Verschlüsselung¶

Erlaubt ist nur eine 64/128bit WEP-Verschlüsselung, auch wenn der Network-Manager die Eingabe eines WPA-Kennworts ermöglicht, funktioniert das in der Regel nicht.

Ab Ubuntu 14.04 Trusty Tahr kann auch ein AdHoc-Netzwerk mit WPA(2)-Verschlüsselung über den Network-Manager aufgebaut werden. Allerdings funktioniert dies nicht unbedingt mit jeder WLAN-Hardware. Ebenso kann es sein, dass Clients wie andere Rechner, Tablets oder Smartphones die Verbindung nicht herstellen können, obwohl das so erzeugte Funknetzwerk angezeigt wird und der eingegebene Zugangsschlüssel korrekt ist.

Im Zweifelsfall probiert man diese Funktion über einen Live-USB Stick mit Ubuntu 14.04 oder höher aus. Falls man diese Funktion nur gelegentlich benötigt, bietet sich diese Variante ebenfalls an um auf dem fest installierten System weiterhin eine andere Ubuntu LTS-Version verwenden zu können.

Der WPA(2)-Zugangsschlüssel darf zwischen 8 und 63 Zeichen umfassen. Schlüssel ab etwa 16 Zeichen, die nicht durch eine einfache Wörterbuchattacke herausgefunden werden können, gelten als sicher. Der Schlüssel sollte sich aus Klein- und Großbuchstaben, Zahlen und den erlaubten Sonderzeichen zusammensetzen.

Weitere Hintergrundinformationen dazu im Forum. Zur Unsicherheit von WEP siehe Wired_Equivalent_Privacy.

Eine Plausibilitätsüberprüfung des verwendeten WEP-Schlüssels findet ansonsten nur bei der Auswahl "WEP 128-bit Schlüssel" statt, weshalb sich diese Option grundsätzlich anbietet, um Fehler weitestgehend zu vermeiden. Die Schlüssellänge in hexadezimalem Code (0-9, a-f, A-F) beträgt zehn Zeichen (64 bit) oder sechsundzwanzig Zeichen (128 bit) die zwingend eingehalten werden muss.

Die Eingabe eines Schlüssels in Klartext (0-9, a-z, A-Z) ist hier ebenfalls möglich. Die einzuhaltende Schlüssellänge beträgt in diesem Fall fünf Zeichen (64 bit) oder dreizehn Zeichen (128 bit). Fehler oder unzulässige Zeichen bei der Eingabe werden nicht angezeigt!

Je nach verwendetem Treiber kann die angebotene Verschlüsselungsmethode auch als WEP40 oder WEP104 angezeigt werden. Das entspricht einer 64bit bzw. 128bit Verschlüsselung, da das Datenpaket mit einem 24-Bit großem Initialisierungsvektor beginnt.

Sonderzeichen wie beispielsweise deutsche Umlaute sind nicht erlaubt, um die Kompatibilität zwischen verschiedenen Betriebssystemen zu gewährleisten.

Abschließend klickt man auf "Erzeugen". Die erforderlichen Freigaben der LAN-Verbindung werden nun automatisch angelegt.

Über einen Rechtsklick auf das Network-Manager Symbol und "Verbindungen bearbeiten" kann die Konfiguration überprüft und bei Bedarf auch angepasst oder gelöscht werden. Das Fenster "Netzwerkverbindungen" wird geöffnet. In diesem Beispiel steht das erzeugte Ad-Hoc Netz natürlich unter "Funknetzwerk". Bearbeitet man diese Konfiguration, muss unter "IPv4 Einstellungen" "Gemeinsam mit anderen Rechnern" eingestellt sein.

Ab Ubuntu 10.10 Maverick Meerkat sind erweiterte Einstellung für das Ad-Hoc Netz, wie z.B. eine manuelle Einstellung des Funkkanals möglich. Es können allerdings auch Parameter eingestellt werden, die die verwendete WLAN-Karte oder auch der Treiber nicht unterstützt.

IPv4-Einstellungen:

• Auf dem Host:

  • LAN - "Automatisch DHCP" (Verbindung zum Internet über Router/Modem. Kann auch statisch konfiguriert werden.)

  • WLAN - "Gemeinsam mit anderen Rechnern" (wird automatisch eingestellt)

• Auf den Clients:

  • WLAN - "Automatisch DHCP"

Die Einstellungen der Schnittstellen und die sich daraus ergebende Routing-Tabelle können zur Kontrolle über Terminal ^[1] abgefragt werden, nachdem das Netzwerk eingerichtet wurde.

Abfragen für das hier aufgeführte Beispiel:

iwconfig             # Konfiguration der WLAN-Schnittstelle abfragen 

wlan0     IEEE 802.11g  ESSID:"Test" 
          Mode:Ad-Hoc  Frequency:2.412 GHz  Cell: 00:39:80:39:0A:03   
          Bit Rate=54 Mb/s   Tx-Power:10 dBm   Sensitivity=0/3  
...

ifconfig             # Konfiguration der LAN- oder WLAN-Schnittstelle abfragen 

wlan0     Link encap:Ethernet  Hardware Adresse 00:04:0e:c2:61:ca  
          inet Adresse:10.42.43.1  Bcast:10.42.43.255  Maske:255.255.255.0
          inet6-Adresse: fe80::204:eff:fec2:61ca/64 Gültigkeitsbereich:Verbindung
...

route -n             # Routingtabelle anzeigen 

Kernel-IP-Routentabelle
Ziel            Router          Genmask         Flags Metric Ref    Use Iface
192.168.178.0   0.0.0.0         255.255.255.0   U     1      0        0 eth0
10.42.43.0      0.0.0.0         255.255.255.0   U     2      0        0 wlan0
169.254.0.0     0.0.0.0         255.255.0.0     U     1000   0        0 eth0
0.0.0.0         192.168.178.1   0.0.0.0         UG    0      0        0 eth0

Andere Rechner mit WLAN können sich nun direkt mit dem neuen Netzwerk Test und korrekter Eingabe des Zugangsschlüssels verbinden. Die Zuweisung einer IP-Adresse erfolgt automatisch über DHCP.

Netzwerk neu starten¶

Nachdem eine der nachfolgend beschriebenen Konfigurationen erstellt wurde, muss das Netzwerk neu gestartet werden. Beobachte die Terminalausgabe ^[2], achte auch auf Fehlermeldungen und überprüfe anschließend die Konfiguration:

sudo /etc/init.d/networking restart
ifconfig -a
iwconfig 

Dnsmasq¶

So wie beim Network-Manager auch wird hier dnsmasq-base für die gezeigten Beispiele verwendet, was bereits zur Standardinstallation seit Ubuntu 8.10 Intrepid Ibex gehört, aber auch schon unter Ubuntu 8.04 Hardy Heron nachinstalliert werden kann. Dnsmasq wird dann über eine einzige Befehlszeile konfiguriert.

• dnsmasq-base (universe ^[5] - ein DHCP-Server und DNS-Cache (Basispaket))

mit apturl

sudo apt-get install dnsmasq-base  

sudo aptitude install dnsmasq-base  

Soll Dnsmasq als Vollinstallation verwendet werden, um die Konfigurationsdatei mit erweiterten Optionen nutzen zu können, muss folgendes Programmpaket nachinstalliert werden:

• dnsmasq (universe ^[5] - ein DHCP- und DNS-Cache, siehe auch Dnsmasq und Router)

mit apturl

sudo apt-get install dnsmasq  

sudo aptitude install dnsmasq  

Danach sollte die Konfigurationsdatei gesichert werden, da diese div. Beispiele enthält.

sudo cp /etc/dnsmasq.conf /etc/dnsmasq.conf.bak     # Originaldatei vorab sichern 

LAN auf WLAN¶

Eine manuelle Konfiguration bietet erweiterte Einstellmöglichkeiten, wie z.B. Auswahl der IP-Adressen oder freie Kanalwahl der WLAN-Verbindung, was mit dem Network-Manager erst ab Ubuntu 10.10 Maverick Meerkat möglich ist (zulässige Frequenzeinstellungen).

Nachfolgend eine vollständige Beispielkonfiguration für eine Verbindungsfreigabe mittels WLAN Ad-Hoc mit 128-bit WEP-Verschlüsselung auf Funkkanal 1. Die Konfiguration für eth0 muss entsprechend der Gegebenheiten angepasst werden. Start des DHCP-Servers, IP-Forwarding und Maskieren der LAN-Schnittstelle sind temporär und werden bei Systemstart automatisch erneut aktiviert. Die IP-Adresse der lokalen Schnittstelle muss sich zudem in einem separaten Adressraum/Subnetz befinden.

Konfiguration der /etc/network/interfaces:

auto lo
iface lo inet loopback

auto eth0
iface eth0 inet dhcp

auto wlan0
iface wlan0 inet static
address 192.168.3.1
netmask 255.255.255.0
broadcast 192.168.3.255

# Ad-Hoc Netz erstellen. ESSID, Schlüssel und Funkkanal anpassen
up iwconfig wlan0 mode Ad-Hoc essid Deine_ESSID key 12345678901234567890123456 freq 2412000000

## Alternative Syntax Kanaleinstellung
# up iwconfig wlan0 mode Ad-Hoc essid Deine_ESSID key 12345678901234567890123456 channel 1

## Alternative Syntax 128bit Schlüssel in Klartext
# up iwconfig wlan0 mode Ad-Hoc essid Deine_ESSID key s:abcdefghjklmn channel 1

## vorhandene Regeln und Ketten zuerst löschen
up /sbin/iptables -F
 up /sbin/iptables -X
  up /sbin/iptables -t nat -F

## Maskieren der LAN-Schnittstelle, Port-Forwarding & Nat aktivieren
up /sbin/iptables -A FORWARD -o eth0 -i wlan0 -s 192.168.0.0/24 -m conntrack --ctstate NEW -j ACCEPT
 up /sbin/iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
  up /sbin/iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE 
   up /sbin/sysctl -w net.ipv4.ip_forward=1 

## dnsmasq-base verwenden
## verwendeter Adressbereich 192.168.3.10 - 192.168.3.20
up /usr/bin/killall dnsmasq
 up /bin/sleep 2
  post-up /usr/sbin/dnsmasq -i wlan0 -I eth0 -F 192.168.3.10,192.168.3.20,infinite

## Nur bei Verwendung der dnsmasq.conf aktivieren!
## Abschnitt für dnsmasq-base dann deaktivieren!
## dnsmasq neu starten
# post-up /etc/init.d/dnsmasq restart

Optionale Basiskonfiguration der /etc/dnsmasq.conf für das hier gezeigte Beispiel:

# DHCP-Server aktiv für Interface
interface=wlan0

# DHCP-Server nicht aktiv für Interface
no-dhcp-interface=eth0

# IP-Adressbereich / Lease-Time
dhcp-range=interface:wlan0,192.168.3.10,192.168.3.20,infinite

Feste IP für die angeschlossenen Clients vergeben. Konfiguration über die /etc/dnsmasq.conf

dhcp-host=<MAC-Adresse>,<Name>,<IP-Adresse>,infinite
dhcp-host=<MAC-Adresse>,<IP-Adresse>,infinite
dhcp-host=<Rechnername>,<IP-Adresse>,infinite

WLAN auf LAN¶

Die WLAN-Schnittstelle wurde hier für eine Verbindung mit sicherer WPA2-Verschlüsselung vorkonfiguriert. Ebenso ist die WLAN-Konfiguration über WLAN/wpa supplicant möglich.

Soll nur ein einziger Rechner ohne Netzwerk-Switch direkt angeschlossen werden, muss möglicherweise ein sog. Crosskabel für die Verbindung verwendet werden. Weitere Hinweise dazu in PC-Direktverbindung per Netzwerk-Kabel.

Konfiguration der /etc/network/interfaces:

auto lo
iface lo inet loopback

auto wlan0 
iface wlan0 inet dhcp
     wpa-driver wext
     wpa-ssid DeineSSID
     wpa-ap-scan 1
     wpa-proto RSN
     wpa-pairwise CCMP
     wpa-group CCMP
     wpa-key-mgmt WPA-PSK
     wpa-psk "Dein_WPA-Kennwort_in Klartext"

auto eth0
iface eth0 inet static
address 192.168.3.1
netmask 255.255.255.0
broadcast 192.168.3.255

## vorhandene Regeln und Ketten zuerst löschen
up /sbin/iptables -F
 up /sbin/iptables -X
  up /sbin/iptables -t nat -F

## Maskieren der LAN-Schnittstelle, Port-Forwarding & Nat aktivieren
up /sbin/iptables -A FORWARD -o wlan0 -i eth0 -s 192.168.0.0/24 -m conntrack --ctstate NEW -j ACCEPT
 up /sbin/iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
  up /sbin/iptables -t nat -A POSTROUTING -o wlan0 -j MASQUERADE 
   up /sbin/sysctl -w net.ipv4.ip_forward=1 

## dnsmasq-base verwenden
## verwendeter Adressbereich 192.168.3.10 - 192.168.3.20
up /usr/bin/killall dnsmasq
 up /bin/sleep 2
  post-up /usr/sbin/dnsmasq -i eth0 -I wlan0 -F 192.168.3.10,192.168.3.20,infinite

## Nur bei Verwendung der dnsmasq.conf aktivieren!
## Abschnitt für dnsmasq-base dann deaktivieren!
## dnsmasq neu starten
# post-up /etc/init.d/dnsmasq restart

Optionale Basiskonfiguration der /etc/dnsmasq.conf für das hier gezeigte Beispiel:

# DHCP-Server aktiv für Interface
interface=eth0

# DHCP-Server nicht aktiv für Interface
no-dhcp-interface=wlan0

# IP-Adressbereich / Lease-Time
dhcp-range=interface:eth0,192.168.3.10,192.168.3.20,infinite

Steuerung der Konfiguration über ein Skript.

touch instant_ICS_WLAN_to_LAN.sh
chmod +x instant_ICS_WLAN_to_LAN.sh 

  1
  2
  3
  4
  5
  6
  7
  8
  9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246

#!/bin/bash
## Instant ICS - Modus WLAN auf LAN
## elektronenblitz63 ubuntuusers.de 2011
## published under GPL v3
##
## Version 1.0.2 vom 23.Dezember 2011
##
## Skript
##
## freie Variablen
##

## Schnittstellenkonfiguration WLAN-Interface
wlaniface="wlan0"

## Konfiguration des Accesspoints
## SSID (Name) des WLAN Accesspoints eintragen zu dem eine Verbindung hergestellt werden soll
ssid="Deine_WLAN_SSID"

## MAC-Adresse des WLAN Accesspoints eintragen
mac="XX:XX:XX:XX:XX:XX"

## Einstellungen zur Verschlüsselung
## Konfiguration wpa-supplicant
proto="WPA RSN"
key_mgmt="WPA-PSK"
pairwise="TKIP CCMP"
group="TKIP CCMP"

## Zugangskennwort in Klartext (PSK)
psk="Dein_Zugangsschluessel_in_Klartext_PSK"

## Treiber für wpa_supplicant (Vorgabe)
wpadriver="wext"

## temporäre Konfigurationsdatei für wpa_supplicant
home="`pwd`"
configfile=$home/wpa_supplicant.tmp

## Schnittsetllenkonfiguration LAN-Interface
## LAN statisch (Vorgabe) 
laniface="eth0"
laddress="192.168.3.1"
lbroadcast="192.186.3.255"
lnetmask="255.255.255.0"
iptablemask="192.168.0.0/24"

## DHCP-Client
dhcpclient="dhclient"

## manuelle DNS (drei DNS Einträge, 1xDomain und 1xSearch sind möglich) - Startoption -D
## Beispiel:
## dns="nameserver 192.168.178.1 nameserver 192.168.178.1 nameserver 192.168.178.1 domain fritz.box search fritz.box"
dns="nameserver 8.8.4.4 nameserver 8.8.8.8 nameserver 213.73.91.35" 

## dnsmasq-base Konfiguration
## DHCP-Adresspool umfasst x-Adressen
ipaddresses=10

## Basisadresse DHCP-Adresspool (LAN-IP + Startadresse)
lanbaseip=10

## Lease-Time
leasetime="infinite"

## Proxy Server auf Port x
proxyport=3128

## Pause bevor eine IP-Adresse angefordert wird
## diese Zeit in Sek. bleibt wpa_supplicant für den Verbindungsaufbau
connectsleep=15

## Pause in Sekunden für Konfigurationsparameter
## Vorgabewert 2
configdelay=2

## Ende freie Variablen

## aut. Adressberechnung DHCP-Range für dnsmasq
## gemäß Vorgabe WLAN-Schnittstelle

ipaddresses=$[$ipaddresses+$lanbaseip]
 baseendaddr="`echo $laddress | tr -s . " " | awk {'print $4'}`"
  basestartaddr="`echo $laddress | tr -s . " " | awk {'print $1,$2,$3'} | tr -s " " .`"
   endaddr="$basestartaddr""."$[$startaddr+$ipaddresses]
    startaddr="$basestartaddr""."$[$baseendaddr+$lanbaseip]

## Optionen
D=0
H=0
P=0

while getopts ":hDP" OPTION ; do
 case $OPTION in
  D) echo "manueller DNS"; D=1;;
  P) echo "Portumleitung für Proxy aktiviert"; P=1;;
  h) echo "Hilfe angefordert"; H=1;;
 esac
  done

if [ "$H" = "1" ]; then
echo Verwendung: instant_ICS_WLAN_to_LAN.sh [-start] [-restart] [-stop] [-P] [-h] [-D] [-d]
echo Syntax:
echo "sudo ./instant_ICS.sh  startet mit Standardparametern, wie [-start]"
echo "sudo ./instant_ICS.sh -restart -D startet automatische WLAN-Konfiguration über DHCP, verwendet manuelle DNS"
echo "sudo ./instant_ICS.sh -restart"
echo "sudo ./instant_ICS.sh -P Portumleitung für Proxyserver (Squid)"
echo "sudo ./instant_ICS.sh -stop beendet das ICS Netzwerk"
echo "Ende"
 exit
fi

echo starte Konfiguration ...

if [ "$1" != "-start" ]; then
echo stoppe alle Dienste, und Verbindungen ...

# iptables Filter löschen
/sbin/iptables -F
 /sbin/iptables -X
  /sbin/iptables -t nat -F

defgw="`route -n | grep UG | awk {'print $2'}`"
 /sbin/route del default gw $defgw $wlaniface
  echo '' | tee /etc/resolv.conf
 
 /sbin/ifconfig $wlaniface down
   /usr/bin/killall dnsmasq
     /sbin/sysctl -w net.ipv4.ip_forward=0
      service squid stop

# lösche Konfigurationsdatei
rm $home/wpa_supplicant.tmp

## Restart Network-Manager - beende ICS Netzwerk
if [ "$1" = "-stop" ]; then
 echo
  echo "reaktiviere Network-Manager."
   service network-manager start
    sleep $configdelay
     service network-manager restart
echo "ICS Konfiguration beendet."
 exit
  fi
 fi

# Konfiguration
service network-manager stop
 sleep 1
  killall wpa_supplicant
   killall $dhcpclient
    sleep $configdelay
     /sbin/ifconfig $wlaniface down
      sleep $configdelay
       /sbin/ifconfig $wlaniface up
        sleep $configdelay

# Konfiguration wpa_supplicant
ctrliface="ctrl_interface=/var/run/wpa_supplicant"
eapolv="eapol_version=1"
apscan="ap_scan=1"

## WLAN-Verbindung vorbereiten
 echo $ctrliface | tee $configfile
  echo $eapolv | tee -a $configfile
   echo $apscan | tee -a $configfile
    echo 'network={' | tee -a $configfile
     echo ssid='"'$ssid'"' | tee -a $configfile
      echo bssid=$mac | tee -a $configfile
       echo proto=$proto | tee -a $configfile
        echo key_mgmt=$key_mgmt | tee -a $configfile
         echo pairwise=$pairwise | tee -a $configfile
          echo group=$group | tee -a $configfile
           echo psk='"'$psk'"' | tee -a $configfile
            echo '}' | tee -a $configfile

echo "Starte automatische WLAN-Verbindung über DHCP ..."
 /sbin/wpa_supplicant -i $wlaniface -D $wpadriver -c $configfile -B
  sleep $connectsleep
    echo "Fordere IP-Adresse an ..."
     /sbin/dhclient $wlaniface
      sleep $configdelay

# manuelle DNS - Startoption -D
if [ "$D" = "1" ]; then
echo "setze manuelle DNS"
 echo '# instant_ICS_WLAN_to_LAN.sh' | tee /etc/resolv.conf
  echo $dns | awk {'print $1,$2'} | tee -a /etc/resolv.conf
   echo $dns | awk {'print $3,$4'} | tee -a /etc/resolv.conf
    echo $dns | awk {'print $5,$6'} | tee -a /etc/resolv.conf 
     echo $dns | awk {'print $7,$8'} | tee -a /etc/resolv.conf
      echo $dns | awk {'print $9,$10'} | tee -a /etc/resolv.conf
 sleep $configdelay
fi

# statische Konfiguration der Ethernet-Schnittstelle
 echo
  echo "Starte statische LAN-Konfiguration ..."
   /sbin/ifconfig $laniface down
    /sbin/ifconfig $laniface $laddress broadcast $lbroadcast netmask $lnetmask
     /sbin/ifconfig $laniface up
      sleep $configdelay

echo "Vorgabewerte:"
 echo "Schnittstelle: "$laniface" IP: "$laddress" Broadcast: "$lbroadcast" Netzmaske: "$lnetmask

# aktiviere IP-Forward und NAT
echo "starte IP-Forward, Masquerading und NAT"
/sbin/iptables -A FORWARD -o $wlaniface -i $laniface -s $iptablemask -m conntrack --ctstate NEW -j ACCEPT
 /sbin/iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
  /sbin/iptables -t nat -A POSTROUTING -o $wlaniface -j MASQUERADE 
   /sbin/sysctl -w net.ipv4.ip_forward=1 
    sleep $configdelay

# dnsmasq starten
echo "starte dnsmasq"
 echo "DHCP-Range dnsmasq - Startadresse: "$startaddr" Endadresse: "$endaddr
  /usr/sbin/dnsmasq -i $laniface -I $wlaniface -F $startaddr,$endaddr,$leasetime

# Portumleitung für Squid Proxyserver - Startoption -P
if [ "$P" = "1" ]; then
 /sbin/iptables -t nat -A PREROUTING -i $wlaniface -p tcp --dport 80 -j REDIRECT --to-port 3128
  echo "Port 80 $wlaniface auf Port $proxyport umgeleitet (Squid Proxyserver)"
   echo "starte Squid Proxyserver ..."
    sleep $configdelay
      service squid start -n
fi

# Ausgabe der Konfiguration. Einstellungen der Schnittstellen,
# Routingtabelle und DNS prüfen

echo "prüfe Konfiguration ..."
 echo
echo "Systemkonfiguration: /etc/resolv.conf"
  /bin/cat /etc/resolv.conf
   /sbin/route -n
    echo 
   echo Konfiguration LAN:
    /sbin/ifconfig $laniface | egrep 'Link|inet Adresse'
echo
   echo Konfiguration WLAN:
    /sbin/ifconfig $wlaniface | egrep 'Link|inet Adresse'
echo
 echo "Konfiguration beendet"

exit 0

sudo ./instant_ICS_WLAN_to_LAN.sh [-start|-restart|-stop]
sudo ./instant_ICS_WLAN_to_LAN.sh                  # startet mit automatischer Konfiguration (wie mit [-start])
sudo ./instant_ICS_WLAN_to_LAN.sh -start           # startet alle Verbindungen und Dienste mit automatischer Konfiguration
sudo ./instant_ICS_WLAN_to_LAN.sh -restart         # erneuert alle Verbindungen und Dienste mit automatischer Konfiguration
sudo ./instant_ICS_WLAN_to_LAN.sh -stop            # beendet alle Verbindungen und Dienste 

LAN auf LAN¶

Soll nur ein einziger Rechner ohne Netzwerk-Switch direkt angeschlossen werden, muss möglicherweise ein sog. Crosskabel für die Verbindung verwendet werden. Weitere Hinweise dazu in PC-Direktverbindung per Netzwerk-Kabel.

Konfiguration der /etc/network/interfaces:

auto lo
iface lo inet loopback

auto eth0
iface eth0 inet dhcp

auto eth1
iface eth1 inet static
address 192.168.3.1
netmask 255.255.255.0
broadcast 192.168.3.255

## vorhandene Regeln und Ketten zuerst löschen
up /sbin/iptables -F
 up /sbin/iptables -X
  up /sbin/iptables -t nat -F

## Maskieren der LAN-Schnittstelle, Port-Forwarding & Nat aktivieren
up /sbin/iptables -A FORWARD -o eth0 -i eth1 -s 192.168.0.0/24 -m conntrack --ctstate NEW -j ACCEPT
 up /sbin/iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
  up /sbin/iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE 
   up /sbin/sysctl -w net.ipv4.ip_forward=1 

## dnsmasq-base verwenden
## verwendeter Adressbereich 192.168.3.10 - 192.168.3.20
up /usr/bin/killall dnsmasq
 up /bin/sleep 2
  post-up /usr/sbin/dnsmasq -i eth1 -I eth0 -F 192.168.3.10,192.168.3.20,infinite

## Nur bei Verwendung der dnsmasq.conf aktivieren!
## Abschnitt für dnsmasq-base dann deaktivieren!
## dnsmasq neu starten
# post-up /etc/init.d/dnsmasq restart

Optionale Basiskonfiguration der /etc/dnsmasq.conf für das hier gezeigte Beispiel:

# DHCP-Server aktiv für Interface
interface=eth1

# DHCP-Server nicht aktiv für Interface
no-dhcp-interface=eth0

# IP-Adressbereich / Lease-Time
dhcp-range=interface:eth1,192.168.3.10,192.168.3.20,infinite

Steuerung der Konfiguration über ein Skript.

touch instant_ICS.sh
chmod +x instant_ICS.sh 

  1
  2
  3
  4
  5
  6
  7
  8
  9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291

#!/bin/bash
## Instant ICS - Modus LAN auf LAN
## elektronenblitz63 ubuntuusers.de 2011
## published under GPL v3
##
## Version 1.0.1 vom 27.November 2011
##
## Skript
##
## freie Variablen
##
## LAN statisch (Beispiel) (Startoption [-f])
## Internetverbindung
#
laniface=eth0
laddress=192.168.178.10
lbroadcast=192.168.178.255
lnetmask=255.255.255.0
lgateway=192.168.178.1

### DNS (drei DNS Einträge, 1x Domain und 1x Search sind möglich) - nur mit Startoption [-f]
# Beispiel:
# dns="nameserver 192.168.178.1 nameserver 213.73.91.35 nameserver 87.118.100.175 domain fritz.box search fritz.box"
dns="nameserver 8.8.4.4 nameserver 8.8.8.8 nameserver 213.73.91.35" 

## dnsmasq DNS (manuell) (Startoption [-D])
## dnsmasq ignoriert dann /etc/resolv.conf
mandns=8.8.4.4

## MAC-Adresse (optional) (Startoption [-m])
lmacaddress=00:12:79:c0:49:ae

## LAN2 statisch (Beispiel) 
## hier werden weitere Clients angeschlossen
#
laniface2=eth1
address2=192.168.3.1
broadcast2=192.186.3.255
netmask2=255.255.255.0
iptablemask=192.168.0.0/24

## DNSMASQ Konfiguration
# DHCP-Adresspool umfasst x-Adressen
ipaddresses=10

# Basisadresse DHCP-Adresspool (WLAN-IP + X)
lanbaseip=10

# Lease-Time
leasetime=infinite

## Proxy Server auf Port x
proxyport=3128

## Ende freie Variablen

## aut. Adressberechnung DHCP-Range für dnsmasq
## gemäß Vorgabe WLAN-Schnittstelle
ipaddresses=$[$ipaddresses+$lanbaseip]
 baseendaddr="`echo $address2 | tr -s . " " | awk {'print $4'}`"
  basestartaddr="`echo $address2 | tr -s . " " | awk {'print $1,$2,$3'} | tr -s " " .`"
   endaddr="$basestartaddr""."$[$startaddr+$ipaddresses]
    startaddr="$basestartaddr""."$[$baseendaddr+$lanbaseip]

## Pause vor LAN-Verbindungstest
pause=4
pingout=""

## Pause in Sekunden für Konfigurationsparameter
## Vorgabewert 3
configdelay=2

## Optionen
A=1
B=0
D=0
H=0
P=0

while getopts ":dfmhDP" OPTION ; do
 case $OPTION in
  d) echo "konfiguriere LAN1 über DHCP"; A=1;;
  f) echo "konfiguriere LAN1 statisch"; A=2;;
  m) echo "MAC-Change LAN1 ein"; B=1;;
  D) echo "manueller DNS"; D=1;;
  P) echo "Portumleitung für Proxy aktiviert"; P=1;;
  h) echo "Hilfe angefordert"; H=1;;
 esac
  done

if [ "$H" = "1" ]; then
echo Verwendung: instant_AdHoc.sh [-start] [-restart] [-stop] [-d] [-f] [-m] [-h] [-D]
echo Syntax:
echo "sudo ./instant_AdHoc.sh  startet mit Standardparametern, wie [-start][-d]"
echo "sudo ./instant_AdHoc.sh -d startet mit Standardparametern, wie [-start]"
echo "sudo ./instant_AdHoc.sh -f statische LAN-Konfiguration"
echo "sudo ./instant_AdHoc.sh -f -m  statische LAN-Konfiguration, MAC-Änderung"
echo "sudo ./instant_AdHoc.sh -f -m -c statischer LAN-Konfiguration, MAC-Änderung, MAC-Filter"
echo "sudo ./instant_AdHoc.sh -start -f statische LAN-Konfiguration"
echo "sudo ./instant_AdHoc.sh -restart -f statische LAN-Konfiguration"
echo "sudo ./instant_AdHoc.sh -restart -d -D automatische LAN-Konfiguration über DHCP, dnsmasq ignoriert System-DNS"
echo "bei Option [-D] ignoriert dnsmasq die Einträge der /etc/resolv.conf"
echo "sudo ./instant_AdHoc.sh -restart -f -m -c statische LAN-Konfiguration, MAC-Änderung, MAC-Filter"
echo "sudo ./instant_AdHoc.sh -P Portumleitung für Proxyserver (Squid)"
echo "sudo ./instant_AdHoc.sh -stop beendet das ICS Netzwerk"
echo "Ende"
 exit
fi

echo starte Konfiguration ...
 sleep 2

if [ "$1" != "-start" ]; then
echo stoppe alle Dienste, und Verbindungen ...

# iptables Filter löschen
/sbin/iptables -F
 /sbin/iptables -X
  /sbin/iptables -t nat -F

defgw="`route -n | grep UG | awk {'print $2'}`"
 /sbin/route del default gw $defgw $laniface
  echo '' | tee /etc/resolv.conf
 
 /sbin/ifconfig $laniface2 down
  /sbin/ifconfig $laniface down
   /usr/bin/killall dnsmasq
    /sbin/sysctl -w net.ipv4.ip_forward=0
     service squid stop

## Restart Network-Manager - beende ICS Netzwerk
if [ "$1" = "-stop" ]; then
 echo
  echo "reaktiviere Network-Manager."
   service network-manager start
    sleep $configdelay
     service network-manager restart
echo "ICS Konfiguration beendet."
 exit
  fi
 fi


## MAC-Adresse LAN1 abgleichen
if [ "$B" = "1" ]; then
  currentmac="`ifconfig $laniface | grep Adresse | awk {'print $6'}`"
  echo Schnittstelle $laniface, MAC-Adresse: $currentmac 
   echo Vorgabe: $lmacaddress

 if [ "$currentmac" = "$lmacaddress" ]; then
   echo Übereinstimmende MAC-Adresse 
else
   /sbin/ifconfig $laniface down
 /sbin/ip link set dev $laniface addr $lmacaddress

currentmac="`ifconfig $laniface | grep Adresse | awk {'print $6'}`"
 echo versuche MAC-Adresse zu ändern ...
  echo Schnittstelle $laniface, MAC-Adresse: $currentmac 

if [ "$currentmac" = "$lmacaddress" ]; then
 echo Änderung der MAC-Adresse erfolgreich! 
  else
 echo Änderung der MAC-Adresse nicht erfolgreich!
echo fahre fort ...
fi

 fi
fi

# Konfiguration LAN
echo "Beende Network-Manager"
 service network-manager stop
  echo "Starte benötigte Dienste, und Verbindungen ..."
   sleep $configdelay

if [ "$A" = "1" ]; then
sleep $configdelay
 echo
  echo "Starte automatische LAN-Verbindung über DHCP ..."
   /sbin/dhclient $laniface

else
sleep $configdelay
 echo
  echo "Starte statische LAN-Konfiguration ..."
   /sbin/ifconfig $laniface down
    /sbin/ifconfig $laniface $laddress broadcast $lbroadcast netmask $lnetmask
     sleep $configdelay

## vorhandene Route ggf. löschen
 echo "Lösche Default-Gateway ..."
  defgw="`route -n | grep UG | awk {'print $2'}`"
   /sbin/route del default gw $defgw $laniface

echo
 echo "Setze Gateway und Route ..."
  /sbin/route add default gw $lgateway $laniface
   sleep $configdelay

## DNS eintragen (nur bei statischer Konfiguration - Option [-f])
echo setze DNS
echo '# erzeugt durch instant_AdHoc.sh' | tee /etc/resolv.conf
 echo $dns | awk {'print $1,$2'} | tee -a /etc/resolv.conf
  echo $dns | awk {'print $3,$4'} | tee -a /etc/resolv.conf
   echo $dns | awk {'print $5,$6'} | tee -a /etc/resolv.conf 
    echo $dns | awk {'print $7,$8'} | tee -a /etc/resolv.conf
     echo $dns | awk {'print $9,$10'} | tee -a /etc/resolv.conf
 sleep $pause
fi

## Verbindungstest LAN
echo LAN Verbindungstest ...
 pingout="`(ping -c1 $lgateway | egrep -wo '100% packet loss')`"

 if [ "$pingout" = "100% packet loss" ]; then
  echo kann Gateway nicht pingen $pingout - Verbindung fehlgeschlagen!
   echo breche Vorgang ab!
    echo Kabelverbindung oder Konfiguration überprüfen!

     /sbin/ifconfig $laniface down

if [ "$A" = "2" ]; then
 echo lösche Default-Gateway ...
  defgw="`route -n | grep UG | awk {'print $2'}`"
   /sbin/route del default gw $defgw $laniface
 fi

echo Vorgabewerte:
 echo Schnittstelle: $laniface IP: $laddress Broadcast: $lbroadcast Netzmaske: $lnetmask
  echo IP-Adresse Gateway: $lgateway
 exit
fi
 echo Verbindungstest erfolgreich!

# LAN2-Schnittstelle statisch konfigurieren
echo Konfiguriere WLAN, starte WLAN Ad-Hoc Modus ...
 /sbin/ifconfig $laniface2 down
  sleep 1
    /sbin/ifconfig $laniface2 $address2 broadcast $broadcast2 netmask $netmask2
     /sbin/ifconfig $laniface2 up

echo starte IP-Forward, Masquerading und NAT

/sbin/iptables -A FORWARD -o $laniface -i $laniface2 -s $iptablemask -m conntrack --ctstate NEW -j ACCEPT
 /sbin/iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
  /sbin/iptables -t nat -A POSTROUTING -o $laniface -j MASQUERADE 
   /sbin/sysctl -w net.ipv4.ip_forward=1 

## dnsmasq starten
echo starte dnsmasq
 echo DHCP-Range dnsmasq - Startadresse: $startaddr Endadresse: $endaddr

/usr/bin/killall dnsmasq

if [ "$S" != "0" ]; then
 /usr/sbin/dnsmasq -i $laniface2 -I $laniface -F $startaddr,$endaddr,$leasetime
  else
   /usr/sbin/dnsmasq -i $wlaniface -I $laniface -F $startaddr,$endaddr,$leasetime -R -S $mandns
     echo DNS Systemeinstellung wird ignoriert, dnsmasq verwendet DNS: $mandns
  fi

## Portumleitung für Squid Proxyserver
if [ "$P" = "1" ]; then
 /sbin/iptables -t nat -A PREROUTING -i $laniface2 -p tcp --dport 80 -j REDIRECT --to-port 3128
     echo "Port 80 $laniface2 auf Port $proxyport umgeleitet (Squid Proxyserver)"
   echo starte Squid Proxyserver ...
 sleep 4
  service squid start -n
fi

## Ausgabe der Konfiguration. Einstellungen der Schnittstellen,
## Routingtabelle und DNS prüfen

echo "prüfe Konfiguration ..."

if [ "$A" = "2" ]; then
 echo vorgegebene DNS: $dns
  fi 
 
echo "Systemkonfiguration: /etc/resolv.conf"
  /bin/cat /etc/resolv.conf
   /sbin/route -n
    echo 
   echo Konfiguration LAN:
    /sbin/ifconfig $laniface | egrep 'Link|inet Adresse'
   echo Konfiguration WLAN:
    /sbin/ifconfig $laniface2 | egrep 'Link|inet Adresse'

echo "Konfiguration beendet"

exit 0

sudo ./instant_ICS.sh [-start|-restart|-stop]
sudo ./instant_ICS.sh                  # startet mit automatischer Konfiguration (wie mit [-start])
sudo ./instant_ICS.sh -start           # startet alle Verbindungen und Dienste mit automatischer Konfiguration
sudo ./instant_ICS.sh -restart         # erneuert alle Verbindungen und Dienste mit automatischer Konfiguration
sudo ./instant_ICS.sh -stop            # beendet alle Verbindungen und Dienste 

DSL-Modem teilen¶

Folgende Konfiguration stellt bereits die Funktionalität eines einfachen Routers bereit. Die Internetverbindung wird über eth0 und einem angeschlossenen Modem mittels pppoeconf aufgebaut, die Verbindung über eine zweite Ethernet-Schnitstelle, hier (eth1) und WLAN-Netzwerk Ad-Hoc (wlan0), geteilt.

Sofern die eingesetzte WLAN-Hardware die Einrichtung eines vollwertigen Acess-Points mit sicherer WPA oder sogar WPA2-Verschlüsselung erlaubt, sollte diese Methode bevorzugt werden. Informationen dazu in WLAN Router.

Hier wird Dnsmasq als Vollinstallation benötigt (s.o.).

Soll nur ein einziger Rechner ohne Netzwerk-Switch direkt an die zweite Ethernet-Schnittstelle angeschlossen werden, muss möglicherweise ein sog. Crosskabel für die Verbindung verwendet werden. Weitere Hinweise dazu in PC-Direktverbindung per Netzwerk-Kabel.

Konfiguration der /etc/network/interfaces:

auto lo
iface lo inet loopback

# an eth0 ist der Modem angeschlossen
auto eth0
iface eth0 inet manual

# pppoe Verbindung
auto dsl-provider
iface dsl-provider inet ppp
pre-up /sbin/ifconfig eth0 up   # line maintained by pppoeconf
provider dsl-provider

# lokales Netzwerk LAN-Anschluß 2
auto eth1
iface eth1 inet static
address 192.168.3.1
netmask 255.255.255.0
broadcast 192.168.3.255

# lokales WLAN-Netzwerk 
auto wlan0
iface wlan0 inet static
address 192.168.3.2
# Bei Verbindungsproblemen alternativ ein anderes Subnetz und Broadcast wählen
# address 192.168.4.1
netmask 255.255.255.0
broadcast 192.168.3.255
# broadcast 192.168.4.255

# Ad-Hoc Netz erstellen. ESSID, Schlüssel und Funkkanal anpassen
up /sbin/iwconfig wlan0 mode Ad-Hoc essid Deine_ESSID key 12345678901234567890123456 freq 2412000000

## vorhandene Regeln und Ketten zuerst löschen
up /sbin/iptables -F
 up /sbin/iptables -X
  up /sbin/iptables -t nat -F

## Maskieren der LAN-Schnittstelle, Port-Forwarding & Nat aktivieren
## Die Eingangs-Schnittstelle kann hier entfallen, da mehre Teilnetze auf das Internet zugreifen dürfen.
## In diesem Fall muss hier 192.168.0.0/16 verwendet werden.

up iptables -A FORWARD -o ppp0 -s 192.168.0.0/16 -m conntrack --ctstate NEW -j ACCEPT
 up /sbin/iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
  up /sbin/iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE 
   up /sbin/sysctl -w net.ipv4.ip_forward=1 

## dnsmasq neu starten
up /etc/init.d/dnsmasq restart

Basiskonfiguration der /etc/dnsmasq.conf:

# DHCP-Server aktiv für Interface
interface=eth1
interface=wlan0

# DHCP-Server nicht aktiv für Interface
no-dhcp-interface=eth0

# IP-Adressbereich / Lease-Time
dhcp-range=interface:eth1,192.168.3.10,192.168.3.40,infinite    # Verteile an eth1 Adressen 192.168.3.10..192.168.3.40
dhcp-range=interface:wlan0,192.168.3.10,192.168.3.40,infinite   # Verteile an wlan0 Adressen 192.168.3.10..192.168.3.40

# Bei Verbindungsproblemen (IP-Adresse wird nicht zugewiesen) alternativ ein anderes Subnetz für WLAN wählen
# dhcp-range=interface:wlan0,192.168.4.10,192.168.4.40,infinite   # Verteile an wlan0 Adressen 192.168.4.10..192.168.4.40

MAC-Adressfilter einrichten¶

Eine WEP-Verschlüsselung ist unsicher und mit den entsprechenden Werkzeugen schnell entschlüsselt. Um etwas zusätzliche Sicherheit zu erlangen, kann der IP-Adressbereich des DHCP-Servers (dnsmasq) in der Konfigurationsdatei auf die tatsächliche Anzahl der angeschlossenen Rechner begrenzt werden. Zusätzlich können über iptables entsprechende Filterregeln erstellt werden, so dass nur bekannten Rechnern eine Datenübertragung bzw. der Internet-Zugriff gestattet wird.

Allerdings kann diese Maßnahme mit dem entsprechenden Hintergrundwissen ebenfalls relativ einfach überwunden werden, da MAC-Adressen unverschlüsselt im Netzwerk übertragen werden. Sensible persönliche Daten sollten in einem WEP-Verschlüsselten Netzwerk deshalb nicht ohne Dateiverschlüsselung oder Kennwortschutz freigegeben werden und zugänglich sein.

An die bestehende Konfiguration in der Datei /etc/network/interfaces ist folgendes anzuhängen. Die gezeigten MAC-Geräteadressen sind natürlich nur Beispiele. Für jeden Rechner im Netzwerk ist eine Filterregel mit der MAC-Adresse der verbauten LAN- bzw. WLAN-Karte einzufügen. Hier wurden Filterregeln für LAN und WLAN berücksichtigt. Die Bezeichnung der tatsächlich verwendeten Schnittstellen ist zu beachten.

# MAC-Adressfilter aktivieren / Datenübertragung für eingetragene WLAN-Geräte zulassen
 up /sbin/iptables -A INPUT -i wlan0 -m mac --mac-source 00:14:f6:2d:0a:b1 -j ACCEPT
  up /sbin/iptables -A INPUT -i wlan0 -m mac --mac-source 1c:2a:b4:30:4a:23 -j ACCEPT

# MAC-Adressfilter aktivieren / Datenübertragung für eingetragene LAN-Geräte zulassen
 up /sbin/iptables -A INPUT -i eth1 -m mac --mac-source 00:24:12:0e:9f:4a -j ACCEPT
  up /sbin/iptables -A INPUT -i eth1 -m mac --mac-source 00:26:35:10:2a:1b -j ACCEPT

# alle anderen Datenpakete die über die freigegebene WLAN-Schnittstelle kommen verwerfen
 up /sbin/iptables -A INPUT -i wlan0 -j DROP

# alle anderen Datenpakete die über die freigegebene LAN-Schnittstelle kommen verwerfen
 up /sbin/iptables -A INPUT -i eth1 -j DROP

Das Netzwerk abschließend wie beschrieben neu starten und die Filterregeln überprüfen:

sudo iptables -t filter -n -L -v 

Die Ausgabe für die Kette "INPUT" sollte passend zum Beispiel folgendermaßen aussehen (die Anzahl der übertragenen Datenpakete und Bytes ändert sich natürlich):

Chain INPUT (policy ACCEPT 617 packets, 229K bytes)
 pkts bytes target     prot opt in     out     source               destination         
   65  8826 ACCEPT     all  --  wlan0  *       0.0.0.0/0            0.0.0.0/0           MAC 00:14:f6:2d:0a:b1 
   13  1564 ACCEPT     all  --  wlan0  *       0.0.0.0/0            0.0.0.0/0           MAC 1c:2a:b4:30:4a:23 
    0     0 ACCEPT     all  --  eth1   *       0.0.0.0/0            0.0.0.0/0           MAC 00:24:12:0E:9F:4A 
    0     0 ACCEPT     all  --  eth1   *       0.0.0.0/0            0.0.0.0/0           MAC 00:26:35:10:2A:1B 
    6  1158 DROP       all  --  wlan0  *       0.0.0.0/0            0.0.0.0/0           
    0     0 DROP       all  --  eth1   *       0.0.0.0/0            0.0.0.0/0 
...

Für eine erweiterte Konfiguration und die Einrichtung spezieller Filtertabellen bietet sich nathelper, ufw oder auch anfd an. Entsprechende Befehle können ebenfalls in die Datei interfaces integriert werden. Ebenso lassen sich diverse Serverdienste einrichten.

WLAN auf LAN¶

Beispiel mit manueller Konfiguration des WLAN und LAN Konfiguration der /etc/network/interfaces des Host-Rechners:

auto lo
iface lo inet loopback

auto wlan0 
iface wlan0 inet dhcp
     wpa-driver wext
     wpa-ssid DeineSSID
     wpa-ap-scan 1
     wpa-proto RSN
     wpa-pairwise CCMP
     wpa-group CCMP
     wpa-key-mgmt WPA-PSK
     wpa-psk "Dein_WPA-Kennwort_in Klartext"

auto eth0
iface eth0 inet static
address 192.168.3.1
netmask 255.255.255.0
broadcast 192.168.3.255

## vorhandene Regeln und Ketten zuerst löschen
up /sbin/iptables -F
 up /sbin/iptables -X
  up /sbin/iptables -t nat -F

## Maskieren der LAN-Schnittstelle, Port-Forwarding & Nat aktivieren
up /sbin/iptables -A FORWARD -o wlan0 -i eth0 -s 192.168.0.0/24 -m conntrack --ctstate NEW -j ACCEPT
 up /sbin/iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
  up /sbin/iptables -t nat -A POSTROUTING -o wlan0 -j MASQUERADE 
   up /sbin/sysctl -w net.ipv4.ip_forward=1 

DSL-Modem teilen¶

Ein Router ist nicht vorhanden, alle Rechner verfügen nur über eine einzige Ethernet-Schnittstelle und sind über einen Netzwerk-Switch miteinander verbunden. Der DSL-Modem ist ebenfalls am Switch angeschlossen.

Einer der Rechner (Host) übernimmt die Einwahl (über pppoeconf) und leitet die Verbindung über ein virtuelles Interface (eth0:1) in das lokale Subnetz weiter. Die Konfiguration erfolgt ausschließlich über die /etc/network/interfaces.

Zusätzlich empfiehlt es sich hier über einen transparenten Proxyserver wie z.B. Squid auf dem Host-Rechner einen Daten-Cache einzurichten. Anleitung dazu weiter unten in diesem Artikel.

Der vom Provider zugewiesenen DNS-Server des Host-Rechners kann nach Verbindungsaufbau abgefragt und ebenfalls für die Konfiguration der Clients verwendet werden:

cat /etc/resolv.conf 

Konfiguration der /etc/network/interfaces:

auto lo
iface lo inet loopback

# an eth0 ist der Modem angeschlossen / LAN-Anschluß 1-0
auto eth0
iface eth0 inet manual

# pppoe Verbindung
auto dsl-provider
iface dsl-provider inet ppp
pre-up /sbin/ifconfig eth0 up   # line maintained by pppoeconf
provider dsl-provider

# lokales Netzwerk LAN-Anschluß 1-1
auto eth0:1
iface eth0:1 inet static
address 192.168.3.1
netmask 255.255.255.0
broadcast 192.168.3.255

## vorhandene Regeln und Ketten zuerst löschen
up /sbin/iptables -F
 up /sbin/iptables -X
  up /sbin/iptables -t nat -F

## Maskieren der LAN-Schnittstelle, Port-Forwarding & Nat aktivieren
up /sbin/iptables -A FORWARD -o ppp0 -s 192.168.0.0/16 -m conntrack --ctstate NEW -j ACCEPT
 up /sbin/iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
  up /sbin/iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE 
   up /sbin/sysctl -w net.ipv4.ip_forward=1 

# Vorbereitung für transparenten Proxyserver Squid
# up service squid stop
#  post-up /sbin/iptables -t nat -A PREROUTING -i wlan0 -p tcp --dport 80 -j REDIRECT --to-port 3128
#   post-up service squid start -n

Konfiguration der Clients¶

Die Konfiguration muss ebenfalls statisch erfolgen. Das kann manuell über die Datei /etc/network/interfaces, mit dem Network-Manager oder auch Wicd durchgeführt werden. Statische IP-Adressen im lokalen Netz dürfen nicht doppelt vergeben werden und müssen sich im selben Adressbereich befinden wie die des Host-Rechners!

auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
address 192.168.3.10
netmask 255.255.255.0
broadcast 192.168.3.255
gateway 192.168.3.1            # IP-Adresse LAN-Schnittstelle des Host

## optional benötigte DNS eintragen
## drei Einträge sind möglich
# post-up /bin/echo 'nameserver 192.168.178.1' | tee /etc/resolv.conf
#  post-up /bin/echo 'nameserver 213.73.91.35' | tee -a /etc/resolv.conf
#   post-up /bin/echo 'nameserver 87.118.100.175' | tee -a /etc/resolv.conf

## optional Domain und Sucheintrag 
# post-up /bin/echo 'domain fritz.box' | tee -a /etc/resolv.conf
#  post-up /bin/echo 'search fritz.box' | tee -a /etc/resolv.conf

LAN auf LAN¶

Eine permanente Konfiguration des Host-Rechners erfolgt manuell über die /etc/network/interfaces.

auto lo
iface lo inet loopback

auto br0
iface br0 inet dhcp
bridge_ports eth0 eth1
bridge_fd 5
bridge_stp no 

Die Clients können wie gewohnt über einen Netzwerkmanager oder auch manuell konfiguriert werden.

touch lan_bridge.sh
chmod +x lan_bridge.sh 

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53

#!/bin/bash
## Instant LAN-Bridge
## elektronenblitz63 ubuntuusers.de 2011
## published under GPL v3
##
## Skript
##

## Konfiguration
bridge=br0
forward_delay=5
stp=0

## Schnittstellen
iface0=eth0
iface1=eth1

## Verbindungen beenden
if [ "$1" = "off" ]; then
 /sbin/ifconfig $bridge down
  /sbin/ifconfig $iface1 down

## Brücke löschen
echo "lösche Brücke und Konfiguration, starte den Network-Manager ..."

/usr/sbin/brctl delif $bridge $iface0
 /usr/sbin/brctl delif $bridge $iface1
  /usr/sbin/brctl delbr $bridge
   service network-manager start

echo "LAN-Brücke beendet"
 fi

## Bridge starten
if [ "$1" = "on" ]; then
 echo "stoppe  Network-Manager, starte LAN-Brücke" $iface0 "<=>" $iface1
sleep 2
 service network-manager stop
  sleep 2

## Brücke erzeugen
 /usr/sbin/brctl addbr $bridge
  /usr/sbin/brctl addif $bridge $iface0
   /usr/sbin/brctl addif $bridge $iface1
    /usr/sbin/brctl stp $bridge $stp
     /usr/sbin/brctl setfd $bridge $forward_delay

## Verbindungen starten
/sbin/ifconfig $bridge up
 /sbin/ifconfig $iface1 up
  /sbin/dhclient $bridge
fi 
 exit 0

sudo lan_bridge.sh on         # startet die LAN-Brücke
sudo lan_bridge.sh off        # beendet die LAN-Brücke 

WLAN auf LAN¶

Eine transparente Brücke zwischen WLAN und LAN ist nicht so einfach herzustellen, außerdem muss die WLAN-Hard- und Firmware dies auch unterstützen (MAC-Forwarding). Diese Möglichkeit wurde im Kernel abgeschaltet. Eine Brücke zwischen LAN und WLAN ist nur möglich, wenn sich die WLAN-Karte im Master-Modus befindet, also über hostapd so wie in WLAN Router beschrieben.

Squid als Daten-Cache¶

Zusätzliche Sicherheit erreicht man durch einen Proxyserver wie Squid, mit dem ein Daten-Cache und Web-Filter eingerichtet werden kann. Squid arbeitet hier als "transparenter" Proxy und reiner Datencache. Über SquidGuard kann ein zusätzlicher Web-Filter eingerichtet werden, die gezeigte Konfigurationsdatei ist entsprechend vorbereitet. Auf den angeschlossenen Clients muss dazu nichts weiter konfiguriert werden, alle Anfragen werden direkt auf den Proxyserver umgeleitet.

Nach der Installation wird die squid-Konfigurationsdatei /etc/squid/squid.conf gesichert und durch folgende Basiskonfiguration ersetzt.

sudo cp /etc/squid/squid.conf /etc/squid/squid.conf.bak 

Die Konfigurationsdatei kann nun mit einem Editor ^[1] und Root-Rechten ^[3] bearbeitet werden. Folgender Inalt ist einzufügen:

# SQUID erforderliche Minimalkonfiguration
acl all src all
acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32

# Example rule allowing access from your local networks.
acl localnet src 192.168.0.0/24	# RFC1918 possible internal network

# lokale Rechner freigegeben
acl lokale_rechner src 192.168.3.0/255.255.255.0
http_access allow lokale_rechner

acl SSL_ports port 443		# https
acl SSL_ports port 563		# snews
acl SSL_ports port 873		# rsync
acl Safe_ports port 80 		# http
acl Safe_ports port 21 		# ftp
acl Safe_ports port 443		# https
acl Safe_ports port 70		# gopher
acl Safe_ports port 210		# wais
acl Safe_ports port 1025-65535	# unregistered ports
acl Safe_ports port 280		# http-mgmt
acl Safe_ports port 488		# gss-http
acl Safe_ports port 591		# filemaker
acl Safe_ports port 777		# multiling http
acl Safe_ports port 631		# cups
acl Safe_ports port 873		# rsync
acl Safe_ports port 901		# SWAT
acl purge method PURGE
acl CONNECT method CONNECT

http_access allow manager localhost
http_access deny manager

# Only allow purge requests from localhost
http_access allow purge localhost
http_access deny purge

# Deny requests to unknown ports
http_access deny !Safe_ports

# Deny CONNECT to other than SSL ports
http_access deny CONNECT !SSL_ports

http_access deny all

#Allow ICP queries from local networks only
icp_access allow localnet
icp_access deny all

# verwendeter Port 3128
http_port 192.168.3.1:3128 transparent

# deutsche Fehlermeldungen geblockte Seiten usw.
error_directory /usr/share/squid/errors/de

# Tag: Programmumleitung zu Squid-Guard / hier deaktiviert
# redirect_program /usr/bin/squidGuard -c /etc/squid/squidGuard.conf

access_log /var/log/squid/access.log squid

# Speicherverwaltung
cache_dir ufs /var/spool/squid 2000 16 256
cache_replacement_policy heap LFUDA
memory_replacement_policy heap LFUDA
maximum_object_size 5000 KB
maximum_object_size_in_memory 32 KB
cache_mem 32 MB

Diese Konfiguration kann ebenfalls direkt mit dem hier gezeigten Skript instant_AdHoc.sh mit der Startoption -P verwendet werden. Bei einer manuellen Konfiguration über die Datei /etc/network/interfaces muss eine entsprechende Portweiterleitung und der Startbefehl für Squid nachgetragen werden.

...
up service squid stop
 post-up /sbin/iptables -t nat -A PREROUTING -i wlan0 -p tcp --dport 80 -j REDIRECT --to-port 3128
  post-up service squid start -n

Die Konfiguration auf ist damit abgeschlossen.

Squid mit NCSA Authentifikation¶

Hier soll zunächst gezeigt werden wie damit eine zusätzliche Authentifikation über den Benutzernamen und ein Kennwort eingerichtet wird. Ein transparenter Proxy-Server kann in diesem Fall nicht verwendet werden.

Es werden zusätzlich folgende Programmpakete benötigt:

• apache2-utils (Hilfsprogramme um u.a. Kennwortdateien anlegen und verwalten zu können)

mit apturl

sudo apt-get install apache2-utils  

sudo aptitude install apache2-utils  

Nach der Installation wird die squid-Konfigurationsdatei /etc/squid/squid.conf gesichert und durch folgende Basiskonfiguration ersetzt.

sudo cp /etc/squid/squid.conf /etc/squid/squid.conf.bak 

Die Konfigurationsdatei kann nun mit einem Editor ^[1] und Root-Rechten ^[3] bearbeitet werden. Folgender Inhalt ist einzufügen:

# SQUID erforderliche Minimalkonfiguration
acl all src all
acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32

# Example rule allowing access from your local networks.
acl localnet src 10.0.0.0/8	# RFC1918 possible internal network
acl localnet src 172.16.0.0/12	# RFC1918 possible internal network
acl localnet src 192.168.0.0/24	# RFC1918 possible internal network

acl SSL_ports port 443		# https
acl SSL_ports port 563		# snews
acl SSL_ports port 873		# rsync
acl Safe_ports port 80		# http
acl Safe_ports port 21		# ftp
acl Safe_ports port 443		# https
acl Safe_ports port 70		# gopher
acl Safe_ports port 210		# wais
acl Safe_ports port 1025-65535	# unregistered ports
acl Safe_ports port 280		# http-mgmt
acl Safe_ports port 488		# gss-http
acl Safe_ports port 591		# filemaker
acl Safe_ports port 777		# multiling http
acl Safe_ports port 631		# cups
acl Safe_ports port 873		# rsync
acl Safe_ports port 901		# SWAT
acl purge method PURGE
acl CONNECT method CONNECT

# Authetifikation
auth_param basic program /usr/lib/squid/ncsa_auth  /etc/squid/passwd
auth_param basic realm Benutzerauthentifizierung fuer den Internetzugang
auth_param basic casesensitive off
auth_param basic children 5

acl kennwort proxy_auth REQUIRED
http_access allow kennwort

http_access allow manager localhost
http_access deny manager

# Only allow purge requests from localhost
http_access allow purge localhost
http_access deny purge

# Deny requests to unknown ports
http_access deny !Safe_ports

# Deny CONNECT to other than SSL ports
http_access deny CONNECT !SSL_ports

http_access deny all

#Allow ICP queries from local networks only
icp_access allow localnet
icp_access deny all

# verwendeter Port 3128
http_port 192.168.3.1:3128

# deutsche Fehlermeldungen geblockte Seiten usw.
error_directory /usr/share/squid/errors/de

# Tag: Programmumleitung zu Squid-Guard / hier deaktiviert
# redirect_program /usr/bin/squidGuard -c /etc/squid/squidGuard.conf

access_log /var/log/squid/access.log squid

# Speicherverwaltung
cache_dir ufs /var/spool/squid 2000 16 256
cache_replacement_policy heap LFUDA
memory_replacement_policy heap LFUDA
maximum_object_size 5000 KB
maximum_object_size_in_memory 32 KB
cache_mem 32 MB

Nun muss noch die erfoderliche Kennwortdatei /etc/squid/passwd angelegt werden. Dazu wird das Werkzeug htpasswd aus dem installierten Paket apache2-utils verwendet.

sudo htpasswd -bc /etc/squid/passwd <Benutzer> <Kennwort>          # Option -c erzeugt die Datei, bzw. legt diese neu an
sudo htpasswd -b /etc/squid/passwd <Benutzer1> <Kennwort>          # weitere Benutzer anlegen oder das Kennwort vorhandener Benutzer ändern 

Beispiel:

sudo htpasswd -bc /etc/squid/passwd stefan stefanskennwort         # Datei erzeugen, ersten Eintrag anlegen
sudo htpasswd -b /etc/squid/passwd peter peterskennwort            # weitere Einträge anlegen oder ändern
sudo htpasswd -b /etc/squid/passwd manuela manuelaskennwort        # weitere Einträge anlegen oder ändern 

Diese Konfiguration kann direkt mit dem hier gezeigten Skript instant_AdHoc.sh mit der Startoption -P verwendet werden. Bei einer manuellen Konfiguration über die Datei /etc/network/interfaces muss eine entsprechende Portweiterleitung und der Startbefehl für Squid nachgetragen werden.

...
up service squid stop
 post-up /sbin/iptables -t nat -A PREROUTING -i wlan0 -p tcp --dport 80 -j REDIRECT --to-port 3128
  post-up service squid start -n

Die Konfiguration auf dem Host-Rechner ist damit abgeschlossen.

Konfiguration der Clients¶

Damit auf den angeschlossenen Clients die Kennwortabfrage wirksam werden kann und der WEB-Zugriff ermöglicht wird, müssen die Proxy-Einstellungen Systemweit angewandt werden. Dazu wird über das Menü in System > Einstellungen > Netzwerk-Proxy die IP-Adresse des Host, in unserem Fall 192.168.3.1 und der verwendete Port 3128 eingetragen. Die Einstellungen müssen dann "Systemweit übernommen" werden.

Der Browser Firefox und auch der Mail-Client Thunderbird muss separat konfiguriert werden. Bei den erweiterten Einstellungen, Registerkarte "Netzwerk" ist "Proxyeinstellungen des Systems verwenden" auszuwählen. Bei Anwahl einer beliebigen Webseite wird nun zunächst nach dem Benutzernamen und dem Kennwort gefragt.