tinc.conf¶

Zuerst wird der Name des eigenen Knotens definiert ^[5]:

Name = ersterknoten

Danach der Ort des TUN-Adapters (unter Linux /dev/net/tun):

Device = /dev/net/tun

Zuletzt die Angabe, zu welchen anderen Knoten verbunden werden soll (ohne diese Angabe wartet der Knoten nur auf eingehende Verbindungen):

ConnectTo = zweiterknoten

tinc -n NETZWERK init ersterknoten 

tinc -n NETZWERK add connectto zweiterknoten 

hosts¶

Man legt eine neue Datei mit dem Namen /etc/tinc/NETZWERK/hosts/ersterknoten, der in tinc.conf angegeben wurde, an. Zuerst wird die öffentliche IP-Adresse (oder eine darauf verweisende Domain) des Knotens angegeben.

Address = oeffentliche.ip.adresse.des.servers.org

Anschließend das Subnet des eigenen Knotens (angenommen, der Knoten besteht nur aus einem Rechner, hat das Subnet die Maske /32):

Subnet = 10.8.0.1/32

Ebenso möglich wäre aber auch, jedem Knoten 255 Adressen zuzuweisen (z.B. von 10.8.1.0 bis 10.8.1.255):

Subnet = 10.8.1.0/24

Schlüssel generieren¶

Dazu wird der folgende Befehl ausgeführt:

tincd -n NETZWERK -K 

tinc-up¶

Zuletzt wird noch das ausführbare ^[6] Skript tinc-up angelegt.

1
2

#!/bin/sh
ifconfig $INTERFACE 10.8.0.1 netmask 255.255.0.0

Die IP-Adresse gibt diejenige Adresse aus dem Knoten-Subnet an, unter der man später erreichbar sein wird. Die Netzmaske entspricht hierbei der des "kompletten" Tinc-Netzwerkes.

Server¶

Allgemein muss dazu in der Datei /etc/sysctl.conf die IP-Weiterleitung aktiviert sein. Dazu entfernt man das Kommentarzeichen vor der entsprechenden Zeile:

net.ipv4.ip_forward=1           # für IPv4
net.ipv6.conf.all.forwarding=1  # für IPv6

und übernimmt die Einstellungen mit:

sysctl -p 

Dann ändert man in /hosts/server das Subnet auf Subnet = 0.0.0.0/0 (IPv4) bzw. ::/0 (IPv6). Zudem fügt man der Datei /etc/rc.local folgendes hinzu (eth0 muss durch den Netzwerkadapter mit der öffentlichen IP des Servers ersetzt werden, tun0 durch den Netzwerkadapters mit der VPN-internen IP, 10.8.0.0/16 gibt das Tinc-Subnet an):

iptables -A FORWARD -o eth0 -i tun0 -s 10.8.0.0/16 -m conntrack --ctstate NEW -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -s 10.8.0.0/16 -j MASQUERADE

Sollte dies nicht funktionieren, kann man teilweise auch Source-NAT verwenden, siehe Problembehebung.

Client¶

Auf den Clients werden nun die host-up und host-down Dateien angepasst.

• /etc/tinc/NETZWERK/hosts/server-up (INTERNE_SERVER_IP wird durch die VPN-interne Netzwerkadresse des Servers ersetzt):

  1 2 3 4 5 6 7 8

  #!/bin/sh VPN_GATEWAY=INTERNE_SERVER_IP ORIGINAL_GATEWAY=`ip route show | grep ^default | cut -d ' ' -f 2-5` ip route add $REMOTEADDRESS $ORIGINAL_GATEWAY ip route add $VPN_GATEWAY dev $INTERFACE ip route add 0.0.0.0/1 via $VPN_GATEWAY dev $INTERFACE ip route add 128.0.0.0/1 via $VPN_GATEWAY dev $INTERFACE

• /etc/tinc/NETZWERK/hosts/server-down:

  1 2 3 4 5 6 7

  #!/bin/sh ORIGINAL_GATEWAY=`ip route show | grep ^default | cut -d ' ' -f 2-5` ip route del $REMOTEADDRESS $ORIGINAL_GATEWAY ip route del $VPN_GATEWAY dev $INTERFACE ip route del 0.0.0.0/1 dev $INTERFACE ip route del 128.0.0.0/1 dev $INTERFACE

UDP Pakete werden blockiert¶

Tinc lässt sich auch über eine TCP-Verbindung tunneln, was bei einigen Firewalls notwendig ist, allerdings die Geschwindigkeit beeinflussen kann. In der entsprechenden host-Datei wird folgendes eingefügt:

TCPonly = yes

Port wird blockiert¶

Um den Port, über den ein Knoten erreichbar ist, zu ändern, müssen dessen tinc.conf und host-Datei angepasst werden:

• tinc.conf:

  BindToAddress = *:1234

  Anstelle des Sternchens lässt sich auch eine spezielle Netzwerkadresse angeben.

• hosts/knoten:

  Port = 12345

TUN/TAP¶

Auf vielen virtuellen Servern teilt sich das virtualisierte Betriebssystem den Kernel mit dem Host, sodass einige benötigte Module nicht verfügbar sein können. Ob das TUN/TAP-Modul geladen wurde, erkennt man mit dem Befehl:

lsmod | grep tun 

Sollte dies nicht der Fall sein (der Befehl gibt nichts zurück), so muss man das Gerät selbst erstellen:

sudo mkdir -p /dev/net
sudo mknod /dev/net/tun c 10 200
sudo chmod 600 /dev/net/tun 

iptables masquerading¶

Sollte das Masquerading-Modul von iptables nicht verfügbar sein, so kann man auch Source-NAT benutzen. Dazu ersetzt man in /etc/rc.local:

iptables -t nat -A POSTROUTING -o eth0 -s 10.8.0.0/16 -j MASQUERADE # das geht nur, wenn das Interface nicht venet0:0 (also keine Map) ist

durch

iptables -t nat -A POSTROUTING -s 10.8.0.0/16 -j SNAT --to-source EXT_IP  

wobei EXT_IP durch die öffentliche IP des Servers ersetzt wird.