Das Problem beim Zusammenkopieren aus Tutorials ist, dass die meisten Leute die Konfiguration blind übernehmen, ohne sie verstanden zu haben. Der Teufel steckt aber im Detail und allgemeine Tutorial-Konfigs sind oftmals nur 90% von dem was man braucht - oder eben 110%.
XAF schrieb:
Code:
pi@raspberrypivpn ~ $ ping speedport.ip
PING speedport.ip (192.168.2.11) 56(84) bytes of data.
64 bytes from speedport.ip (192.168.2.11): icmp_req=1 ttl=64 time=0.502 ms
64 bytes from speedport.ip (192.168.2.11): icmp_req=2 ttl=64 time=0.447 ms
64 bytes from speedport.ip (192.168.2.11): icmp_req=3 ttl=64 time=0.475 ms
Das ist eine ungewöhnliche IP. Üblicherweise belässt man den Router, der ins übergeordnete Netz (in dem Falle das Internetz) routet, auf der .1. Weitere Router, APs oder auch Server setzt man gerne auf die .2, .3, .4, etc. Im Folgenden verwende ich daher "Standard-IPs", weil ich die .11 für den Speedport in 3 Zeilen schon wieder vergessen habe ;-)
XAF schrieb:
Ich möchte an diesen meinen Router anschließen und an den internen LAN Eingang vom Raspherry das LAN-Kabel was wiederum zu meinem PC führt, damit dieser permanent den OpenVPN verwendet um ortsbasierte IP-Beschränkungen zu umgehen.
Davon rate ich dir ab. Zum einen kann es sein, dass zB Streaming- oder Download-Portale generell IPs von VPN-Anbietern sperren, und zum anderen ist man so permanent auf die Bandbreite des VPNs angewiesen. Online-Shops reagieren zT auch allergisch auf VPN-IPs. Die Bestellung wird entweder gar nicht akzeptiert oder man wird aufgefordert, sich mit der richtigen IP einzuloggen. Doof, wenn man dann den PC umstöpseln muss. Ich würde VPNs für den Zweck der Regionssperre stets selektiv nutzen. Das musst du aber selbst wissen. Es ist in meinen Augen deutlich handlicher, vor Netflix kurz zB das Gateway umzuschalten, als bei jeder Online-Bestellung die Bestellung zwei Mal aufgeben zu müssen (PC umstöpseln nicht vergessen).
Wie dem auch sei, du willst den PI effektiv als Router zwischen Internet-Router und PC nutzen. Dann müssen aber beide Subnetze unterschiedlich sein.
Internet-Router (192.168.2.1) -- (192.168.2.2 eth0) PI (192.168.3.1 eth1) -- (192.168.3.2) PC
Es funktioniert nicht, wenn der PI auf beiden Interfaces im selben Subnetz unterwegs ist!
Basiskonfiguration für
/etc/network/interfaces (aus dem Ärmel geschüttelt)
Code:
auto lo
iface lo inet loopback
#eth0 könnte auch dynamisch sein, also DHCP. Ich bevorzuge wie oben erwähnt feste IPs für die Infrastruktur.
auto eth0 iface inet static
address 192.168.2.2
netmask 255.255.255.0
gateway 192.168.2.1
dns-nameservers 192.168.2.1
auto eth1 iface inet static
address 192.168.3.1
netmask 255.255.255.0
Anschließend in
/etc/sysctl.conf
net.ipv4.ip_forward = 1
Damit sagst du dem PI, dass er tatsächlich routen soll. Ansonsten würde er alles wegwerfen was von einem ins andere Subnetz will.
Da der Internet-Router aber nix von dem Subnetz hinter dem PI weiß, würde er auch keinerlei Anfragen daraus beantworten. Der PI muss also das Subnetz an eth1 für eth0 "natten".
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
Das aktiviert NAT für eth0. Alles was den PI an eth0 - Richtung Internet-Router - verlässt, wird mit der Absende-IP 192.168.2.2 (die eth0-IP vom PI) versehen. So weiß der Internet-Router auch, dass er dem PI antworten soll, wenn zB ein Ping zurückkommt. Was der PI dann damit macht ist dem Internet-Router egal. Der PI übersetzt die Antwort anschließend wieder ins PC-Subnetz. Hinweis: iptables Kommandos sind nicht zwangsläufig permanent. Das heißt man muss sie an geeigneter Stelle beim Booten erneut laden. Mit
iptables-save bzw.
iptables-persistent kann man iptables speichern. (
HowTo
Wenn du jetzt den PC an eth1 anschließt und ihm zB die IP 192.168.3.2 gibst und das Gateway auf die 192.168.3.1 setzt, müsstest du schon 8.8.8.8 pingen können. Sofern auf dem PI noch kein DNS läuft, wird aber zB google.de noch nicht aufgelöst. Entweder du richtest auf dem PI einen DNS ein (zB bind) oder du stellst am PC zB die 8.8.8.8 ein (192.168.2.1 ginge auch, das ist der Internet-Router).
Jetzt ist zumindest die grundsätzliche Internet-Funktionalität am PC hinter dem PI sichergestellt. Um das VPN kümmert man sich im Anschluss daran.
), an deiner exzellenten Anleitung (sehr unwahrscheinlich) oder an meinem Router. Der läuft so oder so nicht ganz rund: