Portal:Freifunk/Router/Fastd - Schlüssel sichern

Aus Maschinendeck Wiki
< Portal:Freifunk‎ | Router
Version vom 19. März 2023, 03:02 Uhr von MikO (Diskussion | Beiträge) (MikO verschob die Seite Freifunk/Router/Fastd - Schlüssel sichern nach Portal:Freifunk/Router/Fastd - Schlüssel sichern, ohne dabei eine Weiterleitung anzulegen)
(Unterschied) ← Nächstältere Version | Aktuelle Version (Unterschied) | Nächstjüngere Version → (Unterschied)
Zur Navigation springen Zur Suche springen

Einleitung[Bearbeiten | Quelltext bearbeiten]

fastd (Fast and Secure Tunneling Daemon) ist ein VPN-Tunnel ohne integriertes Routing, setzt also auf Layer2 an. Im Verbund mit B.A.T.M.A.N. (BATMAN) wird fastd meist (z.B. bei der Firmware Gluon) dazu verwendet, Nodes mit einzelnen Gateway-Servern zu verbinden. Fastd verbraucht, im Gegensatz zu OpenVPN, wenig Speicherplatz auf Routern, da es nicht auf OpenSSL aufsetzt.

Schlüssel[Bearbeiten | Quelltext bearbeiten]

Um eine Verbindung zwischen dem Client (bspw. Node (Router)) und dem Server (Gateway) über den Fastd-VPN-Tunnel herzustellen, werden auf jeder Seite der Verbindung zwei Schlüssel (public und secret) benötigt.

Public - Key[Bearbeiten | Quelltext bearbeiten]

Der Public-Key (öffentliche Schlüssel) der Gateways ist in der Firmware der Knoten bereits hinterlegt. Der Secret-Key des Knoten wird während der Installation der Gluon-Software auf deinem Router erzeugt. Aus diesem lokalen Secret-Key erzeugt ein Skript dynamisch den Public-Key bei Bedarf. Der Public-Key selbst wird daher nicht auf dem Knoten gespeichert. Damit nun ein Mesh-VPN per fastd aufgebaut werden kann, musst du uns deinen Public-Key noch mitteilen, damit dieser auch auf unseren Gateways bekannt ist. Wird Mesh-VPN bspw. in Gluon über die Weboberfläche aktiviert, wird der Public-Key nach dem speichern erzeugt und angezeigt. Dieser muss dann per E-Mail versendet werden, so dass er auf dem Gateway-Server von dem Administrator hinterlegt werden kann. Die neue Gluon-Version zeigt dee Key leider nicht mehr im Klartext an, er verbirgt sich aber in dem Hyperlink der Mailadresse. Also einfach auf die Mailadresse klicken und eine fertige Mail mit Public-Key und Namen wird in deinem Mailprogramm vorbereitet.

Per Terminal (Konsole) kann der Public-Key erzeugt und angezeigt werden:

echo "secret \"$(uci get fastd.mesh_vpn.secret)\";" | fastd --config - --show-key


Secret - Key[Bearbeiten | Quelltext bearbeiten]

Der Secret-Key (private, geheime Schlüssel) bleibt auf den Geräten selbst und wird nicht veröffentlicht.

Der Secret-Key deines Routers kann mit der Konsole (Terminal) angezeigt werden


uci show fastd.mesh_vpn.secret

Den angezeigten Code kann man dann aus dem Terminal kopieren und eine separaten Datei für ein Backup lokal abspeichern.

Einspielen des Schlüssels[Bearbeiten | Quelltext bearbeiten]

Wechselt man das Gerät (Node), oder spielt zwischenzeitlich eine andere Software auf dem Gerät auf, ändert sich der secret Key nach erneutem aufspielen der Freifunk Firmware, da dieser jedesmal neu generiert wird. Da der public Key vom secret Key abhängt, ändert sich auch dieser. Um eine Verbindung zum Server aufbauen zu können, müsste der neue public Key wieder an den Administrator übermittelt werden. Möchte man dem Administrator Arbeit ersparen und sofort eine Verbindung zum Server erhalten, kann man seinen alten secret Key auf dem neueen Gerät oder der neuen Installation wieder einspielen.


uci set fastd.mesh_vpn.secret=DEIN_GESPEICHERTER_KEY_HIER_HIN
uci commit
reboot

Hiernach startet das Gerät neu.

Falls Mesh-VPN noch nicht eingeschaltet wurde, kann es mit den folgenden Befehlen aktiviert werden

uci set fastd.mesh_vpn.enabled=1
uci commit fastd
reboot

Quelle[Bearbeiten | Quelltext bearbeiten]