelleidenschaft einiger Seiten wird auch stark eingeschränkt. Apps auf Smartphones verlieren ihre zum Teil recht dominanten, blinkenden, bunten, flackernden Werbebalken. Statt dessen wird häufig nur noch ein schlichter, grauer Balken “no ads available” angezeigt. Also lieber der als das geflackere nervender Werbebilder.
In Kurzform: Es wird wieder schöner…

Mein Raspberry Pi wurde eh schon soweit umgebaut, dass dieser per LAN angeschlossen einen OpenVPN Tunnel zu einem vertrauenswürdigen Server aufbaut und den Datenverkehr vom internen LAN bzw. WLAN Interface nur noch durch den VPN Tunnel zulässt. Er kann nunmehr als ideale Lösung für Netzzugänge dienen, denen man kein 100%iges Vertrauen zukommen lässt. Durch seine Größe und Kompaktheit kann er also recht einfach mitgenommen werden und im Hotel, bei Veranstaltungen usw. einen sicheren Internetverkehr regeln. Am USB Port einen LAN-USB-Adapter angeschlossen sorgt für das nötige Interface, um alles durch den Proxy zu schleifen.
Als Aufbaumöglichkeit: Router – Proxy – LAN/ WLAN.

Da Squid für diesen Anwendungsfall keine großen Anforderungen an CPU & Hardware stellt nutzen wir Squid & IPtables in Kombination um den ausgehenden normalen HTTP (Port 80) Datenverkehr vom internen LAN/ WLAN durch IPtables in Squid zu übergeben. Hier werden Tracking- & Adserver herausgefiltert.

Natürlich kann man auch anfangen, auf den Clients mit Adblockern im Browser zu hantieren. Das errfordert bei jedem Client einen Eingriff, sorgt nicht für eine “Bereinigung” des Smartphone-Datenverkehrs und ist natürlich aus “Bastlersicht” langweilig.

 

1. Squid installieren

Squid wird über apt installiert:
      Shell #> sudo apt-get install squid

 

2. Basis-Konfiguration anpassen

Die Konfiguration liegt in /etc/squid/squid.conf. Nur ein paar wenige Änderungen sind nötig.

 

3. Squid Filterregeln erstellen

In der squid.conf wird nun zusätzlich eine ACL angelegt, welche auf eine Datei /etc/squid/blocked-urls.conf verweist. Innerhalb dieser Datei werden dann nach und nach die gesperrten URLs bzw. Begriffe eingetragen.

      acl blockregexurl_ads url_regex "/etc/squid/blocked-urls.conf"
      http_access deny blockregexurl_ads

 

4. eigene Hinweisseiten ausgeben

Die Hinweisseiten von Squid über geblockte Seiten sind hilfreich, aber doch überflüssig. Wir wollen den Inhalt dieser Squid-Seite auf ein Minimum reduzieren. Hierzu legen wir in /usr/share/squid/errors/en/ und in /usr/share/squid/errors/templates/ eine Datei mit dem Namen ERR_TRACKING an. Zu Testzwecken nimmt man sich einfach eine vorhandene Datei und passt diese an bzw. löscht den Unnötigen Teil einfach heraus.
Danach wird in der squid.conf für die ACL ein deny_info Eintrag vorgenommen. Der deny_info sorgt dafür, dass der Nutzer eine entsprechende Seite oder URL o.ä. erhält. Wir wollen nur die Ausgabe der Hinweisseite.

      deny_info ERR_TRACKING blockregexurl_ads
(Das Schema ist deny_info Seitenname acl-name.)

 

5. Squid starten

Wenn Squid noch nicht gestartet wurde, kann er nun gestartet oder restartet werden.
     Shell #>sudo service squid (re)start

Händisch wird im Browser der Squid-Proxy mit konfiguriertem Port 3128 angegeben. Das sollte nun dafür sorgen, dass über den Proxy gesurft wird. Im Proxyserver-Log /var/log/squid/access.log werden nun die Seitenaufrufe erscheinen.

 

6. IPtables nutzen und ausgehenden HTTP Verkehr in den Proxy übergeben

Nun kommt der eigentliche Punkt: Wir wollen (ersteinmal) nur den ausgehenden HTTP Verkehr “umbiegen” und an den Proxy übergeben. Damit keine Einstellungen an den Clients vorgenommen werden müssen und jeder HTTP Verkehr durch den Squid-Proxy geleitet wird geschieht dieses auf dem Pogoplug mit Hilfe von IPtables. Alle Geräte (Rechner, Mobilgeräte, Smartphones usw.) im Netzwerk, die die IP vom Proxyserver als Gateway eingetragen haben, werden somit automatisch durch den Proxyserver geschickt. Der HTTP Verkehr wird dadurch von Werbung und Trackingtools bereinigt. Dieses geschieht somit für den Nutzer transparent und ohne nötigen Konfigurationsaufwand. Der Proxy ist also “transparent” im HTTP Datenverkehr zwischen Client und Server zwischengeschaltet.
Wenn man das Prinzip noch weiter dicht machen möchte kann man den ausgehenden Datenverkehr komplett unterbinden und nur noch vom Proxyserver erlauben. Somit würden auch die Systeme eingefangen werden, die das Gateway abändern. Kann man machen, muss es aber nicht…

Folgende Regeln kommen in IPtables (hinzu). LAN Interface ist eth1, externes (“Internet”) ist eth0.

     # Prerouting von Port 80 zum SquidPort (hier: 3128)
     iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128

     # Weiterleitung lokal generiertem Traffic zum SquidPort
     # ausgenommen der vom User proxy (unter der der Proxy läuft)
     iptables -t nat -A OUTPUT -p tcp --dport 80 -m owner --uid-owner proxy -j ACCEPT
     iptables -t nat -A OUTPUT -p tcp --dport 80 -j REDIRECT --to-ports 3128

 

7. Client Datenverkehr umstellen

Nun auf dem Client den im Browser konfigurierten Proxyeintrag deaktivieren. Clients, die den Proxy als default-GW eingetragen haben surfen nun über den Proxy.
Den DHCP Server kann man nun anpassen, dass der als default-GW den Proxy ausgibt. Oder halt den Proxy “zwischenschleifen”…

 

8. Sichtung der Logs

Zu Debuggingzwecken lohnt es sich, ins Logs des Squid zu schauen. Dort werden gesperrte Seitenaufrufe mit TCP_DENIED vermerkt. Hat man überhaupt keine Logeinträge, so sollte man sicherstellen, ob die IPtables Regeln korrekt sind und der Clientrechner den Proxyserver als Gateway eingetragen hat.

 

9. Erweiterung der Filterregeln

Nun kann man den Datenverkehr im Log des Proxyservers betrachten. Gerade einige Smartphone-Apps und auch Webseiten nutzen viele verschiedene Adserver und anderen Tracking-Unfug. In den Logs tauchen diese auf. Je nach Vorliebe kann man nun nur bestimmte Hosts oder gleich ganze Domains, Pfade zu Skripten oder ganze Begriffe usw. in die Filterliste aufnehmen. Bei Nutzung von Begriffen sollte man allerdings vorsichtig sein. Schnell sperrt man zu viel ;-)

Nach einer Erweiterung der Filterregeln den Squid reloaden:
      Shell #> sudo service squid reload

Treibt man diesen Aufwand nun regelmäßig, so nimmt die Anzahl unerwünschter Werbebanner stark ab… Bingo.

 

http://blog.rotzoll.net/2013/04/raspberry-pi-ein-rpi-wlan-access-point-mit-openvpn-tunnel/
http://blog.rotzoll.net/2013/04/raspberry-pi-wlan-access-point-einrichten-mit-realtek-8188cus-usb-wlan-adapter/

Veröffentlicht unter Dokus und Tipps, Linux/ UNIX, Pogoplug, RaspberryPI, Technikspielkram | Verschlagwortet mit , , , , , , , , , , , , , , , , , , , , , | 3 Kommentare

Basstölpel: Gerettet.

 

Erschöpft kam er gerade noch aus dem Wasser an das “rettende” Ufer…

Basstölpel am Strand

Basstölpel am Strand

 

Knapp zwei Stunden später hatte er seine wohl stressigste Tour (Autofahrt) überstanden, war von einem großen Angelhaken und viel Angelschnur an Hals und Flügel befreit.

Basstölpel in der Transportkiste

Der Rettungsdienst hat ihn dann noch zur “Erholung” in eine Tierauffangstation verbracht.
Die Schnittverletzung in meinem Gesicht wird sicher auch schnell verheilen ;-)

 

Update: Eine Anfrage bei Falck wurde binnen zwei Stunden beantwortet. Das ist schon einmal grandios, dass sowas auch mal schnell gehen kann…
Unserem Findelvogel geht es gut, der wurde in die Wildtierstation “Farstrup Vildtplege” gebracht und dort aufgepäppelt. Nun habe ich dort einmal angefragt, ob wir bei der Auswilderung dabei sein können. Mal sehen, ob wir die Antwort auch schnell erhalten

 

Und hoffentlich wird er sich nicht noch einmal verfangen….

 

http://www.farstrupvildtpleje.dk/
http://de.wikipedia.org/wiki/Basst%C3%B6lpel

Veröffentlicht unter Allgemein | Verschlagwortet mit , , , , , , | Hinterlasse einen Kommentar

Telekomdrossel – die Zerstörung von (Heim)Arbeitsplätzen?

 

Viele kennen sicher noch die Aussage von Walter Ulbricht “Niemand habe die Absicht, eine Mauer zu errichten“.

Wie wir aus der Geschichte gelernt haben: Es kam danach alles doch etwas anders…

 

So wird es uns auch mit der lieben Telekom gehen. Natürlich hat die Aufnahme der Drosselung in die AGB für Neuverträge ab 02. Mai 2013 laut Aussage der Telekom keine (direkte) Auswirkung auf die Kunden, es diene (vorerst) nur dazu, dass man die technischen Möglichkeiten (die schon bestehen) aktivieren und nutzen kann um die Kunden in die Steinzeit der Telekommunikation und des Internets zurück zu bringen.

In den letzten Wochen wurden ja nun Unmengen an Beiträgen zur geplanten Zerstörung der Netzneutralität veröffentlicht. Mittlerweile scheint sogar bei unseren Herren und Damen Politikern diese Problematik angekommen zu sein. Es wird nun öffentlich diskutiert, ob diese Zerstörung des Internets politisch aufgehalten werden kann und sollte.

 

Heimarbeitsplätze

Neben all diesen schon geführten Debatten wurde der Aspekt von Heimarbeitsplätzen (Home Office) bisher recht wenig beleuchtet. Eine große Verbreitung haben diese Arbeitsplätze nicht finden können, so dass sich bisher vll. wenige Leute drüber aufregen. Aber was ist mit all den Leuten, die zu Hause ihren privaten DSL Anschluss (mit)nutzen, um von dort über einen Tunnel in der Firma zu arbeiten? Da wird über verschiedene Möglichkeiten auf entfernt stehenden Systemen gearbeitet. Die Wenigsten werden wohl per SSH arbeiten. Viele jedoch mit RDP oder Citrix. Diese Arbeiten lassen sich derzeit noch gut durchführen, da die Geschwindigkeiten von DSL Anschlüssen ausreichend sind. Citrix kann auch gut genutzt werden, wenn die Anbindung recht schnmalbandig ist. Aber wozu sollte man auf Bandbreite verzichten, ist doch derzeit da. Derzeit….
Wenn die Telekom ihre Androhung wahr macht wird auch das Arbeiten schwer fallen. Verbindungen werden langsam oder stocken. Würde man nun nebenbei noch ein Radio-Stream oder ähnliches machen ist das Arbeiten quasi unmöglich. Es kann und will vll. nicht jeder auf diese Art der Arbeitsplätze verzichten. Für viele ist ein Home-Office die einzige Möglichkeit, am Arbeitsmarkt teilnehmen zu können. Sei es aus gesundheitlichen Gründen, sei es aus finanziellen Gründen.

 

Steuergeschenk – Subventionierung der Telekom

Die vielen Milliarden, die der Telekom damals bei Übergabe des durch Steuergelder bezahlten Telefonnetzes geschenkt wurden, werden nun von dieser in einer weiteren Form missbraucht und der Kunde ist wieder der gearschte. Die Bundesregierung hatte es damals versäumt, aus dem bezahlten Telefonnetz eine staatlich kontrollierte Gesellschaft zu machen, die die Kabel verwaltet. “Bundeskabelanstalt”. Alle Telefonanbieter/ Nutzer von TALs (Teilnehmer Anschluss Leitungen) hätten bei dieser Bundesanstalt zu gleichen Konditionen mit den gleichen Vor- wie auch Nachteilen Leitungen mieten müssen. Gleiche Chancen auf dem Telefonmarkt für alle. Schönes Geschenk an die Telekom. Mit den Folgen müssen nun alle anderen auf dem “liberalisierten” Markt kämpfen….

 

Wieso die Drosselung jeder Realität entbehrt

Die fadenscheinige Begründung der Telekom, die Netze seien nicht ausgelegt für solche Datenmengen und man müsse dieses etwas begrenzen ist schlichtweg eine Lüge!
Wenn es eine Bandbreitenproblematik gäbe, so würde die nicht damit gelöst werden können, ab Mitte/ Ende eines Monats die Leute aus dem Netz zu schmeißen. Denn am Anfang des Monats haben die Kunden noch ein paar Tage die volle Bandbreite und können diese nutzen. Somit ist das Argument schlichtweg falsch. Um eine Reduzierung der Netzauslastung (die ausreichend dimensioniert ist!) zu erhalten müssten Kunden zu unterschiedlichen Zeitpunkten in die Steinzeit katapultiert werden. Und nicht alle gemeinsam ab dem ersten eines Monats kurze Zeit mit voller Bandbreite.

Es ist einfach nur die Möglichkeit, die Kunden komplett abzuzocken und andere Diensteanbieter massiv zu behindern. So wird man dann wohl in Zukunft bei der T-Com Optionspakete buchen können, die bestimmte Inhalte bzw. Diensteanbieter erlauben. “Option Heimarbeitsplatz”, “Option YouTube”, “Option Onlinebackup”, “Option Nachrichtendienste”, “Option Fotodienste” usw. usf.

Es gibt de facto keine Bandbreitenprobleme auf Grund der DSL Nutzer. Der Netzausbau ist derart ausreichend (nach derzeitigem Standpunkt), dass selbst mit einer Erhöhung des Datenaufkommens (und davon muss man ausgehen) diese Bandbreite ausreicht. Sollte der Ausbau nicht weiter vorangetrieben werden würde sich das in Stoßzeiten zu einer Verlangsamung von Seitenaufbau (einige Nutzer von Netzanbietern kennen das sicher auch jetzt schon ;-) ) und Verringerung der Übertragungsgeschwindigkeit bemerkbar machen. Aber mit Sicherheit ist dieses kein hinreichendes Problem, die Nutzer in die Steinzeit zu befördern.

 

Werbung – Für wen denn noch?

Da wirkt die Werbemaßnahme der Telekom auf großen Plakatwänden ja schon beinahe wie ein Schlag ins Gesicht:

          “Zuhause wird schnell“.

telekom_schnell_werbetafel

 

Schnell erreicht man höchstens das winzige Limit der T-Com und kann ab dann mit beinahe Modemgeschwindigkeit den Rest des Monats versuchen, Inhalte im Netz zu erreichen.

 

Warum ist die Drosselung ein großes Problem für Dienste und Anbieter?

Neben den schon genannten Problemen, dass man viele Dienste (Onlinebackup, Fotodienste, Streamingdienste, Internetradio, Heimarbeitsplatz usw.) nicht mehr (sinnvoll) nutzen kann kommt noch das zusätzliche Problem der Erhöhung der Paketlaufzeiten. Ist eine Leitung annähern voll (was bei 364KBit/s schnell erreicht ist) erhöht sich die Laufzeit der IP Pakete. Diese Erhöhung fördert weitere Probleme zu Tage: Sollte man als “böser Telekomkunde” auch noch die Frechheit haben, bei einem SIP/ VoIP Provider einen “Telefonanschluss” nutzen zu wollen wird die Telefonie durch hohe Paketlaufzeiten gestört. Hohe Laufzeiten der IP Paketeerhöhen dann auch noch die Neusendeversuche, so dass noch mehr Pakete die Leitung verstopfen. Andere Pakete werden verworfen.

In Kurzform: Man kann es eigentlich gleich vergessen, noch irgendwas machen zu wollen. Das Internet ist damit beim Kunden funktional kaputt.

 

Warum Geschenke des Staates an Privatunternehmen schlecht sind

Das Vorgehen des Staates, eine Grundversorgung aus der Hand zu geben und von Steuergeldern bezahlte Infrastruktur an ein Privatunternehmen zu verschenken ist schon eine Frechheit an sich. Der Steuerzahler hat über Jahre Geld dafür bezahlt, dass Kabel gelegt werden. Das Privatunternehmen konnte somit ohne große Investitionen starten.
Nun zeigt sich, dass dieses abermals zum Nachteil der Kunden missbraucht wird. Statt die Kabel an ein Privatunternehmen zu verschenken hätte der Staat diese Grundversorgung behalten und sicherstellen müssen. Chancengleichheit für alle Netzbetreiber.
Nun die Kabel aus dem damaligen Bestand wieder in Staatshand zu übernehmen und damit Teile der Telekom zu enteignen wäre sicher eine sinnvolle Sache. Nur wird das unser lieber Staat auch nicht machen. Dafür ist dieser einfach nicht in der Lage. Immer mehr wichtige Infrastruktur wird an Privatunternehmen ausgegliedert. Und wie die sich gegen Wettbewerb auflehnen können sieht man an allen Stellen.

Von Steuergeldern bezahlte Dinge müssen zwingend in der Hand des Staates verbleiben.

 

Was kommt als nächstes?

Wird vll. die Polizei in ein Privatunternehmen übergeben?
“Och, Sie werden überfallen? Leider haben Sie nicht das Paket “Hilfe bei Überfall” gebucht. Im Standardpaket ist nur eine Reaktionszeit von 24 Stunden nach Meldung inklusive.”

Oder das Schulsystem?
Mit den kostenpflichtigen Paketen “Grundschule”, “weiterführende Schule”, dem Paket “Lesen & Schreiben” und das teure Zusatzpaket “Schulabschluss”.

Oder die Feuerwehr?
Hier wählbare kostenpflichtige Pakete “Löschen, Reaktionszeit 12 Stunden“, “Löschen, Reaktionszeit 6 Stunden“, dem Premium-Extra-Paket “Löschen und Retten, wir helfen sofort” und dem Special-Tarifpaket “Leben retten”.

Vielleicht die Autoindustrie?
Die Häufigkeit der Bremsennutzung ist abhängig, wie viel man an den Hersteller monatlich überweist. Überschreitet man das gekaufte Kontingent, so versagt die Bremskraft fast vollständig. Der Bremsweg verlängert sich halt um das rund 10fache.

Was wird uns zukünftig noch bevorstehen?

 

Um sich noch einmal ein Gefühl für das Internet von 1999 in Erinnerung zu rufen sollte man sich einmal ansehen, wie es ist, mit der halben der damals “hohen” DSL Geschwindigkeit (damals: 768KBit/s) zu surfen: http://www.youtube.com/watch?v=wKyiGoeCYX4&

Liebe Telekom, merke dir einen Satz und sage diesen immer und immer und immer wieder leise zu dir selbst: “Du bist ein KABEL! Mehr nicht!”.

Statt solche Kundenabzocke zu starten sollte die Telekom (und alle anderen Anbieter) lieber mal anfangen, die versprochene “bis zu X MBit/s” Bandbreite einzuhalten. Bezahlen tun wir als Kunden diese Versprechen voll, erhalten jedoch oft nur einen geringeren Anteil an der “bis zu” Bandbreite.

 

Links

http://www.golem.de/news/flatrate-verbraucherzentrale-mahnt-telekom-wegen-drosselung-ab-1305-99106.html
http://mobilemacs.de/2013/04/mm108-funktional-kaputt.html

Veröffentlicht unter Allgemein | Verschlagwortet mit , , , , , , , , , , , | 1 Kommentar

Raspberry Pi – ein RPi WLAN Access Point mit OpenVPN Tunnel

Die Idee

Der als WLAN AP eingerichtete Raspberry Pi wird um eine OpenVPN Client-Konfiguration erweitert, mit der er einen OpenVPN Tunnel auf dem eth0 Interface zu einem externen OpenVPN Server aufbaut.

 

Wozu?

Egal wo man diesen an ein fremdes und unbekanntes (und damit automatisch unsicheres!) Netzwerk ansteckt (und dieser nicht bei seiner Internetverbindung gehindert wird) baut der RPi einen verschlüsselten Tunnel zu dem OpenVPN Server auf. Danach kann über die WLAN Verbindung von den Clients über den Tunnel auf den Server zugegriffen werden. Und natürlich wird auch der gesamte Datenverkehr der WLAN Clients durch den Tunnel zum VPN Server geschickt. Von dort geht dieser dann (unverschlüsselt) ins normale Internet.
Erneut die Frage, wozu?
Sicherheit. Sicherheit. Sicherheit.
Kenne ich das Netzwerk nicht und habe damit keine Vertrauensstufe zu selbigem Netzwerk möchte ich ja nicht, dass mein Internetverkehr meiner WLAN Clients “mitgehört” werden kann. Da ich nun nicht auf jedem WLAN Client jeweils einen VPN Client starten möchte übernimmt der RPi diese Aufgabe. Automatisch.

 

Installation von OpenVPN auf dem Raspberry Pi unter Raspbian

Shell #> sudo apt-get update
Shell #> sudo apt-get upgrade
Shell #> sudo apt-get install openvpn
  Reading package lists… Done
  Building dependency tree
  Reading state information… Done
  The following extra packages will be installed:
      liblzo2-2 libpkcs11-helper1
  Suggested packages:
      resolvconf
  The following NEW packages will be installed:
      liblzo2-2 libpkcs11-helper1 openvpn
  0 upgraded, 3 newly installed, 0 to remove and 0 not upgraded.
  Need to get 582 kB of archives.
  After this operation, 1,324 kB of additional disk space will be used.

 

Installation der Zertifikate und Client-Konfig

Nun auf dem Raspberry Pi die Konfigurationsdatei im Verzeichnis /etc/openvpn/ anlegen und die Zertifikate auf gesichertem Wege vom OpenVPN Server in selbiges Verzeichnis legen.

 

Start von OpenVPN

Nun kann OpenVPN gestartet werden
      Shell #> sudo service openvpn start

Es sollte, hat man die Konfiguration richtig gemacht, seine Zertifikate an der richtigen Stelle usw. das VPN Interface tun0 erscheinen. Der Tunnel steht und man kann zumindest schon mal den VPN Server erreichen. Ein Ping, SSH oder ähnliches geht nun vom Raspberry Pi durch den OpenVPN Tunnel. Schon mal ein guter Anfang.
Zum Debugging kann man in der Client-Konfiguration das Debugging aktivieren und in eine Log Datei schreiben:

    verb 5
    log-append /var/log/openvpn/openvpn.log

Danach den openvpn wieder neu starten
      Shell #> sudo service openvpn restart

Die Debugmeldungen sollten einem recht schnell helfen, was dort schief läuft.

 

OpenVPN beim Booten automatisch starten

Damit der OpenVPN Client nach einem Booten automatisch gestartet wird muss in der Datei /etc/default/openvpn folgende Zeile angepasst werden
      AUTOSTART="clientname"
(Angeben, wie die Konfigurationsdatei ohne .conf in /etc/openvpn/ heißt)

 

Routing des gesamten Traffics in den Tunnel

Damit nun der gesamte Traffic vom RaspberryPi in den VPN Tunnel gelangt muss das Default-Gateway nach Aufbau des OpenVPN Tunnels geändert werden.
Der Server ist dabei so konfiguriert, dass es für die Clients eigene Konfigurationsdateien gibt/ geben kann.

Zur Änderung des Default-GW setzen wir in der Client-Konfigurationsdatei
/etc/openvpn/client-configs/vpn-client-name
einen Eintrag:
      push "redirect-gateway def1"

Damit wird der Client angewiesen, nach Aufbau des Tunnels sein Default-GW abzuändern und auf den Tunnelendpunkt (VPN Server) zu setzen.

Ob die Konfigurationsdatei für den Client genutzt wird kann man im Log (sofern Logging aktiv) des OpenVPN Servers gut erkennen:
…. OPTIONS IMPORT: reading client specific options from: /etc/openvpn/client-configs/vpn-client-name...

und weiter unten im Log noch die Änderung des Default-GW
....... SENT CONTROL [vpn-client-name]: 'PUSH_REPLY,......redirect-gateway def1, ....

 

Änderung der IPtables Regeln

Bisher wurde über IPtables geregelt, dass von wlan0 auf eth0 ge’nat’tet wurde. Also ändern wir eth0 und tun0 in den iptables-Regeln ab:

      iptables -A FORWARD -o tun0 -i wlan0 -m conntrack --ctstate NEW -j ACCEPT
      iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
      iptables -t nat -F POSTROUTING
      iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Somit verhindert man zusätzlich, dass bei einem nicht aufgebauten Tunnel trotzdem “normales” (aber unsicheres) Surfen möglich wäre.
Ist der Tunnel nicht aufgebaut kann nicht auf tun0 zugegriffen werden und der Internetverkehr bleibt im RPi “hängen”.
Damit kriegt man zumindest mit, wenn es noch ein Problem gibt und kann sich darum kümmern. Man läuft somit nicht in die Gefahr, dass man versehentlich unverschlüsselten Datenverkehr durch das fremde Netz schickt in der fälschlichen Annahme, der Tunnel bestehe. Quasi ein Eigenschutz ;-)

 

Links
http://openvpn.net/index.php/open-source/documentation/howto.html
http://openvpn.net/index.php/open-source/documentation/howto.html#redirect
http://blog.johnford.org/openvpn-tunnel-to-home-server/
http://blog.rotzoll.net/2013/04/raspberry-pi-wlan-access-point-einrichten-mit-realtek-8188cus-usb-wlan-adapter/” title=”http://blog.rotzoll.net/2013/04/raspberry-pi-wlan-access-point-einrichten-mit-realtek-8188cus-usb-wlan-adapter/
http://www.revsys.com/writings/quicktips/nat.html

Veröffentlicht unter Dokus und Tipps, Linux/ UNIX, RaspberryPI | Verschlagwortet mit , , , , , , , , , , , , , , , , , , , | Hinterlasse einen Kommentar

Enigma GfK – getretene Hunde…..

Was man nicht alles neben dem üblichen SPAM in seinen Kommentaren vorfindet.

Ein (angeblicher) Mitarbeiter von Enigma kommentiert meinen Blogpost über die massiven und nervigen Anrufe dieses Unternehmens.

Finde ich ja grundsätzlich ganz gut, auf sachlicher Ebene zu diskutieren und seine Meinung zu vertreten. Leider wird dieser Kommentar nicht veröffentlicht, da der Kommentarschreiber ausfallend wurde. Schade, aber das spiegelt die Mentalität wohl auch ganz gut wider ;-)

 

Also lieber Kommentarschreiber: Auf sachlicher Ebene kann man sicher mal eine Diskussion über Sinn & Unsinn von Outbound-Callcentern führen. So wird das aber wohl nix mit uns…

Und es zeigt mir wieder einmal, wie einige Leute von Outbound-Callcentern so ticken. Nicht nur durch die ständigen Nervanrufe gehen sie Leuten auf den XXXXX ;-)

Veröffentlicht unter Allgemein | Verschlagwortet mit , , , , , | Hinterlasse einen Kommentar

Raspberry Pi – den RPi als WLAN Access Point einrichten mit Realtek 8188CUS USB WLAN Adapter

Hostapd unterstützt “aus der Tüte” nur WLAN Karten/ Sticks, die mit dem nl80211 Treiber angesprochen werden können. Alle Realtek 8188CUS basierten Sticks werden leider nicht direkt unterstützt.

 

Nach einigem Suchen bin ich zu einer funktionierenden Lösung gekommen. Um mir für die Zukunft und vielleicht auch anderen die Suche zu erleichtern hier eine kleine Anleitung.

Weiterlesen

Veröffentlicht unter Dokus und Tipps, RaspberryPI, Technikspielkram | Verschlagwortet mit , , , , , , , , , , , , , , , , , , , | Hinterlasse einen Kommentar

Raspberry Pi – noch ein funktionierender WLAN USB Dongle

Und noch ein WLAN USB Dongle, der aus der “Tüte” mit Raspbian “wheezy” am Raspberry Pi funktioniert:
Comfast CF-WU710N

Es ist ein 150MBit/s WLAN-N mini-USB Dongle nach 802.11b/g/n der mit dem Kernelmodul 8192cu angesprochen wird.

Veröffentlicht unter Dokus und Tipps, RaspberryPI, Technikspielkram | Verschlagwortet mit , , , , , , | Hinterlasse einen Kommentar

Raspberry Pi – Unzufrieden mit der eingebauten Soundkarte per 3,5mm Klinke?

Recht ähnlich zur Installation und Unterstützung der Behringer U-Control UCA222 sollte sich diese Soundkarte auch für den Raspberry Pi einsetzen lassen.
Wer also mit der Soundqualität der analogen Audioausgabe nicht zufrieden ist sollte sich mal mit der Behringer beschäftigen. Line-in und out, optisch out usw. sind eine gute Erweiterung, um seinen Raspberry Pi als Airplay-Empfänger an (s)einer Stereoanlage zu betreiben. Auch ohne HDMI.

Veröffentlicht unter Pogoplug, RaspberryPI, Technikspielkram | Verschlagwortet mit , , , , | Hinterlasse einen Kommentar

Pogoplug – MPD (Music Player Daemon) unter Debian mit Behringer USB Soundkarte U-Control UCA 222

Der Pogoplug hat keine eingebaute Soundkarte. Schade eigentlich, würde der sich doch auf Grund seiner Größe und des Stromverbrauchs auch ideal für eine Anbindung per MPD (Music Player Daemon) an Stereoanlage & Co. eignen…
Weiterlesen

Veröffentlicht unter Dokus und Tipps, Linux/ UNIX, Pogoplug, RaspberryPI, Technikspielkram | Verschlagwortet mit , , , , , , , , , , , , , , , , | Hinterlasse einen Kommentar

WordPress – Upload Limit erhöhen für zu große Dateien

Werden Uploads in WordPress mit dem Hinweis, “die maximale Uploadgröße der Datei sei überschritten”, abgelehnt wird dieses meist durch Einstellungen in der php.ini verursacht. Die PHP Konfiguration lässt sich bei den meisten Installation/ Hostern nicht ohne weiteres abändern, da diese global gilt.
Weiterlesen

Veröffentlicht unter Dokus und Tipps, Linux/ UNIX | Verschlagwortet mit , , , , , , , | Hinterlasse einen Kommentar