IPFIRE: Unterschied zwischen den Versionen
| Zeile 12: | Zeile 12: | ||
Zuerst muss eine öffentliche IP definiert sein, welche zur Port-Weiterleitung angesprochen wird. | |||
Sofern noch keine IP besteht, sucht man sich aus der IP-Range der Öffentlichen IPs der Agilos eine IP heraus. | |||
Die IP-Range ist zu finden unter: [[IP_Adressen_Agilos_212.18.209.*]] | Die IP-Range ist zu finden unter: [[IP_Adressen_Agilos_212.18.209.*]] | ||
| Zeile 28: | Zeile 28: | ||
---- | ---- | ||
# Definieren der Portweiterleitung | # Definieren der Portweiterleitung | ||
| Zeile 34: | Zeile 35: | ||
[[Datei:Ipfire-Firewallregeln.PNG]] | [[Datei:Ipfire-Firewallregeln.PNG]] | ||
---- | ---- | ||
Hier legt man eine neue Regel an: | Hier legt man eine neue Regel an: | ||
[[Datei:Ipfire-AddRegel.PNG]] | [[Datei:Ipfire-AddRegel.PNG]] | ||
---- | ---- | ||
Für eingehende Verbindungen aus dem Internet (ROT) wählt man als Standard Netzwerk "ROT" aus. | Für eingehende Verbindungen aus dem Internet (ROT) wählt man als Standard Netzwerk "ROT" aus. | ||
[[Datei:Ipfire-AddRegelQuelle.PNG]] | [[Datei:Ipfire-AddRegelQuelle.PNG]] | ||
---- | ---- | ||
Für die Port-Weiterleitung wird ein Destination-NAT angewandt, welches als Firewall-Interface die Alias-IP-Adresse des zuvor angelegten Alias besitzt. | Für die Port-Weiterleitung wird ein Destination-NAT angewandt, welches als Firewall-Interface die Alias-IP-Adresse des zuvor angelegten Alias besitzt. | ||
[[Datei:Ipfire-AddRegelNAT.PNG]] | [[Datei:Ipfire-AddRegelNAT.PNG]] | ||
---- | ---- | ||
Als Ziel "Zieladresse" bietet die Möglichkeit, einzelne IP-Adressen oder Netzbereiche durch Angabe der Netzmaske zu definieren. Bsp: 172.22.1.123 oder 172.22.1.0/24 | Als Ziel "Zieladresse" bietet die Möglichkeit, einzelne IP-Adressen oder Netzbereiche durch Angabe der Netzmaske zu definieren. Bsp: 172.22.1.123 oder 172.22.1.0/24 | ||
[[Datei:Ipfire-AddRegelZiel.PNG]] | [[Datei:Ipfire-AddRegelZiel.PNG]] | ||
---- | ---- | ||
Um die Weiterleitung auf den Zielport 80 zu definieren (Bsp: 172.22.1.123:80) | Um die Weiterleitung auf den Zielport 80 zu definieren (Bsp: 172.22.1.123:80) | ||
Version vom 10. März 2020, 15:05 Uhr
Vorwort
Dokumentation von diversen wichtigen Punkten in ipfire
Port-Weiterleitung
Um eine Port-Weiterleitung von außen (Internet) zu einer IP im Agilos Netz einzurichten, geht man wie folgt vor. Als Beispiel möchten wir eine eingehende Verbindung über eine Alias-IP-Adresse auf die IP 172.22.1.123:80 weiterleiten.
Zuerst muss eine öffentliche IP definiert sein, welche zur Port-Weiterleitung angesprochen wird.
Sofern noch keine IP besteht, sucht man sich aus der IP-Range der Öffentlichen IPs der Agilos eine IP heraus. Die IP-Range ist zu finden unter: IP_Adressen_Agilos_212.18.209.*
Die IP wird durch das Anlegen eines Aliases auf einem Router (Bsp. IPFire 1.107) aktiviert.
In "Name" wird lediglich ein "Beschreibungstext" angegeben, welcher zur Wiedererkennung im IPFire gilt.
Im Feld "Alias-IP-Adresse" wird die zuvor ausgewählte öffentliche IP eingetragen. (212.18.209:xxx)
- Definieren der Portweiterleitung
Navigieren zu "Firewall -> Firewallregeln"
Hier legt man eine neue Regel an:
Für eingehende Verbindungen aus dem Internet (ROT) wählt man als Standard Netzwerk "ROT" aus.
Für die Port-Weiterleitung wird ein Destination-NAT angewandt, welches als Firewall-Interface die Alias-IP-Adresse des zuvor angelegten Alias besitzt.
Als Ziel "Zieladresse" bietet die Möglichkeit, einzelne IP-Adressen oder Netzbereiche durch Angabe der Netzmaske zu definieren. Bsp: 172.22.1.123 oder 172.22.1.0/24
Um die Weiterleitung auf den Zielport 80 zu definieren (Bsp: 172.22.1.123:80)
Durch "Hinzufügen" abschließen.
OpenSSL Fehler
Beim Versuch einen neuen VPN Zugang anzulegen kommt häufig folgende Fehlermeldung: "OpenSSL hat einen Fehler verursacht: 256"
Dieser Fehler kann mehrere Ursachen haben.
Nachfolgend die am häufigsten auftretenden Ursachen:
- Doppelter Benutzernamen
Wenn sowohl der VPN Verbindungsname und/oder der vollständige Name des Benutzers bereits vergeben sind oder waren, bricht ipfire das Anlegen mit o.g. Meldung ab.
- "Gueltig bis" - Feld muss ausgefüllt sein
Seit Core Update 120 muss dieses Feld ebenfalls ausgefüllt sein
- Interne ID (Serial Number) zählt nicht richtig hoch
Im System wird bei den Zertifikaten eine Serial Number hochgezählt. Die dazugehörige Datei nennt sich "serial" und ist unter /var/ipfire/ovpn/certs zu finden.
Diese beinhaltet immer die nächste Nummer, welche für das Anlegen eines Zugangs benutzt wird. Die Nummern werden in hex Schreibweise gespeichert.
Hier kann es durchaus möglich sein, dass man die Nummer händig abändern muss, sodass ipfire wieder einen Benutzer anlegen kann.
Mit dem Befehl "tail serial" lässt sich der Inhalt der Datei ausgeben. Hieran kann man auch erkennen, an welcher Serial Number sich ipfire unter Umständen aufhängt.