Instant ICS¶

Die Einrichtung ist ebenfalls über ein Skript möglich. Das Skript basiert auf #Instant-Ad-Hoc, ist aber für ein Verbindung zwischen WLAN und LAN umgeschrieben. Der Network-Manager wird durch das Skript gesteuert und muss nicht manuell deaktiviert werden.

Skript anlegen und ausführbar machen ^[2]:

touch instant_ICS_WLAN_to_LAN.sh
chmod +x instant_ICS_WLAN_to_LAN.sh 

Inhalt einfügen:

  1
  2
  3
  4
  5
  6
  7
  8
  9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246

#!/bin/bash
## Instant ICS - Modus WLAN auf LAN
## elektronenblitz63 ubuntuusers.de 2011
## published under GPL v3
##
## Version 1.0.2 vom 23.Dezember 2011
##
## Skript
##
## freie Variablen
##

## Schnittstellenkonfiguration WLAN-Interface
wlaniface="wlan0"

## Konfiguration des Accesspoints
## SSID (Name) des WLAN Accesspoints eintragen zu dem eine Verbindung hergestellt werden soll
ssid="Deine_WLAN_SSID"

## MAC-Adresse des WLAN Accesspoints eintragen
mac="XX:XX:XX:XX:XX:XX"

## Einstellungen zur Verschlüsselung
## Konfiguration wpa-supplicant
proto="WPA RSN"
key_mgmt="WPA-PSK"
pairwise="TKIP CCMP"
group="TKIP CCMP"

## Zugangskennwort in Klartext (PSK)
psk="Dein_Zugangsschluessel_in_Klartext_PSK"

## Treiber für wpa_supplicant (Vorgabe)
wpadriver="wext"

## temporäre Konfigurationsdatei für wpa_supplicant
home="`pwd`"
configfile=$home/wpa_supplicant.tmp

## Schnittsetllenkonfiguration LAN-Interface
## LAN statisch (Vorgabe) 
laniface="eth0"
laddress="192.168.3.1"
lbroadcast="192.186.3.255"
lnetmask="255.255.255.0"
iptablemask="192.168.0.0/24"

## DHCP-Client
dhcpclient="dhclient"

## manuelle DNS (drei DNS Einträge, 1xDomain und 1xSearch sind möglich) - Startoption -D
## Beispiel:
## dns="nameserver 192.168.178.1 nameserver 192.168.178.1 nameserver 192.168.178.1 domain fritz.box search fritz.box"
dns="nameserver 8.8.4.4 nameserver 8.8.8.8 nameserver 213.73.91.35" 

## dnsmasq-base Konfiguration
## DHCP-Adresspool umfasst x-Adressen
ipaddresses=10

## Basisadresse DHCP-Adresspool (LAN-IP + Startadresse)
lanbaseip=10

## Lease-Time
leasetime="infinite"

## Proxy Server auf Port x
proxyport=3128

## Pause bevor eine IP-Adresse angefordert wird
## diese Zeit in Sek. bleibt wpa_supplicant für den Verbindungsaufbau
connectsleep=15

## Pause in Sekunden für Konfigurationsparameter
## Vorgabewert 2
configdelay=2

## Ende freie Variablen

## aut. Adressberechnung DHCP-Range für dnsmasq
## gemäß Vorgabe WLAN-Schnittstelle

ipaddresses=$[$ipaddresses+$lanbaseip]
 baseendaddr="`echo $laddress | tr -s . " " | awk {'print $4'}`"
  basestartaddr="`echo $laddress | tr -s . " " | awk {'print $1,$2,$3'} | tr -s " " .`"
   endaddr="$basestartaddr""."$[$startaddr+$ipaddresses]
    startaddr="$basestartaddr""."$[$baseendaddr+$lanbaseip]

## Optionen
D=0
H=0
P=0

while getopts ":hDP" OPTION ; do
 case $OPTION in
  D) echo "manueller DNS"; D=1;;
  P) echo "Portumleitung für Proxy aktiviert"; P=1;;
  h) echo "Hilfe angefordert"; H=1;;
 esac
  done

if [ "$H" = "1" ]; then
echo Verwendung: instant_ICS_WLAN_to_LAN.sh [-start] [-restart] [-stop] [-P] [-h] [-D] [-d]
echo Syntax:
echo "sudo ./instant_ICS.sh  startet mit Standardparametern, wie [-start]"
echo "sudo ./instant_ICS.sh -restart -D startet automatische WLAN-Konfiguration über DHCP, verwendet manuelle DNS"
echo "sudo ./instant_ICS.sh -restart"
echo "sudo ./instant_ICS.sh -P Portumleitung für Proxyserver (Squid)"
echo "sudo ./instant_ICS.sh -stop beendet das ICS Netzwerk"
echo "Ende"
 exit
fi

echo starte Konfiguration ...

if [ "$1" != "-start" ]; then
echo stoppe alle Dienste, und Verbindungen ...

# iptables Filter löschen
/sbin/iptables -F
 /sbin/iptables -X
  /sbin/iptables -t nat -F

defgw="`route -n | grep UG | awk {'print $2'}`"
 /sbin/route del default gw $defgw $wlaniface
  echo '' | tee /etc/resolv.conf
 
 /sbin/ifconfig $wlaniface down
   /usr/bin/killall dnsmasq
     /sbin/sysctl -w net.ipv4.ip_forward=0
      service squid stop

# lösche Konfigurationsdatei
rm $home/wpa_supplicant.tmp

## Restart Network-Manager - beende ICS Netzwerk
if [ "$1" = "-stop" ]; then
 echo
  echo "reaktiviere Network-Manager."
   service network-manager start
    sleep $configdelay
     service network-manager restart
echo "ICS Konfiguration beendet."
 exit
  fi
 fi

# Konfiguration
service network-manager stop
 sleep 1
  killall wpa_supplicant
   killall $dhcpclient
    sleep $configdelay
     /sbin/ifconfig $wlaniface down
      sleep $configdelay
       /sbin/ifconfig $wlaniface up
        sleep $configdelay

# Konfiguration wpa_supplicant
ctrliface="ctrl_interface=/var/run/wpa_supplicant"
eapolv="eapol_version=1"
apscan="ap_scan=1"

## WLAN-Verbindung vorbereiten
 echo $ctrliface | tee $configfile
  echo $eapolv | tee -a $configfile
   echo $apscan | tee -a $configfile
    echo 'network={' | tee -a $configfile
     echo ssid='"'$ssid'"' | tee -a $configfile
      echo bssid=$mac | tee -a $configfile
       echo proto=$proto | tee -a $configfile
        echo key_mgmt=$key_mgmt | tee -a $configfile
         echo pairwise=$pairwise | tee -a $configfile
          echo group=$group | tee -a $configfile
           echo psk='"'$psk'"' | tee -a $configfile
            echo '}' | tee -a $configfile

echo "Starte automatische WLAN-Verbindung über DHCP ..."
 /sbin/wpa_supplicant -i $wlaniface -D $wpadriver -c $configfile -B
  sleep $connectsleep
    echo "Fordere IP-Adresse an ..."
     /sbin/dhclient $wlaniface
      sleep $configdelay

# manuelle DNS - Startoption -D
if [ "$D" = "1" ]; then
echo "setze manuelle DNS"
 echo '# instant_ICS_WLAN_to_LAN.sh' | tee /etc/resolv.conf
  echo $dns | awk {'print $1,$2'} | tee -a /etc/resolv.conf
   echo $dns | awk {'print $3,$4'} | tee -a /etc/resolv.conf
    echo $dns | awk {'print $5,$6'} | tee -a /etc/resolv.conf 
     echo $dns | awk {'print $7,$8'} | tee -a /etc/resolv.conf
      echo $dns | awk {'print $9,$10'} | tee -a /etc/resolv.conf
 sleep $configdelay
fi

# statische Konfiguration der Ethernet-Schnittstelle
 echo
  echo "Starte statische LAN-Konfiguration ..."
   /sbin/ifconfig $laniface down
    /sbin/ifconfig $laniface $laddress broadcast $lbroadcast netmask $lnetmask
     /sbin/ifconfig $laniface up
      sleep $configdelay

echo "Vorgabewerte:"
 echo "Schnittstelle: "$laniface" IP: "$laddress" Broadcast: "$lbroadcast" Netzmaske: "$lnetmask

# aktiviere IP-Forward und NAT
echo "starte IP-Forward, Masquerading und NAT"
/sbin/iptables -A FORWARD -o $wlaniface -i $laniface -s $iptablemask -m conntrack --ctstate NEW -j ACCEPT
 /sbin/iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
  /sbin/iptables -t nat -A POSTROUTING -o $wlaniface -j MASQUERADE 
   /sbin/sysctl -w net.ipv4.ip_forward=1 
    sleep $configdelay

# dnsmasq starten
echo "starte dnsmasq"
 echo "DHCP-Range dnsmasq - Startadresse: "$startaddr" Endadresse: "$endaddr
  /usr/sbin/dnsmasq -i $laniface -I $wlaniface -F $startaddr,$endaddr,$leasetime

# Portumleitung für Squid Proxyserver - Startoption -P
if [ "$P" = "1" ]; then
 /sbin/iptables -t nat -A PREROUTING -i $wlaniface -p tcp --dport 80 -j REDIRECT --to-port 3128
  echo "Port 80 $wlaniface auf Port $proxyport umgeleitet (Squid Proxyserver)"
   echo "starte Squid Proxyserver ..."
    sleep $configdelay
      service squid start -n
fi

# Ausgabe der Konfiguration. Einstellungen der Schnittstellen,
# Routingtabelle und DNS prüfen

echo "prüfe Konfiguration ..."
 echo
echo "Systemkonfiguration: /etc/resolv.conf"
  /bin/cat /etc/resolv.conf
   /sbin/route -n
    echo 
   echo Konfiguration LAN:
    /sbin/ifconfig $laniface | egrep 'Link|inet Adresse'
echo
   echo Konfiguration WLAN:
    /sbin/ifconfig $wlaniface | egrep 'Link|inet Adresse'
echo
 echo "Konfiguration beendet"

exit 0

Parameter der Schnittstellen, IP-Adressbereiche usw. können im Deklarationsblock des Skripts angepasst werden.

Im Terminal ^[2] als root^[3] kann das Skript nun mit verschiedenen Parametern aufgerufen werden:

sudo ./instant_ICS_WLAN_to_LAN.sh [-start|-restart|-stop]
sudo ./instant_ICS_WLAN_to_LAN.sh                  # startet mit automatischer Konfiguration (wie mit [-start])
sudo ./instant_ICS_WLAN_to_LAN.sh -start           # startet alle Verbindungen und Dienste mit automatischer Konfiguration
sudo ./instant_ICS_WLAN_to_LAN.sh -restart         # erneuert alle Verbindungen und Dienste mit automatischer Konfiguration
sudo ./instant_ICS_WLAN_to_LAN.sh -stop            # beendet alle Verbindungen und Dienste 

Weitere Startoptionen sind im Skript beschrieben.

DSL-Modem teilen¶

Folgende Konfiguration stellt bereits die Funktionalität eines einfachen Routers bereit. Die Internetverbindung wird über eth0 und einem angeschlossenen Modem mittels pppoeconf aufgebaut, die Verbindung über eine zweite Ethernet-Schnitstelle, hier (eth1) und WLAN-Netzwerk Ad-Hoc (wlan0), geteilt.

Sofern die eingesetzte WLAN-Hardware die Einrichtung eines vollwertigen Acess-Points mit sicherer WPA oder sogar WPA2-Verschlüsselung erlaubt, sollte diese Methode bevorzugt werden. Informationen dazu in WLAN Router.

Hier wird Dnsmasq als Vollinstallation benötigt (s.o.).

Soll nur ein einziger Rechner ohne Netzwerk-Switch direkt an die zweite Ethernet-Schnittstelle angeschlossen werden, muss möglicherweise ein Crosskabel für die Verbindung verwendet werden. Weitere Hinweise dazu in PC-Direktverbindung per Netzwerk-Kabel.

Konfiguration der /etc/network/interfaces:

auto lo
iface lo inet loopback

# an eth0 ist der Modem angeschlossen
auto eth0
iface eth0 inet manual

# pppoe Verbindung
auto dsl-provider
iface dsl-provider inet ppp
pre-up /sbin/ifconfig eth0 up   # line maintained by pppoeconf
provider dsl-provider

# lokales Netzwerk LAN-Anschluß 2
auto eth1
iface eth1 inet static
address 192.168.3.1
netmask 255.255.255.0
broadcast 192.168.3.255

# lokales WLAN-Netzwerk 
auto wlan0
iface wlan0 inet static
address 192.168.3.2
# Bei Verbindungsproblemen alternativ ein anderes Subnetz und Broadcast wählen
# address 192.168.4.1
netmask 255.255.255.0
broadcast 192.168.3.255
# broadcast 192.168.4.255

# Ad-Hoc Netz erstellen. ESSID, Schlüssel und Funkkanal anpassen
up /sbin/iwconfig wlan0 mode Ad-Hoc essid Deine_ESSID key 12345678901234567890123456 freq 2412000000

## vorhandene Regeln und Ketten zuerst löschen
up /sbin/iptables -F
 up /sbin/iptables -X
  up /sbin/iptables -t nat -F

## Maskieren der LAN-Schnittstelle, Port-Forwarding & Nat aktivieren
## Die Eingangs-Schnittstelle kann hier entfallen, da mehre Teilnetze auf das Internet zugreifen dürfen.
## In diesem Fall muss hier 192.168.0.0/16 verwendet werden.

up iptables -A FORWARD -o ppp0 -s 192.168.0.0/16 -m conntrack --ctstate NEW -j ACCEPT
 up /sbin/iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
  up /sbin/iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE 
   up /sbin/sysctl -w net.ipv4.ip_forward=1 

## dnsmasq neu starten
up /etc/init.d/dnsmasq restart

Basiskonfiguration der /etc/dnsmasq.conf:

# DHCP-Server aktiv für Interface
interface=eth1
interface=wlan0

# DHCP-Server nicht aktiv für Interface
no-dhcp-interface=eth0

# IP-Adressbereich / Lease-Time
dhcp-range=interface:eth1,192.168.3.10,192.168.3.40,infinite    # Verteile an eth1 Adressen 192.168.3.10..192.168.3.40
dhcp-range=interface:wlan0,192.168.3.10,192.168.3.40,infinite   # Verteile an wlan0 Adressen 192.168.3.10..192.168.3.40

# Bei Verbindungsproblemen (IP-Adresse wird nicht zugewiesen) alternativ ein anderes Subnetz für WLAN wählen
# dhcp-range=interface:wlan0,192.168.4.10,192.168.4.40,infinite   # Verteile an wlan0 Adressen 192.168.4.10..192.168.4.40

MAC-Adressfilter einrichten¶

Eine WEP-Verschlüsselung ist unsicher und mit den entsprechenden Werkzeugen schnell entschlüsselt. Um etwas zusätzliche Sicherheit zu erlangen, kann der IP-Adressbereich des DHCP-Servers (dnsmasq) in der Konfigurationsdatei auf die tatsächliche Anzahl der angeschlossenen Rechner begrenzt werden. Zusätzlich können über iptables entsprechende Filterregeln erstellt werden, so dass nur bekannten Rechnern eine Datenübertragung bzw. der Internet-Zugriff gestattet wird.

Allerdings kann diese Maßnahme mit dem entsprechenden Hintergrundwissen ebenfalls relativ einfach überwunden werden, da MAC-Adressen unverschlüsselt im Netzwerk übertragen werden. Sensible persönliche Daten sollten in einem WEP-verschlüsselten Netzwerk deshalb nicht ohne Dateiverschlüsselung oder Kennwortschutz freigegeben werden und zugänglich sein.

An die bestehende Konfiguration in der Datei /etc/network/interfaces ist Folgendes anzuhängen. Die gezeigten MAC-Geräteadressen sind natürlich nur Beispiele. Für jeden Rechner im Netzwerk ist eine Filterregel mit der MAC-Adresse der verbauten LAN- bzw. WLAN-Karte einzufügen. Hier wurden Filterregeln für LAN und WLAN berücksichtigt. Die Bezeichnung der tatsächlich verwendeten Schnittstellen ist zu beachten.

# MAC-Adressfilter aktivieren / Datenübertragung für eingetragene WLAN-Geräte zulassen
 up /sbin/iptables -A INPUT -i wlan0 -m mac --mac-source 00:14:f6:2d:0a:b1 -j ACCEPT
  up /sbin/iptables -A INPUT -i wlan0 -m mac --mac-source 1c:2a:b4:30:4a:23 -j ACCEPT

# MAC-Adressfilter aktivieren / Datenübertragung für eingetragene LAN-Geräte zulassen
 up /sbin/iptables -A INPUT -i eth1 -m mac --mac-source 00:24:12:0e:9f:4a -j ACCEPT
  up /sbin/iptables -A INPUT -i eth1 -m mac --mac-source 00:26:35:10:2a:1b -j ACCEPT

# alle anderen Datenpakete die über die freigegebene WLAN-Schnittstelle kommen verwerfen
 up /sbin/iptables -A INPUT -i wlan0 -j DROP

# alle anderen Datenpakete die über die freigegebene LAN-Schnittstelle kommen verwerfen
 up /sbin/iptables -A INPUT -i eth1 -j DROP

Das Netzwerk abschließend wie beschrieben neu starten und die Filterregeln überprüfen:

sudo iptables -t filter -n -L -v 

Die Ausgabe für die Kette INPUT sollte passend zum Beispiel folgendermaßen aussehen (die Anzahl der übertragenen Datenpakete und Bytes ändert sich natürlich):

Chain INPUT (policy ACCEPT 617 packets, 229K bytes)
 pkts bytes target     prot opt in     out     source               destination         
   65  8826 ACCEPT     all  --  wlan0  *       0.0.0.0/0            0.0.0.0/0           MAC 00:14:f6:2d:0a:b1 
   13  1564 ACCEPT     all  --  wlan0  *       0.0.0.0/0            0.0.0.0/0           MAC 1c:2a:b4:30:4a:23 
    0     0 ACCEPT     all  --  eth1   *       0.0.0.0/0            0.0.0.0/0           MAC 00:24:12:0E:9F:4A 
    0     0 ACCEPT     all  --  eth1   *       0.0.0.0/0            0.0.0.0/0           MAC 00:26:35:10:2A:1B 
    6  1158 DROP       all  --  wlan0  *       0.0.0.0/0            0.0.0.0/0           
    0     0 DROP       all  --  eth1   *       0.0.0.0/0            0.0.0.0/0 
...

Für eine erweiterte Konfiguration und die Einrichtung spezieller Filtertabellen bietet sich nathelper oder ufw. Entsprechende Befehle können ebenfalls in die Datei interfaces integriert werden. Ebenso lassen sich diverse Serverdienste einrichten.

WLAN auf LAN¶

Beispiel mit manueller Konfiguration des WLAN und LAN Konfiguration der /etc/network/interfaces des Host-Rechners:

auto lo
iface lo inet loopback

auto wlan0 
iface wlan0 inet dhcp
     wpa-driver wext
     wpa-ssid DeineSSID
     wpa-ap-scan 1
     wpa-proto RSN
     wpa-pairwise CCMP
     wpa-group CCMP
     wpa-key-mgmt WPA-PSK
     wpa-psk "Dein_WPA-Kennwort_in Klartext"

auto eth0
iface eth0 inet static
address 192.168.3.1
netmask 255.255.255.0
broadcast 192.168.3.255

## vorhandene Regeln und Ketten zuerst löschen
up /sbin/iptables -F
 up /sbin/iptables -X
  up /sbin/iptables -t nat -F

## Maskieren der LAN-Schnittstelle, Port-Forwarding & Nat aktivieren
up /sbin/iptables -A FORWARD -o wlan0 -i eth0 -s 192.168.0.0/24 -m conntrack --ctstate NEW -j ACCEPT
 up /sbin/iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
  up /sbin/iptables -t nat -A POSTROUTING -o wlan0 -j MASQUERADE 
   up /sbin/sysctl -w net.ipv4.ip_forward=1 

DSL-Modem teilen¶

Ein Router ist nicht vorhanden, alle Rechner verfügen nur über eine einzige Ethernet-Schnittstelle und sind über einen Netzwerk-Switch miteinander verbunden. Der DSL-Modem ist ebenfalls am Switch angeschlossen.

Einer der Rechner (Host) übernimmt die Einwahl (über pppoeconf) und leitet die Verbindung über ein virtuelles Interface (eth0:1) in das lokale Subnetz weiter. Die Konfiguration erfolgt ausschließlich über die /etc/network/interfaces.

Zusätzlich empfiehlt es sich, hier über einen transparenten Proxyserver wie z.B. Squid auf dem Host-Rechner einen Daten-Cache einzurichten. Anleitung dazu weiter unten in diesem Artikel.

Der vom Provider zugewiesenen DNS-Server des Host-Rechners kann nach Verbindungsaufbau abgefragt und ebenfalls für die Konfiguration der Clients verwendet werden:

cat /etc/resolv.conf 

Konfiguration der /etc/network/interfaces:

auto lo
iface lo inet loopback

# an eth0 ist der Modem angeschlossen / LAN-Anschluß 1-0
auto eth0
iface eth0 inet manual

# pppoe Verbindung
auto dsl-provider
iface dsl-provider inet ppp
pre-up /sbin/ifconfig eth0 up   # line maintained by pppoeconf
provider dsl-provider

# lokales Netzwerk LAN-Anschluß 1-1
auto eth0:1
iface eth0:1 inet static
address 192.168.3.1
netmask 255.255.255.0
broadcast 192.168.3.255

## vorhandene Regeln und Ketten zuerst löschen
up /sbin/iptables -F
 up /sbin/iptables -X
  up /sbin/iptables -t nat -F

## Maskieren der LAN-Schnittstelle, Port-Forwarding & Nat aktivieren
up /sbin/iptables -A FORWARD -o ppp0 -s 192.168.0.0/16 -m conntrack --ctstate NEW -j ACCEPT
 up /sbin/iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
  up /sbin/iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE 
   up /sbin/sysctl -w net.ipv4.ip_forward=1 

# Vorbereitung für transparenten Proxyserver Squid
# up service squid stop
#  post-up /sbin/iptables -t nat -A PREROUTING -i wlan0 -p tcp --dport 80 -j REDIRECT --to-port 3128
#   post-up service squid start -n

Konfiguration der Clients¶

Die Konfiguration muss ebenfalls statisch erfolgen. Das kann manuell über die Datei /etc/network/interfaces, mit dem Network-Manager durchgeführt werden. Statische IP-Adressen im lokalen Netz dürfen nicht doppelt vergeben werden und müssen sich im selben Adressbereich befinden wie die des Host-Rechners!

auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
address 192.168.3.10
netmask 255.255.255.0
broadcast 192.168.3.255
gateway 192.168.3.1            # IP-Adresse LAN-Schnittstelle des Host

## optional benötigte DNS eintragen
## drei Einträge sind möglich
# post-up /bin/echo 'nameserver 192.168.178.1' | tee /etc/resolv.conf
#  post-up /bin/echo 'nameserver 213.73.91.35' | tee -a /etc/resolv.conf
#   post-up /bin/echo 'nameserver 87.118.100.175' | tee -a /etc/resolv.conf

## optional Domain und Sucheintrag 
# post-up /bin/echo 'domain fritz.box' | tee -a /etc/resolv.conf
#  post-up /bin/echo 'search fritz.box' | tee -a /etc/resolv.conf

LAN auf LAN¶

Eine permanente Konfiguration des Host-Rechners erfolgt manuell über die /etc/network/interfaces.

auto lo
iface lo inet loopback

auto br0
iface br0 inet dhcp
bridge_ports eth0 eth1
bridge_fd 5
bridge_stp no 

Die Clients können wie gewohnt über einen Netzwerkmanager oder auch manuell konfiguriert werden.

touch lan_bridge.sh
chmod +x lan_bridge.sh 

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53

#!/bin/bash
## Instant LAN-Bridge
## elektronenblitz63 ubuntuusers.de 2011
## published under GPL v3
##
## Skript
##

## Konfiguration
bridge=br0
forward_delay=5
stp=0

## Schnittstellen
iface0=eth0
iface1=eth1

## Verbindungen beenden
if [ "$1" = "off" ]; then
 /sbin/ifconfig $bridge down
  /sbin/ifconfig $iface1 down

## Brücke löschen
echo "lösche Brücke und Konfiguration, starte den Network-Manager ..."

/usr/sbin/brctl delif $bridge $iface0
 /usr/sbin/brctl delif $bridge $iface1
  /usr/sbin/brctl delbr $bridge
   service network-manager start

echo "LAN-Brücke beendet"
 fi

## Bridge starten
if [ "$1" = "on" ]; then
 echo "stoppe  Network-Manager, starte LAN-Brücke" $iface0 "<=>" $iface1
sleep 2
 service network-manager stop
  sleep 2

## Brücke erzeugen
 /usr/sbin/brctl addbr $bridge
  /usr/sbin/brctl addif $bridge $iface0
   /usr/sbin/brctl addif $bridge $iface1
    /usr/sbin/brctl stp $bridge $stp
     /usr/sbin/brctl setfd $bridge $forward_delay

## Verbindungen starten
/sbin/ifconfig $bridge up
 /sbin/ifconfig $iface1 up
  /sbin/dhclient $bridge
fi 
 exit 0

sudo lan_bridge.sh on         # startet die LAN-Brücke
sudo lan_bridge.sh off        # beendet die LAN-Brücke 

WLAN auf LAN¶

Eine transparente Brücke zwischen WLAN und LAN ist nicht so einfach herzustellen, außerdem muss die WLAN-Hard- und Firmware dies auch unterstützen (MAC-Forwarding). Diese Möglichkeit wurde im Kernel abgeschaltet. Eine Brücke zwischen LAN und WLAN ist nur möglich, wenn sich die WLAN-Karte im Master-Modus befindet, also über hostapd so wie in WLAN Router beschrieben.

Squid als Daten-Cache¶

Zusätzliche Sicherheit erreicht man durch einen Proxyserver wie Squid, mit dem ein Daten-Cache und Web-Filter eingerichtet werden kann. Squid arbeitet hier als "transparenter" Proxy und reiner Datencache. Über SquidGuard kann ein zusätzlicher Web-Filter eingerichtet werden, die gezeigte Konfigurationsdatei ist entsprechend vorbereitet. Auf den angeschlossenen Clients muss dazu nichts weiter konfiguriert werden, alle Anfragen werden direkt auf den Proxyserver umgeleitet.

Nach der Installation wird die squid-Konfigurationsdatei /etc/squid/squid.conf gesichert und durch folgende Basiskonfiguration ersetzt.

sudo cp /etc/squid/squid.conf /etc/squid/squid.conf.bak 

Die Konfigurationsdatei kann nun mit einem Editor ^[1] und Root-Rechten ^[3] bearbeitet werden. Folgender Inalt ist einzufügen:

# SQUID erforderliche Minimalkonfiguration
acl all src all
acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32

# Example rule allowing access from your local networks.
acl localnet src 192.168.0.0/24	# RFC1918 possible internal network

# lokale Rechner freigegeben
acl lokale_rechner src 192.168.3.0/255.255.255.0
http_access allow lokale_rechner

acl SSL_ports port 443		# https
acl SSL_ports port 563		# snews
acl SSL_ports port 873		# rsync
acl Safe_ports port 80 		# http
acl Safe_ports port 21 		# ftp
acl Safe_ports port 443		# https
acl Safe_ports port 70		# gopher
acl Safe_ports port 210		# wais
acl Safe_ports port 1025-65535	# unregistered ports
acl Safe_ports port 280		# http-mgmt
acl Safe_ports port 488		# gss-http
acl Safe_ports port 591		# filemaker
acl Safe_ports port 777		# multiling http
acl Safe_ports port 631		# cups
acl Safe_ports port 873		# rsync
acl Safe_ports port 901		# SWAT
acl purge method PURGE
acl CONNECT method CONNECT

http_access allow manager localhost
http_access deny manager

# Only allow purge requests from localhost
http_access allow purge localhost
http_access deny purge

# Deny requests to unknown ports
http_access deny !Safe_ports

# Deny CONNECT to other than SSL ports
http_access deny CONNECT !SSL_ports

http_access deny all

#Allow ICP queries from local networks only
icp_access allow localnet
icp_access deny all

# verwendeter Port 3128
http_port 192.168.3.1:3128 transparent

# deutsche Fehlermeldungen geblockte Seiten usw.
error_directory /usr/share/squid/errors/de

# Tag: Programmumleitung zu Squid-Guard / hier deaktiviert
# redirect_program /usr/bin/squidGuard -c /etc/squid/squidGuard.conf

access_log /var/log/squid/access.log squid

# Speicherverwaltung
cache_dir ufs /var/spool/squid 2000 16 256
cache_replacement_policy heap LFUDA
memory_replacement_policy heap LFUDA
maximum_object_size 5000 KB
maximum_object_size_in_memory 32 KB
cache_mem 32 MB

Diese Konfiguration kann ebenfalls direkt mit dem hier gezeigten Skript instant_AdHoc.sh mit der Startoption -P verwendet werden. Bei einer manuellen Konfiguration über die Datei /etc/network/interfaces muss eine entsprechende Portweiterleitung und der Startbefehl für Squid nachgetragen werden.

...
up service squid stop
 post-up /sbin/iptables -t nat -A PREROUTING -i wlan0 -p tcp --dport 80 -j REDIRECT --to-port 3128
  post-up service squid start -n

Die Konfiguration auf ist damit abgeschlossen.

Squid mit NCSA Authentifikation¶

Hier soll zunächst gezeigt werden wie damit eine zusätzliche Authentifikation über den Benutzernamen und ein Kennwort eingerichtet wird. Ein transparenter Proxy-Server kann in diesem Fall nicht verwendet werden.

Es werden zusätzlich folgende Programmpakete benötigt:

• apache2-utils (Hilfsprogramme um u.a. Kennwortdateien anlegen und verwalten zu können)

Befehl zum Installieren der Pakete:

sudo apt-get install apache2-utils  

Oder mit apturl installieren, Link: apt://apache2-utils

Nach der Installation wird die squid-Konfigurationsdatei /etc/squid/squid.conf gesichert und durch folgende Basiskonfiguration ersetzt.

sudo cp /etc/squid/squid.conf /etc/squid/squid.conf.bak 

Die Konfigurationsdatei kann nun mit einem Editor ^[1] und Root-Rechten ^[3] bearbeitet werden. Folgender Inhalt ist einzufügen:

# SQUID erforderliche Minimalkonfiguration
acl all src all
acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32

# Example rule allowing access from your local networks.
acl localnet src 10.0.0.0/8	# RFC1918 possible internal network
acl localnet src 172.16.0.0/12	# RFC1918 possible internal network
acl localnet src 192.168.0.0/24	# RFC1918 possible internal network

acl SSL_ports port 443		# https
acl SSL_ports port 563		# snews
acl SSL_ports port 873		# rsync
acl Safe_ports port 80		# http
acl Safe_ports port 21		# ftp
acl Safe_ports port 443		# https
acl Safe_ports port 70		# gopher
acl Safe_ports port 210		# wais
acl Safe_ports port 1025-65535	# unregistered ports
acl Safe_ports port 280		# http-mgmt
acl Safe_ports port 488		# gss-http
acl Safe_ports port 591		# filemaker
acl Safe_ports port 777		# multiling http
acl Safe_ports port 631		# cups
acl Safe_ports port 873		# rsync
acl Safe_ports port 901		# SWAT
acl purge method PURGE
acl CONNECT method CONNECT

# Authetifikation
auth_param basic program /usr/lib/squid/ncsa_auth  /etc/squid/passwd
auth_param basic realm Benutzerauthentifizierung fuer den Internetzugang
auth_param basic casesensitive off
auth_param basic children 5

acl kennwort proxy_auth REQUIRED
http_access allow kennwort

http_access allow manager localhost
http_access deny manager

# Only allow purge requests from localhost
http_access allow purge localhost
http_access deny purge

# Deny requests to unknown ports
http_access deny !Safe_ports

# Deny CONNECT to other than SSL ports
http_access deny CONNECT !SSL_ports

http_access deny all

#Allow ICP queries from local networks only
icp_access allow localnet
icp_access deny all

# verwendeter Port 3128
http_port 192.168.3.1:3128

# deutsche Fehlermeldungen geblockte Seiten usw.
error_directory /usr/share/squid/errors/de

# Tag: Programmumleitung zu Squid-Guard / hier deaktiviert
# redirect_program /usr/bin/squidGuard -c /etc/squid/squidGuard.conf

access_log /var/log/squid/access.log squid

# Speicherverwaltung
cache_dir ufs /var/spool/squid 2000 16 256
cache_replacement_policy heap LFUDA
memory_replacement_policy heap LFUDA
maximum_object_size 5000 KB
maximum_object_size_in_memory 32 KB
cache_mem 32 MB

Nun muss noch die erfoderliche Kennwortdatei /etc/squid/passwd angelegt werden. Dazu wird das Werkzeug htpasswd aus dem installierten Paket apache2-utils verwendet.

sudo htpasswd -bc /etc/squid/passwd <Benutzer> <Kennwort>          # Option -c erzeugt die Datei, bzw. legt diese neu an
sudo htpasswd -b /etc/squid/passwd <Benutzer1> <Kennwort>          # weitere Benutzer anlegen oder das Kennwort vorhandener Benutzer ändern 

Beispiel:

sudo htpasswd -bc /etc/squid/passwd stefan stefanskennwort         # Datei erzeugen, ersten Eintrag anlegen
sudo htpasswd -b /etc/squid/passwd peter peterskennwort            # weitere Einträge anlegen oder ändern
sudo htpasswd -b /etc/squid/passwd manuela manuelaskennwort        # weitere Einträge anlegen oder ändern 

Diese Konfiguration kann direkt mit dem hier gezeigten Skript instant_AdHoc.sh mit der Startoption -P verwendet werden. Bei einer manuellen Konfiguration über die Datei /etc/network/interfaces muss eine entsprechende Portweiterleitung und der Startbefehl für Squid nachgetragen werden.

...
up service squid stop
 post-up /sbin/iptables -t nat -A PREROUTING -i wlan0 -p tcp --dport 80 -j REDIRECT --to-port 3128
  post-up service squid start -n

Die Konfiguration auf dem Host-Rechner ist damit abgeschlossen.

Konfiguration der Clients¶

Damit auf den angeschlossenen Clients die Kennwortabfrage wirksam werden kann und der WEB-Zugriff ermöglicht wird, müssen die Proxy-Einstellungen Systemweit angewandt werden. Dazu wird über das Menü in "System → Einstellungen → Netzwerk-Proxy" die IP-Adresse des Host, in unserem Fall 192.168.3.1 und der verwendete Port 3128 eingetragen. Die Einstellungen müssen dann "Systemweit übernommen" werden.

Der Browser Firefox und auch der Mail-Client Thunderbird muss separat konfiguriert werden. Bei den erweiterten Einstellungen, Registerkarte "Netzwerk" ist "Proxyeinstellungen des Systems verwenden" auszuwählen. Bei Anwahl einer beliebigen Webseite wird nun zunächst nach dem Benutzernamen und dem Kennwort gefragt.