IPFIRE

Vorwort

Dokumentation von diversen wichtigen Punkten in ipfire

Alias-IP definieren

Um eine Port-Weiterleitung von außen (Internet) zu einer IP im Agilos Netz einzurichten, geht man wie folgt vor. Als Beispiel möchten wir eine eingehende Verbindung über eine Alias-IP-Adresse auf die IP 172.22.1.123:80 weiterleiten.

Zuerst muss eine öffentliche IP definiert sein, welche zur Port-Weiterleitung angesprochen wird.

Sofern noch keine IP besteht, sucht man sich aus der IP-Range der Öffentlichen IPs der Agilos eine IP heraus. Die IP-Range ist zu finden unter: IP_Adressen_Agilos_212.18.209.*

Die IP wird durch das Anlegen eines Aliases auf einem Router (Bsp. IPFire 1.107) aktiviert.

In "Name" wird lediglich ein "Beschreibungstext" angegeben, welcher zur Wiedererkennung im IPFire gilt.

Im Feld "Alias-IP-Adresse" wird die zuvor ausgewählte öffentliche IP eingetragen. (212.18.209:xxx)

---

Statische Route über AGI-Zero einrichten

Wenn ein bestimmtes Netz bspw. 172.22.5.0/24 nicht über die bestehende VPN Verbindung zugänglich ist, fehlt dem IPFire das Routing für dieses Netz.

Dieser versucht dabei sich als Gateway zu nutzen, woraus ein "nicht erreichen" dieses Netzes resultiert.

Um dieses Routing entsprechend einzurichten, navigiert man im IPFire zu:

Port-Weiterleitung

1. Definieren der Portweiterleitung

Navigieren zu "Firewall -> Firewallregeln"

---

Hier legt man eine neue Regel an:

---

Für eingehende Verbindungen aus dem Internet (ROT) wählt man als Standard Netzwerk "ROT" aus.

---

Für die Port-Weiterleitung wird ein Destination-NAT angewandt, welches als Firewall-Interface die Alias-IP-Adresse des zuvor angelegten Alias besitzt.

---

Als Ziel "Zieladresse" bietet die Möglichkeit, einzelne IP-Adressen oder Netzbereiche durch Angabe der Netzmaske zu definieren. Bsp: 172.22.1.123 oder 172.22.1.0/24

---

Um die Weiterleitung auf den Zielport 80 zu definieren (Bsp: 172.22.1.123:80)

Außerdem kann hier auch Port zu Port Weiterleitung, durch Angabe des Quell Ports, eingerichtet werden (172.22.1.234:80 zu 172.22.1.123:80)

Durch "Hinzufügen" abschließen.

OpenSSL Fehler

Beim Versuch einen neuen VPN Zugang anzulegen kommt häufig folgende Fehlermeldung: "OpenSSL hat einen Fehler verursacht: 256"

Dieser Fehler kann mehrere Ursachen haben.

Nachfolgend die am häufigsten auftretenden Ursachen:

- Doppelter Benutzernamen

Wenn sowohl der VPN Verbindungsname und/oder der vollständige Name des Benutzers bereits vergeben sind oder waren, bricht ipfire das Anlegen mit o.g. Meldung ab.

- "Gueltig bis" - Feld muss ausgefüllt sein

Seit Core Update 120 muss dieses Feld ebenfalls ausgefüllt sein

- Interne ID (Serial Number) zählt nicht richtig hoch

Im System wird bei den Zertifikaten eine Serial Number hochgezählt. Die dazugehörige Datei nennt sich "serial" und ist unter /var/ipfire/ovpn/certs zu finden.

Diese beinhaltet immer die nächste Nummer, welche für das Anlegen eines Zugangs benutzt wird. Die Nummern werden in hex Schreibweise gespeichert.

Hier kann es durchaus möglich sein, dass man die Nummer händig abändern muss, sodass ipfire wieder einen Benutzer anlegen kann.

Mit dem Befehl "tail serial" lässt sich der Inhalt der Datei ausgeben. Hieran kann man auch erkennen, an welcher Serial Number sich ipfire unter Umständen aufhängt.