IPFIRE

Vorwort

Dokumentation von diversen wichtigen Punkten in ipfire

Setup

1. Vorbereitung

1. Im IP-Verzeichnis des Agilos-Wikis nach einer freien und sinnvollen IP-Adresse suchen.

2. Auf der Agilos-UDM ein neues Kundennetz anlegen und eine VLAN-ID vergeben.

3. Das neue Netzwerk anschließend auf allen Hosts im vCenter bereitstellen.

4. Das VLAN ebenfalls auf allen Hosts im Proxmox VE (PVE) eintragen.

2.Virtuelle Maschine erstellen Beim Anlegen der IPFire-VM folgende Konfiguration verwenden:

Einstellungen	Wert
CPU	2 Kerne
Arbeitsspeicher	8GB
Festplatte	30GB
Netzwerkkarte 1	Agi-World
Netzwerkkarte 2	Kundennetz

3.Installation
1.Die VM starten und die IPFire-Installation beginnen.
2.Als Dateisystem Ext4 auswählen.
3.Nach Abschluss der Installation das Installations-ISO entfernen.
4.Im vCenter die Netzwerkkarten der VM verbinden.
5.Die VM neu starten.

4.Grundeinrichtung

Während des Setups folgende Einstellungen vornehmen:

Einstellungen	Wert
Tastaturlayout	de
Zeitzone	Europe/Berlin
Hostname	Kundenname
Domäne	agilos-service.de
Passwort	Sumsum

5.Netzwerkkonfuguartion
Typ der Netzwerkkonfiguration
• Green + Red
Netzwerkkartenzuordnung

Schnittstelle	Netzwerk
Red	World
Green	Kundennetz

Adressierung
• Red: Öffentliche IP-Adresse
• Green: Festgelegte Kunden-IP-Range

6.DHCP (optional)
Falls erforderlich:
• DHCP-Server aktivieren.
• DHCP-Bereich entsprechend der Kunden-IP-Range konfigurieren.

7.Routing und Firewall 
1.Das Routing in der Agilos-UDM sowie auf dem Juniper-Router eintragen, damit das Agilos-Netz auf die erforderlichen Ressourcen im Kundennetz zugreifen kann.
2.Auf der .107-Firewall die Firewallregel für den Zugriff auf das Kundennetz einrichten.
3.Anschließend auf der Kunden-IPFire eine Blockregel in Richtung Agilos-Netz hinzufügen.

8.Abschluss
1.Die neu verwendeten IP-Adressen im Agilos-Wiki dokumentieren und pflegen.
2.Anschließend kann die weitere Konfiguration der IPFire erfolgen, z. B.:
o VPN
o Firewall-Regeln
o Portfreigaben
o weitere kundenspezifische Einstellungen

Hosts pflegen

Um einen Host zu definieren, welcher über den ipfire bekannt gemacht werden soll, navigiert man im Menü zu: Hosts bearbeiten

Hier trägt man entsprechend

IP-Adresse

Hostname

Domainname

ein.

Neue Verbindung anlegen

Um eine neue Verbindung anzulegen, wird eine Host-zu-Netz Verbindung erstellt.

Dort gibt man als Name den Nutzer an, für den die Verbindung gedacht ist.

Unter "Erzeuge ein Zertifikat" dann den Namen mit Gerät hinterlegen.

Und bei DNS1 gibt man die IP-Adresse des Servers an, mit der die Verbindung hergestellt werden soll.

Alias-IP definieren

Um eine Port-Weiterleitung von außen (Internet) zu einer IP im Agilos Netz einzurichten, geht man wie folgt vor. Als Beispiel möchten wir eine eingehende Verbindung über eine Alias-IP-Adresse auf die IP 172.22.1.123:80 weiterleiten.

Zuerst muss eine öffentliche IP definiert sein, welche zur Port-Weiterleitung angesprochen wird.

Sofern noch keine IP besteht, sucht man sich aus der IP-Range der Öffentlichen IPs der Agilos eine IP heraus. Die IP-Range ist zu finden unter: IP_Adressen_Agilos_212.18.209.*

Die IP wird durch das Anlegen eines Aliases auf einem Router (Bsp. IPFire 1.107) aktiviert.

In "Name" wird lediglich ein "Beschreibungstext" angegeben, welcher zur Wiedererkennung im IPFire gilt.

Im Feld "Alias-IP-Adresse" wird die zuvor ausgewählte öffentliche IP eingetragen. (212.18.209:xxx)

---

Statische Route über AGI-Zero einrichten

Wenn ein bestimmtes Netz bspw. 172.22.5.0/24 nicht über die bestehende VPN Verbindung zugänglich ist, fehlt dem IPFire das Routing für dieses Netz.

Dieser versucht dabei sich als Gateway zu nutzen, woraus ein "nicht erreichen" dieses Netzes resultiert.

Um dieses Routing entsprechend einzurichten, navigiert man im IPFire zu: Netzwerk -> Statische Routen

Beispiel:

Host IP-Adresse / Netzwerk: 172.22.5.0/24

Gateway: 172.22.1.1

Über diese statische Route weiß der IPFire, dass er Anfragen auf dieses Netz über das Gateway 172.22.1.1 leiten soll.

Port-Weiterleitung

1. Definieren der Portweiterleitung

Navigieren zu "Firewall -> Firewallregeln"

---

Hier legt man eine neue Regel an:

---

Für eingehende Verbindungen aus dem Internet (ROT) wählt man als Standard Netzwerk "ROT" aus.

---

Für die Port-Weiterleitung wird ein Destination-NAT angewandt, welches als Firewall-Interface die Alias-IP-Adresse des zuvor angelegten Alias besitzt.

---

Als Ziel "Zieladresse" bietet die Möglichkeit, einzelne IP-Adressen oder Netzbereiche durch Angabe der Netzmaske zu definieren. Bsp: 172.22.1.123 oder 172.22.1.0/24

---

Um die Weiterleitung auf den Zielport 80 zu definieren (Bsp: 172.22.1.123:80)

Außerdem kann hier auch Port zu Port Weiterleitung, durch Angabe des Quell Ports, eingerichtet werden (172.22.1.234:80 zu 172.22.1.123:80)

Durch "Hinzufügen" abschließen.

OpenSSL Fehler

Beim Versuch einen neuen VPN Zugang anzulegen kommt häufig folgende Fehlermeldung: "OpenSSL hat einen Fehler verursacht: 256"

Dieser Fehler kann mehrere Ursachen haben.

Nachfolgend die am häufigsten auftretenden Ursachen:

- Doppelter Benutzernamen

Wenn sowohl der VPN Verbindungsname und/oder der vollständige Name des Benutzers bereits vergeben sind oder waren, bricht ipfire das Anlegen mit o.g. Meldung ab.

- "Gueltig bis" - Feld muss ausgefüllt sein

Seit Core Update 120 muss dieses Feld ebenfalls ausgefüllt sein

- Interne ID (Serial Number) zählt nicht richtig hoch

Im System wird bei den Zertifikaten eine Serial Number hochgezählt. Die dazugehörige Datei nennt sich "serial" und ist unter /var/ipfire/ovpn/certs zu finden.

Diese beinhaltet immer die nächste Nummer, welche für das Anlegen eines Zugangs benutzt wird. Die Nummern werden in hex Schreibweise gespeichert.

Hier kann es durchaus möglich sein, dass man die Nummer händig abändern muss, sodass ipfire wieder einen Benutzer anlegen kann.

Mit dem Befehl "tail serial" lässt sich der Inhalt der Datei ausgeben. Hieran kann man auch erkennen, an welcher Serial Number sich ipfire unter Umständen aufhängt.