https://kbu.freifunk.net/wiki/api.php?action=feedcontributions&feedformat=atom&user=ChristofFreifunk Köln, Bonn und Umgebung - Benutzerbeiträge [de]2026-04-11T21:58:33ZBenutzerbeiträgeMediaWiki 1.38.2https://kbu.freifunk.net/wiki/index.php?title=Supernode&diff=2838Supernode2014-10-14T22:42:02Z<p>Christof: /* fastd.conf */</p>
<hr />
<div>{{TOCright}}<br />
<br />
== Voraussetzungen ==<br />
[[https://en.wikipedia.org/wiki/Supernode_%28networking%29 wikipedia-article]]<br />
<br />
Benötigte Software<br />
<br />
1) [[https://projects.universe-factory.net/projects/fastd fastd]] mesh-node-vpn<br />
<br />
2) [[https://github.com/ff-kbu/fastd-service vpn-key-upload]] todo: remove overhead (apache,ruby,sinatra ...), [https://en.wikipedia.org/wiki/KISS_principle kiss principle]]<br />
not documented in here (todo)<br />
<br />
3) [[http://www.open-mesh.org/projects/open-mesh/wiki batman-adv]]<br />
<br />
4) [[http://www.tinc-vpn.org/ tinc]] mesh-backbone-vpn<br />
<br />
5) OS: debian wheezy (or whatever you like)<br />
<br />
Du benötigst ausserdem: <br /><br />
* einen fastd-private-key <br />
* eine IPv4/IPv6 Adresse und ein Subnetz<br />
* eine IPv4 Adresse für das Backbone-Netz<br />
<br />
<br />
== Vorbereitungen ==<br />
In der /etc/sysctl.conf muss folgendes gesetzt sein:<br />
<pre><br />
cat >> /etc/sysctl.conf <<EOF<br />
net.ipv4.ip_forward=1<br />
net.ipv4.ip_no_pmtu_disc=1<br />
net.ipv4.route.flush=1<br />
net.ipv6.conf.all.forwarding=1<br />
net.ipv6.conf.all.autoconf=0<br />
net.ipv6.conf.all.accept_ra=0<br />
EOF<br />
</pre><br />
<br />
Danach die /etc/sysctl.conf neu einlesen:<br />
<pre><br />
sysctl -p<br />
</pre><br />
<br />
Für Batman-adv und fastd-Pakete in /etc/apt/apt/sources.list hinzufügen:<br />
<pre><br />
echo "deb http://repo.universe-factory.net/debian/ sid main" >>/etc/apt/sources.list<br />
</pre><br />
<br />
GPG-Key importieren:<br />
<pre><br />
gpg --keyserver pgpkeys.mit.edu --recv-key 16EF3F64CB201D9C<br />
gpg -a --export 16EF3F64CB201D9C | apt-key add -<br />
apt-get update<br />
</pre><br />
<br />
== Batman-adv ==<br />
=== Installation ===<br />
Dies sollte auf debian wheezy batman-adv 2013.4.0 installieren.<br />
<pre><br />
apt-get install batman-adv-dkms<br />
echo "batman-adv" >> /etc/modules<br />
</pre><br />
<br />
== fastd ==<br />
=== Installation ===<br />
<br />
<pre><br />
apt-get install fastd curl<br />
</pre><br />
<br />
=== Konfiguration ===<br />
==== fastd.conf ====<br />
"[YOUR SECRET KEY HERE]" Sollte dabei durch den fastd-secret-key ersetzt werden (erfragen)<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn;<br />
cat > /etc/fastd/mesh-vpn/fastd.conf << EOF<br />
# Log warnings and errors to stderr<br />
#log level warn;<br />
log level error;<br />
<br />
# Log everything to a log file<br />
#log to "/var/log/fastd-mesh-vpn.log" level debug;<br />
log to "/var/log/fastd-mesh-vpn.log" level warn;<br />
<br />
# Set the interface name<br />
interface "mesh-vpn";<br />
<br />
# Support xsalsa20 and aes128 encryption methods, prefer xsalsa20<br />
method "salsa2012+gmac";<br />
method "null";<br />
<br />
# Bind to a fixed port, IPv4 only<br />
bind 0.0.0.0:10000;<br />
<br />
# Secret key generated by 'fastd --generate-key'<br />
secret "[YOUR SECRET KEY HERE]";<br />
<br />
# Set the interface MTU for TAP mode with xsalsa20/aes128 over IPv4 with a base MTU of 1492 (PPPoE)<br />
# (see MTU selection documentation)<br />
mtu 1426;<br />
<br />
# Include peers from the directory 'peers'<br />
include peers from "peers";<br />
include peers from "backbone";<br />
<br />
on up "./fastd-up";<br />
# on down "./fastd-down";<br />
<br />
on establish "<br />
NODE_ID=\${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=\$NODE_ID -d vpn_sw=fastd -d vpn_status=up -d ip=\$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
on disestablish "<br />
NODE_ID=\${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=\$NODE_ID -d vpn_sw=fastd -d vpn_status=down -d ip=\$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
EOF<br />
</pre><br />
Hinweise: <br />
* Username / Password stehen im Keypass. <br />
* Viewpoint (hier: fastd2) anpassen<br />
* Grundsätzlich wird die Node-ID nicht escpaed. Shell-code injections ist aber nicht möglich, da mon_serv nur node_ids der Form $mac_$key zulässt. <br />
* Die Calls auf der Script sind synchron - Daher "&". fastd blockiert solange das Script nicht terminiert ist. (Zumindest Stand 04/2014)<br />
Ordnerstruktur anlegen:<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn/backbone<br />
mkdir /etc/fastd/mesh-vpn/peers<br />
chown www-data /etc/fastd/mesh-vpn/peers<br />
</pre><br />
<br />
==== Backbone ====<br />
Backbone Keys einrichten:<br />
<pre><br />
$:/etc/fastd/mesh-vpn# ls backbone/<br />
fastd1 fastd2 fastd3 fastd4 fastd5 fastd6 fastd7 fastd8<br />
$:/etc/fastd/mesh-vpn# cat backbone/*<br />
key "4f856d95bd596ac7724edca73a19e6e9d142b374df27166bb1a78e58785efc59";<br />
remote ipv4 "fastd1.kbu.freifunk.net" port 10000;<br />
<br />
key "e1916b66c4f8a795e217877cf72607d952e796463c7024dd9a6a47ae2929bc10";<br />
remote ipv4 "fastd2.kbu.freifunk.net" port 10000;<br />
<br />
key "d56181dfe9b5ac7cfe68a94c0ce406322a9924286a751673da0dcb28ad5218b0";<br />
remote ipv4 "fastd3.kbu.freifunk.net" port 10000;<br />
<br />
key "9b3f65f99963343e2785c8c4fad65e70b73ee7e1205d63bd84f3e2decb53e621";<br />
remote ipv4 "fastd4.kbu.freifunk.net" port 10000;<br />
<br />
key "6e4546121d16e7189715aef8ceb78ab58d59462720969318445f97b4301374d1";<br />
remote ipv4 "fastd5.kbu.freifunk.net" port 10000;<br />
<br />
key "2a2c69dbb3b9fd90d7eb8e2f70be70b472d811cd4f3743ad9f5002d14b5c94cd";<br />
remote ipv4 "fastd6.kbu.freifunk.net" port 10000;<br />
<br />
key "68de6815a89270c8eaf7832deedb8da098aad2ae5793cd2cd55dec3541ad28f2";<br />
remote ipv4 "fastd7.kbu.freifunk.net" port 10000;<br />
<br />
key "b41a9714b1178ce428b15af0b6055cc204b39af2088ef3b371d8c36219eedd1e";<br />
remote ipv4 "fastd8.kbu.freifunk.net" port 10000;<br />
</pre><br />
<br />
[[https://github.com/ff-kbu/fff/tree/v0.3-generic/files/lib/freifunk/mesh-vpn/backbone fastd-backbone]] for more<br />
<br />
==== fastd-up ====<br />
<pre><br />
cat > /etc/fastd/mesh-vpn/fastd-up << EOF<br />
#/bin/sh<br />
/sbin/ip link set dev mesh-vpn up<br />
/usr/sbin/batctl if add mesh-vpn<br />
/usr/sbin/batctl gw_mode server<br />
/sbin/ifconfig bat0 [DEINE IPv4 Addresse hier] netmask 255.255.192.0 up<br />
<br />
/sbin/ifconfig bat0:0 172.27.0.2 netmask 255.255.192.0 up<br />
<br />
/sbin/ip rule add from 172.27.0.0/18 table ffkbu<br />
/sbin/ip route add 172.27.0.0/18 dev bat0 table ffkbu<br />
/sbin/ip route flush cache<br />
EOF<br />
</pre><br />
<br />
fastd-up ausführbar machen:<br />
<pre><br />
chmod +x /etc/fastd/mesh-vpn/fastd-up<br />
</pre><br />
<br />
=== UDP-Queue Größe ===<br />
Durch Broadcasts können können auf Supernodes kurzzeitig hohe Lastspitzen enstehen. In der aktuellen batman-adv-Version wird jedes Broadcast-Paket zudem 3x auf jedem Link versendet.<br />
Die vergleichweise hohe Datenrate von 100MBit/s zwischen Supernodes bewirkt darüber hinaus, dass broadcast-Pakete mit 100MBit/s eingehen können, während sie gleichzeitig an alle Nodes gesendet werden müssen.<br />
<br />
Linux-Distributionen sehen per Default Queue-Größen im Bereich von 128 KB vor (http://www.cyberciti.biz/faq/linux-tcp-tuning/). Supernodes sind somit nicht in der Lage entsprechende Lastspitzen zu puffern und während Idle-Times zu versenden. Läuft die UDP-Queue über, so loggt fastd:<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
Jeder Log-Eintrag entspricht einem Paket, dass nicht enqueued werden konnte und damit verworfen wurde. Die Queue-Größen können via systctl angepasst werden (http://wwwx.cs.unc.edu/~sparkst/howto/network_tuning.php). Auf fastd2 wird zur Zeit verwendet:<br />
#/etc/sysctl.conf<br />
net.core.rmem_max=83886080<br />
net.core.wmem_max=83886080<br />
net.core.rmem_default=83886080<br />
net.core.wmem_default=83886080<br />
<br />
Das System verfügt dadurch über 80MB Speicher für Queues. Per default stehen ebenfalls 80MB zur Verfügung. Die konfigurierten 80MB reichen aus, um die 100MBit/s Verbindung über mehrere Sekunden auszulasten und Lastspitzen abzufangen.<br />
<br />
== Backbone Netz (tinc) ==<br />
=== Installation ===<br />
<pre><br />
apt-get install tinc bridge-utils<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
mkdir /etc/tinc/backbone<br />
echo "backbone" >> /etc/tinc/nets.boot # Dies sagt tinc, dass es das Netz "backbone" starten soll<br />
cd /etc/tinc/backbone<br />
# Public keys der anderen Teilnehmer:<br />
git clone https://github.com/ff-kbu/bbkeys<br />
ln -s bbkeys/ hosts<br />
</pre><br />
<br />
Jetzt fehlt noch des eigene Public/Private Keypaar. <br /><br />
Die Keys sollten in /etc/tinc/backbone gespeichert werden.<br /><br />
Den Public-Key in den Namen des Supernodes umbenennen und nach bbkeys/ kopieren.<br />
<pre><br />
tincd -K<br />
cp rsa_key.pub bbkeys/[supernodename]<br />
</pre><br />
Bevor jetzt der pub-key gepushed werden kann, muss tinc noch gesagt werden, welche Adressen über diesen Node zu routen sind. <br /><br />
Also im .pub key:<br />
<pre><br />
Subnet=172.27.255.X/32<br />
Subnet=172.27.Y.0/21<br />
Subnet=fdd3:5d16:b5dd:3::X/128<br />
Subnet=2001:67c:20a0:b10Z::/64<br />
<br />
-----BEGIN RSA PUBLIC KEY-----<br />
</pre><br />
Und schliesslich:<br />
<pre><br />
cd bbkeys; git push;<br />
</pre><br />
<br />
==== tinc.conf ====<br />
<pre><br />
cat > /etc/tinc/backbone/tinc.conf << EOF<br />
Name=[supernodename]<br />
Device=/dev/net/tun<br />
Mode=router<br />
Compression=9<br />
ConnectTo=paula<br />
ConnectTo=paul<br />
EOF<br />
</pre><br />
<br />
==== tinc-up ====<br />
'''Wichtig:''' in der datei muss wirklich $INTERFACE stehen. Tinc ersetzt dies automatisch durch das entsprechende interface bei ausführung.<br />
<pre><br />
cat > /etc/tinc/backbone/tinc-up << EOF<br />
#!/bin/sh<br />
ifconfig \$INTERFACE 172.27.255.[Backbone IPv4 Adresse hier] netmask 255.255.255.0 up<br />
<br />
ip route add 172.27.255.0/24 dev backbone table ffkbu<br />
ip route add default dev backbone table ffkbu<br />
ip -6 addr add fdd3:5d16:b5dd:3::X/64 dev \$INTERFACE<br />
ip -6 addr add 2001:67c:20a0:b10Y::1/128 dev \$INTERFACE<br />
ip -6 route add default via fdd3:5d16:b5dd:3::3<br />
EOF<br />
</pre><br />
<br />
Auch diese Datei muss ausführbar gemacht werden:<br />
<pre><br />
chmod +x /etc/tinc/backbone/tinc-up<br />
</pre><br />
<br />
Danach sollte der Ordner etwa so aussehen:<br />
<pre><br />
$:/etc/tinc/backbone# ls <br />
bbkeys<br />
hosts -> bbkeys<br />
rsa_key.priv<br />
rsa_key.pub<br />
tinc.conf<br />
tinc-up<br />
</pre><br />
<br />
== Routing ==<br />
<br />
we need to set up policy based routing.<br />
<br />
<pre><br />
echo "200 ffkbu" >> /etc/iproute2/rt_tables<br />
</pre><br />
fastd-up und tinc-up erledigen den rest: <br /><br />
<br />
ip rule ls<br />
<pre><br />
ip rule ls<br />
0: from all lookup local <br />
32765: from 172.27.0.0/18 lookup ffkbu <br />
32766: from all lookup main <br />
32767: from all lookup default<br />
</pre><br />
<br />
ip route list table ffkbu<br />
<pre><br />
ip route list table ffkbu<br />
default dev backbone scope link <br />
172.27.0.0/18 dev bat0 scope link <br />
172.27.255.0/24 dev backbone scope link <br />
</pre><br />
<br />
== IPv4 DHCP ==<br />
=== Installation ===<br />
<pre><br />
apt-get install isc-dhcp-server<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/dhcp/dhcpd.conf << EOF<br />
<br />
option domain-name "mesh.kbu.freifunk.net";<br />
option domain-name-servers 85.214.20.141, 213.73.91.35;<br />
<br />
default-lease-time 60;<br />
max-lease-time 720;<br />
<br />
log-facility local7;<br />
<br />
subnet 172.27.0.0 netmask 255.255.192.0 {<br />
range 172.27.X.10 172.27.Y.255;<br />
option routers 172.27.X.1;<br />
}<br />
EOF<br />
</pre><br />
<br />
== IPv6 ==<br />
=== Installation ===<br />
<pre><br />
apt-get install radvd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/radvd.conf << EOF<br />
interface bat0 {<br />
AdvSendAdvert on;<br />
AdvHomeAgentFlag off;<br />
MinRtrAdvInterval 10;<br />
MaxRtrAdvInterval 30;<br />
AdvOtherConfigFlag on;<br />
AdvSourceLLAddress off;<br />
AdvLinkMTU 1350; #1442 - fastd - batman-adv - See wiki for details<br />
prefix 2001:67c:20a0:b10Y::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
prefix fdd3:5d16:b5dd::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
};<br />
EOF<br />
<br />
/etc/init.d/radvd start<br />
</pre><br />
<br />
=fastd-service=<br />
Achtung, Pfade und Hostnamen anpassen. Das ist hier exemplarisch <br />
apt-get install apache2 ruby-sinatra libapache2-mod-passenger sudo psmisc git ruby-dev<br />
mkdir -p /srv/www/fastd1.ffm.freifunk.net<br />
cd /srv/www/fastd1.ffm.freifunk.net<br />
git clone https://github.com/freifunk-ffm/fastd-service.git<br />
<br />
<pre><br />
rm /etc/apache2/sites-enabled/000-default<br />
cat >> /etc/apache2/sites-enabled/000-fastd1.conf <<EOF<br />
<VirtualHost *:80><br />
ServerAdmin info@EMAIL<br />
DocumentRoot /srv/www/fastd1.ffm.freifunk.net/fastd-service/public<br />
<Directory /srv/www/fastd1.ffm.freifunk.net/fastd-service/public><br />
Allow from all<br />
Options -MultiViews<br />
</Directory><br />
ErrorLog /srv/www/fastd1.ffm.freifunk.net/logs/error.log<br />
CustomLog /srv/www/fastd1.ffm.freifunk.net/logs/access.log combined<br />
</VirtualHost><br />
EOF<br />
</pre><br />
<br />
Anpassung der conf.yml:<br />
register_url: http://USER:PASSWORT@register.bb.ffm.freifunk.net<br />
crash_dump_path: /var/log/ath9k-crash<br />
fastd_peer_dir: /etc/fastd/mesh-vpn/peers<br />
fastd_reload_cmd: sudo ./fastd_hup<br />
<br />
gem install netaddr json sinatra sinatra-contrib rack rails rake <br />
chown -R www-data /srv/www/fastd1.ffm.freifunk.net<br />
<br />
per visudo die folgende Zeile hinzufügen (Pfad anpassen)<br />
www-data ALL = NOPASSWD: /srv/www/fastd1.ffm.freifunk.net/fastd-service/fastd_hup<br />
<br />
Anmerkung:<br />
Es kann sein, dass man in fastd_service.rb folgende Zeile auskommentieren muss: <br />
register Sinatra::MultiRoute<br />
<br />
=[[Anycast_DNS]]=<br />
{{:Anycast_DNS}}</div>Christofhttps://kbu.freifunk.net/wiki/index.php?title=Supernode&diff=2837Supernode2014-10-14T22:40:02Z<p>Christof: /* fastd.conf */</p>
<hr />
<div>{{TOCright}}<br />
<br />
== Voraussetzungen ==<br />
[[https://en.wikipedia.org/wiki/Supernode_%28networking%29 wikipedia-article]]<br />
<br />
Benötigte Software<br />
<br />
1) [[https://projects.universe-factory.net/projects/fastd fastd]] mesh-node-vpn<br />
<br />
2) [[https://github.com/ff-kbu/fastd-service vpn-key-upload]] todo: remove overhead (apache,ruby,sinatra ...), [https://en.wikipedia.org/wiki/KISS_principle kiss principle]]<br />
not documented in here (todo)<br />
<br />
3) [[http://www.open-mesh.org/projects/open-mesh/wiki batman-adv]]<br />
<br />
4) [[http://www.tinc-vpn.org/ tinc]] mesh-backbone-vpn<br />
<br />
5) OS: debian wheezy (or whatever you like)<br />
<br />
Du benötigst ausserdem: <br /><br />
* einen fastd-private-key <br />
* eine IPv4/IPv6 Adresse und ein Subnetz<br />
* eine IPv4 Adresse für das Backbone-Netz<br />
<br />
<br />
== Vorbereitungen ==<br />
In der /etc/sysctl.conf muss folgendes gesetzt sein:<br />
<pre><br />
cat >> /etc/sysctl.conf <<EOF<br />
net.ipv4.ip_forward=1<br />
net.ipv4.ip_no_pmtu_disc=1<br />
net.ipv4.route.flush=1<br />
net.ipv6.conf.all.forwarding=1<br />
net.ipv6.conf.all.autoconf=0<br />
net.ipv6.conf.all.accept_ra=0<br />
EOF<br />
</pre><br />
<br />
Danach die /etc/sysctl.conf neu einlesen:<br />
<pre><br />
sysctl -p<br />
</pre><br />
<br />
Für Batman-adv und fastd-Pakete in /etc/apt/apt/sources.list hinzufügen:<br />
<pre><br />
echo "deb http://repo.universe-factory.net/debian/ sid main" >>/etc/apt/sources.list<br />
</pre><br />
<br />
GPG-Key importieren:<br />
<pre><br />
gpg --keyserver pgpkeys.mit.edu --recv-key 16EF3F64CB201D9C<br />
gpg -a --export 16EF3F64CB201D9C | apt-key add -<br />
apt-get update<br />
</pre><br />
<br />
== Batman-adv ==<br />
=== Installation ===<br />
Dies sollte auf debian wheezy batman-adv 2013.4.0 installieren.<br />
<pre><br />
apt-get install batman-adv-dkms<br />
echo "batman-adv" >> /etc/modules<br />
</pre><br />
<br />
== fastd ==<br />
=== Installation ===<br />
<br />
<pre><br />
apt-get install fastd curl<br />
</pre><br />
<br />
=== Konfiguration ===<br />
==== fastd.conf ====<br />
"[YOUR SECRET KEY HERE]" Sollte dabei durch den fastd-secret-key ersetzt werden (erfragen)<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn;<br />
cat > /etc/fastd/mesh-vpn/fastd.conf << EOF<br />
# Log warnings and errors to stderr<br />
#log level warn;<br />
log level error;<br />
<br />
# Log everything to a log file<br />
#log to "/var/log/fastd-mesh-vpn.log" level debug;<br />
log to "/var/log/fastd-mesh-vpn.log" level warn;<br />
<br />
# Set the interface name<br />
interface "mesh-vpn";<br />
<br />
# Support xsalsa20 and aes128 encryption methods, prefer xsalsa20<br />
method "salsa2012+gmac";<br />
method "null";<br />
<br />
# Bind to a fixed port, IPv4 only<br />
bind 0.0.0.0:10000;<br />
<br />
# Secret key generated by 'fastd --generate-key'<br />
secret "[YOUR SECRET KEY HERE]";<br />
<br />
# Set the interface MTU for TAP mode with xsalsa20/aes128 over IPv4 with a base MTU of 1492 (PPPoE)<br />
# (see MTU selection documentation)<br />
mtu 1426;<br />
<br />
# Include peers from the directory 'peers'<br />
include peers from "peers";<br />
include peers from "backbone";<br />
<br />
on up "./fastd-up";<br />
# on down "./fastd-down";<br />
<br />
on establish "<br />
NODE_ID=\${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=up -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
on disestablish "<br />
NODE_ID=\${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=down -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
EOF<br />
</pre><br />
Hinweise: <br />
* Username / Password stehen im Keypass. <br />
* Viewpoint (hier: fastd2) anpassen<br />
* Grundsätzlich wird die Node-ID nicht escpaed. Shell-code injections ist aber nicht möglich, da mon_serv nur node_ids der Form $mac_$key zulässt. <br />
* Die Calls auf der Script sind synchron - Daher "&". fastd blockiert solange das Script nicht terminiert ist. (Zumindest Stand 04/2014)<br />
Ordnerstruktur anlegen:<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn/backbone<br />
mkdir /etc/fastd/mesh-vpn/peers<br />
chown www-data /etc/fastd/mesh-vpn/peers<br />
</pre><br />
<br />
==== Backbone ====<br />
Backbone Keys einrichten:<br />
<pre><br />
$:/etc/fastd/mesh-vpn# ls backbone/<br />
fastd1 fastd2 fastd3 fastd4 fastd5 fastd6 fastd7 fastd8<br />
$:/etc/fastd/mesh-vpn# cat backbone/*<br />
key "4f856d95bd596ac7724edca73a19e6e9d142b374df27166bb1a78e58785efc59";<br />
remote ipv4 "fastd1.kbu.freifunk.net" port 10000;<br />
<br />
key "e1916b66c4f8a795e217877cf72607d952e796463c7024dd9a6a47ae2929bc10";<br />
remote ipv4 "fastd2.kbu.freifunk.net" port 10000;<br />
<br />
key "d56181dfe9b5ac7cfe68a94c0ce406322a9924286a751673da0dcb28ad5218b0";<br />
remote ipv4 "fastd3.kbu.freifunk.net" port 10000;<br />
<br />
key "9b3f65f99963343e2785c8c4fad65e70b73ee7e1205d63bd84f3e2decb53e621";<br />
remote ipv4 "fastd4.kbu.freifunk.net" port 10000;<br />
<br />
key "6e4546121d16e7189715aef8ceb78ab58d59462720969318445f97b4301374d1";<br />
remote ipv4 "fastd5.kbu.freifunk.net" port 10000;<br />
<br />
key "2a2c69dbb3b9fd90d7eb8e2f70be70b472d811cd4f3743ad9f5002d14b5c94cd";<br />
remote ipv4 "fastd6.kbu.freifunk.net" port 10000;<br />
<br />
key "68de6815a89270c8eaf7832deedb8da098aad2ae5793cd2cd55dec3541ad28f2";<br />
remote ipv4 "fastd7.kbu.freifunk.net" port 10000;<br />
<br />
key "b41a9714b1178ce428b15af0b6055cc204b39af2088ef3b371d8c36219eedd1e";<br />
remote ipv4 "fastd8.kbu.freifunk.net" port 10000;<br />
</pre><br />
<br />
[[https://github.com/ff-kbu/fff/tree/v0.3-generic/files/lib/freifunk/mesh-vpn/backbone fastd-backbone]] for more<br />
<br />
==== fastd-up ====<br />
<pre><br />
cat > /etc/fastd/mesh-vpn/fastd-up << EOF<br />
#/bin/sh<br />
/sbin/ip link set dev mesh-vpn up<br />
/usr/sbin/batctl if add mesh-vpn<br />
/usr/sbin/batctl gw_mode server<br />
/sbin/ifconfig bat0 [DEINE IPv4 Addresse hier] netmask 255.255.192.0 up<br />
<br />
/sbin/ifconfig bat0:0 172.27.0.2 netmask 255.255.192.0 up<br />
<br />
/sbin/ip rule add from 172.27.0.0/18 table ffkbu<br />
/sbin/ip route add 172.27.0.0/18 dev bat0 table ffkbu<br />
/sbin/ip route flush cache<br />
EOF<br />
</pre><br />
<br />
fastd-up ausführbar machen:<br />
<pre><br />
chmod +x /etc/fastd/mesh-vpn/fastd-up<br />
</pre><br />
<br />
=== UDP-Queue Größe ===<br />
Durch Broadcasts können können auf Supernodes kurzzeitig hohe Lastspitzen enstehen. In der aktuellen batman-adv-Version wird jedes Broadcast-Paket zudem 3x auf jedem Link versendet.<br />
Die vergleichweise hohe Datenrate von 100MBit/s zwischen Supernodes bewirkt darüber hinaus, dass broadcast-Pakete mit 100MBit/s eingehen können, während sie gleichzeitig an alle Nodes gesendet werden müssen.<br />
<br />
Linux-Distributionen sehen per Default Queue-Größen im Bereich von 128 KB vor (http://www.cyberciti.biz/faq/linux-tcp-tuning/). Supernodes sind somit nicht in der Lage entsprechende Lastspitzen zu puffern und während Idle-Times zu versenden. Läuft die UDP-Queue über, so loggt fastd:<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
Jeder Log-Eintrag entspricht einem Paket, dass nicht enqueued werden konnte und damit verworfen wurde. Die Queue-Größen können via systctl angepasst werden (http://wwwx.cs.unc.edu/~sparkst/howto/network_tuning.php). Auf fastd2 wird zur Zeit verwendet:<br />
#/etc/sysctl.conf<br />
net.core.rmem_max=83886080<br />
net.core.wmem_max=83886080<br />
net.core.rmem_default=83886080<br />
net.core.wmem_default=83886080<br />
<br />
Das System verfügt dadurch über 80MB Speicher für Queues. Per default stehen ebenfalls 80MB zur Verfügung. Die konfigurierten 80MB reichen aus, um die 100MBit/s Verbindung über mehrere Sekunden auszulasten und Lastspitzen abzufangen.<br />
<br />
== Backbone Netz (tinc) ==<br />
=== Installation ===<br />
<pre><br />
apt-get install tinc bridge-utils<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
mkdir /etc/tinc/backbone<br />
echo "backbone" >> /etc/tinc/nets.boot # Dies sagt tinc, dass es das Netz "backbone" starten soll<br />
cd /etc/tinc/backbone<br />
# Public keys der anderen Teilnehmer:<br />
git clone https://github.com/ff-kbu/bbkeys<br />
ln -s bbkeys/ hosts<br />
</pre><br />
<br />
Jetzt fehlt noch des eigene Public/Private Keypaar. <br /><br />
Die Keys sollten in /etc/tinc/backbone gespeichert werden.<br /><br />
Den Public-Key in den Namen des Supernodes umbenennen und nach bbkeys/ kopieren.<br />
<pre><br />
tincd -K<br />
cp rsa_key.pub bbkeys/[supernodename]<br />
</pre><br />
Bevor jetzt der pub-key gepushed werden kann, muss tinc noch gesagt werden, welche Adressen über diesen Node zu routen sind. <br /><br />
Also im .pub key:<br />
<pre><br />
Subnet=172.27.255.X/32<br />
Subnet=172.27.Y.0/21<br />
Subnet=fdd3:5d16:b5dd:3::X/128<br />
Subnet=2001:67c:20a0:b10Z::/64<br />
<br />
-----BEGIN RSA PUBLIC KEY-----<br />
</pre><br />
Und schliesslich:<br />
<pre><br />
cd bbkeys; git push;<br />
</pre><br />
<br />
==== tinc.conf ====<br />
<pre><br />
cat > /etc/tinc/backbone/tinc.conf << EOF<br />
Name=[supernodename]<br />
Device=/dev/net/tun<br />
Mode=router<br />
Compression=9<br />
ConnectTo=paula<br />
ConnectTo=paul<br />
EOF<br />
</pre><br />
<br />
==== tinc-up ====<br />
'''Wichtig:''' in der datei muss wirklich $INTERFACE stehen. Tinc ersetzt dies automatisch durch das entsprechende interface bei ausführung.<br />
<pre><br />
cat > /etc/tinc/backbone/tinc-up << EOF<br />
#!/bin/sh<br />
ifconfig \$INTERFACE 172.27.255.[Backbone IPv4 Adresse hier] netmask 255.255.255.0 up<br />
<br />
ip route add 172.27.255.0/24 dev backbone table ffkbu<br />
ip route add default dev backbone table ffkbu<br />
ip -6 addr add fdd3:5d16:b5dd:3::X/64 dev \$INTERFACE<br />
ip -6 addr add 2001:67c:20a0:b10Y::1/128 dev \$INTERFACE<br />
ip -6 route add default via fdd3:5d16:b5dd:3::3<br />
EOF<br />
</pre><br />
<br />
Auch diese Datei muss ausführbar gemacht werden:<br />
<pre><br />
chmod +x /etc/tinc/backbone/tinc-up<br />
</pre><br />
<br />
Danach sollte der Ordner etwa so aussehen:<br />
<pre><br />
$:/etc/tinc/backbone# ls <br />
bbkeys<br />
hosts -> bbkeys<br />
rsa_key.priv<br />
rsa_key.pub<br />
tinc.conf<br />
tinc-up<br />
</pre><br />
<br />
== Routing ==<br />
<br />
we need to set up policy based routing.<br />
<br />
<pre><br />
echo "200 ffkbu" >> /etc/iproute2/rt_tables<br />
</pre><br />
fastd-up und tinc-up erledigen den rest: <br /><br />
<br />
ip rule ls<br />
<pre><br />
ip rule ls<br />
0: from all lookup local <br />
32765: from 172.27.0.0/18 lookup ffkbu <br />
32766: from all lookup main <br />
32767: from all lookup default<br />
</pre><br />
<br />
ip route list table ffkbu<br />
<pre><br />
ip route list table ffkbu<br />
default dev backbone scope link <br />
172.27.0.0/18 dev bat0 scope link <br />
172.27.255.0/24 dev backbone scope link <br />
</pre><br />
<br />
== IPv4 DHCP ==<br />
=== Installation ===<br />
<pre><br />
apt-get install isc-dhcp-server<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/dhcp/dhcpd.conf << EOF<br />
<br />
option domain-name "mesh.kbu.freifunk.net";<br />
option domain-name-servers 85.214.20.141, 213.73.91.35;<br />
<br />
default-lease-time 60;<br />
max-lease-time 720;<br />
<br />
log-facility local7;<br />
<br />
subnet 172.27.0.0 netmask 255.255.192.0 {<br />
range 172.27.X.10 172.27.Y.255;<br />
option routers 172.27.X.1;<br />
}<br />
EOF<br />
</pre><br />
<br />
== IPv6 ==<br />
=== Installation ===<br />
<pre><br />
apt-get install radvd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/radvd.conf << EOF<br />
interface bat0 {<br />
AdvSendAdvert on;<br />
AdvHomeAgentFlag off;<br />
MinRtrAdvInterval 10;<br />
MaxRtrAdvInterval 30;<br />
AdvOtherConfigFlag on;<br />
AdvSourceLLAddress off;<br />
AdvLinkMTU 1350; #1442 - fastd - batman-adv - See wiki for details<br />
prefix 2001:67c:20a0:b10Y::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
prefix fdd3:5d16:b5dd::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
};<br />
EOF<br />
<br />
/etc/init.d/radvd start<br />
</pre><br />
<br />
=fastd-service=<br />
Achtung, Pfade und Hostnamen anpassen. Das ist hier exemplarisch <br />
apt-get install apache2 ruby-sinatra libapache2-mod-passenger sudo psmisc git ruby-dev<br />
mkdir -p /srv/www/fastd1.ffm.freifunk.net<br />
cd /srv/www/fastd1.ffm.freifunk.net<br />
git clone https://github.com/freifunk-ffm/fastd-service.git<br />
<br />
<pre><br />
rm /etc/apache2/sites-enabled/000-default<br />
cat >> /etc/apache2/sites-enabled/000-fastd1.conf <<EOF<br />
<VirtualHost *:80><br />
ServerAdmin info@EMAIL<br />
DocumentRoot /srv/www/fastd1.ffm.freifunk.net/fastd-service/public<br />
<Directory /srv/www/fastd1.ffm.freifunk.net/fastd-service/public><br />
Allow from all<br />
Options -MultiViews<br />
</Directory><br />
ErrorLog /srv/www/fastd1.ffm.freifunk.net/logs/error.log<br />
CustomLog /srv/www/fastd1.ffm.freifunk.net/logs/access.log combined<br />
</VirtualHost><br />
EOF<br />
</pre><br />
<br />
Anpassung der conf.yml:<br />
register_url: http://USER:PASSWORT@register.bb.ffm.freifunk.net<br />
crash_dump_path: /var/log/ath9k-crash<br />
fastd_peer_dir: /etc/fastd/mesh-vpn/peers<br />
fastd_reload_cmd: sudo ./fastd_hup<br />
<br />
gem install netaddr json sinatra sinatra-contrib rack rails rake <br />
chown -R www-data /srv/www/fastd1.ffm.freifunk.net<br />
<br />
per visudo die folgende Zeile hinzufügen (Pfad anpassen)<br />
www-data ALL = NOPASSWD: /srv/www/fastd1.ffm.freifunk.net/fastd-service/fastd_hup<br />
<br />
Anmerkung:<br />
Es kann sein, dass man in fastd_service.rb folgende Zeile auskommentieren muss: <br />
register Sinatra::MultiRoute<br />
<br />
=[[Anycast_DNS]]=<br />
{{:Anycast_DNS}}</div>Christofhttps://kbu.freifunk.net/wiki/index.php?title=Supernode&diff=2809Supernode2014-10-11T14:04:20Z<p>Christof: /* fastd */</p>
<hr />
<div>{{TOCright}}<br />
<br />
== Voraussetzungen ==<br />
[[https://en.wikipedia.org/wiki/Supernode_%28networking%29 wikipedia-article]]<br />
<br />
Benötigte Software<br />
<br />
1) [[https://projects.universe-factory.net/projects/fastd fastd]] mesh-node-vpn<br />
<br />
2) [[https://github.com/ff-kbu/fastd-service vpn-key-upload]] todo: remove overhead (apache,ruby,sinatra ...), [https://en.wikipedia.org/wiki/KISS_principle kiss principle]]<br />
not documented in here (todo)<br />
<br />
3) [[http://www.open-mesh.org/projects/open-mesh/wiki batman-adv]]<br />
<br />
4) [[http://www.tinc-vpn.org/ tinc]] mesh-backbone-vpn<br />
<br />
5) OS: debian wheezy (or whatever you like)<br />
<br />
Du benötigst ausserdem: <br /><br />
* einen fastd-private-key <br />
* eine IPv4/IPv6 Adresse und ein Subnetz<br />
* eine IPv4 Adresse für das Backbone-Netz<br />
<br />
<br />
== Vorbereitungen ==<br />
In der /etc/sysctl.conf muss folgendes gesetzt sein:<br />
<pre><br />
cat >> /etc/sysctl.conf <<EOF<br />
net.ipv4.ip_forward=1<br />
net.ipv4.ip_no_pmtu_disc=1<br />
net.ipv4.route.flush=1<br />
net.ipv6.conf.all.forwarding=1<br />
net.ipv6.conf.all.autoconf=0<br />
net.ipv6.conf.all.accept_ra=0<br />
EOF<br />
</pre><br />
<br />
Danach die /etc/sysctl.conf neu einlesen:<br />
<pre><br />
sysctl -p<br />
</pre><br />
<br />
Für Batman-adv und fastd-Pakete in /etc/apt/apt/sources.list hinzufügen:<br />
<pre><br />
echo "deb http://repo.universe-factory.net/debian/ sid main" >>/etc/apt/sources.list<br />
</pre><br />
<br />
GPG-Key importieren:<br />
<pre><br />
gpg --keyserver pgpkeys.mit.edu --recv-key 16EF3F64CB201D9C<br />
gpg -a --export 16EF3F64CB201D9C | apt-key add -<br />
apt-get update<br />
</pre><br />
<br />
== Batman-adv ==<br />
=== Installation ===<br />
Dies sollte auf debian wheezy batman-adv 2013.4.0 installieren.<br />
<pre><br />
apt-get install batman-adv-dkms<br />
echo "batman-adv" >> /etc/modules<br />
</pre><br />
<br />
== fastd ==<br />
=== Installation ===<br />
<br />
<pre><br />
apt-get install fastd curl<br />
</pre><br />
<br />
=== Konfiguration ===<br />
==== fastd.conf ====<br />
"[YOUR SECRET KEY HERE]" Sollte dabei durch den fastd-secret-key ersetzt werden (erfragen)<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn;<br />
cat > /etc/fastd/mesh-vpn/fastd.conf << EOF<br />
# Log warnings and errors to stderr<br />
#log level warn;<br />
log level error;<br />
<br />
# Log everything to a log file<br />
#log to "/var/log/fastd-mesh-vpn.log" level debug;<br />
log to "/var/log/fastd-mesh-vpn.log" level warn;<br />
<br />
# Set the interface name<br />
interface "mesh-vpn";<br />
<br />
# Support xsalsa20 and aes128 encryption methods, prefer xsalsa20<br />
method "salsa2012+gmac";<br />
method "null";<br />
<br />
# Bind to a fixed port, IPv4 only<br />
bind 0.0.0.0:10000;<br />
<br />
# Secret key generated by 'fastd --generate-key'<br />
secret "[YOUR SECRET KEY HERE]";<br />
<br />
# Set the interface MTU for TAP mode with xsalsa20/aes128 over IPv4 with a base MTU of 1492 (PPPoE)<br />
# (see MTU selection documentation)<br />
mtu 1426;<br />
<br />
# Include peers from the directory 'peers'<br />
include peers from "peers";<br />
include peers from "backbone";<br />
<br />
on up "./fastd-up";<br />
# on down "./fastd-down";<br />
<br />
on establish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=up -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
on disestablish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=down -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
EOF<br />
</pre><br />
Hinweise: <br />
* Username / Password stehen im Keypass. <br />
* Viewpoint (hier: fastd2) anpassen<br />
* Grundsätzlich wird die Node-ID nicht escpaed. Shell-code injections ist aber nicht möglich, da mon_serv nur node_ids der Form $mac_$key zulässt. <br />
* Die Calls auf der Script sind synchron - Daher "&". fastd blockiert solange das Script nicht terminiert ist. (Zumindest Stand 04/2014)<br />
Ordnerstruktur anlegen:<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn/backbone<br />
mkdir /etc/fastd/mesh-vpn/peers<br />
chown www-data /etc/fastd/mesh-vpn/peers<br />
</pre><br />
<br />
==== Backbone ====<br />
Backbone Keys einrichten:<br />
<pre><br />
$:/etc/fastd/mesh-vpn# ls backbone/<br />
fastd1 fastd2 fastd3 fastd4 fastd5 fastd6 fastd7 fastd8<br />
$:/etc/fastd/mesh-vpn# cat backbone/*<br />
key "4f856d95bd596ac7724edca73a19e6e9d142b374df27166bb1a78e58785efc59";<br />
remote ipv4 "fastd1.kbu.freifunk.net" port 10000;<br />
<br />
key "e1916b66c4f8a795e217877cf72607d952e796463c7024dd9a6a47ae2929bc10";<br />
remote ipv4 "fastd2.kbu.freifunk.net" port 10000;<br />
<br />
key "d56181dfe9b5ac7cfe68a94c0ce406322a9924286a751673da0dcb28ad5218b0";<br />
remote ipv4 "fastd3.kbu.freifunk.net" port 10000;<br />
<br />
key "9b3f65f99963343e2785c8c4fad65e70b73ee7e1205d63bd84f3e2decb53e621";<br />
remote ipv4 "fastd4.kbu.freifunk.net" port 10000;<br />
<br />
key "6e4546121d16e7189715aef8ceb78ab58d59462720969318445f97b4301374d1";<br />
remote ipv4 "fastd5.kbu.freifunk.net" port 10000;<br />
<br />
key "2a2c69dbb3b9fd90d7eb8e2f70be70b472d811cd4f3743ad9f5002d14b5c94cd";<br />
remote ipv4 "fastd6.kbu.freifunk.net" port 10000;<br />
<br />
key "68de6815a89270c8eaf7832deedb8da098aad2ae5793cd2cd55dec3541ad28f2";<br />
remote ipv4 "fastd7.kbu.freifunk.net" port 10000;<br />
<br />
key "b41a9714b1178ce428b15af0b6055cc204b39af2088ef3b371d8c36219eedd1e";<br />
remote ipv4 "fastd8.kbu.freifunk.net" port 10000;<br />
</pre><br />
<br />
[[https://github.com/ff-kbu/fff/tree/v0.3-generic/files/lib/freifunk/mesh-vpn/backbone fastd-backbone]] for more<br />
<br />
==== fastd-up ====<br />
<pre><br />
cat > /etc/fastd/mesh-vpn/fastd-up << EOF<br />
#/bin/sh<br />
/sbin/ip link set dev mesh-vpn up<br />
/usr/sbin/batctl if add mesh-vpn<br />
/usr/sbin/batctl gw_mode server<br />
/sbin/ifconfig bat0 [DEINE IPv4 Addresse hier] netmask 255.255.192.0 up<br />
<br />
/sbin/ifconfig bat0:0 172.27.0.2 netmask 255.255.192.0 up<br />
<br />
/sbin/ip rule add from 172.27.0.0/18 table ffkbu<br />
/sbin/ip route add 172.27.0.0/18 dev bat0 table ffkbu<br />
/sbin/ip route flush cache<br />
EOF<br />
</pre><br />
<br />
fastd-up ausführbar machen:<br />
<pre><br />
chmod +x /etc/fastd/mesh-vpn/fastd-up<br />
</pre><br />
<br />
=== UDP-Queue Größe ===<br />
Durch Broadcasts können können auf Supernodes kurzzeitig hohe Lastspitzen enstehen. In der aktuellen batman-adv-Version wird jedes Broadcast-Paket zudem 3x auf jedem Link versendet.<br />
Die vergleichweise hohe Datenrate von 100MBit/s zwischen Supernodes bewirkt darüber hinaus, dass broadcast-Pakete mit 100MBit/s eingehen können, während sie gleichzeitig an alle Nodes gesendet werden müssen.<br />
<br />
Linux-Distributionen sehen per Default Queue-Größen im Bereich von 128 KB vor (http://www.cyberciti.biz/faq/linux-tcp-tuning/). Supernodes sind somit nicht in der Lage entsprechende Lastspitzen zu puffern und während Idle-Times zu versenden. Läuft die UDP-Queue über, so loggt fastd:<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
Jeder Log-Eintrag entspricht einem Paket, dass nicht enqueued werden konnte und damit verworfen wurde. Die Queue-Größen können via systctl angepasst werden (http://wwwx.cs.unc.edu/~sparkst/howto/network_tuning.php). Auf fastd2 wird zur Zeit verwendet:<br />
#/etc/sysctl.conf<br />
net.core.rmem_max=83886080<br />
net.core.wmem_max=83886080<br />
net.core.rmem_default=83886080<br />
net.core.wmem_default=83886080<br />
<br />
Das System verfügt dadurch über 80MB Speicher für Queues. Per default stehen ebenfalls 80MB zur Verfügung. Die konfigurierten 80MB reichen aus, um die 100MBit/s Verbindung über mehrere Sekunden auszulasten und Lastspitzen abzufangen.<br />
<br />
== Backbone Netz (tinc) ==<br />
=== Installation ===<br />
<pre><br />
apt-get install tinc bridge-utils<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
mkdir /etc/tinc/backbone<br />
echo "backbone" >> /etc/tinc/nets.boot # Dies sagt tinc, dass es das Netz "backbone" starten soll<br />
cd /etc/tinc/backbone<br />
# Public keys der anderen Teilnehmer:<br />
git clone https://github.com/ff-kbu/bbkeys<br />
ln -s bbkeys/ hosts<br />
</pre><br />
<br />
Jetzt fehlt noch des eigene Public/Private Keypaar. <br /><br />
Die Keys sollten in /etc/tinc/backbone gespeichert werden.<br /><br />
Den Public-Key in den Namen des Supernodes umbenennen und nach bbkeys/ kopieren.<br />
<pre><br />
tincd -K<br />
cp rsa_key.pub bbkeys/[supernodename]<br />
</pre><br />
Bevor jetzt der pub-key gepushed werden kann, muss tinc noch gesagt werden, welche Adressen über diesen Node zu routen sind. <br /><br />
Also im .pub key:<br />
<pre><br />
Subnet=172.27.255.X/32<br />
Subnet=172.27.Y.0/21<br />
Subnet=fdd3:5d16:b5dd:3::X/128<br />
Subnet=2001:67c:20a0:b10Z::/64<br />
<br />
-----BEGIN RSA PUBLIC KEY-----<br />
</pre><br />
Und schliesslich:<br />
<pre><br />
cd bbkeys; git push;<br />
</pre><br />
<br />
==== tinc.conf ====<br />
<pre><br />
cat > /etc/tinc/backbone/tinc.conf << EOF<br />
Name=[supernodename]<br />
Device=/dev/net/tun<br />
Mode=router<br />
Compression=9<br />
ConnectTo=paula<br />
ConnectTo=paul<br />
EOF<br />
</pre><br />
<br />
==== tinc-up ====<br />
'''Wichtig:''' in der datei muss wirklich $INTERFACE stehen. Tinc ersetzt dies automatisch durch das entsprechende interface bei ausführung.<br />
<pre><br />
cat > /etc/tinc/backbone/tinc-up << EOF<br />
#!/bin/sh<br />
ifconfig \$INTERFACE 172.27.255.[Backbone IPv4 Adresse hier] netmask 255.255.255.0 up<br />
<br />
ip route add 172.27.255.0/24 dev backbone table ffkbu<br />
ip route add default dev backbone table ffkbu<br />
ip -6 addr add fdd3:5d16:b5dd:3::X/64 dev \$INTERFACE<br />
ip -6 addr add 2001:67c:20a0:b10Y::1/128 dev \$INTERFACE<br />
ip -6 route add default via fdd3:5d16:b5dd:3::3<br />
EOF<br />
</pre><br />
<br />
Auch diese Datei muss ausführbar gemacht werden:<br />
<pre><br />
chmod +x /etc/tinc/backbone/tinc-up<br />
</pre><br />
<br />
Danach sollte der Ordner etwa so aussehen:<br />
<pre><br />
$:/etc/tinc/backbone# ls <br />
bbkeys<br />
hosts -> bbkeys<br />
rsa_key.priv<br />
rsa_key.pub<br />
tinc.conf<br />
tinc-up<br />
</pre><br />
<br />
== Routing ==<br />
<br />
we need to set up policy based routing.<br />
<br />
<pre><br />
echo "200 ffkbu" >> /etc/iproute2/rt_tables<br />
</pre><br />
fastd-up und tinc-up erledigen den rest: <br /><br />
<br />
ip rule ls<br />
<pre><br />
ip rule ls<br />
0: from all lookup local <br />
32765: from 172.27.0.0/18 lookup ffkbu <br />
32766: from all lookup main <br />
32767: from all lookup default<br />
</pre><br />
<br />
ip route list table ffkbu<br />
<pre><br />
ip route list table ffkbu<br />
default dev backbone scope link <br />
172.27.0.0/18 dev bat0 scope link <br />
172.27.255.0/24 dev backbone scope link <br />
</pre><br />
<br />
== IPv4 DHCP ==<br />
=== Installation ===<br />
<pre><br />
apt-get install isc-dhcp-server<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/dhcp/dhcpd.conf << EOF<br />
<br />
option domain-name "mesh.kbu.freifunk.net";<br />
option domain-name-servers 85.214.20.141, 213.73.91.35;<br />
<br />
default-lease-time 60;<br />
max-lease-time 720;<br />
<br />
log-facility local7;<br />
<br />
subnet 172.27.0.0 netmask 255.255.192.0 {<br />
range 172.27.X.10 172.27.Y.255;<br />
option routers 172.27.X.1;<br />
}<br />
EOF<br />
</pre><br />
<br />
== IPv6 ==<br />
=== Installation ===<br />
<pre><br />
apt-get install radvd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/radvd.conf << EOF<br />
interface bat0 {<br />
AdvSendAdvert on;<br />
AdvHomeAgentFlag off;<br />
MinRtrAdvInterval 10;<br />
MaxRtrAdvInterval 30;<br />
AdvOtherConfigFlag on;<br />
AdvSourceLLAddress off;<br />
AdvLinkMTU 1350; #1442 - fastd - batman-adv - See wiki for details<br />
prefix 2001:67c:20a0:b10Y::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
prefix fdd3:5d16:b5dd::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
};<br />
EOF<br />
<br />
/etc/init.d/radvd start<br />
</pre><br />
<br />
=fastd-service=<br />
Achtung, Pfade und Hostnamen anpassen. Das ist hier exemplarisch <br />
apt-get install apache2 ruby-sinatra libapache2-mod-passenger sudo psmisc git ruby-dev<br />
mkdir -p /srv/www/fastd1.ffm.freifunk.net<br />
cd /srv/www/fastd1.ffm.freifunk.net<br />
git clone https://github.com/freifunk-ffm/fastd-service.git<br />
<br />
<pre><br />
rm /etc/apache2/sites-enabled/000-default<br />
cat >> /etc/apache2/sites-enabled/000-fastd1.conf <<EOF<br />
<VirtualHost *:80><br />
ServerAdmin info@EMAIL<br />
DocumentRoot /srv/www/fastd1.ffm.freifunk.net/fastd-service/public<br />
<Directory /srv/www/fastd1.ffm.freifunk.net/fastd-service/public><br />
Allow from all<br />
Options -MultiViews<br />
</Directory><br />
ErrorLog /srv/www/fastd1.ffm.freifunk.net/logs/error.log<br />
CustomLog /srv/www/fastd1.ffm.freifunk.net/logs/access.log combined<br />
</VirtualHost><br />
EOF<br />
</pre><br />
<br />
Anpassung der conf.yml:<br />
register_url: http://USER:PASSWORT@register.bb.ffm.freifunk.net<br />
crash_dump_path: /var/log/ath9k-crash<br />
fastd_peer_dir: /etc/fastd/mesh-vpn/peers<br />
fastd_reload_cmd: sudo ./fastd_hup<br />
<br />
gem install netaddr json sinatra sinatra-contrib rack rails rake <br />
chown -R www-data /srv/www/fastd1.ffm.freifunk.net<br />
<br />
per visudo die folgende Zeile hinzufügen (Pfad anpassen)<br />
www-data ALL = NOPASSWD: /srv/www/fastd1.ffm.freifunk.net/fastd-service/fastd_hup<br />
<br />
Anmerkung:<br />
Es kann sein, dass man in fastd_service.rb folgende Zeile auskommentieren muss: <br />
register Sinatra::MultiRoute<br />
<br />
=[[Anycast_DNS]]=<br />
{{:Anycast_DNS}}</div>Christofhttps://kbu.freifunk.net/wiki/index.php?title=Supernode&diff=2767Supernode2014-09-29T21:35:35Z<p>Christof: /* fastd-service */</p>
<hr />
<div>{{TOCright}}<br />
<br />
== Voraussetzungen ==<br />
[[https://en.wikipedia.org/wiki/Supernode_%28networking%29 wikipedia-article]]<br />
<br />
Benötigte Software<br />
<br />
1) [[https://projects.universe-factory.net/projects/fastd fastd]] mesh-node-vpn<br />
<br />
2) [[https://github.com/ff-kbu/fastd-service vpn-key-upload]] todo: remove overhead (apache,ruby,sinatra ...), [https://en.wikipedia.org/wiki/KISS_principle kiss principle]]<br />
not documented in here (todo)<br />
<br />
3) [[http://www.open-mesh.org/projects/open-mesh/wiki batman-adv]]<br />
<br />
4) [[http://www.tinc-vpn.org/ tinc]] mesh-backbone-vpn<br />
<br />
5) OS: debian wheezy (or whatever you like)<br />
<br />
Du benötigst ausserdem: <br /><br />
* einen fastd-private-key <br />
* eine IPv4/IPv6 Adresse und ein Subnetz<br />
* eine IPv4 Adresse für das Backbone-Netz<br />
<br />
<br />
== Vorbereitungen ==<br />
In der /etc/sysctl.conf muss folgendes gesetzt sein:<br />
<pre><br />
cat >> /etc/sysctl.conf <<EOF<br />
net.ipv4.ip_forward=1<br />
net.ipv4.ip_no_pmtu_disc=1<br />
net.ipv4.route.flush=1<br />
net.ipv6.conf.all.forwarding=1<br />
net.ipv6.conf.all.autoconf=0<br />
net.ipv6.conf.all.accept_ra=0<br />
EOF<br />
</pre><br />
<br />
Danach die /etc/sysctl.conf neu einlesen:<br />
<pre><br />
sysctl -p<br />
</pre><br />
<br />
Für Batman-adv und fastd-Pakete in /etc/apt/apt/sources.list hinzufügen:<br />
<pre><br />
echo "deb http://repo.universe-factory.net/debian/ sid main" >>/etc/apt/sources.list<br />
</pre><br />
<br />
GPG-Key importieren:<br />
<pre><br />
gpg --keyserver pgpkeys.mit.edu --recv-key 16EF3F64CB201D9C<br />
gpg -a --export 16EF3F64CB201D9C | apt-key add -<br />
apt-get update<br />
</pre><br />
<br />
== Batman-adv ==<br />
=== Installation ===<br />
Dies sollte auf debian wheezy batman-adv 2013.4.0 installieren.<br />
<pre><br />
apt-get install batman-adv-dkms<br />
echo "batman-adv" >> /etc/modules<br />
</pre><br />
<br />
== fastd ==<br />
=== Installation ===<br />
<br />
<pre><br />
apt-get install fastd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
==== fastd.conf ====<br />
"[YOUR SECRET KEY HERE]" Sollte dabei durch den fastd-secret-key ersetzt werden (erfragen)<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn;<br />
cat > /etc/fastd/mesh-vpn/fastd.conf << EOF<br />
# Log warnings and errors to stderr<br />
#log level warn;<br />
log level error;<br />
<br />
# Log everything to a log file<br />
#log to "/var/log/fastd-mesh-vpn.log" level debug;<br />
log to "/var/log/fastd-mesh-vpn.log" level warn;<br />
<br />
# Set the interface name<br />
interface "mesh-vpn";<br />
<br />
# Support xsalsa20 and aes128 encryption methods, prefer xsalsa20<br />
method "salsa2012+gmac";<br />
method "null";<br />
<br />
# Bind to a fixed port, IPv4 only<br />
bind 0.0.0.0:10000;<br />
<br />
# Secret key generated by 'fastd --generate-key'<br />
secret "[YOUR SECRET KEY HERE]";<br />
<br />
# Set the interface MTU for TAP mode with xsalsa20/aes128 over IPv4 with a base MTU of 1492 (PPPoE)<br />
# (see MTU selection documentation)<br />
mtu 1426;<br />
<br />
# Include peers from the directory 'peers'<br />
include peers from "peers";<br />
include peers from "backbone";<br />
<br />
on up "./fastd-up";<br />
# on down "./fastd-down";<br />
<br />
on establish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=up -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
on disestablish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=down -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
EOF<br />
</pre><br />
Hinweise: <br />
* Username / Password stehen im Keypass. <br />
* Viewpoint (hier: fastd2) anpassen<br />
* Grundsätzlich wird die Node-ID nicht escpaed. Shell-code injections ist aber nicht möglich, da mon_serv nur node_ids der Form $mac_$key zulässt. <br />
* Die Calls auf der Script sind synchron - Daher "&". fastd blockiert solange das Script nicht terminiert ist. (Zumindest Stand 04/2014)<br />
Ordnerstruktur anlegen:<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn/backbone<br />
mkdir /etc/fastd/mesh-vpn/peers<br />
chown www-data /etc/fastd/mesh-vpn/peers<br />
</pre><br />
<br />
==== Backbone ====<br />
Backbone Keys einrichten:<br />
<pre><br />
$:/etc/fastd/mesh-vpn# ls backbone/<br />
fastd1 fastd2 fastd3 fastd4 fastd5 fastd6 fastd7 fastd8<br />
$:/etc/fastd/mesh-vpn# cat backbone/*<br />
key "4f856d95bd596ac7724edca73a19e6e9d142b374df27166bb1a78e58785efc59";<br />
remote ipv4 "fastd1.kbu.freifunk.net" port 10000;<br />
<br />
key "e1916b66c4f8a795e217877cf72607d952e796463c7024dd9a6a47ae2929bc10";<br />
remote ipv4 "fastd2.kbu.freifunk.net" port 10000;<br />
<br />
key "d56181dfe9b5ac7cfe68a94c0ce406322a9924286a751673da0dcb28ad5218b0";<br />
remote ipv4 "fastd3.kbu.freifunk.net" port 10000;<br />
<br />
key "9b3f65f99963343e2785c8c4fad65e70b73ee7e1205d63bd84f3e2decb53e621";<br />
remote ipv4 "fastd4.kbu.freifunk.net" port 10000;<br />
<br />
key "6e4546121d16e7189715aef8ceb78ab58d59462720969318445f97b4301374d1";<br />
remote ipv4 "fastd5.kbu.freifunk.net" port 10000;<br />
<br />
key "2a2c69dbb3b9fd90d7eb8e2f70be70b472d811cd4f3743ad9f5002d14b5c94cd";<br />
remote ipv4 "fastd6.kbu.freifunk.net" port 10000;<br />
<br />
key "68de6815a89270c8eaf7832deedb8da098aad2ae5793cd2cd55dec3541ad28f2";<br />
remote ipv4 "fastd7.kbu.freifunk.net" port 10000;<br />
<br />
key "b41a9714b1178ce428b15af0b6055cc204b39af2088ef3b371d8c36219eedd1e";<br />
remote ipv4 "fastd8.kbu.freifunk.net" port 10000;<br />
</pre><br />
<br />
[[https://github.com/ff-kbu/fff/tree/v0.3-generic/files/lib/freifunk/mesh-vpn/backbone fastd-backbone]] for more<br />
<br />
==== fastd-up ====<br />
<pre><br />
cat > /etc/fastd/mesh-vpn/fastd-up << EOF<br />
#/bin/sh<br />
/sbin/ip link set dev mesh-vpn up<br />
/usr/sbin/batctl if add mesh-vpn<br />
/usr/sbin/batctl gw_mode server<br />
/sbin/ifconfig bat0 [DEINE IPv4 Addresse hier] netmask 255.255.192.0 up<br />
<br />
/sbin/ifconfig bat0:0 172.27.0.2 netmask 255.255.192.0 up<br />
<br />
/sbin/ip rule add from 172.27.0.0/18 table ffkbu<br />
/sbin/ip route add 172.27.0.0/18 dev bat0 table ffkbu<br />
/sbin/ip route flush cache<br />
EOF<br />
</pre><br />
<br />
fastd-up ausführbar machen:<br />
<pre><br />
chmod +x /etc/fastd/mesh-vpn/fastd-up<br />
</pre><br />
<br />
=== UDP-Queue Größe ===<br />
Durch Broadcasts können können auf Supernodes kurzzeitig hohe Lastspitzen enstehen. In der aktuellen batman-adv-Version wird jedes Broadcast-Paket zudem 3x auf jedem Link versendet.<br />
Die vergleichweise hohe Datenrate von 100MBit/s zwischen Supernodes bewirkt darüber hinaus, dass broadcast-Pakete mit 100MBit/s eingehen können, während sie gleichzeitig an alle Nodes gesendet werden müssen.<br />
<br />
Linux-Distributionen sehen per Default Queue-Größen im Bereich von 128 KB vor (http://www.cyberciti.biz/faq/linux-tcp-tuning/). Supernodes sind somit nicht in der Lage entsprechende Lastspitzen zu puffern und während Idle-Times zu versenden. Läuft die UDP-Queue über, so loggt fastd:<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
Jeder Log-Eintrag entspricht einem Paket, dass nicht enqueued werden konnte und damit verworfen wurde. Die Queue-Größen können via systctl angepasst werden (http://wwwx.cs.unc.edu/~sparkst/howto/network_tuning.php). Auf fastd2 wird zur Zeit verwendet:<br />
#/etc/sysctl.conf<br />
net.core.rmem_max=83886080<br />
net.core.wmem_max=83886080<br />
net.core.rmem_default=83886080<br />
net.core.wmem_default=83886080<br />
<br />
Das System verfügt dadurch über 80MB Speicher für Queues. Per default stehen ebenfalls 80MB zur Verfügung. Die konfigurierten 80MB reichen aus, um die 100MBit/s Verbindung über mehrere Sekunden auszulasten und Lastspitzen abzufangen.<br />
<br />
== Backbone Netz (tinc) ==<br />
=== Installation ===<br />
<pre><br />
apt-get install tinc bridge-utils<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
mkdir /etc/tinc/backbone<br />
echo "backbone" >> /etc/tinc/nets.boot # Dies sagt tinc, dass es das Netz "backbone" starten soll<br />
cd /etc/tinc/backbone<br />
# Public keys der anderen Teilnehmer:<br />
git clone https://github.com/ff-kbu/bbkeys<br />
ln -s bbkeys/ hosts<br />
</pre><br />
<br />
Jetzt fehlt noch des eigene Public/Private Keypaar. <br /><br />
Die Keys sollten in /etc/tinc/backbone gespeichert werden.<br /><br />
Den Public-Key in den Namen des Supernodes umbenennen und nach bbkeys/ kopieren.<br />
<pre><br />
tincd -K<br />
cp rsa_key.pub bbkeys/[supernodename]<br />
</pre><br />
Bevor jetzt der pub-key gepushed werden kann, muss tinc noch gesagt werden, welche Adressen über diesen Node zu routen sind. <br /><br />
Also im .pub key:<br />
<pre><br />
Subnet=172.27.255.X/32<br />
Subnet=172.27.Y.0/21<br />
Subnet=fdd3:5d16:b5dd:3::X/128<br />
Subnet=2001:67c:20a0:b10Z::/64<br />
<br />
-----BEGIN RSA PUBLIC KEY-----<br />
</pre><br />
Und schliesslich:<br />
<pre><br />
cd bbkeys; git push;<br />
</pre><br />
<br />
==== tinc.conf ====<br />
<pre><br />
cat > /etc/tinc/backbone/tinc.conf << EOF<br />
Name=[supernodename]<br />
Device=/dev/net/tun<br />
Mode=router<br />
Compression=9<br />
ConnectTo=paula<br />
ConnectTo=paul<br />
EOF<br />
</pre><br />
<br />
==== tinc-up ====<br />
'''Wichtig:''' in der datei muss wirklich $INTERFACE stehen. Tinc ersetzt dies automatisch durch das entsprechende interface bei ausführung.<br />
<pre><br />
cat > /etc/tinc/backbone/tinc-up << EOF<br />
#!/bin/sh<br />
ifconfig \$INTERFACE 172.27.255.[Backbone IPv4 Adresse hier] netmask 255.255.255.0 up<br />
<br />
ip route add 172.27.255.0/24 dev backbone table ffkbu<br />
ip route add default dev backbone table ffkbu<br />
ip -6 addr add fdd3:5d16:b5dd:3::X/64 dev \$INTERFACE<br />
ip -6 addr add 2001:67c:20a0:b10Y::1/128 dev \$INTERFACE<br />
ip -6 route add default via fdd3:5d16:b5dd:3::3<br />
EOF<br />
</pre><br />
<br />
Auch diese Datei muss ausführbar gemacht werden:<br />
<pre><br />
chmod +x /etc/tinc/backbone/tinc-up<br />
</pre><br />
<br />
Danach sollte der Ordner etwa so aussehen:<br />
<pre><br />
$:/etc/tinc/backbone# ls <br />
bbkeys<br />
hosts -> bbkeys<br />
rsa_key.priv<br />
rsa_key.pub<br />
tinc.conf<br />
tinc-up<br />
</pre><br />
<br />
== Routing ==<br />
<br />
we need to set up policy based routing.<br />
<br />
<pre><br />
echo "200 ffkbu" >> /etc/iproute2/rt_tables<br />
</pre><br />
fastd-up und tinc-up erledigen den rest: <br /><br />
<br />
ip rule ls<br />
<pre><br />
ip rule ls<br />
0: from all lookup local <br />
32765: from 172.27.0.0/18 lookup ffkbu <br />
32766: from all lookup main <br />
32767: from all lookup default<br />
</pre><br />
<br />
ip route list table ffkbu<br />
<pre><br />
ip route list table ffkbu<br />
default dev backbone scope link <br />
172.27.0.0/18 dev bat0 scope link <br />
172.27.255.0/24 dev backbone scope link <br />
</pre><br />
<br />
== IPv4 DHCP ==<br />
=== Installation ===<br />
<pre><br />
apt-get install isc-dhcp-server<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/dhcp/dhcpd.conf << EOF<br />
<br />
option domain-name "mesh.kbu.freifunk.net";<br />
option domain-name-servers 85.214.20.141, 213.73.91.35;<br />
<br />
default-lease-time 60;<br />
max-lease-time 720;<br />
<br />
log-facility local7;<br />
<br />
subnet 172.27.0.0 netmask 255.255.192.0 {<br />
range 172.27.X.10 172.27.Y.255;<br />
option routers 172.27.X.1;<br />
}<br />
EOF<br />
</pre><br />
<br />
== IPv6 ==<br />
=== Installation ===<br />
<pre><br />
apt-get install radvd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/radvd.conf << EOF<br />
interface bat0 {<br />
AdvSendAdvert on;<br />
AdvHomeAgentFlag off;<br />
MinRtrAdvInterval 10;<br />
MaxRtrAdvInterval 30;<br />
AdvOtherConfigFlag on;<br />
AdvSourceLLAddress off;<br />
AdvLinkMTU 1350; #1442 - fastd - batman-adv - See wiki for details<br />
prefix 2001:67c:20a0:b10Y::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
prefix fdd3:5d16:b5dd::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
};<br />
EOF<br />
<br />
/etc/init.d/radvd start<br />
</pre><br />
<br />
=fastd-service=<br />
Achtung, Pfade und Hostnamen anpassen. Das ist hier exemplarisch <br />
apt-get install apache2 ruby-sinatra libapache2-mod-passenger sudo psmisc git ruby-dev<br />
mkdir -p /srv/www/fastd1.ffm.freifunk.net<br />
cd /srv/www/fastd1.ffm.freifunk.net<br />
git clone https://github.com/freifunk-ffm/fastd-service.git<br />
<br />
<pre><br />
rm /etc/apache2/sites-enabled/000-default<br />
cat >> /etc/apache2/sites-enabled/000-fastd1.conf <<EOF<br />
<VirtualHost *:80><br />
ServerAdmin info@EMAIL<br />
DocumentRoot /srv/www/fastd1.ffm.freifunk.net/fastd-service/public<br />
<Directory /srv/www/fastd1.ffm.freifunk.net/fastd-service/public><br />
Allow from all<br />
Options -MultiViews<br />
</Directory><br />
ErrorLog /srv/www/fastd1.ffm.freifunk.net/logs/error.log<br />
CustomLog /srv/www/fastd1.ffm.freifunk.net/logs/access.log combined<br />
</VirtualHost><br />
EOF<br />
</pre><br />
<br />
Anpassung der conf.yml:<br />
register_url: http://USER:PASSWORT@register.bb.ffm.freifunk.net<br />
crash_dump_path: /var/log/ath9k-crash<br />
fastd_peer_dir: /etc/fastd/mesh-vpn/peers<br />
fastd_reload_cmd: sudo ./fastd_hup<br />
<br />
gem install netaddr json sinatra sinatra-contrib rack rails rake <br />
chown -R www-data /srv/www/fastd1.ffm.freifunk.net<br />
<br />
per visudo die folgende Zeile hinzufügen (Pfad anpassen)<br />
www-data ALL = NOPASSWD: /srv/www/fastd1.ffm.freifunk.net/fastd-service/fastd_hup<br />
<br />
Anmerkung:<br />
Es kann sein, dass man in fastd_service.rb folgende Zeile auskommentieren muss: <br />
register Sinatra::MultiRoute<br />
<br />
=[[Anycast_DNS]]=<br />
{{:Anycast_DNS}}</div>Christofhttps://kbu.freifunk.net/wiki/index.php?title=Supernode&diff=2754Supernode2014-09-07T10:27:09Z<p>Christof: /* fastd-service */</p>
<hr />
<div>{{TOCright}}<br />
<br />
== Voraussetzungen ==<br />
[[https://en.wikipedia.org/wiki/Supernode_%28networking%29 wikipedia-article]]<br />
<br />
Benötigte Software<br />
<br />
1) [[https://projects.universe-factory.net/projects/fastd fastd]] mesh-node-vpn<br />
<br />
2) [[https://github.com/ff-kbu/fastd-service vpn-key-upload]] todo: remove overhead (apache,ruby,sinatra ...), [https://en.wikipedia.org/wiki/KISS_principle kiss principle]]<br />
not documented in here (todo)<br />
<br />
3) [[http://www.open-mesh.org/projects/open-mesh/wiki batman-adv]]<br />
<br />
4) [[http://www.tinc-vpn.org/ tinc]] mesh-backbone-vpn<br />
<br />
5) OS: debian wheezy (or whatever you like)<br />
<br />
Du benötigst ausserdem: <br /><br />
* einen fastd-private-key <br />
* eine IPv4/IPv6 Adresse und ein Subnetz<br />
* eine IPv4 Adresse für das Backbone-Netz<br />
<br />
<br />
== Vorbereitungen ==<br />
In der /etc/sysctl.conf muss folgendes gesetzt sein:<br />
<pre><br />
cat >> /etc/sysctl.conf <<EOF<br />
net.ipv4.ip_forward=1<br />
net.ipv4.ip_no_pmtu_disc=1<br />
net.ipv4.route.flush=1<br />
net.ipv6.conf.all.forwarding=1<br />
net.ipv6.conf.all.autoconf=0<br />
net.ipv6.conf.all.accept_ra=0<br />
EOF<br />
</pre><br />
<br />
Danach die /etc/sysctl.conf neu einlesen:<br />
<pre><br />
sysctl -p<br />
</pre><br />
<br />
Für Batman-adv und fastd-Pakete in /etc/apt/apt/sources.list hinzufügen:<br />
<pre><br />
echo "deb http://repo.universe-factory.net/debian/ sid main" >>/etc/apt/sources.list<br />
</pre><br />
<br />
GPG-Key importieren:<br />
<pre><br />
gpg --keyserver pgpkeys.mit.edu --recv-key 16EF3F64CB201D9C<br />
gpg -a --export 16EF3F64CB201D9C | apt-key add -<br />
apt-get update<br />
</pre><br />
<br />
== Batman-adv ==<br />
=== Installation ===<br />
Dies sollte auf debian wheezy batman-adv 2013.4.0 installieren.<br />
<pre><br />
apt-get install batman-adv-dkms<br />
echo "batman-adv" >> /etc/modules<br />
</pre><br />
<br />
== fastd ==<br />
=== Installation ===<br />
<br />
<pre><br />
apt-get install fastd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
==== fastd.conf ====<br />
"[YOUR SECRET KEY HERE]" Sollte dabei durch den fastd-secret-key ersetzt werden (erfragen)<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn;<br />
cat > /etc/fastd/mesh-vpn/fastd.conf << EOF<br />
# Log warnings and errors to stderr<br />
#log level warn;<br />
log level error;<br />
<br />
# Log everything to a log file<br />
#log to "/var/log/fastd-mesh-vpn.log" level debug;<br />
log to "/var/log/fastd-mesh-vpn.log" level warn;<br />
<br />
# Set the interface name<br />
interface "mesh-vpn";<br />
<br />
# Support xsalsa20 and aes128 encryption methods, prefer xsalsa20<br />
method "salsa2012+gmac";<br />
method "null";<br />
<br />
# Bind to a fixed port, IPv4 only<br />
bind 0.0.0.0:10000;<br />
<br />
# Secret key generated by 'fastd --generate-key'<br />
secret "[YOUR SECRET KEY HERE]";<br />
<br />
# Set the interface MTU for TAP mode with xsalsa20/aes128 over IPv4 with a base MTU of 1492 (PPPoE)<br />
# (see MTU selection documentation)<br />
mtu 1426;<br />
<br />
# Include peers from the directory 'peers'<br />
include peers from "peers";<br />
include peers from "backbone";<br />
<br />
on up "./fastd-up";<br />
# on down "./fastd-down";<br />
<br />
on establish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=up -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
on disestablish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=down -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
EOF<br />
</pre><br />
Hinweise: <br />
* Username / Password stehen im Keypass. <br />
* Viewpoint (hier: fastd2) anpassen<br />
* Grundsätzlich wird die Node-ID nicht escpaed. Shell-code injections ist aber nicht möglich, da mon_serv nur node_ids der Form $mac_$key zulässt. <br />
* Die Calls auf der Script sind synchron - Daher "&". fastd blockiert solange das Script nicht terminiert ist. (Zumindest Stand 04/2014)<br />
Ordnerstruktur anlegen:<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn/backbone<br />
mkdir /etc/fastd/mesh-vpn/peers<br />
chown www-data /etc/fastd/mesh-vpn/peers<br />
</pre><br />
<br />
==== Backbone ====<br />
Backbone Keys einrichten:<br />
<pre><br />
$:/etc/fastd/mesh-vpn# ls backbone/<br />
fastd1 fastd2 fastd3 fastd4 fastd5 fastd6 fastd7 fastd8<br />
$:/etc/fastd/mesh-vpn# cat backbone/*<br />
key "4f856d95bd596ac7724edca73a19e6e9d142b374df27166bb1a78e58785efc59";<br />
remote ipv4 "fastd1.kbu.freifunk.net" port 10000;<br />
<br />
key "e1916b66c4f8a795e217877cf72607d952e796463c7024dd9a6a47ae2929bc10";<br />
remote ipv4 "fastd2.kbu.freifunk.net" port 10000;<br />
<br />
key "d56181dfe9b5ac7cfe68a94c0ce406322a9924286a751673da0dcb28ad5218b0";<br />
remote ipv4 "fastd3.kbu.freifunk.net" port 10000;<br />
<br />
key "9b3f65f99963343e2785c8c4fad65e70b73ee7e1205d63bd84f3e2decb53e621";<br />
remote ipv4 "fastd4.kbu.freifunk.net" port 10000;<br />
<br />
key "6e4546121d16e7189715aef8ceb78ab58d59462720969318445f97b4301374d1";<br />
remote ipv4 "fastd5.kbu.freifunk.net" port 10000;<br />
<br />
key "2a2c69dbb3b9fd90d7eb8e2f70be70b472d811cd4f3743ad9f5002d14b5c94cd";<br />
remote ipv4 "fastd6.kbu.freifunk.net" port 10000;<br />
<br />
key "68de6815a89270c8eaf7832deedb8da098aad2ae5793cd2cd55dec3541ad28f2";<br />
remote ipv4 "fastd7.kbu.freifunk.net" port 10000;<br />
<br />
key "b41a9714b1178ce428b15af0b6055cc204b39af2088ef3b371d8c36219eedd1e";<br />
remote ipv4 "fastd8.kbu.freifunk.net" port 10000;<br />
</pre><br />
<br />
[[https://github.com/ff-kbu/fff/tree/v0.3-generic/files/lib/freifunk/mesh-vpn/backbone fastd-backbone]] for more<br />
<br />
==== fastd-up ====<br />
<pre><br />
cat > /etc/fastd/mesh-vpn/fastd-up << EOF<br />
#/bin/sh<br />
/sbin/ip link set dev mesh-vpn up<br />
/usr/sbin/batctl if add mesh-vpn<br />
/usr/sbin/batctl gw_mode server<br />
/sbin/ifconfig bat0 [DEINE IPv4 Addresse hier] netmask 255.255.192.0 up<br />
<br />
/sbin/ifconfig bat0:0 172.27.0.2 netmask 255.255.192.0 up<br />
<br />
/sbin/ip rule add from 172.27.0.0/18 table ffkbu<br />
/sbin/ip route add 172.27.0.0/18 dev bat0 table ffkbu<br />
/sbin/ip route flush cache<br />
EOF<br />
</pre><br />
<br />
fastd-up ausführbar machen:<br />
<pre><br />
chmod +x /etc/fastd/mesh-vpn/fastd-up<br />
</pre><br />
<br />
=== UDP-Queue Größe ===<br />
Durch Broadcasts können können auf Supernodes kurzzeitig hohe Lastspitzen enstehen. In der aktuellen batman-adv-Version wird jedes Broadcast-Paket zudem 3x auf jedem Link versendet.<br />
Die vergleichweise hohe Datenrate von 100MBit/s zwischen Supernodes bewirkt darüber hinaus, dass broadcast-Pakete mit 100MBit/s eingehen können, während sie gleichzeitig an alle Nodes gesendet werden müssen.<br />
<br />
Linux-Distributionen sehen per Default Queue-Größen im Bereich von 128 KB vor (http://www.cyberciti.biz/faq/linux-tcp-tuning/). Supernodes sind somit nicht in der Lage entsprechende Lastspitzen zu puffern und während Idle-Times zu versenden. Läuft die UDP-Queue über, so loggt fastd:<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
Jeder Log-Eintrag entspricht einem Paket, dass nicht enqueued werden konnte und damit verworfen wurde. Die Queue-Größen können via systctl angepasst werden (http://wwwx.cs.unc.edu/~sparkst/howto/network_tuning.php). Auf fastd2 wird zur Zeit verwendet:<br />
#/etc/sysctl.conf<br />
net.core.rmem_max=83886080<br />
net.core.wmem_max=83886080<br />
net.core.rmem_default=83886080<br />
net.core.wmem_default=83886080<br />
<br />
Das System verfügt dadurch über 80MB Speicher für Queues. Per default stehen ebenfalls 80MB zur Verfügung. Die konfigurierten 80MB reichen aus, um die 100MBit/s Verbindung über mehrere Sekunden auszulasten und Lastspitzen abzufangen.<br />
<br />
== Backbone Netz (tinc) ==<br />
=== Installation ===<br />
<pre><br />
apt-get install tinc bridge-utils<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
mkdir /etc/tinc/backbone<br />
echo "backbone" >> /etc/tinc/nets.boot # Dies sagt tinc, dass es das Netz "backbone" starten soll<br />
cd /etc/tinc/backbone<br />
# Public keys der anderen Teilnehmer:<br />
git clone https://github.com/ff-kbu/bbkeys<br />
ln -s bbkeys/ hosts<br />
</pre><br />
<br />
Jetzt fehlt noch des eigene Public/Private Keypaar. <br /><br />
Die Keys sollten in /etc/tinc/backbone gespeichert werden.<br /><br />
Den Public-Key in den Namen des Supernodes umbenennen und nach bbkeys/ kopieren.<br />
<pre><br />
tincd -K<br />
cp rsa_key.pub bbkeys/[supernodename]<br />
</pre><br />
Bevor jetzt der pub-key gepushed werden kann, muss tinc noch gesagt werden, welche Adressen über diesen Node zu routen sind. <br /><br />
Also im .pub key:<br />
<pre><br />
Subnet=172.27.255.X/32<br />
Subnet=172.27.Y.0/21<br />
Subnet=fdd3:5d16:b5dd:3::X/128<br />
Subnet=2001:67c:20a0:b10Z::/64<br />
<br />
-----BEGIN RSA PUBLIC KEY-----<br />
</pre><br />
Und schliesslich:<br />
<pre><br />
cd bbkeys; git push;<br />
</pre><br />
<br />
==== tinc.conf ====<br />
<pre><br />
cat > /etc/tinc/backbone/tinc.conf << EOF<br />
Name=[supernodename]<br />
Device=/dev/net/tun<br />
Mode=router<br />
Compression=9<br />
ConnectTo=paula<br />
ConnectTo=paul<br />
EOF<br />
</pre><br />
<br />
==== tinc-up ====<br />
'''Wichtig:''' in der datei muss wirklich $INTERFACE stehen. Tinc ersetzt dies automatisch durch das entsprechende interface bei ausführung.<br />
<pre><br />
cat > /etc/tinc/backbone/tinc-up << EOF<br />
#!/bin/sh<br />
ifconfig \$INTERFACE 172.27.255.[Backbone IPv4 Adresse hier] netmask 255.255.255.0 up<br />
<br />
ip route add 172.27.255.0/24 dev backbone table ffkbu<br />
ip route add default dev backbone table ffkbu<br />
ip -6 addr add fdd3:5d16:b5dd:3::X/64 dev \$INTERFACE<br />
ip -6 addr add 2001:67c:20a0:b10Y::1/128 dev \$INTERFACE<br />
ip -6 route add default via fdd3:5d16:b5dd:3::3<br />
EOF<br />
</pre><br />
<br />
Auch diese Datei muss ausführbar gemacht werden:<br />
<pre><br />
chmod +x /etc/tinc/backbone/tinc-up<br />
</pre><br />
<br />
Danach sollte der Ordner etwa so aussehen:<br />
<pre><br />
$:/etc/tinc/backbone# ls <br />
bbkeys<br />
hosts -> bbkeys<br />
rsa_key.priv<br />
rsa_key.pub<br />
tinc.conf<br />
tinc-up<br />
</pre><br />
<br />
== Routing ==<br />
<br />
we need to set up policy based routing.<br />
<br />
<pre><br />
echo "200 ffkbu" >> /etc/iproute2/rt_tables<br />
</pre><br />
fastd-up und tinc-up erledigen den rest: <br /><br />
<br />
ip rule ls<br />
<pre><br />
ip rule ls<br />
0: from all lookup local <br />
32765: from 172.27.0.0/18 lookup ffkbu <br />
32766: from all lookup main <br />
32767: from all lookup default<br />
</pre><br />
<br />
ip route list table ffkbu<br />
<pre><br />
ip route list table ffkbu<br />
default dev backbone scope link <br />
172.27.0.0/18 dev bat0 scope link <br />
172.27.255.0/24 dev backbone scope link <br />
</pre><br />
<br />
== IPv4 DHCP ==<br />
=== Installation ===<br />
<pre><br />
apt-get install isc-dhcp-server<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/dhcp/dhcpd.conf << EOF<br />
<br />
option domain-name "mesh.kbu.freifunk.net";<br />
option domain-name-servers 85.214.20.141, 213.73.91.35;<br />
<br />
default-lease-time 60;<br />
max-lease-time 720;<br />
<br />
log-facility local7;<br />
<br />
subnet 172.27.0.0 netmask 255.255.192.0 {<br />
range 172.27.X.10 172.27.Y.255;<br />
option routers 172.27.X.1;<br />
}<br />
EOF<br />
</pre><br />
<br />
== IPv6 ==<br />
=== Installation ===<br />
<pre><br />
apt-get install radvd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/radvd.conf << EOF<br />
interface bat0 {<br />
AdvSendAdvert on;<br />
AdvHomeAgentFlag off;<br />
MinRtrAdvInterval 10;<br />
MaxRtrAdvInterval 30;<br />
AdvOtherConfigFlag on;<br />
AdvSourceLLAddress off;<br />
AdvLinkMTU 1350; #1442 - fastd - batman-adv - See wiki for details<br />
prefix 2001:67c:20a0:b10Y::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
prefix fdd3:5d16:b5dd::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
};<br />
EOF<br />
<br />
/etc/init.d/radvd start<br />
</pre><br />
<br />
=fastd-service=<br />
Achtung, Pfade und Hostnamen anpassen. Das ist hier exemplarisch <br />
apt-get install apache2 ruby-sinatra libapache2-mod-passenger sudo psmisc git<br />
mkdir -p /srv/www/fastd1.ffm.freifunk.net<br />
cd /srv/www/fastd1.ffm.freifunk.net<br />
git clone https://github.com/freifunk-ffm/fastd-service.git<br />
<br />
<pre><br />
rm /etc/apache2/sites-enabled/000-default<br />
cat >> /etc/apache2/sites-enabled/000-fastd1.conf <<EOF<br />
<VirtualHost *:80><br />
ServerAdmin info@EMAIL<br />
DocumentRoot /srv/www/fastd1.ffm.freifunk.net/fastd-service/public<br />
<Directory /srv/www/fastd1.ffm.freifunk.net/fastd-service/public><br />
Allow from all<br />
Options -MultiViews<br />
</Directory><br />
ErrorLog /srv/www/fastd1.ffm.freifunk.net/logs/error.log<br />
CustomLog /srv/www/fastd1.ffm.freifunk.net/logs/access.log combined<br />
</VirtualHost><br />
EOF<br />
</pre><br />
<br />
Anpassung der conf.yml:<br />
register_url: http://USER:PASSWORT@register.bb.ffm.freifunk.net<br />
crash_dump_path: /var/log/ath9k-crash<br />
fastd_peer_dir: /etc/fastd/mesh-vpn/peers<br />
fastd_reload_cmd: sudo ./fastd_hup<br />
<br />
gem install netaddr json sinatra sinatra-contrib rack rails rake <br />
chown -R www-data /srv/www/fastd1.ffm.freifunk.net<br />
<br />
per visudo die folgende Zeile hinzufügen (Pfad anpassen)<br />
www-data ALL = NOPASSWD: /srv/www/fastd1.ffm.freifunk.net/fastd-service/fastd_hup<br />
<br />
Anmerkung:<br />
Es kann sein, dass man in fastd_service.rb folgende Zeile auskommentieren muss: <br />
register Sinatra::MultiRoute<br />
<br />
=[[Anycast_DNS]]=<br />
{{:Anycast_DNS}}</div>Christofhttps://kbu.freifunk.net/wiki/index.php?title=Supernode&diff=2753Supernode2014-09-07T10:22:01Z<p>Christof: /* fastd.conf */</p>
<hr />
<div>{{TOCright}}<br />
<br />
== Voraussetzungen ==<br />
[[https://en.wikipedia.org/wiki/Supernode_%28networking%29 wikipedia-article]]<br />
<br />
Benötigte Software<br />
<br />
1) [[https://projects.universe-factory.net/projects/fastd fastd]] mesh-node-vpn<br />
<br />
2) [[https://github.com/ff-kbu/fastd-service vpn-key-upload]] todo: remove overhead (apache,ruby,sinatra ...), [https://en.wikipedia.org/wiki/KISS_principle kiss principle]]<br />
not documented in here (todo)<br />
<br />
3) [[http://www.open-mesh.org/projects/open-mesh/wiki batman-adv]]<br />
<br />
4) [[http://www.tinc-vpn.org/ tinc]] mesh-backbone-vpn<br />
<br />
5) OS: debian wheezy (or whatever you like)<br />
<br />
Du benötigst ausserdem: <br /><br />
* einen fastd-private-key <br />
* eine IPv4/IPv6 Adresse und ein Subnetz<br />
* eine IPv4 Adresse für das Backbone-Netz<br />
<br />
<br />
== Vorbereitungen ==<br />
In der /etc/sysctl.conf muss folgendes gesetzt sein:<br />
<pre><br />
cat >> /etc/sysctl.conf <<EOF<br />
net.ipv4.ip_forward=1<br />
net.ipv4.ip_no_pmtu_disc=1<br />
net.ipv4.route.flush=1<br />
net.ipv6.conf.all.forwarding=1<br />
net.ipv6.conf.all.autoconf=0<br />
net.ipv6.conf.all.accept_ra=0<br />
EOF<br />
</pre><br />
<br />
Danach die /etc/sysctl.conf neu einlesen:<br />
<pre><br />
sysctl -p<br />
</pre><br />
<br />
Für Batman-adv und fastd-Pakete in /etc/apt/apt/sources.list hinzufügen:<br />
<pre><br />
echo "deb http://repo.universe-factory.net/debian/ sid main" >>/etc/apt/sources.list<br />
</pre><br />
<br />
GPG-Key importieren:<br />
<pre><br />
gpg --keyserver pgpkeys.mit.edu --recv-key 16EF3F64CB201D9C<br />
gpg -a --export 16EF3F64CB201D9C | apt-key add -<br />
apt-get update<br />
</pre><br />
<br />
== Batman-adv ==<br />
=== Installation ===<br />
Dies sollte auf debian wheezy batman-adv 2013.4.0 installieren.<br />
<pre><br />
apt-get install batman-adv-dkms<br />
echo "batman-adv" >> /etc/modules<br />
</pre><br />
<br />
== fastd ==<br />
=== Installation ===<br />
<br />
<pre><br />
apt-get install fastd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
==== fastd.conf ====<br />
"[YOUR SECRET KEY HERE]" Sollte dabei durch den fastd-secret-key ersetzt werden (erfragen)<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn;<br />
cat > /etc/fastd/mesh-vpn/fastd.conf << EOF<br />
# Log warnings and errors to stderr<br />
#log level warn;<br />
log level error;<br />
<br />
# Log everything to a log file<br />
#log to "/var/log/fastd-mesh-vpn.log" level debug;<br />
log to "/var/log/fastd-mesh-vpn.log" level warn;<br />
<br />
# Set the interface name<br />
interface "mesh-vpn";<br />
<br />
# Support xsalsa20 and aes128 encryption methods, prefer xsalsa20<br />
method "salsa2012+gmac";<br />
method "null";<br />
<br />
# Bind to a fixed port, IPv4 only<br />
bind 0.0.0.0:10000;<br />
<br />
# Secret key generated by 'fastd --generate-key'<br />
secret "[YOUR SECRET KEY HERE]";<br />
<br />
# Set the interface MTU for TAP mode with xsalsa20/aes128 over IPv4 with a base MTU of 1492 (PPPoE)<br />
# (see MTU selection documentation)<br />
mtu 1426;<br />
<br />
# Include peers from the directory 'peers'<br />
include peers from "peers";<br />
include peers from "backbone";<br />
<br />
on up "./fastd-up";<br />
# on down "./fastd-down";<br />
<br />
on establish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=up -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
on disestablish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=down -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
EOF<br />
</pre><br />
Hinweise: <br />
* Username / Password stehen im Keypass. <br />
* Viewpoint (hier: fastd2) anpassen<br />
* Grundsätzlich wird die Node-ID nicht escpaed. Shell-code injections ist aber nicht möglich, da mon_serv nur node_ids der Form $mac_$key zulässt. <br />
* Die Calls auf der Script sind synchron - Daher "&". fastd blockiert solange das Script nicht terminiert ist. (Zumindest Stand 04/2014)<br />
Ordnerstruktur anlegen:<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn/backbone<br />
mkdir /etc/fastd/mesh-vpn/peers<br />
chown www-data /etc/fastd/mesh-vpn/peers<br />
</pre><br />
<br />
==== Backbone ====<br />
Backbone Keys einrichten:<br />
<pre><br />
$:/etc/fastd/mesh-vpn# ls backbone/<br />
fastd1 fastd2 fastd3 fastd4 fastd5 fastd6 fastd7 fastd8<br />
$:/etc/fastd/mesh-vpn# cat backbone/*<br />
key "4f856d95bd596ac7724edca73a19e6e9d142b374df27166bb1a78e58785efc59";<br />
remote ipv4 "fastd1.kbu.freifunk.net" port 10000;<br />
<br />
key "e1916b66c4f8a795e217877cf72607d952e796463c7024dd9a6a47ae2929bc10";<br />
remote ipv4 "fastd2.kbu.freifunk.net" port 10000;<br />
<br />
key "d56181dfe9b5ac7cfe68a94c0ce406322a9924286a751673da0dcb28ad5218b0";<br />
remote ipv4 "fastd3.kbu.freifunk.net" port 10000;<br />
<br />
key "9b3f65f99963343e2785c8c4fad65e70b73ee7e1205d63bd84f3e2decb53e621";<br />
remote ipv4 "fastd4.kbu.freifunk.net" port 10000;<br />
<br />
key "6e4546121d16e7189715aef8ceb78ab58d59462720969318445f97b4301374d1";<br />
remote ipv4 "fastd5.kbu.freifunk.net" port 10000;<br />
<br />
key "2a2c69dbb3b9fd90d7eb8e2f70be70b472d811cd4f3743ad9f5002d14b5c94cd";<br />
remote ipv4 "fastd6.kbu.freifunk.net" port 10000;<br />
<br />
key "68de6815a89270c8eaf7832deedb8da098aad2ae5793cd2cd55dec3541ad28f2";<br />
remote ipv4 "fastd7.kbu.freifunk.net" port 10000;<br />
<br />
key "b41a9714b1178ce428b15af0b6055cc204b39af2088ef3b371d8c36219eedd1e";<br />
remote ipv4 "fastd8.kbu.freifunk.net" port 10000;<br />
</pre><br />
<br />
[[https://github.com/ff-kbu/fff/tree/v0.3-generic/files/lib/freifunk/mesh-vpn/backbone fastd-backbone]] for more<br />
<br />
==== fastd-up ====<br />
<pre><br />
cat > /etc/fastd/mesh-vpn/fastd-up << EOF<br />
#/bin/sh<br />
/sbin/ip link set dev mesh-vpn up<br />
/usr/sbin/batctl if add mesh-vpn<br />
/usr/sbin/batctl gw_mode server<br />
/sbin/ifconfig bat0 [DEINE IPv4 Addresse hier] netmask 255.255.192.0 up<br />
<br />
/sbin/ifconfig bat0:0 172.27.0.2 netmask 255.255.192.0 up<br />
<br />
/sbin/ip rule add from 172.27.0.0/18 table ffkbu<br />
/sbin/ip route add 172.27.0.0/18 dev bat0 table ffkbu<br />
/sbin/ip route flush cache<br />
EOF<br />
</pre><br />
<br />
fastd-up ausführbar machen:<br />
<pre><br />
chmod +x /etc/fastd/mesh-vpn/fastd-up<br />
</pre><br />
<br />
=== UDP-Queue Größe ===<br />
Durch Broadcasts können können auf Supernodes kurzzeitig hohe Lastspitzen enstehen. In der aktuellen batman-adv-Version wird jedes Broadcast-Paket zudem 3x auf jedem Link versendet.<br />
Die vergleichweise hohe Datenrate von 100MBit/s zwischen Supernodes bewirkt darüber hinaus, dass broadcast-Pakete mit 100MBit/s eingehen können, während sie gleichzeitig an alle Nodes gesendet werden müssen.<br />
<br />
Linux-Distributionen sehen per Default Queue-Größen im Bereich von 128 KB vor (http://www.cyberciti.biz/faq/linux-tcp-tuning/). Supernodes sind somit nicht in der Lage entsprechende Lastspitzen zu puffern und während Idle-Times zu versenden. Läuft die UDP-Queue über, so loggt fastd:<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
Jeder Log-Eintrag entspricht einem Paket, dass nicht enqueued werden konnte und damit verworfen wurde. Die Queue-Größen können via systctl angepasst werden (http://wwwx.cs.unc.edu/~sparkst/howto/network_tuning.php). Auf fastd2 wird zur Zeit verwendet:<br />
#/etc/sysctl.conf<br />
net.core.rmem_max=83886080<br />
net.core.wmem_max=83886080<br />
net.core.rmem_default=83886080<br />
net.core.wmem_default=83886080<br />
<br />
Das System verfügt dadurch über 80MB Speicher für Queues. Per default stehen ebenfalls 80MB zur Verfügung. Die konfigurierten 80MB reichen aus, um die 100MBit/s Verbindung über mehrere Sekunden auszulasten und Lastspitzen abzufangen.<br />
<br />
== Backbone Netz (tinc) ==<br />
=== Installation ===<br />
<pre><br />
apt-get install tinc bridge-utils<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
mkdir /etc/tinc/backbone<br />
echo "backbone" >> /etc/tinc/nets.boot # Dies sagt tinc, dass es das Netz "backbone" starten soll<br />
cd /etc/tinc/backbone<br />
# Public keys der anderen Teilnehmer:<br />
git clone https://github.com/ff-kbu/bbkeys<br />
ln -s bbkeys/ hosts<br />
</pre><br />
<br />
Jetzt fehlt noch des eigene Public/Private Keypaar. <br /><br />
Die Keys sollten in /etc/tinc/backbone gespeichert werden.<br /><br />
Den Public-Key in den Namen des Supernodes umbenennen und nach bbkeys/ kopieren.<br />
<pre><br />
tincd -K<br />
cp rsa_key.pub bbkeys/[supernodename]<br />
</pre><br />
Bevor jetzt der pub-key gepushed werden kann, muss tinc noch gesagt werden, welche Adressen über diesen Node zu routen sind. <br /><br />
Also im .pub key:<br />
<pre><br />
Subnet=172.27.255.X/32<br />
Subnet=172.27.Y.0/21<br />
Subnet=fdd3:5d16:b5dd:3::X/128<br />
Subnet=2001:67c:20a0:b10Z::/64<br />
<br />
-----BEGIN RSA PUBLIC KEY-----<br />
</pre><br />
Und schliesslich:<br />
<pre><br />
cd bbkeys; git push;<br />
</pre><br />
<br />
==== tinc.conf ====<br />
<pre><br />
cat > /etc/tinc/backbone/tinc.conf << EOF<br />
Name=[supernodename]<br />
Device=/dev/net/tun<br />
Mode=router<br />
Compression=9<br />
ConnectTo=paula<br />
ConnectTo=paul<br />
EOF<br />
</pre><br />
<br />
==== tinc-up ====<br />
'''Wichtig:''' in der datei muss wirklich $INTERFACE stehen. Tinc ersetzt dies automatisch durch das entsprechende interface bei ausführung.<br />
<pre><br />
cat > /etc/tinc/backbone/tinc-up << EOF<br />
#!/bin/sh<br />
ifconfig \$INTERFACE 172.27.255.[Backbone IPv4 Adresse hier] netmask 255.255.255.0 up<br />
<br />
ip route add 172.27.255.0/24 dev backbone table ffkbu<br />
ip route add default dev backbone table ffkbu<br />
ip -6 addr add fdd3:5d16:b5dd:3::X/64 dev \$INTERFACE<br />
ip -6 addr add 2001:67c:20a0:b10Y::1/128 dev \$INTERFACE<br />
ip -6 route add default via fdd3:5d16:b5dd:3::3<br />
EOF<br />
</pre><br />
<br />
Auch diese Datei muss ausführbar gemacht werden:<br />
<pre><br />
chmod +x /etc/tinc/backbone/tinc-up<br />
</pre><br />
<br />
Danach sollte der Ordner etwa so aussehen:<br />
<pre><br />
$:/etc/tinc/backbone# ls <br />
bbkeys<br />
hosts -> bbkeys<br />
rsa_key.priv<br />
rsa_key.pub<br />
tinc.conf<br />
tinc-up<br />
</pre><br />
<br />
== Routing ==<br />
<br />
we need to set up policy based routing.<br />
<br />
<pre><br />
echo "200 ffkbu" >> /etc/iproute2/rt_tables<br />
</pre><br />
fastd-up und tinc-up erledigen den rest: <br /><br />
<br />
ip rule ls<br />
<pre><br />
ip rule ls<br />
0: from all lookup local <br />
32765: from 172.27.0.0/18 lookup ffkbu <br />
32766: from all lookup main <br />
32767: from all lookup default<br />
</pre><br />
<br />
ip route list table ffkbu<br />
<pre><br />
ip route list table ffkbu<br />
default dev backbone scope link <br />
172.27.0.0/18 dev bat0 scope link <br />
172.27.255.0/24 dev backbone scope link <br />
</pre><br />
<br />
== IPv4 DHCP ==<br />
=== Installation ===<br />
<pre><br />
apt-get install isc-dhcp-server<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/dhcp/dhcpd.conf << EOF<br />
<br />
option domain-name "mesh.kbu.freifunk.net";<br />
option domain-name-servers 85.214.20.141, 213.73.91.35;<br />
<br />
default-lease-time 60;<br />
max-lease-time 720;<br />
<br />
log-facility local7;<br />
<br />
subnet 172.27.0.0 netmask 255.255.192.0 {<br />
range 172.27.X.10 172.27.Y.255;<br />
option routers 172.27.X.1;<br />
}<br />
EOF<br />
</pre><br />
<br />
== IPv6 ==<br />
=== Installation ===<br />
<pre><br />
apt-get install radvd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/radvd.conf << EOF<br />
interface bat0 {<br />
AdvSendAdvert on;<br />
AdvHomeAgentFlag off;<br />
MinRtrAdvInterval 10;<br />
MaxRtrAdvInterval 30;<br />
AdvOtherConfigFlag on;<br />
AdvSourceLLAddress off;<br />
AdvLinkMTU 1350; #1442 - fastd - batman-adv - See wiki for details<br />
prefix 2001:67c:20a0:b10Y::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
prefix fdd3:5d16:b5dd::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
};<br />
EOF<br />
<br />
/etc/init.d/radvd start<br />
</pre><br />
<br />
=fastd-service=<br />
Achtung, Pfade und Hostnamen anpassen. Das ist hier exemplarisch <br />
apt-get install apache2 ruby-sinatra libapache2-mod-passenger sudo psmisc git<br />
mkdir -p /srv/www/fastd1.ffm.freifunk.net<br />
cd /srv/www/fastd1.ffm.freifunk.net<br />
git clone https://github.com/freifunk-ffm/fastd-service.git<br />
<br />
<pre><br />
cat >> /etc/apache2/sites-enabled/000-fastd1.conf <<EOF<br />
<VirtualHost *:80><br />
ServerAdmin info@EMAIL<br />
DocumentRoot /srv/www/fastd1.ffm.freifunk.net/fastd-service/public<br />
<Directory /srv/www/fastd1.ffm.freifunk.net/fastd-service/public><br />
Allow from all<br />
Options -MultiViews<br />
</Directory><br />
ErrorLog /srv/www/fastd1.ffm.freifunk.net/logs/error.log<br />
CustomLog /srv/www/fastd1.ffm.freifunk.net/logs/access.log combined<br />
</VirtualHost><br />
EOF<br />
</pre><br />
<br />
Anpassung der conf.yml:<br />
register_url: http://USER:PASSWORT@register.bb.ffm.freifunk.net<br />
crash_dump_path: /var/log/ath9k-crash<br />
fastd_peer_dir: /etc/fastd/mesh-vpn/peers<br />
fastd_reload_cmd: sudo ./fastd_hup<br />
<br />
gem install netaddr json sinatra sinatra-contrib rack rails rake <br />
chown -R www-data /srv/www/fastd1.ffm.freifunk.net<br />
<br />
per visudo die folgende Zeile hinzufügen (Pfad anpassen)<br />
www-data ALL = NOPASSWD: /srv/www/fastd1.ffm.freifunk.net/fastd-service/fastd_hup<br />
<br />
Anmerkung:<br />
Es kann sein, dass man in fastd_service.rb folgende Zeile auskommentieren muss: <br />
register Sinatra::MultiRoute<br />
<br />
=[[Anycast_DNS]]=<br />
{{:Anycast_DNS}}</div>Christofhttps://kbu.freifunk.net/wiki/index.php?title=Supernode&diff=2726Supernode2014-08-18T21:30:56Z<p>Christof: /* fastd-service */</p>
<hr />
<div>{{TOCright}}<br />
<br />
== Voraussetzungen ==<br />
[[https://en.wikipedia.org/wiki/Supernode_%28networking%29 wikipedia-article]]<br />
<br />
Benötigte Software<br />
<br />
1) [[https://projects.universe-factory.net/projects/fastd fastd]] mesh-node-vpn<br />
<br />
2) [[https://github.com/ff-kbu/fastd-service vpn-key-upload]] todo: remove overhead (apache,ruby,sinatra ...), [https://en.wikipedia.org/wiki/KISS_principle kiss principle]]<br />
not documented in here (todo)<br />
<br />
3) [[http://www.open-mesh.org/projects/open-mesh/wiki batman-adv]]<br />
<br />
4) [[http://www.tinc-vpn.org/ tinc]] mesh-backbone-vpn<br />
<br />
5) OS: debian wheezy (or whatever you like)<br />
<br />
Du benötigst ausserdem: <br /><br />
* einen fastd-private-key <br />
* eine IPv4/IPv6 Adresse und ein Subnetz<br />
* eine IPv4 Adresse für das Backbone-Netz<br />
<br />
<br />
== Vorbereitungen ==<br />
In der /etc/sysctl.conf muss folgendes gesetzt sein:<br />
<pre><br />
cat >> /etc/sysctl.conf <<EOF<br />
net.ipv4.ip_forward=1<br />
net.ipv4.ip_no_pmtu_disc=1<br />
net.ipv4.route.flush=1<br />
net.ipv6.conf.all.forwarding=1<br />
net.ipv6.conf.all.autoconf=0<br />
net.ipv6.conf.all.accept_ra=0<br />
EOF<br />
</pre><br />
<br />
Danach die /etc/sysctl.conf neu einlesen:<br />
<pre><br />
sysctl -p<br />
</pre><br />
<br />
Für Batman-adv und fastd-Pakete in /etc/apt/apt/sources.list hinzufügen:<br />
<pre><br />
echo "deb http://repo.universe-factory.net/debian/ sid main" >>/etc/apt/sources.list<br />
</pre><br />
<br />
GPG-Key importieren:<br />
<pre><br />
gpg --keyserver pgpkeys.mit.edu --recv-key 16EF3F64CB201D9C<br />
gpg -a --export 16EF3F64CB201D9C | apt-key add -<br />
apt-get update<br />
</pre><br />
<br />
== Batman-adv ==<br />
=== Installation ===<br />
Dies sollte auf debian wheezy batman-adv 2013.4.0 installieren.<br />
<pre><br />
apt-get install batman-adv-dkms<br />
echo "batman-adv" >> /etc/modules<br />
</pre><br />
<br />
== fastd ==<br />
=== Installation ===<br />
<br />
<pre><br />
apt-get install fastd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
==== fastd.conf ====<br />
"[YOUR SECRET KEY HERE]" Sollte dabei durch den fastd-secret-key ersetzt werden (erfragen)<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn;<br />
cat > /etc/fastd/mesh-vpn/fastd.conf << EOF<br />
# Log warnings and errors to stderr<br />
#log level warn;<br />
log level error;<br />
<br />
# Log everything to a log file<br />
#log to "/var/log/fastd-mesh-vpn.log" level debug;<br />
log to "/var/log/fastd-mesh-vpn.log" level warn;<br />
<br />
# Set the interface name<br />
interface "mesh-vpn";<br />
<br />
# Support xsalsa20 and aes128 encryption methods, prefer xsalsa20<br />
method "salsa2012+gmac";<br />
method "null";<br />
<br />
# Bind to a fixed port, IPv4 only<br />
bind 0.0.0.0:10000;<br />
<br />
# Secret key generated by 'fastd --generate-key'<br />
secret "[YOUR SECRET KEY HERE]";<br />
<br />
# Set the interface MTU for TAP mode with xsalsa20/aes128 over IPv4 with a base MTU of 1492 (PPPoE)<br />
# (see MTU selection documentation)<br />
mtu 1426;<br />
<br />
# Include peers from the directory 'peers'<br />
include peers from "peers";<br />
include peers from "backbone";<br />
<br />
on up "./fastd-up";<br />
# on down "./fastd-down";<br />
<br />
on establish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=up -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
on disestablish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=down -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
EOF<br />
</pre><br />
Hinweise: <br />
* Username / Password stehen im Keypass. <br />
* Viewpoint (hier: fastd2) anpassen<br />
* Grundsätzlich wird die Node-ID nicht escpaed. Shell-code injections ist aber nicht möglich, da mon_serv nur node_ids der Form $mac_$key zulässt. <br />
* Die Calls auf der Script sind synchron - Daher "&". fastd blockiert solange das Script nicht terminiert ist. (Zumindest Stand 04/2014)<br />
Ordnerstruktur anlegen:<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn/backbone<br />
mkdir /etc/fastd/mesh-vpn/peers<br />
</pre><br />
<br />
==== Backbone ====<br />
Backbone Keys einrichten:<br />
<pre><br />
$:/etc/fastd/mesh-vpn# ls backbone/<br />
fastd1 fastd2 fastd3 fastd4 fastd5 fastd6 fastd7 fastd8<br />
$:/etc/fastd/mesh-vpn# cat backbone/*<br />
key "4f856d95bd596ac7724edca73a19e6e9d142b374df27166bb1a78e58785efc59";<br />
remote ipv4 "fastd1.kbu.freifunk.net" port 10000;<br />
<br />
key "e1916b66c4f8a795e217877cf72607d952e796463c7024dd9a6a47ae2929bc10";<br />
remote ipv4 "fastd2.kbu.freifunk.net" port 10000;<br />
<br />
key "d56181dfe9b5ac7cfe68a94c0ce406322a9924286a751673da0dcb28ad5218b0";<br />
remote ipv4 "fastd3.kbu.freifunk.net" port 10000;<br />
<br />
key "9b3f65f99963343e2785c8c4fad65e70b73ee7e1205d63bd84f3e2decb53e621";<br />
remote ipv4 "fastd4.kbu.freifunk.net" port 10000;<br />
<br />
key "6e4546121d16e7189715aef8ceb78ab58d59462720969318445f97b4301374d1";<br />
remote ipv4 "fastd5.kbu.freifunk.net" port 10000;<br />
<br />
key "2a2c69dbb3b9fd90d7eb8e2f70be70b472d811cd4f3743ad9f5002d14b5c94cd";<br />
remote ipv4 "fastd6.kbu.freifunk.net" port 10000;<br />
<br />
key "68de6815a89270c8eaf7832deedb8da098aad2ae5793cd2cd55dec3541ad28f2";<br />
remote ipv4 "fastd7.kbu.freifunk.net" port 10000;<br />
<br />
key "b41a9714b1178ce428b15af0b6055cc204b39af2088ef3b371d8c36219eedd1e";<br />
remote ipv4 "fastd8.kbu.freifunk.net" port 10000;<br />
</pre><br />
<br />
[[https://github.com/ff-kbu/fff/tree/v0.3-generic/files/lib/freifunk/mesh-vpn/backbone fastd-backbone]] for more<br />
<br />
==== fastd-up ====<br />
<pre><br />
cat > /etc/fastd/mesh-vpn/fastd-up << EOF<br />
#/bin/sh<br />
/sbin/ip link set dev mesh-vpn up<br />
/usr/sbin/batctl if add mesh-vpn<br />
/usr/sbin/batctl gw_mode server<br />
/sbin/ifconfig bat0 [DEINE IPv4 Addresse hier] netmask 255.255.192.0 up<br />
<br />
/sbin/ifconfig bat0:0 172.27.0.2 netmask 255.255.192.0 up<br />
<br />
/sbin/ip rule add from 172.27.0.0/18 table ffkbu<br />
/sbin/ip route add 172.27.0.0/18 dev bat0 table ffkbu<br />
/sbin/ip route flush cache<br />
EOF<br />
</pre><br />
<br />
fastd-up ausführbar machen:<br />
<pre><br />
chmod +x /etc/fastd/mesh-vpn/fastd-up<br />
</pre><br />
<br />
=== UDP-Queue Größe ===<br />
Durch Broadcasts können können auf Supernodes kurzzeitig hohe Lastspitzen enstehen. In der aktuellen batman-adv-Version wird jedes Broadcast-Paket zudem 3x auf jedem Link versendet.<br />
Die vergleichweise hohe Datenrate von 100MBit/s zwischen Supernodes bewirkt darüber hinaus, dass broadcast-Pakete mit 100MBit/s eingehen können, während sie gleichzeitig an alle Nodes gesendet werden müssen.<br />
<br />
Linux-Distributionen sehen per Default Queue-Größen im Bereich von 128 KB vor (http://www.cyberciti.biz/faq/linux-tcp-tuning/). Supernodes sind somit nicht in der Lage entsprechende Lastspitzen zu puffern und während Idle-Times zu versenden. Läuft die UDP-Queue über, so loggt fastd:<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
Jeder Log-Eintrag entspricht einem Paket, dass nicht enqueued werden konnte und damit verworfen wurde. Die Queue-Größen können via systctl angepasst werden (http://wwwx.cs.unc.edu/~sparkst/howto/network_tuning.php). Auf fastd2 wird zur Zeit verwendet:<br />
#/etc/sysctl.conf<br />
net.core.rmem_max=83886080<br />
net.core.wmem_max=83886080<br />
net.core.rmem_default=83886080<br />
net.core.wmem_default=83886080<br />
<br />
Das System verfügt dadurch über 80MB Speicher für Queues. Per default stehen ebenfalls 80MB zur Verfügung. Die konfigurierten 80MB reichen aus, um die 100MBit/s Verbindung über mehrere Sekunden auszulasten und Lastspitzen abzufangen.<br />
<br />
== Backbone Netz (tinc) ==<br />
=== Installation ===<br />
<pre><br />
apt-get install tinc bridge-utils<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
mkdir /etc/tinc/backbone<br />
echo "backbone" >> /etc/tinc/nets.boot # Dies sagt tinc, dass es das Netz "backbone" starten soll<br />
cd /etc/tinc/backbone<br />
# Public keys der anderen Teilnehmer:<br />
git clone https://github.com/ff-kbu/bbkeys<br />
ln -s bbkeys/ hosts<br />
</pre><br />
<br />
Jetzt fehlt noch des eigene Public/Private Keypaar. <br /><br />
Die Keys sollten in /etc/tinc/backbone gespeichert werden.<br /><br />
Den Public-Key in den Namen des Supernodes umbenennen und nach bbkeys/ kopieren.<br />
<pre><br />
tincd -K<br />
cp rsa_key.pub bbkeys/[supernodename]<br />
</pre><br />
Bevor jetzt der pub-key gepushed werden kann, muss tinc noch gesagt werden, welche Adressen über diesen Node zu routen sind. <br /><br />
Also im .pub key:<br />
<pre><br />
Subnet=172.27.255.X/32<br />
Subnet=172.27.Y.0/21<br />
Subnet=fdd3:5d16:b5dd:3::X/128<br />
Subnet=2001:67c:20a0:b10Z::/64<br />
<br />
-----BEGIN RSA PUBLIC KEY-----<br />
</pre><br />
Und schliesslich:<br />
<pre><br />
cd bbkeys; git push;<br />
</pre><br />
<br />
==== tinc.conf ====<br />
<pre><br />
cat > /etc/tinc/backbone/tinc.conf << EOF<br />
Name=[supernodename]<br />
Device=/dev/net/tun<br />
Mode=router<br />
Compression=9<br />
ConnectTo=paula<br />
ConnectTo=paul<br />
EOF<br />
</pre><br />
<br />
==== tinc-up ====<br />
'''Wichtig:''' in der datei muss wirklich $INTERFACE stehen. Tinc ersetzt dies automatisch durch das entsprechende interface bei ausführung.<br />
<pre><br />
cat > /etc/tinc/backbone/tinc-up << EOF<br />
#!/bin/sh<br />
ifconfig \$INTERFACE 172.27.255.[Backbone IPv4 Adresse hier] netmask 255.255.255.0 up<br />
<br />
ip route add 172.27.255.0/24 dev backbone table ffkbu<br />
ip route add default dev backbone table ffkbu<br />
ip -6 addr add fdd3:5d16:b5dd:3::X/64 dev \$INTERFACE<br />
ip -6 addr add 2001:67c:20a0:b10Y::1/128 dev \$INTERFACE<br />
ip -6 route add default via fdd3:5d16:b5dd:3::3<br />
EOF<br />
</pre><br />
<br />
Auch diese Datei muss ausführbar gemacht werden:<br />
<pre><br />
chmod +x /etc/tinc/backbone/tinc-up<br />
</pre><br />
<br />
Danach sollte der Ordner etwa so aussehen:<br />
<pre><br />
$:/etc/tinc/backbone# ls <br />
bbkeys<br />
hosts -> bbkeys<br />
rsa_key.priv<br />
rsa_key.pub<br />
tinc.conf<br />
tinc-up<br />
</pre><br />
<br />
== Routing ==<br />
<br />
we need to set up policy based routing.<br />
<br />
<pre><br />
echo "200 ffkbu" >> /etc/iproute2/rt_tables<br />
</pre><br />
fastd-up und tinc-up erledigen den rest: <br /><br />
<br />
ip rule ls<br />
<pre><br />
ip rule ls<br />
0: from all lookup local <br />
32765: from 172.27.0.0/18 lookup ffkbu <br />
32766: from all lookup main <br />
32767: from all lookup default<br />
</pre><br />
<br />
ip route list table ffkbu<br />
<pre><br />
ip route list table ffkbu<br />
default dev backbone scope link <br />
172.27.0.0/18 dev bat0 scope link <br />
172.27.255.0/24 dev backbone scope link <br />
</pre><br />
<br />
== IPv4 DHCP ==<br />
=== Installation ===<br />
<pre><br />
apt-get install isc-dhcp-server<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/dhcp/dhcpd.conf << EOF<br />
<br />
option domain-name "mesh.kbu.freifunk.net";<br />
option domain-name-servers 85.214.20.141, 213.73.91.35;<br />
<br />
default-lease-time 60;<br />
max-lease-time 720;<br />
<br />
log-facility local7;<br />
<br />
subnet 172.27.0.0 netmask 255.255.192.0 {<br />
range 172.27.X.10 172.27.Y.255;<br />
option routers 172.27.X.1;<br />
}<br />
EOF<br />
</pre><br />
<br />
== IPv6 ==<br />
=== Installation ===<br />
<pre><br />
apt-get install radvd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/radvd.conf << EOF<br />
interface bat0 {<br />
AdvSendAdvert on;<br />
AdvHomeAgentFlag off;<br />
MinRtrAdvInterval 10;<br />
MaxRtrAdvInterval 30;<br />
AdvOtherConfigFlag on;<br />
AdvSourceLLAddress off;<br />
AdvLinkMTU 1350; #1442 - fastd - batman-adv - See wiki for details<br />
prefix 2001:67c:20a0:b10Y::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
prefix fdd3:5d16:b5dd::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
};<br />
EOF<br />
<br />
/etc/init.d/radvd start<br />
</pre><br />
<br />
=fastd-service=<br />
Achtung, Pfade und Hostnamen anpassen. Das ist hier exemplarisch <br />
apt-get install apache2 ruby-sinatra libapache2-mod-passenger sudo psmisc git<br />
mkdir -p /srv/fastd1.ffm.freifunk.net<br />
cd /srv/fastd1.ffm.freifunk.net<br />
git clone https://github.com/freifunk-ffm/fastd-service.git<br />
<br />
<pre><br />
cat >> /etc/apache2/sites-enabled/000-fastd1.conf <<EOF<br />
<VirtualHost *:80><br />
ServerAdmin info@EMAIL<br />
DocumentRoot /srv/www/fastd1.ffm.freifunk.net/fastd-service/public<br />
<Directory /srv/www/fastd1.ffm.freifunk.net/fastd-service/public><br />
Allow from all<br />
Options -MultiViews<br />
</Directory><br />
ErrorLog /srv/www/fastd1.ffm.freifunk.net/logs/error.log<br />
CustomLog /srv/www/fastd1.ffm.freifunk.net/logs/access.log combined<br />
</VirtualHost><br />
EOF<br />
</pre><br />
<br />
Anpassung der conf.yml:<br />
register_url: http://USER:PASSWORT@register.bb.ffm.freifunk.net<br />
crash_dump_path: /var/log/ath9k-crash<br />
fastd_peer_dir: /etc/fastd/mesh-vpn/peers<br />
fastd_reload_cmd: sudo ./fastd_hup<br />
<br />
gem install netaddr json sinatra sinatra-contrib rack rails rake <br />
chown -R www-data /srv/fastd1.ffm.freifunk.net<br />
<br />
per visudo die folgende Zeile hinzufügen (Pfad anpassen)<br />
www-data ALL = NOPASSWD: /srv/www/fastd1.ffm.freifunk.net/fastd-service/fastd_hup<br />
<br />
Anmerkung:<br />
Es kann sein, dass man in fastd_service.rb folgende Zeile auskommentieren muss: <br />
register Sinatra::MultiRoute<br />
<br />
=[[Anycast_DNS]]=<br />
{{:Anycast_DNS}}</div>Christofhttps://kbu.freifunk.net/wiki/index.php?title=Supernode&diff=2725Supernode2014-08-18T21:12:01Z<p>Christof: /* fastd-service */</p>
<hr />
<div>{{TOCright}}<br />
<br />
== Voraussetzungen ==<br />
[[https://en.wikipedia.org/wiki/Supernode_%28networking%29 wikipedia-article]]<br />
<br />
Benötigte Software<br />
<br />
1) [[https://projects.universe-factory.net/projects/fastd fastd]] mesh-node-vpn<br />
<br />
2) [[https://github.com/ff-kbu/fastd-service vpn-key-upload]] todo: remove overhead (apache,ruby,sinatra ...), [https://en.wikipedia.org/wiki/KISS_principle kiss principle]]<br />
not documented in here (todo)<br />
<br />
3) [[http://www.open-mesh.org/projects/open-mesh/wiki batman-adv]]<br />
<br />
4) [[http://www.tinc-vpn.org/ tinc]] mesh-backbone-vpn<br />
<br />
5) OS: debian wheezy (or whatever you like)<br />
<br />
Du benötigst ausserdem: <br /><br />
* einen fastd-private-key <br />
* eine IPv4/IPv6 Adresse und ein Subnetz<br />
* eine IPv4 Adresse für das Backbone-Netz<br />
<br />
<br />
== Vorbereitungen ==<br />
In der /etc/sysctl.conf muss folgendes gesetzt sein:<br />
<pre><br />
cat >> /etc/sysctl.conf <<EOF<br />
net.ipv4.ip_forward=1<br />
net.ipv4.ip_no_pmtu_disc=1<br />
net.ipv4.route.flush=1<br />
net.ipv6.conf.all.forwarding=1<br />
net.ipv6.conf.all.autoconf=0<br />
net.ipv6.conf.all.accept_ra=0<br />
EOF<br />
</pre><br />
<br />
Danach die /etc/sysctl.conf neu einlesen:<br />
<pre><br />
sysctl -p<br />
</pre><br />
<br />
Für Batman-adv und fastd-Pakete in /etc/apt/apt/sources.list hinzufügen:<br />
<pre><br />
echo "deb http://repo.universe-factory.net/debian/ sid main" >>/etc/apt/sources.list<br />
</pre><br />
<br />
GPG-Key importieren:<br />
<pre><br />
gpg --keyserver pgpkeys.mit.edu --recv-key 16EF3F64CB201D9C<br />
gpg -a --export 16EF3F64CB201D9C | apt-key add -<br />
apt-get update<br />
</pre><br />
<br />
== Batman-adv ==<br />
=== Installation ===<br />
Dies sollte auf debian wheezy batman-adv 2013.4.0 installieren.<br />
<pre><br />
apt-get install batman-adv-dkms<br />
echo "batman-adv" >> /etc/modules<br />
</pre><br />
<br />
== fastd ==<br />
=== Installation ===<br />
<br />
<pre><br />
apt-get install fastd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
==== fastd.conf ====<br />
"[YOUR SECRET KEY HERE]" Sollte dabei durch den fastd-secret-key ersetzt werden (erfragen)<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn;<br />
cat > /etc/fastd/mesh-vpn/fastd.conf << EOF<br />
# Log warnings and errors to stderr<br />
#log level warn;<br />
log level error;<br />
<br />
# Log everything to a log file<br />
#log to "/var/log/fastd-mesh-vpn.log" level debug;<br />
log to "/var/log/fastd-mesh-vpn.log" level warn;<br />
<br />
# Set the interface name<br />
interface "mesh-vpn";<br />
<br />
# Support xsalsa20 and aes128 encryption methods, prefer xsalsa20<br />
method "salsa2012+gmac";<br />
method "null";<br />
<br />
# Bind to a fixed port, IPv4 only<br />
bind 0.0.0.0:10000;<br />
<br />
# Secret key generated by 'fastd --generate-key'<br />
secret "[YOUR SECRET KEY HERE]";<br />
<br />
# Set the interface MTU for TAP mode with xsalsa20/aes128 over IPv4 with a base MTU of 1492 (PPPoE)<br />
# (see MTU selection documentation)<br />
mtu 1426;<br />
<br />
# Include peers from the directory 'peers'<br />
include peers from "peers";<br />
include peers from "backbone";<br />
<br />
on up "./fastd-up";<br />
# on down "./fastd-down";<br />
<br />
on establish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=up -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
on disestablish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=down -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
EOF<br />
</pre><br />
Hinweise: <br />
* Username / Password stehen im Keypass. <br />
* Viewpoint (hier: fastd2) anpassen<br />
* Grundsätzlich wird die Node-ID nicht escpaed. Shell-code injections ist aber nicht möglich, da mon_serv nur node_ids der Form $mac_$key zulässt. <br />
* Die Calls auf der Script sind synchron - Daher "&". fastd blockiert solange das Script nicht terminiert ist. (Zumindest Stand 04/2014)<br />
Ordnerstruktur anlegen:<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn/backbone<br />
mkdir /etc/fastd/mesh-vpn/peers<br />
</pre><br />
<br />
==== Backbone ====<br />
Backbone Keys einrichten:<br />
<pre><br />
$:/etc/fastd/mesh-vpn# ls backbone/<br />
fastd1 fastd2 fastd3 fastd4 fastd5 fastd6 fastd7 fastd8<br />
$:/etc/fastd/mesh-vpn# cat backbone/*<br />
key "4f856d95bd596ac7724edca73a19e6e9d142b374df27166bb1a78e58785efc59";<br />
remote ipv4 "fastd1.kbu.freifunk.net" port 10000;<br />
<br />
key "e1916b66c4f8a795e217877cf72607d952e796463c7024dd9a6a47ae2929bc10";<br />
remote ipv4 "fastd2.kbu.freifunk.net" port 10000;<br />
<br />
key "d56181dfe9b5ac7cfe68a94c0ce406322a9924286a751673da0dcb28ad5218b0";<br />
remote ipv4 "fastd3.kbu.freifunk.net" port 10000;<br />
<br />
key "9b3f65f99963343e2785c8c4fad65e70b73ee7e1205d63bd84f3e2decb53e621";<br />
remote ipv4 "fastd4.kbu.freifunk.net" port 10000;<br />
<br />
key "6e4546121d16e7189715aef8ceb78ab58d59462720969318445f97b4301374d1";<br />
remote ipv4 "fastd5.kbu.freifunk.net" port 10000;<br />
<br />
key "2a2c69dbb3b9fd90d7eb8e2f70be70b472d811cd4f3743ad9f5002d14b5c94cd";<br />
remote ipv4 "fastd6.kbu.freifunk.net" port 10000;<br />
<br />
key "68de6815a89270c8eaf7832deedb8da098aad2ae5793cd2cd55dec3541ad28f2";<br />
remote ipv4 "fastd7.kbu.freifunk.net" port 10000;<br />
<br />
key "b41a9714b1178ce428b15af0b6055cc204b39af2088ef3b371d8c36219eedd1e";<br />
remote ipv4 "fastd8.kbu.freifunk.net" port 10000;<br />
</pre><br />
<br />
[[https://github.com/ff-kbu/fff/tree/v0.3-generic/files/lib/freifunk/mesh-vpn/backbone fastd-backbone]] for more<br />
<br />
==== fastd-up ====<br />
<pre><br />
cat > /etc/fastd/mesh-vpn/fastd-up << EOF<br />
#/bin/sh<br />
/sbin/ip link set dev mesh-vpn up<br />
/usr/sbin/batctl if add mesh-vpn<br />
/usr/sbin/batctl gw_mode server<br />
/sbin/ifconfig bat0 [DEINE IPv4 Addresse hier] netmask 255.255.192.0 up<br />
<br />
/sbin/ifconfig bat0:0 172.27.0.2 netmask 255.255.192.0 up<br />
<br />
/sbin/ip rule add from 172.27.0.0/18 table ffkbu<br />
/sbin/ip route add 172.27.0.0/18 dev bat0 table ffkbu<br />
/sbin/ip route flush cache<br />
EOF<br />
</pre><br />
<br />
fastd-up ausführbar machen:<br />
<pre><br />
chmod +x /etc/fastd/mesh-vpn/fastd-up<br />
</pre><br />
<br />
=== UDP-Queue Größe ===<br />
Durch Broadcasts können können auf Supernodes kurzzeitig hohe Lastspitzen enstehen. In der aktuellen batman-adv-Version wird jedes Broadcast-Paket zudem 3x auf jedem Link versendet.<br />
Die vergleichweise hohe Datenrate von 100MBit/s zwischen Supernodes bewirkt darüber hinaus, dass broadcast-Pakete mit 100MBit/s eingehen können, während sie gleichzeitig an alle Nodes gesendet werden müssen.<br />
<br />
Linux-Distributionen sehen per Default Queue-Größen im Bereich von 128 KB vor (http://www.cyberciti.biz/faq/linux-tcp-tuning/). Supernodes sind somit nicht in der Lage entsprechende Lastspitzen zu puffern und während Idle-Times zu versenden. Läuft die UDP-Queue über, so loggt fastd:<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
Jeder Log-Eintrag entspricht einem Paket, dass nicht enqueued werden konnte und damit verworfen wurde. Die Queue-Größen können via systctl angepasst werden (http://wwwx.cs.unc.edu/~sparkst/howto/network_tuning.php). Auf fastd2 wird zur Zeit verwendet:<br />
#/etc/sysctl.conf<br />
net.core.rmem_max=83886080<br />
net.core.wmem_max=83886080<br />
net.core.rmem_default=83886080<br />
net.core.wmem_default=83886080<br />
<br />
Das System verfügt dadurch über 80MB Speicher für Queues. Per default stehen ebenfalls 80MB zur Verfügung. Die konfigurierten 80MB reichen aus, um die 100MBit/s Verbindung über mehrere Sekunden auszulasten und Lastspitzen abzufangen.<br />
<br />
== Backbone Netz (tinc) ==<br />
=== Installation ===<br />
<pre><br />
apt-get install tinc bridge-utils<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
mkdir /etc/tinc/backbone<br />
echo "backbone" >> /etc/tinc/nets.boot # Dies sagt tinc, dass es das Netz "backbone" starten soll<br />
cd /etc/tinc/backbone<br />
# Public keys der anderen Teilnehmer:<br />
git clone https://github.com/ff-kbu/bbkeys<br />
ln -s bbkeys/ hosts<br />
</pre><br />
<br />
Jetzt fehlt noch des eigene Public/Private Keypaar. <br /><br />
Die Keys sollten in /etc/tinc/backbone gespeichert werden.<br /><br />
Den Public-Key in den Namen des Supernodes umbenennen und nach bbkeys/ kopieren.<br />
<pre><br />
tincd -K<br />
cp rsa_key.pub bbkeys/[supernodename]<br />
</pre><br />
Bevor jetzt der pub-key gepushed werden kann, muss tinc noch gesagt werden, welche Adressen über diesen Node zu routen sind. <br /><br />
Also im .pub key:<br />
<pre><br />
Subnet=172.27.255.X/32<br />
Subnet=172.27.Y.0/21<br />
Subnet=fdd3:5d16:b5dd:3::X/128<br />
Subnet=2001:67c:20a0:b10Z::/64<br />
<br />
-----BEGIN RSA PUBLIC KEY-----<br />
</pre><br />
Und schliesslich:<br />
<pre><br />
cd bbkeys; git push;<br />
</pre><br />
<br />
==== tinc.conf ====<br />
<pre><br />
cat > /etc/tinc/backbone/tinc.conf << EOF<br />
Name=[supernodename]<br />
Device=/dev/net/tun<br />
Mode=router<br />
Compression=9<br />
ConnectTo=paula<br />
ConnectTo=paul<br />
EOF<br />
</pre><br />
<br />
==== tinc-up ====<br />
'''Wichtig:''' in der datei muss wirklich $INTERFACE stehen. Tinc ersetzt dies automatisch durch das entsprechende interface bei ausführung.<br />
<pre><br />
cat > /etc/tinc/backbone/tinc-up << EOF<br />
#!/bin/sh<br />
ifconfig \$INTERFACE 172.27.255.[Backbone IPv4 Adresse hier] netmask 255.255.255.0 up<br />
<br />
ip route add 172.27.255.0/24 dev backbone table ffkbu<br />
ip route add default dev backbone table ffkbu<br />
ip -6 addr add fdd3:5d16:b5dd:3::X/64 dev \$INTERFACE<br />
ip -6 addr add 2001:67c:20a0:b10Y::1/128 dev \$INTERFACE<br />
ip -6 route add default via fdd3:5d16:b5dd:3::3<br />
EOF<br />
</pre><br />
<br />
Auch diese Datei muss ausführbar gemacht werden:<br />
<pre><br />
chmod +x /etc/tinc/backbone/tinc-up<br />
</pre><br />
<br />
Danach sollte der Ordner etwa so aussehen:<br />
<pre><br />
$:/etc/tinc/backbone# ls <br />
bbkeys<br />
hosts -> bbkeys<br />
rsa_key.priv<br />
rsa_key.pub<br />
tinc.conf<br />
tinc-up<br />
</pre><br />
<br />
== Routing ==<br />
<br />
we need to set up policy based routing.<br />
<br />
<pre><br />
echo "200 ffkbu" >> /etc/iproute2/rt_tables<br />
</pre><br />
fastd-up und tinc-up erledigen den rest: <br /><br />
<br />
ip rule ls<br />
<pre><br />
ip rule ls<br />
0: from all lookup local <br />
32765: from 172.27.0.0/18 lookup ffkbu <br />
32766: from all lookup main <br />
32767: from all lookup default<br />
</pre><br />
<br />
ip route list table ffkbu<br />
<pre><br />
ip route list table ffkbu<br />
default dev backbone scope link <br />
172.27.0.0/18 dev bat0 scope link <br />
172.27.255.0/24 dev backbone scope link <br />
</pre><br />
<br />
== IPv4 DHCP ==<br />
=== Installation ===<br />
<pre><br />
apt-get install isc-dhcp-server<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/dhcp/dhcpd.conf << EOF<br />
<br />
option domain-name "mesh.kbu.freifunk.net";<br />
option domain-name-servers 85.214.20.141, 213.73.91.35;<br />
<br />
default-lease-time 60;<br />
max-lease-time 720;<br />
<br />
log-facility local7;<br />
<br />
subnet 172.27.0.0 netmask 255.255.192.0 {<br />
range 172.27.X.10 172.27.Y.255;<br />
option routers 172.27.X.1;<br />
}<br />
EOF<br />
</pre><br />
<br />
== IPv6 ==<br />
=== Installation ===<br />
<pre><br />
apt-get install radvd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/radvd.conf << EOF<br />
interface bat0 {<br />
AdvSendAdvert on;<br />
AdvHomeAgentFlag off;<br />
MinRtrAdvInterval 10;<br />
MaxRtrAdvInterval 30;<br />
AdvOtherConfigFlag on;<br />
AdvSourceLLAddress off;<br />
AdvLinkMTU 1350; #1442 - fastd - batman-adv - See wiki for details<br />
prefix 2001:67c:20a0:b10Y::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
prefix fdd3:5d16:b5dd::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
};<br />
EOF<br />
<br />
/etc/init.d/radvd start<br />
</pre><br />
<br />
=fastd-service=<br />
Achtung, Pfade und Hostnamen anpassen. Das ist hier exemplarisch <br />
apt-get install apache2 ruby-sinatra libapache2-mod-passenger sudo psmisc git<br />
mkdir -p /srv/fastd1.ffm.freifunk.net<br />
cd /srv/fastd1.ffm.freifunk.net<br />
git clone https://github.com/freifunk-ffm/fastd-service.git<br />
<br />
<pre><br />
cat >> /etc/apache2/sites-enabled/000-fastd1.conf <<EOF<br />
<VirtualHost *:80><br />
ServerAdmin info@EMAIL<br />
DocumentRoot /srv/www/fastd1.ffm.freifunk.net/fastd-service/public<br />
<Directory /srv/www/fastd1.ffm.freifunk.net/fastd-service/public><br />
Allow from all<br />
Options -MultiViews<br />
</Directory><br />
ErrorLog /srv/www/fastd1.ffm.freifunk.net/logs/error.log<br />
CustomLog /srv/www/fastd1.ffm.freifunk.net/logs/access.log combined<br />
</VirtualHost><br />
EOF<br />
</pre><br />
<br />
Anpassung der conf.yml:<br />
register_url: http://USER:PASSWORT@register.bb.ffm.freifunk.net<br />
crash_dump_path: /var/log/ath9k-crash<br />
fastd_peer_dir: /etc/fastd/mesh-vpn/peers<br />
fastd_reload_cmd: sudo ./fastd_hup<br />
<br />
gem install netaddr json sinatra sinatra-contrib rack rails rake <br />
chown -R www-data /srv/fastd1.ffm.freifunk.net<br />
<br />
Anmerkung:<br />
Es kann sein, dass man infastd_service.rb folgende Zeile auskommentieren muss: <br />
register Sinatra::MultiRoute<br />
<br />
=[[Anycast_DNS]]=<br />
{{:Anycast_DNS}}</div>Christofhttps://kbu.freifunk.net/wiki/index.php?title=Supernode&diff=2724Supernode2014-08-15T17:10:27Z<p>Christof: </p>
<hr />
<div>{{TOCright}}<br />
<br />
== Voraussetzungen ==<br />
[[https://en.wikipedia.org/wiki/Supernode_%28networking%29 wikipedia-article]]<br />
<br />
Benötigte Software<br />
<br />
1) [[https://projects.universe-factory.net/projects/fastd fastd]] mesh-node-vpn<br />
<br />
2) [[https://github.com/ff-kbu/fastd-service vpn-key-upload]] todo: remove overhead (apache,ruby,sinatra ...), [https://en.wikipedia.org/wiki/KISS_principle kiss principle]]<br />
not documented in here (todo)<br />
<br />
3) [[http://www.open-mesh.org/projects/open-mesh/wiki batman-adv]]<br />
<br />
4) [[http://www.tinc-vpn.org/ tinc]] mesh-backbone-vpn<br />
<br />
5) OS: debian wheezy (or whatever you like)<br />
<br />
Du benötigst ausserdem: <br /><br />
* einen fastd-private-key <br />
* eine IPv4/IPv6 Adresse und ein Subnetz<br />
* eine IPv4 Adresse für das Backbone-Netz<br />
<br />
<br />
== Vorbereitungen ==<br />
In der /etc/sysctl.conf muss folgendes gesetzt sein:<br />
<pre><br />
cat >> /etc/sysctl.conf <<EOF<br />
net.ipv4.ip_forward=1<br />
net.ipv4.ip_no_pmtu_disc=1<br />
net.ipv4.route.flush=1<br />
net.ipv6.conf.all.forwarding=1<br />
net.ipv6.conf.all.autoconf=0<br />
net.ipv6.conf.all.accept_ra=0<br />
EOF<br />
</pre><br />
<br />
Danach die /etc/sysctl.conf neu einlesen:<br />
<pre><br />
sysctl -p<br />
</pre><br />
<br />
Für Batman-adv und fastd-Pakete in /etc/apt/apt/sources.list hinzufügen:<br />
<pre><br />
echo "deb http://repo.universe-factory.net/debian/ sid main" >>/etc/apt/sources.list<br />
</pre><br />
<br />
GPG-Key importieren:<br />
<pre><br />
gpg --keyserver pgpkeys.mit.edu --recv-key 16EF3F64CB201D9C<br />
gpg -a --export 16EF3F64CB201D9C | apt-key add -<br />
apt-get update<br />
</pre><br />
<br />
== Batman-adv ==<br />
=== Installation ===<br />
Dies sollte auf debian wheezy batman-adv 2013.4.0 installieren.<br />
<pre><br />
apt-get install batman-adv-dkms<br />
echo "batman-adv" >> /etc/modules<br />
</pre><br />
<br />
== fastd ==<br />
=== Installation ===<br />
<br />
<pre><br />
apt-get install fastd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
==== fastd.conf ====<br />
"[YOUR SECRET KEY HERE]" Sollte dabei durch den fastd-secret-key ersetzt werden (erfragen)<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn;<br />
cat > /etc/fastd/mesh-vpn/fastd.conf << EOF<br />
# Log warnings and errors to stderr<br />
#log level warn;<br />
log level error;<br />
<br />
# Log everything to a log file<br />
#log to "/var/log/fastd-mesh-vpn.log" level debug;<br />
log to "/var/log/fastd-mesh-vpn.log" level warn;<br />
<br />
# Set the interface name<br />
interface "mesh-vpn";<br />
<br />
# Support xsalsa20 and aes128 encryption methods, prefer xsalsa20<br />
method "salsa2012+gmac";<br />
method "null";<br />
<br />
# Bind to a fixed port, IPv4 only<br />
bind 0.0.0.0:10000;<br />
<br />
# Secret key generated by 'fastd --generate-key'<br />
secret "[YOUR SECRET KEY HERE]";<br />
<br />
# Set the interface MTU for TAP mode with xsalsa20/aes128 over IPv4 with a base MTU of 1492 (PPPoE)<br />
# (see MTU selection documentation)<br />
mtu 1426;<br />
<br />
# Include peers from the directory 'peers'<br />
include peers from "peers";<br />
include peers from "backbone";<br />
<br />
on up "./fastd-up";<br />
# on down "./fastd-down";<br />
<br />
on establish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=up -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
on disestablish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=down -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
EOF<br />
</pre><br />
Hinweise: <br />
* Username / Password stehen im Keypass. <br />
* Viewpoint (hier: fastd2) anpassen<br />
* Grundsätzlich wird die Node-ID nicht escpaed. Shell-code injections ist aber nicht möglich, da mon_serv nur node_ids der Form $mac_$key zulässt. <br />
* Die Calls auf der Script sind synchron - Daher "&". fastd blockiert solange das Script nicht terminiert ist. (Zumindest Stand 04/2014)<br />
Ordnerstruktur anlegen:<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn/backbone<br />
mkdir /etc/fastd/mesh-vpn/peers<br />
</pre><br />
<br />
==== Backbone ====<br />
Backbone Keys einrichten:<br />
<pre><br />
$:/etc/fastd/mesh-vpn# ls backbone/<br />
fastd1 fastd2 fastd3 fastd4 fastd5 fastd6 fastd7 fastd8<br />
$:/etc/fastd/mesh-vpn# cat backbone/*<br />
key "4f856d95bd596ac7724edca73a19e6e9d142b374df27166bb1a78e58785efc59";<br />
remote ipv4 "fastd1.kbu.freifunk.net" port 10000;<br />
<br />
key "e1916b66c4f8a795e217877cf72607d952e796463c7024dd9a6a47ae2929bc10";<br />
remote ipv4 "fastd2.kbu.freifunk.net" port 10000;<br />
<br />
key "d56181dfe9b5ac7cfe68a94c0ce406322a9924286a751673da0dcb28ad5218b0";<br />
remote ipv4 "fastd3.kbu.freifunk.net" port 10000;<br />
<br />
key "9b3f65f99963343e2785c8c4fad65e70b73ee7e1205d63bd84f3e2decb53e621";<br />
remote ipv4 "fastd4.kbu.freifunk.net" port 10000;<br />
<br />
key "6e4546121d16e7189715aef8ceb78ab58d59462720969318445f97b4301374d1";<br />
remote ipv4 "fastd5.kbu.freifunk.net" port 10000;<br />
<br />
key "2a2c69dbb3b9fd90d7eb8e2f70be70b472d811cd4f3743ad9f5002d14b5c94cd";<br />
remote ipv4 "fastd6.kbu.freifunk.net" port 10000;<br />
<br />
key "68de6815a89270c8eaf7832deedb8da098aad2ae5793cd2cd55dec3541ad28f2";<br />
remote ipv4 "fastd7.kbu.freifunk.net" port 10000;<br />
<br />
key "b41a9714b1178ce428b15af0b6055cc204b39af2088ef3b371d8c36219eedd1e";<br />
remote ipv4 "fastd8.kbu.freifunk.net" port 10000;<br />
</pre><br />
<br />
[[https://github.com/ff-kbu/fff/tree/v0.3-generic/files/lib/freifunk/mesh-vpn/backbone fastd-backbone]] for more<br />
<br />
==== fastd-up ====<br />
<pre><br />
cat > /etc/fastd/mesh-vpn/fastd-up << EOF<br />
#/bin/sh<br />
/sbin/ip link set dev mesh-vpn up<br />
/usr/sbin/batctl if add mesh-vpn<br />
/usr/sbin/batctl gw_mode server<br />
/sbin/ifconfig bat0 [DEINE IPv4 Addresse hier] netmask 255.255.192.0 up<br />
<br />
/sbin/ifconfig bat0:0 172.27.0.2 netmask 255.255.192.0 up<br />
<br />
/sbin/ip rule add from 172.27.0.0/18 table ffkbu<br />
/sbin/ip route add 172.27.0.0/18 dev bat0 table ffkbu<br />
/sbin/ip route flush cache<br />
EOF<br />
</pre><br />
<br />
fastd-up ausführbar machen:<br />
<pre><br />
chmod +x /etc/fastd/mesh-vpn/fastd-up<br />
</pre><br />
<br />
=== UDP-Queue Größe ===<br />
Durch Broadcasts können können auf Supernodes kurzzeitig hohe Lastspitzen enstehen. In der aktuellen batman-adv-Version wird jedes Broadcast-Paket zudem 3x auf jedem Link versendet.<br />
Die vergleichweise hohe Datenrate von 100MBit/s zwischen Supernodes bewirkt darüber hinaus, dass broadcast-Pakete mit 100MBit/s eingehen können, während sie gleichzeitig an alle Nodes gesendet werden müssen.<br />
<br />
Linux-Distributionen sehen per Default Queue-Größen im Bereich von 128 KB vor (http://www.cyberciti.biz/faq/linux-tcp-tuning/). Supernodes sind somit nicht in der Lage entsprechende Lastspitzen zu puffern und während Idle-Times zu versenden. Läuft die UDP-Queue über, so loggt fastd:<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
Jeder Log-Eintrag entspricht einem Paket, dass nicht enqueued werden konnte und damit verworfen wurde. Die Queue-Größen können via systctl angepasst werden (http://wwwx.cs.unc.edu/~sparkst/howto/network_tuning.php). Auf fastd2 wird zur Zeit verwendet:<br />
#/etc/sysctl.conf<br />
net.core.rmem_max=83886080<br />
net.core.wmem_max=83886080<br />
net.core.rmem_default=83886080<br />
net.core.wmem_default=83886080<br />
<br />
Das System verfügt dadurch über 80MB Speicher für Queues. Per default stehen ebenfalls 80MB zur Verfügung. Die konfigurierten 80MB reichen aus, um die 100MBit/s Verbindung über mehrere Sekunden auszulasten und Lastspitzen abzufangen.<br />
<br />
== Backbone Netz (tinc) ==<br />
=== Installation ===<br />
<pre><br />
apt-get install tinc bridge-utils<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
mkdir /etc/tinc/backbone<br />
echo "backbone" >> /etc/tinc/nets.boot # Dies sagt tinc, dass es das Netz "backbone" starten soll<br />
cd /etc/tinc/backbone<br />
# Public keys der anderen Teilnehmer:<br />
git clone https://github.com/ff-kbu/bbkeys<br />
ln -s bbkeys/ hosts<br />
</pre><br />
<br />
Jetzt fehlt noch des eigene Public/Private Keypaar. <br /><br />
Die Keys sollten in /etc/tinc/backbone gespeichert werden.<br /><br />
Den Public-Key in den Namen des Supernodes umbenennen und nach bbkeys/ kopieren.<br />
<pre><br />
tincd -K<br />
cp rsa_key.pub bbkeys/[supernodename]<br />
</pre><br />
Bevor jetzt der pub-key gepushed werden kann, muss tinc noch gesagt werden, welche Adressen über diesen Node zu routen sind. <br /><br />
Also im .pub key:<br />
<pre><br />
Subnet=172.27.255.X/32<br />
Subnet=172.27.Y.0/21<br />
Subnet=fdd3:5d16:b5dd:3::X/128<br />
Subnet=2001:67c:20a0:b10Z::/64<br />
<br />
-----BEGIN RSA PUBLIC KEY-----<br />
</pre><br />
Und schliesslich:<br />
<pre><br />
cd bbkeys; git push;<br />
</pre><br />
<br />
==== tinc.conf ====<br />
<pre><br />
cat > /etc/tinc/backbone/tinc.conf << EOF<br />
Name=[supernodename]<br />
Device=/dev/net/tun<br />
Mode=router<br />
Compression=9<br />
ConnectTo=paula<br />
ConnectTo=paul<br />
EOF<br />
</pre><br />
<br />
==== tinc-up ====<br />
'''Wichtig:''' in der datei muss wirklich $INTERFACE stehen. Tinc ersetzt dies automatisch durch das entsprechende interface bei ausführung.<br />
<pre><br />
cat > /etc/tinc/backbone/tinc-up << EOF<br />
#!/bin/sh<br />
ifconfig \$INTERFACE 172.27.255.[Backbone IPv4 Adresse hier] netmask 255.255.255.0 up<br />
<br />
ip route add 172.27.255.0/24 dev backbone table ffkbu<br />
ip route add default dev backbone table ffkbu<br />
ip -6 addr add fdd3:5d16:b5dd:3::X/64 dev \$INTERFACE<br />
ip -6 addr add 2001:67c:20a0:b10Y::1/128 dev \$INTERFACE<br />
ip -6 route add default via fdd3:5d16:b5dd:3::3<br />
EOF<br />
</pre><br />
<br />
Auch diese Datei muss ausführbar gemacht werden:<br />
<pre><br />
chmod +x /etc/tinc/backbone/tinc-up<br />
</pre><br />
<br />
Danach sollte der Ordner etwa so aussehen:<br />
<pre><br />
$:/etc/tinc/backbone# ls <br />
bbkeys<br />
hosts -> bbkeys<br />
rsa_key.priv<br />
rsa_key.pub<br />
tinc.conf<br />
tinc-up<br />
</pre><br />
<br />
== Routing ==<br />
<br />
we need to set up policy based routing.<br />
<br />
<pre><br />
echo "200 ffkbu" >> /etc/iproute2/rt_tables<br />
</pre><br />
fastd-up und tinc-up erledigen den rest: <br /><br />
<br />
ip rule ls<br />
<pre><br />
ip rule ls<br />
0: from all lookup local <br />
32765: from 172.27.0.0/18 lookup ffkbu <br />
32766: from all lookup main <br />
32767: from all lookup default<br />
</pre><br />
<br />
ip route list table ffkbu<br />
<pre><br />
ip route list table ffkbu<br />
default dev backbone scope link <br />
172.27.0.0/18 dev bat0 scope link <br />
172.27.255.0/24 dev backbone scope link <br />
</pre><br />
<br />
== IPv4 DHCP ==<br />
=== Installation ===<br />
<pre><br />
apt-get install isc-dhcp-server<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/dhcp/dhcpd.conf << EOF<br />
<br />
option domain-name "mesh.kbu.freifunk.net";<br />
option domain-name-servers 85.214.20.141, 213.73.91.35;<br />
<br />
default-lease-time 60;<br />
max-lease-time 720;<br />
<br />
log-facility local7;<br />
<br />
subnet 172.27.0.0 netmask 255.255.192.0 {<br />
range 172.27.X.10 172.27.Y.255;<br />
option routers 172.27.X.1;<br />
}<br />
EOF<br />
</pre><br />
<br />
== IPv6 ==<br />
=== Installation ===<br />
<pre><br />
apt-get install radvd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/radvd.conf << EOF<br />
interface bat0 {<br />
AdvSendAdvert on;<br />
AdvHomeAgentFlag off;<br />
MinRtrAdvInterval 10;<br />
MaxRtrAdvInterval 30;<br />
AdvOtherConfigFlag on;<br />
AdvSourceLLAddress off;<br />
AdvLinkMTU 1350; #1442 - fastd - batman-adv - See wiki for details<br />
prefix 2001:67c:20a0:b10Y::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
prefix fdd3:5d16:b5dd::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
};<br />
EOF<br />
<br />
/etc/init.d/radvd start<br />
</pre><br />
<br />
=fastd-service=<br />
Achtung, Pfade und Hostnamen anpassen. Das ist hier exemplarisch <br />
apt-get install apache2 ruby-sinatra libapache2-mod-passenger sudo psmisc git<br />
mkdir -p /srv/fastd1.ffm.freifunk.net<br />
cd /srv/fastd1.ffm.freifunk.net<br />
git clone https://github.com/freifunk-ffm/fastd-service.git<br />
<br />
cat >> /etc/apache2/sites-enabled/000-fastd1.conf<br />
<VirtualHost *:80><br />
ServerAdmin info@EMAIL<br />
DocumentRoot /srv/www/fastd1.ffm.freifunk.net/fastd-service/public<br />
<Directory /srv/www/fastd1.ffm.freifunk.net/fastd-service/public><br />
Allow from all<br />
Options -MultiViews<br />
</Directory><br />
ErrorLog /srv/www/fastd1.ffm.freifunk.net/logs/error.log<br />
CustomLog /srv/www/fastd1.ffm.freifunk.net/logs/access.log combined<br />
</VirtualHost><br />
<br />
Anpassung der conf.yml:<br />
register_url: http://USER:PASSWORT@register.bb.ffm.freifunk.net<br />
crash_dump_path: /var/log/ath9k-crash<br />
fastd_peer_dir: /etc/fastd/mesh-vpn/peers<br />
fastd_reload_cmd: sudo ./fastd_hup<br />
<br />
gem install netaddr json sinatra sinatra-contrib rack rails rake <br />
chown -R www-data /srv/fastd1.ffm.freifunk.net<br />
<br />
Anmerkung:<br />
Es kann sein, dass man infastd_service.rb folgende Zeile auskommentieren muss: <br />
register Sinatra::MultiRoute<br />
<br />
<br />
=[[Anycast_DNS]]=<br />
{{:Anycast_DNS}}</div>Christofhttps://kbu.freifunk.net/wiki/index.php?title=Supernode&diff=2723Supernode2014-08-12T23:23:26Z<p>Christof: /* Installation */</p>
<hr />
<div>{{TOCright}}<br />
<br />
== Voraussetzungen ==<br />
[[https://en.wikipedia.org/wiki/Supernode_%28networking%29 wikipedia-article]]<br />
<br />
Benötigte Software<br />
<br />
1) [[https://projects.universe-factory.net/projects/fastd fastd]] mesh-node-vpn<br />
<br />
2) [[https://github.com/ff-kbu/fastd-service vpn-key-upload]] todo: remove overhead (apache,ruby,sinatra ...), [https://en.wikipedia.org/wiki/KISS_principle kiss principle]]<br />
not documented in here (todo)<br />
<br />
3) [[http://www.open-mesh.org/projects/open-mesh/wiki batman-adv]]<br />
<br />
4) [[http://www.tinc-vpn.org/ tinc]] mesh-backbone-vpn<br />
<br />
5) OS: debian wheezy (or whatever you like)<br />
<br />
Du benötigst ausserdem: <br /><br />
* einen fastd-private-key <br />
* eine IPv4/IPv6 Adresse und ein Subnetz<br />
* eine IPv4 Adresse für das Backbone-Netz<br />
<br />
<br />
== Vorbereitungen ==<br />
In der /etc/sysctl.conf muss folgendes gesetzt sein:<br />
<pre><br />
cat >> /etc/sysctl.conf <<EOF<br />
net.ipv4.ip_forward=1<br />
net.ipv4.ip_no_pmtu_disc=1<br />
net.ipv4.route.flush=1<br />
net.ipv6.conf.all.forwarding=1<br />
net.ipv6.conf.all.autoconf=0<br />
net.ipv6.conf.all.accept_ra=0<br />
EOF<br />
</pre><br />
<br />
Danach die /etc/sysctl.conf neu einlesen:<br />
<pre><br />
sysctl -p<br />
</pre><br />
<br />
Für Batman-adv und fastd-Pakete in /etc/apt/apt/sources.list hinzufügen:<br />
<pre><br />
echo "deb http://repo.universe-factory.net/debian/ sid main" >>/etc/apt/sources.list<br />
</pre><br />
<br />
GPG-Key importieren:<br />
<pre><br />
gpg --keyserver pgpkeys.mit.edu --recv-key 16EF3F64CB201D9C<br />
gpg -a --export 16EF3F64CB201D9C | apt-key add -<br />
apt-get update<br />
</pre><br />
<br />
== Batman-adv ==<br />
=== Installation ===<br />
Dies sollte auf debian wheezy batman-adv 2013.4.0 installieren.<br />
<pre><br />
apt-get install batman-adv-dkms<br />
echo "batman-adv" >> /etc/modules<br />
</pre><br />
<br />
== fastd ==<br />
=== Installation ===<br />
<br />
<pre><br />
apt-get install fastd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
==== fastd.conf ====<br />
"[YOUR SECRET KEY HERE]" Sollte dabei durch den fastd-secret-key ersetzt werden (erfragen)<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn;<br />
cat > /etc/fastd/mesh-vpn/fastd.conf << EOF<br />
# Log warnings and errors to stderr<br />
#log level warn;<br />
log level error;<br />
<br />
# Log everything to a log file<br />
#log to "/var/log/fastd-mesh-vpn.log" level debug;<br />
log to "/var/log/fastd-mesh-vpn.log" level warn;<br />
<br />
# Set the interface name<br />
interface "mesh-vpn";<br />
<br />
# Support xsalsa20 and aes128 encryption methods, prefer xsalsa20<br />
method "salsa2012+gmac";<br />
method "null";<br />
<br />
# Bind to a fixed port, IPv4 only<br />
bind 0.0.0.0:10000;<br />
<br />
# Secret key generated by 'fastd --generate-key'<br />
secret "[YOUR SECRET KEY HERE]";<br />
<br />
# Set the interface MTU for TAP mode with xsalsa20/aes128 over IPv4 with a base MTU of 1492 (PPPoE)<br />
# (see MTU selection documentation)<br />
mtu 1426;<br />
<br />
# Include peers from the directory 'peers'<br />
include peers from "peers";<br />
include peers from "backbone";<br />
<br />
on up "./fastd-up";<br />
# on down "./fastd-down";<br />
<br />
on establish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=up -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
on disestablish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=down -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
EOF<br />
</pre><br />
Hinweise: <br />
* Username / Password stehen im Keypass. <br />
* Viewpoint (hier: fastd2) anpassen<br />
* Grundsätzlich wird die Node-ID nicht escpaed. Shell-code injections ist aber nicht möglich, da mon_serv nur node_ids der Form $mac_$key zulässt. <br />
* Die Calls auf der Script sind synchron - Daher "&". fastd blockiert solange das Script nicht terminiert ist. (Zumindest Stand 04/2014)<br />
Ordnerstruktur anlegen:<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn/backbone<br />
mkdir /etc/fastd/mesh-vpn/peers<br />
</pre><br />
<br />
==== Backbone ====<br />
Backbone Keys einrichten:<br />
<pre><br />
$:/etc/fastd/mesh-vpn# ls backbone/<br />
fastd1 fastd2 fastd3 fastd4 fastd5 fastd6 fastd7 fastd8<br />
$:/etc/fastd/mesh-vpn# cat backbone/*<br />
key "4f856d95bd596ac7724edca73a19e6e9d142b374df27166bb1a78e58785efc59";<br />
remote ipv4 "fastd1.kbu.freifunk.net" port 10000;<br />
<br />
key "e1916b66c4f8a795e217877cf72607d952e796463c7024dd9a6a47ae2929bc10";<br />
remote ipv4 "fastd2.kbu.freifunk.net" port 10000;<br />
<br />
key "d56181dfe9b5ac7cfe68a94c0ce406322a9924286a751673da0dcb28ad5218b0";<br />
remote ipv4 "fastd3.kbu.freifunk.net" port 10000;<br />
<br />
key "9b3f65f99963343e2785c8c4fad65e70b73ee7e1205d63bd84f3e2decb53e621";<br />
remote ipv4 "fastd4.kbu.freifunk.net" port 10000;<br />
<br />
key "6e4546121d16e7189715aef8ceb78ab58d59462720969318445f97b4301374d1";<br />
remote ipv4 "fastd5.kbu.freifunk.net" port 10000;<br />
<br />
key "2a2c69dbb3b9fd90d7eb8e2f70be70b472d811cd4f3743ad9f5002d14b5c94cd";<br />
remote ipv4 "fastd6.kbu.freifunk.net" port 10000;<br />
<br />
key "68de6815a89270c8eaf7832deedb8da098aad2ae5793cd2cd55dec3541ad28f2";<br />
remote ipv4 "fastd7.kbu.freifunk.net" port 10000;<br />
<br />
key "b41a9714b1178ce428b15af0b6055cc204b39af2088ef3b371d8c36219eedd1e";<br />
remote ipv4 "fastd8.kbu.freifunk.net" port 10000;<br />
</pre><br />
<br />
[[https://github.com/ff-kbu/fff/tree/v0.3-generic/files/lib/freifunk/mesh-vpn/backbone fastd-backbone]] for more<br />
<br />
==== fastd-up ====<br />
<pre><br />
cat > /etc/fastd/mesh-vpn/fastd-up << EOF<br />
#/bin/sh<br />
/sbin/ip link set dev mesh-vpn up<br />
/usr/sbin/batctl if add mesh-vpn<br />
/usr/sbin/batctl gw_mode server<br />
/sbin/ifconfig bat0 [DEINE IPv4 Addresse hier] netmask 255.255.192.0 up<br />
<br />
/sbin/ifconfig bat0:0 172.27.0.2 netmask 255.255.192.0 up<br />
<br />
/sbin/ip rule add from 172.27.0.0/18 table ffkbu<br />
/sbin/ip route add 172.27.0.0/18 dev bat0 table ffkbu<br />
/sbin/ip route flush cache<br />
EOF<br />
</pre><br />
<br />
fastd-up ausführbar machen:<br />
<pre><br />
chmod +x /etc/fastd/mesh-vpn/fastd-up<br />
</pre><br />
<br />
=== UDP-Queue Größe ===<br />
Durch Broadcasts können können auf Supernodes kurzzeitig hohe Lastspitzen enstehen. In der aktuellen batman-adv-Version wird jedes Broadcast-Paket zudem 3x auf jedem Link versendet.<br />
Die vergleichweise hohe Datenrate von 100MBit/s zwischen Supernodes bewirkt darüber hinaus, dass broadcast-Pakete mit 100MBit/s eingehen können, während sie gleichzeitig an alle Nodes gesendet werden müssen.<br />
<br />
Linux-Distributionen sehen per Default Queue-Größen im Bereich von 128 KB vor (http://www.cyberciti.biz/faq/linux-tcp-tuning/). Supernodes sind somit nicht in der Lage entsprechende Lastspitzen zu puffern und während Idle-Times zu versenden. Läuft die UDP-Queue über, so loggt fastd:<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
Jeder Log-Eintrag entspricht einem Paket, dass nicht enqueued werden konnte und damit verworfen wurde. Die Queue-Größen können via systctl angepasst werden (http://wwwx.cs.unc.edu/~sparkst/howto/network_tuning.php). Auf fastd2 wird zur Zeit verwendet:<br />
#/etc/sysctl.conf<br />
net.core.rmem_max=83886080<br />
net.core.wmem_max=83886080<br />
net.core.rmem_default=83886080<br />
net.core.wmem_default=83886080<br />
<br />
Das System verfügt dadurch über 80MB Speicher für Queues. Per default stehen ebenfalls 80MB zur Verfügung. Die konfigurierten 80MB reichen aus, um die 100MBit/s Verbindung über mehrere Sekunden auszulasten und Lastspitzen abzufangen.<br />
<br />
== Backbone Netz (tinc) ==<br />
=== Installation ===<br />
<pre><br />
apt-get install tinc bridge-utils<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
mkdir /etc/tinc/backbone<br />
echo "backbone" >> /etc/tinc/nets.boot # Dies sagt tinc, dass es das Netz "backbone" starten soll<br />
cd /etc/tinc/backbone<br />
# Public keys der anderen Teilnehmer:<br />
git clone https://github.com/ff-kbu/bbkeys<br />
ln -s bbkeys/ hosts<br />
</pre><br />
<br />
Jetzt fehlt noch des eigene Public/Private Keypaar. <br /><br />
Die Keys sollten in /etc/tinc/backbone gespeichert werden.<br /><br />
Den Public-Key in den Namen des Supernodes umbenennen und nach bbkeys/ kopieren.<br />
<pre><br />
tincd -K<br />
cp rsa_key.pub bbkeys/[supernodename]<br />
</pre><br />
Bevor jetzt der pub-key gepushed werden kann, muss tinc noch gesagt werden, welche Adressen über diesen Node zu routen sind. <br /><br />
Also im .pub key:<br />
<pre><br />
Subnet=172.27.255.X/32<br />
Subnet=172.27.Y.0/21<br />
Subnet=fdd3:5d16:b5dd:3::X/128<br />
Subnet=2001:67c:20a0:b10Z::/64<br />
<br />
-----BEGIN RSA PUBLIC KEY-----<br />
</pre><br />
Und schliesslich:<br />
<pre><br />
cd bbkeys; git push;<br />
</pre><br />
<br />
==== tinc.conf ====<br />
<pre><br />
cat > /etc/tinc/backbone/tinc.conf << EOF<br />
Name=[supernodename]<br />
Device=/dev/net/tun<br />
Mode=router<br />
Compression=9<br />
ConnectTo=paula<br />
ConnectTo=paul<br />
EOF<br />
</pre><br />
<br />
==== tinc-up ====<br />
'''Wichtig:''' in der datei muss wirklich $INTERFACE stehen. Tinc ersetzt dies automatisch durch das entsprechende interface bei ausführung.<br />
<pre><br />
cat > /etc/tinc/backbone/tinc-up << EOF<br />
#!/bin/sh<br />
ifconfig \$INTERFACE 172.27.255.[Backbone IPv4 Adresse hier] netmask 255.255.255.0 up<br />
<br />
ip route add 172.27.255.0/24 dev backbone table ffkbu<br />
ip route add default dev backbone table ffkbu<br />
ip -6 addr add fdd3:5d16:b5dd:3::X/64 dev \$INTERFACE<br />
ip -6 addr add 2001:67c:20a0:b10Y::1/128 dev \$INTERFACE<br />
ip -6 route add default via fdd3:5d16:b5dd:3::3<br />
EOF<br />
</pre><br />
<br />
Auch diese Datei muss ausführbar gemacht werden:<br />
<pre><br />
chmod +x /etc/tinc/backbone/tinc-up<br />
</pre><br />
<br />
Danach sollte der Ordner etwa so aussehen:<br />
<pre><br />
$:/etc/tinc/backbone# ls <br />
bbkeys<br />
hosts -> bbkeys<br />
rsa_key.priv<br />
rsa_key.pub<br />
tinc.conf<br />
tinc-up<br />
</pre><br />
<br />
== Routing ==<br />
<br />
we need to set up policy based routing.<br />
<br />
<pre><br />
echo "200 ffkbu" >> /etc/iproute2/rt_tables<br />
</pre><br />
fastd-up und tinc-up erledigen den rest: <br /><br />
<br />
ip rule ls<br />
<pre><br />
ip rule ls<br />
0: from all lookup local <br />
32765: from 172.27.0.0/18 lookup ffkbu <br />
32766: from all lookup main <br />
32767: from all lookup default<br />
</pre><br />
<br />
ip route list table ffkbu<br />
<pre><br />
ip route list table ffkbu<br />
default dev backbone scope link <br />
172.27.0.0/18 dev bat0 scope link <br />
172.27.255.0/24 dev backbone scope link <br />
</pre><br />
<br />
== IPv4 DHCP ==<br />
=== Installation ===<br />
<pre><br />
apt-get install isc-dhcp-server<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/dhcp/dhcpd.conf << EOF<br />
<br />
option domain-name "mesh.kbu.freifunk.net";<br />
option domain-name-servers 85.214.20.141, 213.73.91.35;<br />
<br />
default-lease-time 60;<br />
max-lease-time 720;<br />
<br />
log-facility local7;<br />
<br />
subnet 172.27.0.0 netmask 255.255.192.0 {<br />
range 172.27.X.10 172.27.Y.255;<br />
option routers 172.27.X.1;<br />
}<br />
EOF<br />
</pre><br />
<br />
== IPv6 ==<br />
=== Installation ===<br />
<pre><br />
apt-get install radvd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/radvd.conf << EOF<br />
interface bat0 {<br />
AdvSendAdvert on;<br />
AdvHomeAgentFlag off;<br />
MinRtrAdvInterval 10;<br />
MaxRtrAdvInterval 30;<br />
AdvOtherConfigFlag on;<br />
AdvSourceLLAddress off;<br />
AdvLinkMTU 1350; #1442 - fastd - batman-adv - See wiki for details<br />
prefix 2001:67c:20a0:b10Y::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
prefix fdd3:5d16:b5dd::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
};<br />
EOF<br />
<br />
/etc/init.d/radvd start<br />
</pre><br />
=[[Anycast_DNS]]=<br />
{{:Anycast_DNS}}</div>Christofhttps://kbu.freifunk.net/wiki/index.php?title=Supernode&diff=2722Supernode2014-08-12T07:18:22Z<p>Christof: /* Vorbereitungen */</p>
<hr />
<div>{{TOCright}}<br />
<br />
== Voraussetzungen ==<br />
[[https://en.wikipedia.org/wiki/Supernode_%28networking%29 wikipedia-article]]<br />
<br />
Benötigte Software<br />
<br />
1) [[https://projects.universe-factory.net/projects/fastd fastd]] mesh-node-vpn<br />
<br />
2) [[https://github.com/ff-kbu/fastd-service vpn-key-upload]] todo: remove overhead (apache,ruby,sinatra ...), [https://en.wikipedia.org/wiki/KISS_principle kiss principle]]<br />
not documented in here (todo)<br />
<br />
3) [[http://www.open-mesh.org/projects/open-mesh/wiki batman-adv]]<br />
<br />
4) [[http://www.tinc-vpn.org/ tinc]] mesh-backbone-vpn<br />
<br />
5) OS: debian wheezy (or whatever you like)<br />
<br />
Du benötigst ausserdem: <br /><br />
* einen fastd-private-key <br />
* eine IPv4/IPv6 Adresse und ein Subnetz<br />
* eine IPv4 Adresse für das Backbone-Netz<br />
<br />
<br />
== Vorbereitungen ==<br />
In der /etc/sysctl.conf muss folgendes gesetzt sein:<br />
<pre><br />
cat >> /etc/sysctl.conf <<EOF<br />
net.ipv4.ip_forward=1<br />
net.ipv4.ip_no_pmtu_disc=1<br />
net.ipv4.route.flush=1<br />
net.ipv6.conf.all.forwarding=1<br />
net.ipv6.conf.all.autoconf=0<br />
net.ipv6.conf.all.accept_ra=0<br />
EOF<br />
</pre><br />
<br />
Danach die /etc/sysctl.conf neu einlesen:<br />
<pre><br />
sysctl -p<br />
</pre><br />
<br />
Für Batman-adv und fastd-Pakete in /etc/apt/apt/sources.list hinzufügen:<br />
<pre><br />
echo "deb http://repo.universe-factory.net/debian/ sid main" >>/etc/apt/sources.list<br />
</pre><br />
<br />
GPG-Key importieren:<br />
<pre><br />
gpg --keyserver pgpkeys.mit.edu --recv-key 16EF3F64CB201D9C<br />
gpg -a --export 16EF3F64CB201D9C | apt-key add -<br />
apt-get update<br />
</pre><br />
<br />
== Batman-adv ==<br />
=== Installation ===<br />
Dies sollte auf debian wheezy batman-adv 2013.4.0 installieren.<br />
<pre><br />
apt-get install batman-adv-dkms<br />
echo "batman-adv" >> /etc/modules<br />
</pre><br />
<br />
== fastd ==<br />
=== Installation ===<br />
<br />
<pre><br />
apt-get install fastd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
==== fastd.conf ====<br />
"[YOUR SECRET KEY HERE]" Sollte dabei durch den fastd-secret-key ersetzt werden (erfragen)<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn;<br />
cat > /etc/fastd/mesh-vpn/fastd.conf << EOF<br />
# Log warnings and errors to stderr<br />
#log level warn;<br />
log level error;<br />
<br />
# Log everything to a log file<br />
#log to "/var/log/fastd-mesh-vpn.log" level debug;<br />
log to "/var/log/fastd-mesh-vpn.log" level warn;<br />
<br />
# Set the interface name<br />
interface "mesh-vpn";<br />
<br />
# Support xsalsa20 and aes128 encryption methods, prefer xsalsa20<br />
method "salsa2012+gmac";<br />
method "null";<br />
<br />
# Bind to a fixed port, IPv4 only<br />
bind 0.0.0.0:10000;<br />
<br />
# Secret key generated by 'fastd --generate-key'<br />
secret "[YOUR SECRET KEY HERE]";<br />
<br />
# Set the interface MTU for TAP mode with xsalsa20/aes128 over IPv4 with a base MTU of 1492 (PPPoE)<br />
# (see MTU selection documentation)<br />
mtu 1426;<br />
<br />
# Include peers from the directory 'peers'<br />
include peers from "peers";<br />
include peers from "backbone";<br />
<br />
on up "./fastd-up";<br />
# on down "./fastd-down";<br />
<br />
on establish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=up -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
on disestablish "<br />
NODE_ID=${PEER_NAME:0:12}<br />
/usr/bin/curl -u vpn2:XXXXXX -X POST -d viewpoint=fastd2 -d mac=$NODE_ID -d vpn_sw=fastd -d vpn_status=down -d ip=$PEER_ADDRESS http://register.kbu.freifunk.net/nodes/update_vpn_status &<br />
";<br />
EOF<br />
</pre><br />
Hinweise: <br />
* Username / Password stehen im Keypass. <br />
* Viewpoint (hier: fastd2) anpassen<br />
* Grundsätzlich wird die Node-ID nicht escpaed. Shell-code injections ist aber nicht möglich, da mon_serv nur node_ids der Form $mac_$key zulässt. <br />
* Die Calls auf der Script sind synchron - Daher "&". fastd blockiert solange das Script nicht terminiert ist. (Zumindest Stand 04/2014)<br />
Ordnerstruktur anlegen:<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn/backbone<br />
mkdir /etc/fastd/mesh-vpn/peers<br />
</pre><br />
<br />
==== Backbone ====<br />
Backbone Keys einrichten:<br />
<pre><br />
$:/etc/fastd/mesh-vpn# ls backbone/<br />
fastd1 fastd2 fastd3 fastd4 fastd5 fastd6 fastd7 fastd8<br />
$:/etc/fastd/mesh-vpn# cat backbone/*<br />
key "4f856d95bd596ac7724edca73a19e6e9d142b374df27166bb1a78e58785efc59";<br />
remote ipv4 "fastd1.kbu.freifunk.net" port 10000;<br />
<br />
key "e1916b66c4f8a795e217877cf72607d952e796463c7024dd9a6a47ae2929bc10";<br />
remote ipv4 "fastd2.kbu.freifunk.net" port 10000;<br />
<br />
key "d56181dfe9b5ac7cfe68a94c0ce406322a9924286a751673da0dcb28ad5218b0";<br />
remote ipv4 "fastd3.kbu.freifunk.net" port 10000;<br />
<br />
key "9b3f65f99963343e2785c8c4fad65e70b73ee7e1205d63bd84f3e2decb53e621";<br />
remote ipv4 "fastd4.kbu.freifunk.net" port 10000;<br />
<br />
key "6e4546121d16e7189715aef8ceb78ab58d59462720969318445f97b4301374d1";<br />
remote ipv4 "fastd5.kbu.freifunk.net" port 10000;<br />
<br />
key "2a2c69dbb3b9fd90d7eb8e2f70be70b472d811cd4f3743ad9f5002d14b5c94cd";<br />
remote ipv4 "fastd6.kbu.freifunk.net" port 10000;<br />
<br />
key "68de6815a89270c8eaf7832deedb8da098aad2ae5793cd2cd55dec3541ad28f2";<br />
remote ipv4 "fastd7.kbu.freifunk.net" port 10000;<br />
<br />
key "b41a9714b1178ce428b15af0b6055cc204b39af2088ef3b371d8c36219eedd1e";<br />
remote ipv4 "fastd8.kbu.freifunk.net" port 10000;<br />
</pre><br />
<br />
[[https://github.com/ff-kbu/fff/tree/v0.3-generic/files/lib/freifunk/mesh-vpn/backbone fastd-backbone]] for more<br />
<br />
==== fastd-up ====<br />
<pre><br />
cat > /etc/fastd/mesh-vpn/fastd-up << EOF<br />
#/bin/sh<br />
/sbin/ip link set dev mesh-vpn up<br />
/usr/sbin/batctl if add mesh-vpn<br />
/usr/sbin/batctl gw_mode server<br />
/sbin/ifconfig bat0 [DEINE IPv4 Addresse hier] netmask 255.255.192.0 up<br />
<br />
/sbin/ifconfig bat0:0 172.27.0.2 netmask 255.255.192.0 up<br />
<br />
/sbin/ip rule add from 172.27.0.0/18 table ffkbu<br />
/sbin/ip route add 172.27.0.0/18 dev bat0 table ffkbu<br />
/sbin/ip route flush cache<br />
EOF<br />
</pre><br />
<br />
fastd-up ausführbar machen:<br />
<pre><br />
chmod +x /etc/fastd/mesh-vpn/fastd-up<br />
</pre><br />
<br />
=== UDP-Queue Größe ===<br />
Durch Broadcasts können können auf Supernodes kurzzeitig hohe Lastspitzen enstehen. In der aktuellen batman-adv-Version wird jedes Broadcast-Paket zudem 3x auf jedem Link versendet.<br />
Die vergleichweise hohe Datenrate von 100MBit/s zwischen Supernodes bewirkt darüber hinaus, dass broadcast-Pakete mit 100MBit/s eingehen können, während sie gleichzeitig an alle Nodes gesendet werden müssen.<br />
<br />
Linux-Distributionen sehen per Default Queue-Größen im Bereich von 128 KB vor (http://www.cyberciti.biz/faq/linux-tcp-tuning/). Supernodes sind somit nicht in der Lage entsprechende Lastspitzen zu puffern und während Idle-Times zu versenden. Läuft die UDP-Queue über, so loggt fastd:<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
Jeder Log-Eintrag entspricht einem Paket, dass nicht enqueued werden konnte und damit verworfen wurde. Die Queue-Größen können via systctl angepasst werden (http://wwwx.cs.unc.edu/~sparkst/howto/network_tuning.php). Auf fastd2 wird zur Zeit verwendet:<br />
#/etc/sysctl.conf<br />
net.core.rmem_max=83886080<br />
net.core.wmem_max=83886080<br />
net.core.rmem_default=83886080<br />
net.core.wmem_default=83886080<br />
<br />
Das System verfügt dadurch über 80MB Speicher für Queues. Per default stehen ebenfalls 80MB zur Verfügung. Die konfigurierten 80MB reichen aus, um die 100MBit/s Verbindung über mehrere Sekunden auszulasten und Lastspitzen abzufangen.<br />
<br />
== Backbone Netz (tinc) ==<br />
=== Installation ===<br />
<pre><br />
apt-get install tinc<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
mkdir /etc/tinc/backbone<br />
echo "backbone" >> /etc/tinc/nets.boot # Dies sagt tinc, dass es das Netz "backbone" starten soll<br />
cd /etc/tinc/backbone<br />
# Public keys der anderen Teilnehmer:<br />
git clone https://github.com/ff-kbu/bbkeys<br />
ln -s bbkeys/ hosts<br />
</pre><br />
<br />
Jetzt fehlt noch des eigene Public/Private Keypaar. <br /><br />
Die Keys sollten in /etc/tinc/backbone gespeichert werden.<br /><br />
Den Public-Key in den Namen des Supernodes umbenennen und nach bbkeys/ kopieren.<br />
<pre><br />
tincd -K<br />
cp rsa_key.pub bbkeys/[supernodename]<br />
</pre><br />
Bevor jetzt der pub-key gepushed werden kann, muss tinc noch gesagt werden, welche Adressen über diesen Node zu routen sind. <br /><br />
Also im .pub key:<br />
<pre><br />
Subnet=172.27.255.X/32<br />
Subnet=172.27.Y.0/21<br />
Subnet=fdd3:5d16:b5dd:3::X/128<br />
Subnet=2001:67c:20a0:b10Z::/64<br />
<br />
-----BEGIN RSA PUBLIC KEY-----<br />
</pre><br />
Und schliesslich:<br />
<pre><br />
cd bbkeys; git push;<br />
</pre><br />
<br />
==== tinc.conf ====<br />
<pre><br />
cat > /etc/tinc/backbone/tinc.conf << EOF<br />
Name=[supernodename]<br />
Device=/dev/net/tun<br />
Mode=router<br />
Compression=9<br />
ConnectTo=paula<br />
ConnectTo=paul<br />
EOF<br />
</pre><br />
<br />
==== tinc-up ====<br />
'''Wichtig:''' in der datei muss wirklich $INTERFACE stehen. Tinc ersetzt dies automatisch durch das entsprechende interface bei ausführung.<br />
<pre><br />
cat > /etc/tinc/backbone/tinc-up << EOF<br />
#!/bin/sh<br />
ifconfig \$INTERFACE 172.27.255.[Backbone IPv4 Adresse hier] netmask 255.255.255.0 up<br />
<br />
ip route add 172.27.255.0/24 dev backbone table ffkbu<br />
ip route add default dev backbone table ffkbu<br />
ip -6 addr add fdd3:5d16:b5dd:3::X/64 dev \$INTERFACE<br />
ip -6 addr add 2001:67c:20a0:b10Y::1/128 dev \$INTERFACE<br />
ip -6 route add default via fdd3:5d16:b5dd:3::3<br />
EOF<br />
</pre><br />
<br />
Auch diese Datei muss ausführbar gemacht werden:<br />
<pre><br />
chmod +x /etc/tinc/backbone/tinc-up<br />
</pre><br />
<br />
Danach sollte der Ordner etwa so aussehen:<br />
<pre><br />
$:/etc/tinc/backbone# ls <br />
bbkeys<br />
hosts -> bbkeys<br />
rsa_key.priv<br />
rsa_key.pub<br />
tinc.conf<br />
tinc-up<br />
</pre><br />
<br />
== Routing ==<br />
<br />
we need to set up policy based routing.<br />
<br />
<pre><br />
echo "200 ffkbu" >> /etc/iproute2/rt_tables<br />
</pre><br />
fastd-up und tinc-up erledigen den rest: <br /><br />
<br />
ip rule ls<br />
<pre><br />
ip rule ls<br />
0: from all lookup local <br />
32765: from 172.27.0.0/18 lookup ffkbu <br />
32766: from all lookup main <br />
32767: from all lookup default<br />
</pre><br />
<br />
ip route list table ffkbu<br />
<pre><br />
ip route list table ffkbu<br />
default dev backbone scope link <br />
172.27.0.0/18 dev bat0 scope link <br />
172.27.255.0/24 dev backbone scope link <br />
</pre><br />
<br />
== IPv4 DHCP ==<br />
=== Installation ===<br />
<pre><br />
apt-get install isc-dhcp-server<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/dhcp/dhcpd.conf << EOF<br />
<br />
option domain-name "mesh.kbu.freifunk.net";<br />
option domain-name-servers 85.214.20.141, 213.73.91.35;<br />
<br />
default-lease-time 60;<br />
max-lease-time 720;<br />
<br />
log-facility local7;<br />
<br />
subnet 172.27.0.0 netmask 255.255.192.0 {<br />
range 172.27.X.10 172.27.Y.255;<br />
option routers 172.27.X.1;<br />
}<br />
EOF<br />
</pre><br />
<br />
== IPv6 ==<br />
=== Installation ===<br />
<pre><br />
apt-get install radvd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/radvd.conf << EOF<br />
interface bat0 {<br />
AdvSendAdvert on;<br />
AdvHomeAgentFlag off;<br />
MinRtrAdvInterval 10;<br />
MaxRtrAdvInterval 30;<br />
AdvOtherConfigFlag on;<br />
AdvSourceLLAddress off;<br />
AdvLinkMTU 1350; #1442 - fastd - batman-adv - See wiki for details<br />
prefix 2001:67c:20a0:b10Y::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
prefix fdd3:5d16:b5dd::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
};<br />
EOF<br />
<br />
/etc/init.d/radvd start<br />
</pre><br />
=[[Anycast_DNS]]=<br />
{{:Anycast_DNS}}</div>Christofhttps://kbu.freifunk.net/wiki/index.php?title=Supernode&diff=2623Supernode2014-03-07T12:25:07Z<p>Christof: /* Konfiguration */</p>
<hr />
<div>{{TOCright}}<br />
<br />
== Voraussetzungen ==<br />
[[https://en.wikipedia.org/wiki/Supernode_%28networking%29 wikipedia-article]]<br />
<br />
Benötigte Software<br />
<br />
1) [[https://projects.universe-factory.net/projects/fastd fastd]] mesh-node-vpn<br />
<br />
2) [[https://github.com/ff-kbu/fastd-service vpn-key-upload]] todo: remove overhead (apache,ruby,sinatra ...), [https://en.wikipedia.org/wiki/KISS_principle kiss principle]]<br />
not documented in here (todo)<br />
<br />
3) [[http://www.open-mesh.org/projects/open-mesh/wiki batman-adv]]<br />
<br />
4) [[http://www.tinc-vpn.org/ tinc]] mesh-backbone-vpn<br />
<br />
5) OS: debian wheezy (or whatever you like)<br />
<br />
Du benötigst ausserdem: <br /><br />
* einen fastd-private-key <br />
* eine IPv4/IPv6 Adresse und ein Subnetz<br />
* eine IPv4 Adresse für das Backbone-Netz<br />
<br />
<br />
== Vorbereitungen ==<br />
In der /etc/sysctl.conf muss folgendes gesetzt sein:<br />
<pre><br />
net.ipv4.ip_forward=1<br />
net.ipv4.ip_no_pmtu_disc=1<br />
net.ipv4.route.flush=1<br />
net.ipv6.conf.all.forwarding=1<br />
net.ipv6.conf.all.autoconf=0<br />
net.ipv6.conf.all.accept_ra=0<br />
</pre><br />
<br />
Danach die /etc/sysctl.conf neu einlesen:<br />
<pre><br />
sysctl -p<br />
</pre><br />
<br />
Für Batman-adv und fastd-Pakete in /etc/apt/apt/sources.list hinzufügen:<br />
<pre><br />
deb http://repo.universe-factory.net/debian/ sid main<br />
</pre><br />
<br />
GPG-Key importieren:<br />
<pre><br />
gpg --keyserver pgpkeys.mit.edu --recv-key AB7A88C5B89033D8<br />
gpg -a --export AB7A88C5B89033D8 | sudo apt-key add -<br />
apt-get update<br />
</pre><br />
== Batman-adv ==<br />
=== Installation ===<br />
Dies sollte auf debian wheezy batman-adv 2013.4.0 installieren.<br />
<pre><br />
apt-get install batman-adv-dkms<br />
echo "batman-adv" >> /etc/modules<br />
</pre><br />
<br />
== fastd ==<br />
=== Installation ===<br />
<br />
<pre><br />
apt-get install fastd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
==== fastd.conf ====<br />
"[YOUR SECRET KEY HERE]" Sollte dabei durch den fastd-secret-key ersetzt werden (erfragen)<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn;<br />
cat > /etc/fastd/mesh-vpn/fastd.conf << EOF<br />
# Log warnings and errors to stderr<br />
#log level warn;<br />
log level error;<br />
<br />
# Log everything to a log file<br />
#log to "/var/log/fastd-mesh-vpn.log" level debug;<br />
log to "/var/log/fastd-mesh-vpn.log" level warn;<br />
<br />
# Set the interface name<br />
interface "mesh-vpn";<br />
<br />
# Support xsalsa20 and aes128 encryption methods, prefer xsalsa20<br />
method "xsalsa20-poly1305";<br />
method "null";<br />
#method "aes128-gcm";<br />
<br />
# Bind to a fixed port, IPv4 only<br />
bind 0.0.0.0:10000;<br />
<br />
# Secret key generated by 'fastd --generate-key'<br />
secret "[YOUR SECRET KEY HERE]";<br />
<br />
# Set the interface MTU for TAP mode with xsalsa20/aes128 over IPv4 with a base MTU of 1492 (PPPoE)<br />
# (see MTU selection documentation)<br />
mtu 1426;<br />
<br />
# Include peers from the directory 'peers'<br />
include peers from "peers";<br />
include peers from "backbone";<br />
<br />
on up "./fastd-up";<br />
EOF<br />
</pre><br />
<br />
Ordnerstruktur anlegen:<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn/backbone<br />
mkdir /etc/fastd/mesh-vpn/peers<br />
</pre><br />
==== Backbone ====<br />
Backbone Keys einrichten:<br />
<pre><br />
$:/etc/fastd/mesh-vpn# ls backbone/<br />
fastd1 fastd2 fastd3 fastd4<br />
$:/etc/fastd/mesh-vpn# cat backbone/*<br />
key "4f856d95bd596ac7724edca73a19e6e9d142b374df27166bb1a78e58785efc59";<br />
remote ipv4 "fastd1.kbu.freifunk.net" port 10000;<br />
key "e1916b66c4f8a795e217877cf72607d952e796463c7024dd9a6a47ae2929bc10";<br />
remote ipv4 "fastd2.kbu.freifunk.net" port 10000;<br />
key "d56181dfe9b5ac7cfe68a94c0ce406322a9924286a751673da0dcb28ad5218b0";<br />
remote ipv4 "fastd3.kbu.freifunk.net" port 10000;<br />
key "9b3f65f99963343e2785c8c4fad65e70b73ee7e1205d63bd84f3e2decb53e621";<br />
remote ipv4 "fastd1.kbu.freifunk.net" port 10000;<br />
</pre><br />
<br />
[[https://github.com/ff-kbu/fff/tree/v0.3-generic/files/lib/freifunk/mesh-vpn/backbone fastd-backbone]] for more<br />
<br />
<br />
==== fastd-up ====<br />
<pre><br />
cat > /etc/fastd/mesh-vpn/fastd-up << EOF<br />
#/bin/sh<br />
/sbin/ip link set dev mesh-vpn up<br />
/usr/sbin/batctl if add mesh-vpn<br />
/usr/sbin/batctl gw_mode server<br />
/sbin/ifconfig bat0 [DEINE IPv4 Addresse hier] netmask 255.255.192.0 up<br />
<br />
/sbin/ip rule add from 172.27.0.0/18 table ffkbu<br />
/sbin/ip route add 172.27.0.0/18 dev bat0 table ffkbu<br />
/sbin/ip route flush cache<br />
EOF<br />
</pre><br />
<br />
fastd-up ausführbar machen:<br />
<pre><br />
chmod +x /etc/fastd/mesh-vpn/fastd-up<br />
</pre><br />
<br />
=== UDP-Queue Größe ===<br />
Durch Broadcasts können können auf Supernodes kurzzeitig hohe Lastspitzen enstehen. In der aktuellen batman-adv-Version wird jedes Broadcast-Paket zudem 3x auf jedem Link versendet.<br />
Die vergleichweise hohe Datenrate von 100MBit/s zwischen Supernodes bewirkt darüber hinaus, dass broadcast-Pakete mit 100MBit/s eingehen können, während sie gleichzeitig an alle Nodes gesendet werden müssen.<br />
<br />
Linux-Distributionen sehen per Default Queue-Größen im Bereich von 128 KB vor (http://www.cyberciti.biz/faq/linux-tcp-tuning/). Supernodes sind somit nicht in der Lage entsprechende Lastspitzen zu puffern und während Idle-Times zu versenden. Läuft die UDP-Queue über, so loggt fastd:<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
Jeder Log-Eintrag entspricht einem Paket, dass nicht enqueued werden konnte und damit verworfen wurde. Die Queue-Größen können via systctl angepasst werden (http://wwwx.cs.unc.edu/~sparkst/howto/network_tuning.php). Auf fastd2 wird zur Zeit verwendet:<br />
#/etc/sysctl.conf<br />
net.core.rmem_max=83886080<br />
net.core.wmem_max=83886080<br />
net.core.rmem_default=83886080<br />
net.core.wmem_default=83886080<br />
<br />
Das System verfügt dadurch über 80MB Speicher für Queues. Per default stehen ebenfalls 80MB zur Verfügung. Die konfigurierten 80MB reichen aus, um die 100MBit/s Verbindung über mehrere Sekunden auszulasten und Lastspitzen abzufangen.<br />
<br />
== Backbone Netz (tinc) ==<br />
=== Installation ===<br />
<pre><br />
apt-get install tinc<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
mkdir /etc/tinc/backbone<br />
echo "backbone" >> /etc/tinc/nets.boot # Dies sagt tinc, dass es das Netz "backbone" starten soll<br />
cd /etc/tinc/backbone<br />
# Public keys der anderen Teilnehmer:<br />
git clone https://github.com/ff-kbu/bbkeys<br />
ln -s bbkeys/ hosts<br />
</pre><br />
<br />
Jetzt fehlt noch des eigene Public/Private Keypaar. <br /><br />
Die Keys sollten in /etc/tinc/backbone gespeichert werden.<br /><br />
Den Public-Key in den Namen des Supernodes umbenennen und nach bbkeys/ kopieren.<br />
<pre><br />
tincd -K<br />
cp rsa_key.pub bbkeys/[supernodename]<br />
</pre><br />
Bevor jetzt der pub-key gepushed werden kann, muss tinc noch gesagt werden, welche Adressen über diesen Node zu routen sind:<br />
<pre><br />
Subnet=172.27.255.X/32<br />
Subnet=172.27.Y.0/21<br />
Subnet=fdd3:5d16:b5dd:3::X/128<br />
Subnet=2001:67c:20a0:b10Z::/64<br />
<br />
-----BEGIN RSA PUBLIC KEY-----<br />
</pre><br />
Und schliesslich:<br />
<pre><br />
cd bbkeys; git push;<br />
</pre><br />
<br />
==== tinc.conf ====<br />
<pre><br />
cat > /etc/tinc/backbone/tinc.conf << EOF<br />
Name=[supernodename]<br />
Device=/dev/net/tun<br />
Mode=router<br />
Compression=9<br />
ConnectTo=paula<br />
ConnectTo=paul<br />
EOF<br />
</pre><br />
<br />
==== tinc-up ====<br />
'''Wichtig:''' in der datei muss wirklich $INTERFACE stehen. Tinc ersetzt dies automatisch durch das entsprechende interface bei ausführung.<br />
<pre><br />
cat > /etc/tinc/backbone/tinc-up << EOF<br />
#!/bin/sh<br />
ifconfig \$INTERFACE 172.27.255.[Backbone IPv4 Adresse hier] netmask 255.255.255.0 up<br />
<br />
ip route add 172.27.255.0/24 dev backbone table ffkbu<br />
ip route add default dev backbone table ffkbu<br />
ip -6 addr add fdd3:5d16:b5dd:3::X/64 dev \$INTERFACE<br />
ip -6 addr add 2001:67c:20a0:b10Y::1/128 dev \$INTERFACE<br />
ip -6 route add default via fdd3:5d16:b5dd:3::3<br />
EOF<br />
</pre><br />
<br />
Auch diese Datei muss ausführbar gemacht werden:<br />
<pre><br />
chmod +x /etc/tinc/backbone/tinc-up<br />
</pre><br />
<br />
Danach sollte der Ordner etwa so aussehen:<br />
<pre><br />
$:/etc/tinc/backbone# ls <br />
bbkeys<br />
hosts -> bbkeys<br />
rsa_key.priv<br />
rsa_key.pub<br />
tinc.conf<br />
tinc-up<br />
</pre><br />
<br />
== Routing ==<br />
<br />
we need to set up policy based routing.<br />
<br />
<pre><br />
echo "200 ffkbu" >> /etc/iproute2/rt_tables<br />
</pre><br />
fastd-up und tinc-up erledigen den rest: <br /><br />
<br />
ip rule ls<br />
<pre><br />
ip rule ls<br />
0: from all lookup local <br />
32765: from 172.27.0.0/18 lookup ffkbu <br />
32766: from all lookup main <br />
32767: from all lookup default<br />
</pre><br />
<br />
ip route list table ffkbu<br />
<pre><br />
ip route list table ffkbu<br />
default dev backbone scope link <br />
172.27.0.0/18 dev bat0 scope link <br />
172.27.255.0/24 dev backbone scope link <br />
</pre><br />
<br />
== IPv4 DHCP ==<br />
=== Installation ===<br />
<pre><br />
apt-get install isc-dhcp-server<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/dhcp/dhcpd.conf << EOF<br />
<br />
option domain-name "mesh.kbu.freifunk.net";<br />
option domain-name-servers 85.214.20.141, 213.73.91.35;<br />
<br />
default-lease-time 60;<br />
max-lease-time 720;<br />
<br />
log-facility local7;<br />
<br />
subnet 172.27.0.0 netmask 255.255.192.0 {<br />
range 172.27.X.10 172.27.Y.255;<br />
option routers 172.27.X.1;<br />
}<br />
EOF<br />
</pre><br />
<br />
== IPv6 ==<br />
=== Installation ===<br />
<pre><br />
apt-get install radvd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/radvd.conf << EOF<br />
interface bat0 {<br />
AdvSendAdvert on;<br />
AdvHomeAgentFlag off;<br />
MinRtrAdvInterval 10;<br />
MaxRtrAdvInterval 30;<br />
AdvOtherConfigFlag on;<br />
AdvSourceLLAddress off;<br />
AdvLinkMTU 1350; #1442 - fastd - batman-adv - See wiki for details<br />
prefix 2001:67c:20a0:b10Y::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
prefix fdd3:5d16:b5dd::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
};<br />
EOF<br />
<br />
/etc/init.d/radvd start<br />
</pre></div>Christofhttps://kbu.freifunk.net/wiki/index.php?title=Supernode&diff=2621Supernode2014-03-06T08:30:27Z<p>Christof: Reihenfolge apt-Paket angepasst das repos ist auch für batman notwendig</p>
<hr />
<div>{{TOCright}}<br />
<br />
== Voraussetzungen ==<br />
[[https://en.wikipedia.org/wiki/Supernode_%28networking%29 wikipedia-article]]<br />
<br />
Benötigte Software<br />
<br />
1) [[https://projects.universe-factory.net/projects/fastd fastd]] mesh-node-vpn<br />
<br />
2) [[https://github.com/ff-kbu/fastd-service vpn-key-upload]] todo: remove overhead (apache,ruby,sinatra ...), [https://en.wikipedia.org/wiki/KISS_principle kiss principle]]<br />
not documented in here (todo)<br />
<br />
3) [[http://www.open-mesh.org/projects/open-mesh/wiki batman-adv]]<br />
<br />
4) [[http://www.tinc-vpn.org/ tinc]] mesh-backbone-vpn<br />
<br />
5) OS: debian wheezy (or whatever you like)<br />
<br />
Du benötigst ausserdem: <br /><br />
* einen fastd-private-key <br />
* eine IPv4/IPv6 Adresse und ein Subnetz<br />
* eine IPv4 Adresse für das Backbone-Netz<br />
<br />
<br />
== Vorbereitungen ==<br />
In der /etc/sysctl.conf muss folgendes gesetzt sein:<br />
<pre><br />
net.ipv4.ip_forward=1<br />
net.ipv4.ip_no_pmtu_disc=1<br />
net.ipv4.route.flush=1<br />
net.ipv6.conf.all.forwarding=1<br />
net.ipv6.conf.all.autoconf=0<br />
net.ipv6.conf.all.accept_ra=0<br />
</pre><br />
<br />
Danach die /etc/sysctl.conf neu einlesen:<br />
<pre><br />
sysctl -p<br />
</pre><br />
<br />
Für Batman-adv und fastd-Pakete in /etc/apt/apt/sources.list hinzufügen:<br />
<pre><br />
deb http://repo.universe-factory.net/debian/ sid main<br />
</pre><br />
<br />
GPG-Key importieren:<br />
<pre><br />
gpg --keyserver pgpkeys.mit.edu --recv-key AB7A88C5B89033D8<br />
gpg -a --export AB7A88C5B89033D8 | sudo apt-key add -<br />
apt-get update<br />
</pre><br />
== Batman-adv ==<br />
=== Installation ===<br />
Dies sollte auf debian wheezy batman-adv 2013.4.0 installieren.<br />
<pre><br />
apt-get install batman-adv-dkms<br />
echo "batman-adv" >> /etc/modules<br />
</pre><br />
<br />
== fastd ==<br />
=== Installation ===<br />
<br />
<pre><br />
apt-get install fastd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
==== fastd.conf ====<br />
"[YOUR SECRET KEY HERE]" Sollte dabei durch den fastd-secret-key ersetzt werden (erfragen)<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn;<br />
cat > /etc/fastd/mesh-vpn/fastd.conf << EOF<br />
# Log warnings and errors to stderr<br />
#log level warn;<br />
log level error;<br />
<br />
# Log everything to a log file<br />
#log to "/var/log/fastd-mesh-vpn.log" level debug;<br />
log to "/var/log/fastd-mesh-vpn.log" level warn;<br />
<br />
# Set the interface name<br />
interface "mesh-vpn";<br />
<br />
# Support xsalsa20 and aes128 encryption methods, prefer xsalsa20<br />
method "xsalsa20-poly1305";<br />
method "null";<br />
#method "aes128-gcm";<br />
<br />
# Bind to a fixed port, IPv4 only<br />
bind 0.0.0.0:10000;<br />
<br />
# Secret key generated by 'fastd --generate-key'<br />
secret "[YOUR SECRET KEY HERE]";<br />
<br />
# Set the interface MTU for TAP mode with xsalsa20/aes128 over IPv4 with a base MTU of 1492 (PPPoE)<br />
# (see MTU selection documentation)<br />
mtu 1426;<br />
<br />
# Include peers from the directory 'peers'<br />
include peers from "peers";<br />
include peers from "backbone";<br />
<br />
on up "./fastd-up";<br />
EOF<br />
</pre><br />
<br />
Ordnerstruktur anlegen:<br />
<pre><br />
mkdir /etc/fastd/mesh-vpn/backbone<br />
mkdir /etc/fastd/mesh-vpn/peers<br />
</pre><br />
==== Backbone ====<br />
Backbone Keys einrichten:<br />
<pre><br />
$:/etc/fastd/mesh-vpn# ls backbone/<br />
fastd1 fastd2 fastd3 fastd4<br />
$:/etc/fastd/mesh-vpn# cat backbone/*<br />
key "4f856d95bd596ac7724edca73a19e6e9d142b374df27166bb1a78e58785efc59";<br />
remote ipv4 "fastd1.kbu.freifunk.net" port 10000;<br />
key "e1916b66c4f8a795e217877cf72607d952e796463c7024dd9a6a47ae2929bc10";<br />
remote ipv4 "fastd2.kbu.freifunk.net" port 10000;<br />
key "d56181dfe9b5ac7cfe68a94c0ce406322a9924286a751673da0dcb28ad5218b0";<br />
remote ipv4 "fastd3.kbu.freifunk.net" port 10000;<br />
key "9b3f65f99963343e2785c8c4fad65e70b73ee7e1205d63bd84f3e2decb53e621";<br />
remote ipv4 "fastd1.kbu.freifunk.net" port 10000;<br />
</pre><br />
<br />
[[https://github.com/ff-kbu/fff/tree/v0.3-generic/files/lib/freifunk/mesh-vpn/backbone fastd-backbone]] for more<br />
<br />
<br />
==== fastd-up ====<br />
<pre><br />
cat > /etc/fastd/mesh-vpn/fastd-up << EOF<br />
#/bin/sh<br />
/sbin/ip link set dev mesh-vpn up<br />
/usr/sbin/batctl if add mesh-vpn<br />
/usr/sbin/batctl gw_mode server<br />
/sbin/ifconfig bat0 [DEINE IPv4 Addresse hier] netmask 255.255.192.0 up<br />
<br />
/sbin/ip rule add from 172.27.0.0/18 table ffkbu<br />
/sbin/ip route add 172.27.0.0/18 dev bat0 table ffkbu<br />
/sbin/ip route flush cache<br />
EOF<br />
</pre><br />
<br />
fastd-up ausführbar machen:<br />
<pre><br />
chmod +x /etc/fastd/mesh-vpn/fastd-up<br />
</pre><br />
<br />
=== UDP-Queue Größe ===<br />
Durch Broadcasts können können auf Supernodes kurzzeitig hohe Lastspitzen enstehen. In der aktuellen batman-adv-Version wird jedes Broadcast-Paket zudem 3x auf jedem Link versendet.<br />
Die vergleichweise hohe Datenrate von 100MBit/s zwischen Supernodes bewirkt darüber hinaus, dass broadcast-Pakete mit 100MBit/s eingehen können, während sie gleichzeitig an alle Nodes gesendet werden müssen.<br />
<br />
Linux-Distributionen sehen per Default Queue-Größen im Bereich von 128 KB vor (http://www.cyberciti.biz/faq/linux-tcp-tuning/). Supernodes sind somit nicht in der Lage entsprechende Lastspitzen zu puffern und während Idle-Times zu versenden. Läuft die UDP-Queue über, so loggt fastd:<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
2013-03-30 12:32:01 +0100 --- Warning: sendmsg: Resource temporarily unavailable<br />
Jeder Log-Eintrag entspricht einem Paket, dass nicht enqueued werden konnte und damit verworfen wurde. Die Queue-Größen können via systctl angepasst werden (http://wwwx.cs.unc.edu/~sparkst/howto/network_tuning.php). Auf fastd2 wird zur Zeit verwendet:<br />
#/etc/sysctl.conf<br />
net.core.rmem_max=83886080<br />
net.core.wmem_max=83886080<br />
net.core.rmem_default=83886080<br />
net.core.wmem_default=83886080<br />
<br />
Das System verfügt dadurch über 80MB Speicher für Queues. Per default stehen ebenfalls 80MB zur Verfügung. Die konfigurierten 80MB reichen aus, um die 100MBit/s Verbindung über mehrere Sekunden auszulasten und Lastspitzen abzufangen.<br />
<br />
== Backbone Netz (tinc) ==<br />
=== Installation ===<br />
<pre><br />
apt-get install tinc<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
mkdir /etc/tinc/backbone<br />
echo "backbone" >> /etc/tinc/nets.boot # Dies sagt tinc, dass es das Netz "backbone" starten soll<br />
cd /etc/tinc/backbone<br />
# Public keys der anderen Teilnehmer:<br />
git clone https://github.com/ff-kbu/bbkeys<br />
ln -s bbkeys/ hosts<br />
</pre><br />
<br />
Jetzt fehlt noch des eigene Public/Private Keypaar. <br /><br />
Die Keys sollten in /etc/tinc/backbone gespeichert werden.<br /><br />
Den Public-Key in den Namen des Supernodes umbenennen und nach bbkeys/ kopieren.<br />
<pre><br />
tinc -K<br />
cp rsa_key.pub bbkeys/[supernodename]<br />
</pre><br />
Bevor jetzt der pub-key gepushed werden kann, muss tinc noch gesagt werden, welche Adressen über diesen Node zu routen sind:<br />
<pre><br />
Subnet=172.27.255.X/32<br />
Subnet=172.27.Y.0/21<br />
Subnet=fdd3:5d16:b5dd:3::X/128<br />
Subnet=2001:67c:20a0:b10Z::/64<br />
<br />
-----BEGIN RSA PUBLIC KEY-----<br />
</pre><br />
Und schliesslich:<br />
<pre><br />
cd bbkeys; git push;<br />
</pre><br />
<br />
==== tinc.conf ====<br />
<pre><br />
cat > /etc/tinc/backbone/tinc.conf << EOF<br />
Name=[supernodename]<br />
Device=/dev/net/tun<br />
Mode=router<br />
Compression=9<br />
ConnectTo=paula<br />
ConnectTo=paul<br />
EOF<br />
</pre><br />
<br />
==== tinc-up ====<br />
'''Wichtig:''' in der datei muss wirklich $INTERFACE stehen. Tinc ersetzt dies automatisch durch das entsprechende interface bei ausführung.<br />
<pre><br />
cat > /etc/tinc/backbone/tinc-up << EOF<br />
#!/bin/sh<br />
ifconfig \$INTERFACE 172.27.255.[Backbone IPv4 Adresse hier] netmask 255.255.255.0 up<br />
<br />
ip route add 172.27.255.0/24 dev backbone table ffkbu<br />
ip route add default dev backbone table ffkbu<br />
ip -6 addr add fdd3:5d16:b5dd:3::X/64 dev \$INTERFACE<br />
ip -6 addr add 2001:67c:20a0:b10Y::1/128 dev \$INTERFACE<br />
ip -6 route add default via fdd3:5d16:b5dd:3::3<br />
EOF<br />
</pre><br />
<br />
Auch diese Datei muss ausführbar gemacht werden:<br />
<pre><br />
chmod +x /etc/tinc/backbone/tinc-up<br />
</pre><br />
<br />
Danach sollte der Ordner etwa so aussehen:<br />
<pre><br />
$:/etc/tinc/backbone# ls <br />
bbkeys<br />
hosts -> bbkeys<br />
rsa_key.priv<br />
rsa_key.pub<br />
tinc.conf<br />
tinc-up<br />
</pre><br />
<br />
== Routing ==<br />
<br />
we need to set up policy based routing.<br />
<br />
<pre><br />
echo "200 ffkbu" >> /etc/iproute2/rt_tables<br />
</pre><br />
fastd-up und tinc-up erledigen den rest: <br /><br />
<br />
ip rule ls<br />
<pre><br />
ip rule ls<br />
0: from all lookup local <br />
32765: from 172.27.0.0/18 lookup ffkbu <br />
32766: from all lookup main <br />
32767: from all lookup default<br />
</pre><br />
<br />
ip route list table ffkbu<br />
<pre><br />
ip route list table ffkbu<br />
default dev backbone scope link <br />
172.27.0.0/18 dev bat0 scope link <br />
172.27.255.0/24 dev backbone scope link <br />
</pre><br />
<br />
== IPv4 DHCP ==<br />
=== Installation ===<br />
<pre><br />
apt-get install isc-dhcp-server<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/dhcp/dhcpd.conf << EOF<br />
<br />
option domain-name "mesh.kbu.freifunk.net";<br />
option domain-name-servers 85.214.20.141, 213.73.91.35;<br />
<br />
default-lease-time 60;<br />
max-lease-time 720;<br />
<br />
log-facility local7;<br />
<br />
subnet 172.27.0.0 netmask 255.255.192.0 {<br />
range 172.27.X.10 172.27.Y.255;<br />
option routers 172.27.X.1;<br />
}<br />
EOF<br />
</pre><br />
<br />
== IPv6 ==<br />
=== Installation ===<br />
<pre><br />
apt-get install radvd<br />
</pre><br />
<br />
=== Konfiguration ===<br />
<pre><br />
cat > /etc/radvd.conf << EOF<br />
interface bat0 {<br />
AdvSendAdvert on;<br />
AdvHomeAgentFlag off;<br />
MinRtrAdvInterval 10;<br />
MaxRtrAdvInterval 30;<br />
AdvOtherConfigFlag on;<br />
AdvSourceLLAddress off;<br />
AdvLinkMTU 1350; #1442 - fastd - batman-adv - See wiki for details<br />
prefix 2001:67c:20a0:b10Y::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
prefix fdd3:5d16:b5dd::/64 {<br />
AdvOnLink on;<br />
AdvAutonomous on;<br />
AdvRouterAddr on;<br />
};<br />
};<br />
EOF<br />
<br />
/etc/init.d/radvd start<br />
</pre></div>Christofhttps://kbu.freifunk.net/wiki/index.php?title=Architektur&diff=2470Architektur2013-05-26T23:58:05Z<p>Christof: /* Kurzzusammenfassung */</p>
<hr />
<div>{{TOCright}}<br />
<span style="color: #F00">'''Hinweis'''</span>: Dieser Artikel beschreibt das Freifunk-Netz aus konzeptioneller Sicht und erklärt viele, tiefe Details. Um einfach mitzumachen musst Du nicht alles davon verstehen - wenn Du Interesse hast, lese einfach weiter :-).<br />
<br />
<br />
== Kurzzusammenfassung ==<br />
<br />
Freifunk-KBU verfolgt die [[Netzwerk-Konfiguration#Komplettes_Bridging | Komplettes Bridging]]-Strategie: Das gesamte KBU-Netz bildet eine Broadcast-Domäne. Fastd-Server verbinden als Supernodes WLAN-Mesh-Partionen. IP-Adressen werden an Clients per DHCP und radvd vergeben. Nodes erhalten keine IPv4 aber eine IPv6 Adresse. Ein routed Backbone-VPN (tinc) verbindet die Supernodes und ermöglicht Routing zum Exit.<br />
<br />
== Einleitung ==<br />
Dieser Artikel beschreibt die Architektur des in Köln, Bonn und Umgebung verwendeten Freifunk-Netzes. Dabei wird insbesondere auf die Zusammenhänge zwischen Server-Konfiguration und Firmware-Eigenschaften eingegangen. Hierbei gibt die Architektur vor, wie Nodes, Supernodes, Server und Klienten konfiguriert werden müssen. <br />
<br />
Im Rahmen der Einleitung wird die verwendete Strategie (''komplettes Bridging'') dargelegt. Die folgenden Absätze (OSI-2: Bridging, OSI-3: Routing) gehen detailliert auf die verschiedenen Schichten des Netzes ein. Der letzte Absatz gibt einen Ausblick auf mögliche Änderung, die in Zukunft einziehen können.<br />
<br />
=== Strategie ===<br />
Das Netz besteht aus Klienten, Nodes und Supernodes. Die verwendete [[Netzwerk-Konfiguration#Komplettes_Bridging | Komplettes Bridging Strategie]] sieht vor, dass das komplette Netz ein einziges zusammenhängendes OSI-2 Segment bildet. Dieses Segment verbindet alle Teilnehmer. Dadurch sind je 2 Klienten in verschiedenen Teilen des Netzes immer über eine zu Grunde liegende Infrastruktur via "Ethernet" (WLAN / LAN) miteinander verbunden. Für die Infrastruktur wird batman-adv (http://www.open-mesh.org/) verwendet - sie wird als hierachisches [[Wikipedia:Peer-to-Peer | P2P-Netz]] realisiert. Somit: <br /><br />
''Daten zwischen Netzteilnehmer werden als Frames switched, das Netz bildet eine große Broadcast-/Link-Local-Multicast-Domäne.''<br />
<br />
=== Supernodes ===<br />
[[Datei:Super-node-overview.png|thumb|300px|right|Abb. 1]]<br />
[[supernode|Supernodes]] (auch: fastd-Server) sind Nodes, die VPN-Verbindungen von Nodes entgegen nehmen. Ein Supernode ist im Internet erreichbar, d.h. Nodes können VPN-Verbindungen dorthin initiieren, auch wenn sie sich z.B. hinter einem [[Wikipedia:Network_Address_Translation | NAT]] befinden. Supernodes verfügen über eine gute Internet-Anbindung (100MBit/s). Jeder Node hält typischerweise VPN-Verbindungen zu zwei verschiedenen Supernodes. Adressen und VPN-Schlüssel der Supernodes sind fest in der Node-Firmware verdrahtet.<br />
<br />
Supernodes werden beispielsweise auf dedizierten Servern ohne WLAN-Konnektivität betrieben.<br />
Abb. 1 zeigt die Kommunikation zwischen Klienten, Nodes und Supernodes. Die Nodes A und B sind mit den Supernodes fastd1 und fastd2 verbunden. Über die eingezeichneten Verbindungen werden batman-adv Frames versendet. Der Klient ist im Infrastruktur-Netz an Node A eingebucht - es werden gewöhnliche Wireless-Lan-Frames verwendet. (''kein batman-adv'')<br />
<br />
=== Nodes ===<br />
[[Datei:4.1-All-Bridging.png|thumb|300px|right|Abb. 2]]<br />
Auf den Nodes existieren verschiedene Netze, die teilweise mit einander verbunden sind (Abb. 2). Jeder Node spannt dabei zwei Wireless-Lan-Netze auf und ggf. eine VPN-Verbindung auf.<br />
<br />
* ''wlan0'' wird als "Master"-Netz betrieben<br />
* ''wlan1'' arbeitet als "Ad-Hoc"-Netz <br />
* ''tap0'' ist das VPN-Interface. <br />
<br />
wlan1 und tap0 sind hierbei dem ''bat0'' Interface hinzugefügt. <br />
<br />
''Hinweis'': Aus technischen Gründen (u.a. vlan-Fähigkeit einzelner Geräte), weichen Interface-Namen in der Node-Firmware z.T. ab.<br />
<br />
== OSI-2: Data-Link-Layer ==<br />
[[Datei:Osi-2.png|thumb|350px|right|Abb. 3]]<br />
<br />
Die komplettes Bridging Strategie sieht vor, dass alle Stationen zu einem OSI-2 Segment zusammen gefasst werden. Hierbei werden LAN, WLAN und VPN-Verbindungen via bridging verbunden. In diesem Absatz wird die Konfiguration der verschiedenen Komponenten des Segements erläutert. Abb. 3 illustriert das Segment. Es besteht aus den Super-Nodes fastd1, fastd2 und fastd3, den Nodes <tt>b0487aaeec16</tt>, <tt>f8d111883fea</tt> und <tt>d85d4cae420c</tt> sowie zwei Klienten. <br />
* Nodes <tt>b0..</tt> und <tt>f8..</tt> sind per Kabel mit dem Internet verbunden und bauen eine VPN-Verbindung zu jeweils zwei Supernodes auf.<br />
* Node <tt>d8..</tt> verfügt über keine kabelgebundene Verbindung zum Internet. Er ist via ad-hoc wlan mit der Wolke verbunden<br />
* Entlang der blau eingezeichneten Verbindungen werden batman-adv Frames ausgetauscht.<br />
Die Klienten werden daher via batman-adv TT-annouces im Mesh bekannt gemacht. Bridge-Loop-Avoidance (BLA) wird nicht verwendet (http://www.open-mesh.org/projects/batman-adv/wiki/Understand-your-batman-adv-network)<br />
<br />
=== Node-IDs ===<br />
Jedem Node wird eine eindeutige ID zugewiesen. Sie entspricht der Hardware-Adresse gemäß Aufkleber - Trennzeichen werden entfernt. (Beispiel: Hardware-Adresse: <tt>F4:EC:38:E9:72:34</tt> => Node-ID: <tt>f4ec38e97234</tt>. Verfügt ein Node über mehrere Interfaces, so wird die des ersten (gemäß Treiber- / Kernel Nummerierung) 2.4 GHz-Interface verwendet.<br />
<br />
=== Wireless LAN ===<br />
Im Freifunk-KBU Netz wird IEEE 802.11g/n verwendet:<br />
* Das Infrastruktur-Netz führt die SSID <tt>kbu.freifunk.net</tt>. Für Klienten erscheint es als normaler Accesspoint.<br />
* Das Ad-Hoc Netz nutzt die ESSID und BSSID: <tt>02:d1:11:37:fc:39</tt>. Es ermöglicht die direkte Kommunikation zwischen verschiedenen Nodes.<br />
<br />
=== VPN ===<br />
==== Verwendung ====<br />
Verfügt ein Node über einen drahtgebundenen Zugang zum Internet, so baut er eine VPN-Verbindung auf. Als VPN wird fastd (https://projects.universe-factory.net/projects/fastd) verwendet. Fastd baut - ähnlich zu l2tp - per Default Verbindungen nur zwischen zu definierten Links auf. Somit ergibt sich keine Redundanz zur batman-adv Topologie-Ermittlung: Für batman-adv existiert ''nicht'' der transitive Abschluss aller konfigurierten fastd-Links als Broadcast-Medium. Das VPN arbeitet hier als Ersatz für ad-hoc wlan Verbindungen: Teile des Netzes zwischen denen keine Verbindungen bestehen, werden über das VPN zusammen gefasst.<br />
Nodes ohne Verbindung zum VPN-Server bilden eine gemeinsames OSI-2 Segment, wenn eine Ad-Hoc Verbindung besteht oder wenn zwischen ihnen eine VPN-Verbindung manuell konfiguriert wurde<br />
(fastd-Peers per Shell im Dateisystem des Nodes hinterlegt). Eine Verbindung zu Supernodes ist nicht zwingend erforderlich. Somit gilt:<br />
<br />
''Das VPN verbindet Ad-Hoc Mesh-Partitionen - Partitionen ohne VPN-Link zu Supernodes arbeiten autark.<br />
<br />
==== Schlüsselaustausch ==== <br />
[[Datei:Key-submit.png|thumb|300px|right|Abb. 4]]<br />
<br />
Zum Aufbau einer fastd-Verbindung müssen beide Peers (Node und Supernode) vorab ihren Public Key ausgetauscht haben.<br />
* Die Keys der Supernodes sind in der Firmware hinterlegt und stehen von Beginn an zur Verfügung.<br />
* Die Keys der Nodes werden initial (beim ersten Systemstart) generiert und müssen danach übermittelt werden.<br />
<br />
Die Übermittlung erfolgt dabei über die Supernodes. Jeder Supernode betreibt einen RESTful-Webservice über den er Schlüssel entgegen nimmt (https://github.com/ff-kbu/fastd-service): Initiiert ein Node eine VPN-Verbindung zu einem Supernode zu übermittelt er im Vorfeld seinen Public-Key. Durch die Verwendung Elliptischer Kurven sind die Schlüssel hinreichend klein und können urlencoded übermittelt werden. Abb. 4 zeigt den Schlüsselaustausch zwischen Node und Supernode. Die Übermittlung geschieht bei jedem Boot des Nodes.<br />
<br />
Das Node-Register ist ebenfalls am Austausch beteiligt: Es kann Schlüssel ablehnen (bspw. wenn er bereits im Netz verwendet wird). In diesem Fall übermittelt das Node-Register HTTP-423 (Locked). Alle anderen Rückgabewerte oder Fehler werden vom Supernode ignoriert. Somit ist ein Schlüsselaustausch auch ohne verfügbares Node-Register möglich.<br />
<br />
Ändert sich der Schlüssel eines Nodes (z.B. durch Neuinstallation), so wird der neue Schlüssel anstelle des alten übermittelt und im VPN verwendet.<br />
<br />
=== Frame-Typen ===<br />
Für die genutzten Frame-Typen gilt:<br />
* vlan-Tagging wird nicht verwendet.<br />
* VPN und ad-hoc: ''batman-adv''-Frames <br />
* Infrastruktur-Netz: Gewöhnliche Wireless-Lan Frames (IEEE 802.11)<br />
<br />
=== MTU / PMTU ===<br />
* wireless-lan Interfaces verwenden als MTU 1500 Byte<br />
* fastd tap-Interfaces verwenden als MTU 1426 Byte<br />
<br />
''Hinweise: ''<br />
<br />
fastd-Pakete werden per default nicht fragmentiert. Wird eine VPN-Verbindung mit zu kleiner PMTU verwendet, werden die Pakete verworfen. Die MTU 1426 des fastd-Interfaces errechnet sich durch:<br />
* PMTU des Uplinks: 1500 Byte - 8 Byte = 1492 Byte = MTU einer DSL-PPPoE Verbindung<br />
* Overhead fastd: 1492 Byte - 20 Byte (IP) - 8 Byte (UDP) - 24 Byte (fastd) - 14 Byte (Inner Ethernet) = 1426 Byte<br />
<br />
Falls keine fastd-Verschlüsselung verwendet wird (Method: 'null') rediziert sich der fastd-Overhead von 24 Byte auf 1 Byte.<br />
<br />
Problematisch ist, dass Netcologne bei ADSL typischerweise nur eine PMTU von 1442 (d.h. 50 Byte weniger) zur Verfügung stellt. Hiermit ist fraglich, in wie weit 1426 als MTU für fastd-Interfaces sinnvoll ist (alternativ: 1376). Aktuell werden alle Supernodes ohne PMTU-Discovery betrieben (<tt>sysctl -w net.ipv4.ip_no_pmtu_disc=1</tt>), so dass das Don't Fragment (DF)-Bit seitens fastd auf 0 gesetzt wird und keine Probleme durch Paketverlust auftreten. Auf den Nodes ist PMTU-Discovery derzeit aktiv - Probleme sind jedoch nicht erkennbar. Mittelfristig sollte das Fragmentierungsverhalten seitens fastd konfigurierbar sein: https://projects.universe-factory.net/issues/120<br />
<br />
Somit senden radvds eine MTU von 1350 (1376 - batman-adv Overhead) (<tt>AdvLinkMTU 1350</tt>)<br />
<br />
== OSI-3: Network Layer ==<br />
Zur Kommunikation im Freifunk-Netz und mit weiteren Netzen ist es erforderlich, IP-Adressen zu Vergeben und Pakete in andere Netze zu routen. Dieser Absatz beschreibt die verwendete Adressierungs- und Routing-Strategien im Freifunk-Netz. Hierbei wird insbesondere auf das Backbon-VPN (Tinc) und auf die Konfiguration der Supernodes eingegangen.<br />
<br />
=== IPv4 ===<br />
[[Datei:Osi-3-v4.png|thumb|400px|right|Abb. 5]]<br />
Abb. 5 illustriert die verwendeten IPv4-Netze. Zur Vereinfachung sind nicht alle Supernodes und Server dargestellt. Von ''oben nach unten'' gesehen werden die Netze wie folgt verwendet (vgl. [[IP Subnetze]]).<br />
<br />
==== Mesh ====<br />
In der Mesh-Wolke (dem OSI-2 Segment) werden Adressen aus dem Bereich <tt>172.27.0.0/18</tt> verwendet. <br />
* Supernodes ist eine statische Adresse fest zugewiesen. fastd3 verwendet die Adresse <tt>172.27.8.1</tt> während fastd4 <tt>172.27.16.1</tt> nutzt. <br />
* Nodes besitzen keine IPv4 Adresse - sie sind nicht Teil des IPv4-Netzes. (Evtl. bald doch - siehe Abschnitt [[Architektur#Anycast | Anycast]])<br />
* Jedem Supernode ist ein /21 Netz zugeteilt. Hier: fastd3: <tt>172.27.8.0/21</tt>, fastd4: <tt>172.27.16.0/21</tt>. Sie verfügen somit über je 2048 Adressen. <br />
** Jeder Supernode betreibt einen DHCP-Server, der Adressen aus dem zugeteilten Bereich in der Mesh-Cloud vergibt. fastd3 vergibt beispielsweise Adressen aus dem Bereich <tt>172.27.8.10</tt> - <tt>172.27.15.255</tt><br />
** Jeder Klient im Mesh-Netz bezieht eine IP von einem Supernode. Er nutzt ihn als ''Default-Router'' und ''DNS-Server''. Die Auswahl des Supernodes erfolgt durch den batman-adv Gateway Mode (Vgl. http://www.open-mesh.org/projects/batman-adv/wiki/Gateways).<br />
<br />
==== Backbone-VPN / Tinc ====<br />
Alle Supernodes und sonstigen Server des Freifunk-KBU-Netztes sind untereinander über ein dezentrales VPN (Tinc - vgl. http://tinc-vpn.org/) verbunden.<br />
* Das Netz verwendet den Adressbereich <tt>172.27.255.0/24</tt>. Bspw. verwendet fastd3 die Adresse <tt>172.27.55.9</tt> -- fastd4 hingegen <tt>172.27.255.10</tt><br />
* Das VPN wird als Transport-Netz benutzt: IP-Pakete mit fremden Quell- und Zieladressen werden darüber transportiert.<br />
* Verfügt ein Supernode über Kontakt zu weiteren Netzten so annonciert er eine entsprechende Route. In der Abbildung kann fastd4 über das Tor-Netzwerk Verbindungen zum WWW aufbauen. Er annonciert daher die Route <tt>0.0.0.0/0</tt> (Default Route). Verfügt ein Node über Kontakt im ChaosVPN (http://wiki.hamburg.ccc.de/ChaosVPN) oder IC-VPN (http://wiki.freifunk.net/IC-VPN) so annonciert er diese Netzbereiche.<br />
* Das VPN ist verschlüsselt. Nutzlast wie z.B. Service-Aufrufe müssen daher nicht zusätzlich per SSL/TLS gesichert werden.<br />
* Jeder Router annonciert zusätzlich das im zugeteilte Netz -- fastd3: <tt>172.27.8.0/21</tt>, fastd4: <tt>172.27.16.0/21</tt><br />
* Der Schlüsselaustausch erfolgt via github (https://github.com/ff-kbu/bbkeys).<br />
Paul nimmt hierbei eine Sonderrolle ein: Als einziger, regulärer Router zum Internet kann er als IPv4- und IPv6-Default-Router verwendet werden. Paul ist kein Supernode sondern wickelt lediglich externen Traffic ab.<br />
<br />
==== Anycast ====<br />
<todo nicht implementiert> <br />
Jeder Node ist über das Infrastruktur-Netz auf der IP <tt>172.27.0.1</tt> erreichbar. Hierüber können Klienten Status-Informationen des Nodes beziehen, bei dem sie eingebucht sind.<br />
</todo nicht implementiert><br />
<br />
=== IPv6 ===<br />
[[Datei:Osi-3-v6.png|thumb|450px|right|Abb. 6]]<br />
Abb. 6 illustriert die IPv6 Konfiguration. Wie zuvor bei IPv4 sind zur Vereinfachung nicht alle Supernodes und Server dargestellt. Für IPv6 werden die folgenden Addressbereiche verwendet:<br />
* <tt>fdd3:5d16:b5dd::/48</tt> Unique Local Addresses (ULA)<br />
* <tt>2001:67C:20A0:B100::/56</tt> Global.<br />
Die Verwendung der Public IPv6 Address ermöglicht, dass alle Teilnehmer des Freifunk-Netzes extern erreichbar sind. <br />
<br />
Von ''oben nach unten'' werden die Netze wie folgt verwendet:<br />
<br />
==== Mesh ====<br />
Im Mesh werden ULA und global gültige IPv6-Addressen verwendet. Jedem Supernode ist ein eigenes, globales /64 Subnet zugewiesen. Der Supernode verwendet die Host-ID 1. Hier: fastd3: <tt>2001:67c:20a0:b104::1/6</tt>, fastd4: <tt>2001:67c:20a0:b105::1/64</tt>).<br />
<br />
Supernodes versenden Router Advertisments (RA) im kompletten Segment. Nodes und Klienten erhalten aus jedem Pool eine Addresse (stateless autoconfiguration). Jeder Supernode routed IPv6-Pakete zwischen Mesh-Cloud und Internet.<br />
<br />
Hinweis: Da der Klient das Default-Gateway zufällig wählt, werden Pakete idR auf verschiedenen Routes zugestellt:<br />
* Sendet der Klient ein Paket, so wird der vom Klienten zufällig gewählte Supernode genutzt<br />
* Empfängt der Klient ein Paket, so richtet sich der Supernode nach der verwendeten Public IPv6 Addresse des Klienten: es wird der Supernode verwendet, aus dessem Subnet die Adresse stammt<br />
<br />
==== Backbone-VPN / Tinc ====<br />
Im Backbone-VPN wird IPv6 analog zu IPv4 verwendet (vgl. [[Architektur#Backbone-VPN_.2F_Tinc | Backbone-VPN / Tinc (IPv4)]]. Jedem Teilnehmer ist eine IP aus dem Bereich <tt>fdd3:5d16:b5dd:3::/64</tt> zugewiesen. Die Endziffer entspricht der von IPv4. Bspw. verfügt Paul über die Adressen <tt>172.27.255.3</tt> und <tt>fdd3:5d16:b5dd:3::3</tt><br />
<br />
Supernodes annoncieren fremde Public-V6 Netze des Mesh-Segments mit geringer Priorität im Tinc-Backone. Somit ist sichergestellt, dass bei einem Ausfall eines Supernodes die Addressen weiterhin verwendet werden können. Im kompletten Mesh wird <tt>fdd3:5d16:b5dd::/64</tt> zur internen Adressierung genutzt.<br />
<br />
==== Sonstige Bereiche / ULA ====<br />
Einzelnen Anwendungen stehen komplette /64-Netze zur Verfügung gestellt. Entsprechende Adressen sind in der Firmware fest verdrahtet. Die Nutzung eigener /64 Netze ermöglicht es, Server zu transparent migrieren ohne auf DNS angewiesen zu sein. Beispiel: collectd verwendet <tt>fdd3:5d16:b5dd:2::/64</tt>, der collectd-Server ist unter <tt>fdd3:5d16:b5dd:2::1</tt> erreichbar.<br />
<br />
== OSI-7: Anwendungen ==<br />
TBD - Hier kommen hin:<br />
* Register<br />
* collectd<br />
* DNS<br />
* Ggf. Squid<br />
<br />
== Ausblick / Probleme / TODOs / Offene Punkte ==<br />
# Anycast Info-Page implementieren<br />
# In Tinc 1.0 wird das annoncieren beliebiger Netze hackish, da [http://www.tinc-vpn.org/documentation-1.1/tincctl.8 tincctl] noch nicht nutzbar ist. (Ggf. Scripten)? Alternativ können wir auch OSPF auf allen Tinc-Verbindungen nutzen - Nachteil: Komplexität.<br />
# Wenn Lübeck LFF 0.3.2.1 release hat: Filter für Broadcast / Multicast dokumentieren. -> Weniger Last auf den fastd-Gateways.<br />
# DNS-Caches auf den Supernodes _wirklich_ implementieren - bislang leiten wir ganz "lame" an Paul weiter.<br />
<br />
== Notizblock ==<br />
Nix zu sehen - bitte weitergehen.<br />
<strike> <br />
<br />
Im OSI-2 Segment werden die folgenden Adressen verwendet:<br />
* 2001:67c:20a0:b102::/64<br />
* fdd3:5d16:b5dd::/64<br />
* fdd3:5d16:b5dd:1::/64<br />
<br />
=== Konfiguration Super-Nodes ===<br />
Jeder Super-Node betreibt einen DHCPv4-Server, mit dem er die Konfiguration für die Klienten ausliefert. Gleichzeitig betreibt er einen DNS-Cache - optional ist der Betrieb eines transparenten HTTP-Proxies denkbar.<br />
<br />
Die aktuelle Planung sieht 8 Super-Nodes für das FF-KBU vor, auf denen DHCP-Server betrieben werden. Keys und DNS-Namen sind in der Firmware hinterlegt. Bei Bedarf können weitere Super-Nodes hinzugefügt werden.<br />
<br />
=== Konfiguration Nodes ===<br />
''<todo> (TODO: Implementierung in der Firmware ausstehend).''<br />
<br />
Nodes verwenden im Uplink-Netz zusätzlich den ULA-Bereich<br />
*fdd3:5d16:b5dd:1::/64 <br />
Jeder Node kann über seine Public-IPv6, ULA-IPv6, Link-Local-IPv6 Adressen und die IPv4-Adresse seines WAN-Uplink-Netzes erreicht werden. Jedem Node wird dadurch eine eindeutige Adresse aus fdd3:5d16:b5dd::/64 zugewiesen, die aus allen Netzen - mit denen er verbunden ist erreicht werden kann <br />
<br />
Gleichzeitig verwendet jeder Node die anycast-Adresse 172.27.0.255, die nur aus dem Infrastruktur-Netz erreichbar ist. Hierdurch kann ein Client explizit abfragen, mit welchem Node er verbunden ist. </todo><br />
<br />
=== IPv6 / RADVD ===<br />
Hinweis: Aktell nicht so umgesetzt - Tinc in Squeeze hat da afair Probleme TODO: Umsetzen.<br />
Super-Nodes betreiben radvd-Server im Adressbereich 2001:67c:20a0:b102::/64 und annoncen sich selbst als Router<br />
</strike></div>Christofhttps://kbu.freifunk.net/wiki/index.php?title=Architektur&diff=2469Architektur2013-05-24T19:32:08Z<p>Christof: /* Kurzzusammenfassung */</p>
<hr />
<div>{{TOCright}}<br />
<span style="color: #F00">'''Hinweis'''</span>: Dieser Artikel beschreibt das Freifunk-Netz aus konzeptioneller Sicht und erklärt viele, tiefe Details. Um einfach mitzumachen musst Du nicht alles davon verstehen - wenn Du Interesse hast, lese einfach weiter :-).<br />
<br />
<br />
== Kurzzusammenfassung ==<br />
<br />
Freifunk-KBU verfolgt die [[Netzwerk-Konfiguration#Komplettes_Bridging | Komplettes Bridging]]-Strategie: Das gesamte KBU-Netz bildet eine Broadcast-Domäne. Fastd-Server verbinden als Supernodes WLAN-Mesh-Partionen. IP-Adressen werden an Clients per DHCP und radvd vergeben. Nodes erhalten keine IP Adresse. Ein routed Backbone-VPN (tinc) verbindet die Supernodes und ermöglicht Routing zum Exit.<br />
<br />
== Einleitung ==<br />
Dieser Artikel beschreibt die Architektur des in Köln, Bonn und Umgebung verwendeten Freifunk-Netzes. Dabei wird insbesondere auf die Zusammenhänge zwischen Server-Konfiguration und Firmware-Eigenschaften eingegangen. Hierbei gibt die Architektur vor, wie Nodes, Supernodes, Server und Klienten konfiguriert werden müssen. <br />
<br />
Im Rahmen der Einleitung wird die verwendete Strategie (''komplettes Bridging'') dargelegt. Die folgenden Absätze (OSI-2: Bridging, OSI-3: Routing) gehen detailliert auf die verschiedenen Schichten des Netzes ein. Der letzte Absatz gibt einen Ausblick auf mögliche Änderung, die in Zukunft einziehen können.<br />
<br />
=== Strategie ===<br />
Das Netz besteht aus Klienten, Nodes und Supernodes. Die verwendete [[Netzwerk-Konfiguration#Komplettes_Bridging | Komplettes Bridging Strategie]] sieht vor, dass das komplette Netz ein einziges zusammenhängendes OSI-2 Segment bildet. Dieses Segment verbindet alle Teilnehmer. Dadurch sind je 2 Klienten in verschiedenen Teilen des Netzes immer über eine zu Grunde liegende Infrastruktur via "Ethernet" (WLAN / LAN) miteinander verbunden. Für die Infrastruktur wird batman-adv (http://www.open-mesh.org/) verwendet - sie wird als hierachisches [[Wikipedia:Peer-to-Peer | P2P-Netz]] realisiert. Somit: <br /><br />
''Daten zwischen Netzteilnehmer werden als Frames switched, das Netz bildet eine große Broadcast-/Link-Local-Multicast-Domäne.''<br />
<br />
=== Supernodes ===<br />
[[Datei:Super-node-overview.png|thumb|300px|right|Abb. 1]]<br />
[[supernode|Supernodes]] (auch: fastd-Server) sind Nodes, die VPN-Verbindungen von Nodes entgegen nehmen. Ein Supernode ist im Internet erreichbar, d.h. Nodes können VPN-Verbindungen dorthin initiieren, auch wenn sie sich z.B. hinter einem [[Wikipedia:Network_Address_Translation | NAT]] befinden. Supernodes verfügen über eine gute Internet-Anbindung (100MBit/s). Jeder Node hält typischerweise VPN-Verbindungen zu zwei verschiedenen Supernodes. Adressen und VPN-Schlüssel der Supernodes sind fest in der Node-Firmware verdrahtet.<br />
<br />
Supernodes werden beispielsweise auf dedizierten Servern ohne WLAN-Konnektivität betrieben.<br />
Abb. 1 zeigt die Kommunikation zwischen Klienten, Nodes und Supernodes. Die Nodes A und B sind mit den Supernodes fastd1 und fastd2 verbunden. Über die eingezeichneten Verbindungen werden batman-adv Frames versendet. Der Klient ist im Infrastruktur-Netz an Node A eingebucht - es werden gewöhnliche Wireless-Lan-Frames verwendet. (''kein batman-adv'')<br />
<br />
=== Nodes ===<br />
[[Datei:4.1-All-Bridging.png|thumb|300px|right|Abb. 2]]<br />
Auf den Nodes existieren verschiedene Netze, die teilweise mit einander verbunden sind (Abb. 2). Jeder Node spannt dabei zwei Wireless-Lan-Netze auf und ggf. eine VPN-Verbindung auf.<br />
<br />
* ''wlan0'' wird als "Master"-Netz betrieben<br />
* ''wlan1'' arbeitet als "Ad-Hoc"-Netz <br />
* ''tap0'' ist das VPN-Interface. <br />
<br />
wlan1 und tap0 sind hierbei dem ''bat0'' Interface hinzugefügt. <br />
<br />
''Hinweis'': Aus technischen Gründen (u.a. vlan-Fähigkeit einzelner Geräte), weichen Interface-Namen in der Node-Firmware z.T. ab.<br />
<br />
== OSI-2: Data-Link-Layer ==<br />
[[Datei:Osi-2.png|thumb|350px|right|Abb. 3]]<br />
<br />
Die komplettes Bridging Strategie sieht vor, dass alle Stationen zu einem OSI-2 Segment zusammen gefasst werden. Hierbei werden LAN, WLAN und VPN-Verbindungen via bridging verbunden. In diesem Absatz wird die Konfiguration der verschiedenen Komponenten des Segements erläutert. Abb. 3 illustriert das Segment. Es besteht aus den Super-Nodes fastd1, fastd2 und fastd3, den Nodes <tt>b0487aaeec16</tt>, <tt>f8d111883fea</tt> und <tt>d85d4cae420c</tt> sowie zwei Klienten. <br />
* Nodes <tt>b0..</tt> und <tt>f8..</tt> sind per Kabel mit dem Internet verbunden und bauen eine VPN-Verbindung zu jeweils zwei Supernodes auf.<br />
* Node <tt>d8..</tt> verfügt über keine kabelgebundene Verbindung zum Internet. Er ist via ad-hoc wlan mit der Wolke verbunden<br />
* Entlang der blau eingezeichneten Verbindungen werden batman-adv Frames ausgetauscht.<br />
Die Klienten werden daher via batman-adv TT-annouces im Mesh bekannt gemacht. Bridge-Loop-Avoidance (BLA) wird nicht verwendet (http://www.open-mesh.org/projects/batman-adv/wiki/Understand-your-batman-adv-network)<br />
<br />
=== Node-IDs ===<br />
Jedem Node wird eine eindeutige ID zugewiesen. Sie entspricht der Hardware-Adresse gemäß Aufkleber - Trennzeichen werden entfernt. (Beispiel: Hardware-Adresse: <tt>F4:EC:38:E9:72:34</tt> => Node-ID: <tt>f4ec38e97234</tt>. Verfügt ein Node über mehrere Interfaces, so wird die des ersten (gemäß Treiber- / Kernel Nummerierung) 2.4 GHz-Interface verwendet.<br />
<br />
=== Wireless LAN ===<br />
Im Freifunk-KBU Netz wird IEEE 802.11g/n verwendet:<br />
* Das Infrastruktur-Netz führt die SSID <tt>kbu.freifunk.net</tt>. Für Klienten erscheint es als normaler Accesspoint.<br />
* Das Ad-Hoc Netz nutzt die ESSID und BSSID: <tt>02:d1:11:37:fc:39</tt>. Es ermöglicht die direkte Kommunikation zwischen verschiedenen Nodes.<br />
<br />
=== VPN ===<br />
==== Verwendung ====<br />
Verfügt ein Node über einen drahtgebundenen Zugang zum Internet, so baut er eine VPN-Verbindung auf. Als VPN wird fastd (https://projects.universe-factory.net/projects/fastd) verwendet. Fastd baut - ähnlich zu l2tp - per Default Verbindungen nur zwischen zu definierten Links auf. Somit ergibt sich keine Redundanz zur batman-adv Topologie-Ermittlung: Für batman-adv existiert ''nicht'' der transitive Abschluss aller konfigurierten fastd-Links als Broadcast-Medium. Das VPN arbeitet hier als Ersatz für ad-hoc wlan Verbindungen: Teile des Netzes zwischen denen keine Verbindungen bestehen, werden über das VPN zusammen gefasst.<br />
Nodes ohne Verbindung zum VPN-Server bilden eine gemeinsames OSI-2 Segment, wenn eine Ad-Hoc Verbindung besteht oder wenn zwischen ihnen eine VPN-Verbindung manuell konfiguriert wurde<br />
(fastd-Peers per Shell im Dateisystem des Nodes hinterlegt). Eine Verbindung zu Supernodes ist nicht zwingend erforderlich. Somit gilt:<br />
<br />
''Das VPN verbindet Ad-Hoc Mesh-Partitionen - Partitionen ohne VPN-Link zu Supernodes arbeiten autark.<br />
<br />
==== Schlüsselaustausch ==== <br />
[[Datei:Key-submit.png|thumb|300px|right|Abb. 4]]<br />
<br />
Zum Aufbau einer fastd-Verbindung müssen beide Peers (Node und Supernode) vorab ihren Public Key ausgetauscht haben.<br />
* Die Keys der Supernodes sind in der Firmware hinterlegt und stehen von Beginn an zur Verfügung.<br />
* Die Keys der Nodes werden initial (beim ersten Systemstart) generiert und müssen danach übermittelt werden.<br />
<br />
Die Übermittlung erfolgt dabei über die Supernodes. Jeder Supernode betreibt einen RESTful-Webservice über den er Schlüssel entgegen nimmt (https://github.com/ff-kbu/fastd-service): Initiiert ein Node eine VPN-Verbindung zu einem Supernode zu übermittelt er im Vorfeld seinen Public-Key. Durch die Verwendung Elliptischer Kurven sind die Schlüssel hinreichend klein und können urlencoded übermittelt werden. Abb. 4 zeigt den Schlüsselaustausch zwischen Node und Supernode. Die Übermittlung geschieht bei jedem Boot des Nodes.<br />
<br />
Das Node-Register ist ebenfalls am Austausch beteiligt: Es kann Schlüssel ablehnen (bspw. wenn er bereits im Netz verwendet wird). In diesem Fall übermittelt das Node-Register HTTP-423 (Locked). Alle anderen Rückgabewerte oder Fehler werden vom Supernode ignoriert. Somit ist ein Schlüsselaustausch auch ohne verfügbares Node-Register möglich.<br />
<br />
Ändert sich der Schlüssel eines Nodes (z.B. durch Neuinstallation), so wird der neue Schlüssel anstelle des alten übermittelt und im VPN verwendet.<br />
<br />
=== Frame-Typen ===<br />
Für die genutzten Frame-Typen gilt:<br />
* vlan-Tagging wird nicht verwendet.<br />
* VPN und ad-hoc: ''batman-adv''-Frames <br />
* Infrastruktur-Netz: Gewöhnliche Wireless-Lan Frames (IEEE 802.11)<br />
<br />
=== MTU / PMTU ===<br />
* wireless-lan Interfaces verwenden als MTU 1500 Byte<br />
* fastd tap-Interfaces verwenden als MTU 1426 Byte<br />
<br />
''Hinweise: ''<br />
<br />
fastd-Pakete werden per default nicht fragmentiert. Wird eine VPN-Verbindung mit zu kleiner PMTU verwendet, werden die Pakete verworfen. Die MTU 1426 des fastd-Interfaces errechnet sich durch:<br />
* PMTU des Uplinks: 1500 Byte - 8 Byte = 1492 Byte = MTU einer DSL-PPPoE Verbindung<br />
* Overhead fastd: 1492 Byte - 20 Byte (IP) - 8 Byte (UDP) - 24 Byte (fastd) - 14 Byte (Inner Ethernet) = 1426 Byte<br />
<br />
Falls keine fastd-Verschlüsselung verwendet wird (Method: 'null') rediziert sich der fastd-Overhead von 24 Byte auf 1 Byte.<br />
<br />
Problematisch ist, dass Netcologne bei ADSL typischerweise nur eine PMTU von 1442 (d.h. 50 Byte weniger) zur Verfügung stellt. Hiermit ist fraglich, in wie weit 1426 als MTU für fastd-Interfaces sinnvoll ist (alternativ: 1376). Aktuell werden alle Supernodes ohne PMTU-Discovery betrieben (<tt>sysctl -w net.ipv4.ip_no_pmtu_disc=1</tt>), so dass das Don't Fragment (DF)-Bit seitens fastd auf 0 gesetzt wird und keine Probleme durch Paketverlust auftreten. Auf den Nodes ist PMTU-Discovery derzeit aktiv - Probleme sind jedoch nicht erkennbar. Mittelfristig sollte das Fragmentierungsverhalten seitens fastd konfigurierbar sein: https://projects.universe-factory.net/issues/120<br />
<br />
Somit senden radvds eine MTU von 1350 (1376 - batman-adv Overhead) (<tt>AdvLinkMTU 1350</tt>)<br />
<br />
== OSI-3: Network Layer ==<br />
Zur Kommunikation im Freifunk-Netz und mit weiteren Netzen ist es erforderlich, IP-Adressen zu Vergeben und Pakete in andere Netze zu routen. Dieser Absatz beschreibt die verwendete Adressierungs- und Routing-Strategien im Freifunk-Netz. Hierbei wird insbesondere auf das Backbon-VPN (Tinc) und auf die Konfiguration der Supernodes eingegangen.<br />
<br />
=== IPv4 ===<br />
[[Datei:Osi-3-v4.png|thumb|400px|right|Abb. 5]]<br />
Abb. 5 illustriert die verwendeten IPv4-Netze. Zur Vereinfachung sind nicht alle Supernodes und Server dargestellt. Von ''oben nach unten'' gesehen werden die Netze wie folgt verwendet (vgl. [[IP Subnetze]]).<br />
<br />
==== Mesh ====<br />
In der Mesh-Wolke (dem OSI-2 Segment) werden Adressen aus dem Bereich <tt>172.27.0.0/18</tt> verwendet. <br />
* Supernodes ist eine statische Adresse fest zugewiesen. fastd3 verwendet die Adresse <tt>172.27.8.1</tt> während fastd4 <tt>172.27.16.1</tt> nutzt. <br />
* Nodes besitzen keine IPv4 Adresse - sie sind nicht Teil des IPv4-Netzes. (Evtl. bald doch - siehe Abschnitt [[Architektur#Anycast | Anycast]])<br />
* Jedem Supernode ist ein /21 Netz zugeteilt. Hier: fastd3: <tt>172.27.8.0/21</tt>, fastd4: <tt>172.27.16.0/21</tt>. Sie verfügen somit über je 2048 Adressen. <br />
** Jeder Supernode betreibt einen DHCP-Server, der Adressen aus dem zugeteilten Bereich in der Mesh-Cloud vergibt. fastd3 vergibt beispielsweise Adressen aus dem Bereich <tt>172.27.8.10</tt> - <tt>172.27.15.255</tt><br />
** Jeder Klient im Mesh-Netz bezieht eine IP von einem Supernode. Er nutzt ihn als ''Default-Router'' und ''DNS-Server''. Die Auswahl des Supernodes erfolgt durch den batman-adv Gateway Mode (Vgl. http://www.open-mesh.org/projects/batman-adv/wiki/Gateways).<br />
<br />
==== Backbone-VPN / Tinc ====<br />
Alle Supernodes und sonstigen Server des Freifunk-KBU-Netztes sind untereinander über ein dezentrales VPN (Tinc - vgl. http://tinc-vpn.org/) verbunden.<br />
* Das Netz verwendet den Adressbereich <tt>172.27.255.0/24</tt>. Bspw. verwendet fastd3 die Adresse <tt>172.27.55.9</tt> -- fastd4 hingegen <tt>172.27.255.10</tt><br />
* Das VPN wird als Transport-Netz benutzt: IP-Pakete mit fremden Quell- und Zieladressen werden darüber transportiert.<br />
* Verfügt ein Supernode über Kontakt zu weiteren Netzten so annonciert er eine entsprechende Route. In der Abbildung kann fastd4 über das Tor-Netzwerk Verbindungen zum WWW aufbauen. Er annonciert daher die Route <tt>0.0.0.0/0</tt> (Default Route). Verfügt ein Node über Kontakt im ChaosVPN (http://wiki.hamburg.ccc.de/ChaosVPN) oder IC-VPN (http://wiki.freifunk.net/IC-VPN) so annonciert er diese Netzbereiche.<br />
* Das VPN ist verschlüsselt. Nutzlast wie z.B. Service-Aufrufe müssen daher nicht zusätzlich per SSL/TLS gesichert werden.<br />
* Jeder Router annonciert zusätzlich das im zugeteilte Netz -- fastd3: <tt>172.27.8.0/21</tt>, fastd4: <tt>172.27.16.0/21</tt><br />
* Der Schlüsselaustausch erfolgt via github (https://github.com/ff-kbu/bbkeys).<br />
Paul nimmt hierbei eine Sonderrolle ein: Als einziger, regulärer Router zum Internet kann er als IPv4- und IPv6-Default-Router verwendet werden. Paul ist kein Supernode sondern wickelt lediglich externen Traffic ab.<br />
<br />
==== Anycast ====<br />
<todo nicht implementiert> <br />
Jeder Node ist über das Infrastruktur-Netz auf der IP <tt>172.27.0.1</tt> erreichbar. Hierüber können Klienten Status-Informationen des Nodes beziehen, bei dem sie eingebucht sind.<br />
</todo nicht implementiert><br />
<br />
=== IPv6 ===<br />
[[Datei:Osi-3-v6.png|thumb|450px|right|Abb. 6]]<br />
Abb. 6 illustriert die IPv6 Konfiguration. Wie zuvor bei IPv4 sind zur Vereinfachung nicht alle Supernodes und Server dargestellt. Für IPv6 werden die folgenden Addressbereiche verwendet:<br />
* <tt>fdd3:5d16:b5dd::/48</tt> Unique Local Addresses (ULA)<br />
* <tt>2001:67C:20A0:B100::/56</tt> Global.<br />
Die Verwendung der Public IPv6 Address ermöglicht, dass alle Teilnehmer des Freifunk-Netzes extern erreichbar sind. <br />
<br />
Von ''oben nach unten'' werden die Netze wie folgt verwendet:<br />
<br />
==== Mesh ====<br />
Im Mesh werden ULA und global gültige IPv6-Addressen verwendet. Jedem Supernode ist ein eigenes, globales /64 Subnet zugewiesen. Der Supernode verwendet die Host-ID 1. Hier: fastd3: <tt>2001:67c:20a0:b104::1/6</tt>, fastd4: <tt>2001:67c:20a0:b105::1/64</tt>).<br />
<br />
Supernodes versenden Router Advertisments (RA) im kompletten Segment. Nodes und Klienten erhalten aus jedem Pool eine Addresse (stateless autoconfiguration). Jeder Supernode routed IPv6-Pakete zwischen Mesh-Cloud und Internet.<br />
<br />
Hinweis: Da der Klient das Default-Gateway zufällig wählt, werden Pakete idR auf verschiedenen Routes zugestellt:<br />
* Sendet der Klient ein Paket, so wird der vom Klienten zufällig gewählte Supernode genutzt<br />
* Empfängt der Klient ein Paket, so richtet sich der Supernode nach der verwendeten Public IPv6 Addresse des Klienten: es wird der Supernode verwendet, aus dessem Subnet die Adresse stammt<br />
<br />
==== Backbone-VPN / Tinc ====<br />
Im Backbone-VPN wird IPv6 analog zu IPv4 verwendet (vgl. [[Architektur#Backbone-VPN_.2F_Tinc | Backbone-VPN / Tinc (IPv4)]]. Jedem Teilnehmer ist eine IP aus dem Bereich <tt>fdd3:5d16:b5dd:3::/64</tt> zugewiesen. Die Endziffer entspricht der von IPv4. Bspw. verfügt Paul über die Adressen <tt>172.27.255.3</tt> und <tt>fdd3:5d16:b5dd:3::3</tt><br />
<br />
Supernodes annoncieren fremde Public-V6 Netze des Mesh-Segments mit geringer Priorität im Tinc-Backone. Somit ist sichergestellt, dass bei einem Ausfall eines Supernodes die Addressen weiterhin verwendet werden können. Im kompletten Mesh wird <tt>fdd3:5d16:b5dd::/64</tt> zur internen Adressierung genutzt.<br />
<br />
==== Sonstige Bereiche / ULA ====<br />
Einzelnen Anwendungen stehen komplette /64-Netze zur Verfügung gestellt. Entsprechende Adressen sind in der Firmware fest verdrahtet. Die Nutzung eigener /64 Netze ermöglicht es, Server zu transparent migrieren ohne auf DNS angewiesen zu sein. Beispiel: collectd verwendet <tt>fdd3:5d16:b5dd:2::/64</tt>, der collectd-Server ist unter <tt>fdd3:5d16:b5dd:2::1</tt> erreichbar.<br />
<br />
== OSI-7: Anwendungen ==<br />
TBD - Hier kommen hin:<br />
* Register<br />
* collectd<br />
* DNS<br />
* Ggf. Squid<br />
<br />
== Ausblick / Probleme / TODOs / Offene Punkte ==<br />
# Anycast Info-Page implementieren<br />
# In Tinc 1.0 wird das annoncieren beliebiger Netze hackish, da [http://www.tinc-vpn.org/documentation-1.1/tincctl.8 tincctl] noch nicht nutzbar ist. (Ggf. Scripten)? Alternativ können wir auch OSPF auf allen Tinc-Verbindungen nutzen - Nachteil: Komplexität.<br />
# Wenn Lübeck LFF 0.3.2.1 release hat: Filter für Broadcast / Multicast dokumentieren. -> Weniger Last auf den fastd-Gateways.<br />
# DNS-Caches auf den Supernodes _wirklich_ implementieren - bislang leiten wir ganz "lame" an Paul weiter.<br />
<br />
== Notizblock ==<br />
Nix zu sehen - bitte weitergehen.<br />
<strike> <br />
<br />
Im OSI-2 Segment werden die folgenden Adressen verwendet:<br />
* 2001:67c:20a0:b102::/64<br />
* fdd3:5d16:b5dd::/64<br />
* fdd3:5d16:b5dd:1::/64<br />
<br />
=== Konfiguration Super-Nodes ===<br />
Jeder Super-Node betreibt einen DHCPv4-Server, mit dem er die Konfiguration für die Klienten ausliefert. Gleichzeitig betreibt er einen DNS-Cache - optional ist der Betrieb eines transparenten HTTP-Proxies denkbar.<br />
<br />
Die aktuelle Planung sieht 8 Super-Nodes für das FF-KBU vor, auf denen DHCP-Server betrieben werden. Keys und DNS-Namen sind in der Firmware hinterlegt. Bei Bedarf können weitere Super-Nodes hinzugefügt werden.<br />
<br />
=== Konfiguration Nodes ===<br />
''<todo> (TODO: Implementierung in der Firmware ausstehend).''<br />
<br />
Nodes verwenden im Uplink-Netz zusätzlich den ULA-Bereich<br />
*fdd3:5d16:b5dd:1::/64 <br />
Jeder Node kann über seine Public-IPv6, ULA-IPv6, Link-Local-IPv6 Adressen und die IPv4-Adresse seines WAN-Uplink-Netzes erreicht werden. Jedem Node wird dadurch eine eindeutige Adresse aus fdd3:5d16:b5dd::/64 zugewiesen, die aus allen Netzen - mit denen er verbunden ist erreicht werden kann <br />
<br />
Gleichzeitig verwendet jeder Node die anycast-Adresse 172.27.0.255, die nur aus dem Infrastruktur-Netz erreichbar ist. Hierdurch kann ein Client explizit abfragen, mit welchem Node er verbunden ist. </todo><br />
<br />
=== IPv6 / RADVD ===<br />
Hinweis: Aktell nicht so umgesetzt - Tinc in Squeeze hat da afair Probleme TODO: Umsetzen.<br />
Super-Nodes betreiben radvd-Server im Adressbereich 2001:67c:20a0:b102::/64 und annoncen sich selbst als Router<br />
</strike></div>Christofhttps://kbu.freifunk.net/wiki/index.php?title=Architektur&diff=2468Architektur2013-05-24T19:21:35Z<p>Christof: /* Kurzzusammenfassung */</p>
<hr />
<div>{{TOCright}}<br />
<span style="color: #F00">'''Hinweis'''</span>: Dieser Artikel beschreibt das Freifunk-Netz aus konzeptioneller Sicht und erklärt viele, tiefe Details. Um einfach mitzumachen musst Du nicht alles davon verstehen - wenn Du Interesse hast, lese einfach weiter :-).<br />
<br />
<br />
== Kurzzusammenfassung ==<br />
<br />
Freifunk-KBU verfolgt die [[Netzwerk-Konfiguration#Komplettes_Bridging | Komplettes Bridging]]-Strategie: Fastd-Server verbinden als Supernodes WLAN-Mesh-Partionen. IP-Adressen werden an Clients per DHCP und radvd vergeben. Nodes erhalten keine IP Adresse. Ein routed Backbone-VPN (tinc) verbindet die Supernodes und ermöglicht Routing zum Exit.<br />
<br />
== Einleitung ==<br />
Dieser Artikel beschreibt die Architektur des in Köln, Bonn und Umgebung verwendeten Freifunk-Netzes. Dabei wird insbesondere auf die Zusammenhänge zwischen Server-Konfiguration und Firmware-Eigenschaften eingegangen. Hierbei gibt die Architektur vor, wie Nodes, Supernodes, Server und Klienten konfiguriert werden müssen. <br />
<br />
Im Rahmen der Einleitung wird die verwendete Strategie (''komplettes Bridging'') dargelegt. Die folgenden Absätze (OSI-2: Bridging, OSI-3: Routing) gehen detailliert auf die verschiedenen Schichten des Netzes ein. Der letzte Absatz gibt einen Ausblick auf mögliche Änderung, die in Zukunft einziehen können.<br />
<br />
=== Strategie ===<br />
Das Netz besteht aus Klienten, Nodes und Supernodes. Die verwendete [[Netzwerk-Konfiguration#Komplettes_Bridging | Komplettes Bridging Strategie]] sieht vor, dass das komplette Netz ein einziges zusammenhängendes OSI-2 Segment bildet. Dieses Segment verbindet alle Teilnehmer. Dadurch sind je 2 Klienten in verschiedenen Teilen des Netzes immer über eine zu Grunde liegende Infrastruktur via "Ethernet" (WLAN / LAN) miteinander verbunden. Für die Infrastruktur wird batman-adv (http://www.open-mesh.org/) verwendet - sie wird als hierachisches [[Wikipedia:Peer-to-Peer | P2P-Netz]] realisiert. Somit: <br /><br />
''Daten zwischen Netzteilnehmer werden als Frames switched, das Netz bildet eine große Broadcast-/Link-Local-Multicast-Domäne.''<br />
<br />
=== Supernodes ===<br />
[[Datei:Super-node-overview.png|thumb|300px|right|Abb. 1]]<br />
[[supernode|Supernodes]] (auch: fastd-Server) sind Nodes, die VPN-Verbindungen von Nodes entgegen nehmen. Ein Supernode ist im Internet erreichbar, d.h. Nodes können VPN-Verbindungen dorthin initiieren, auch wenn sie sich z.B. hinter einem [[Wikipedia:Network_Address_Translation | NAT]] befinden. Supernodes verfügen über eine gute Internet-Anbindung (100MBit/s). Jeder Node hält typischerweise VPN-Verbindungen zu zwei verschiedenen Supernodes. Adressen und VPN-Schlüssel der Supernodes sind fest in der Node-Firmware verdrahtet.<br />
<br />
Supernodes werden beispielsweise auf dedizierten Servern ohne WLAN-Konnektivität betrieben.<br />
Abb. 1 zeigt die Kommunikation zwischen Klienten, Nodes und Supernodes. Die Nodes A und B sind mit den Supernodes fastd1 und fastd2 verbunden. Über die eingezeichneten Verbindungen werden batman-adv Frames versendet. Der Klient ist im Infrastruktur-Netz an Node A eingebucht - es werden gewöhnliche Wireless-Lan-Frames verwendet. (''kein batman-adv'')<br />
<br />
=== Nodes ===<br />
[[Datei:4.1-All-Bridging.png|thumb|300px|right|Abb. 2]]<br />
Auf den Nodes existieren verschiedene Netze, die teilweise mit einander verbunden sind (Abb. 2). Jeder Node spannt dabei zwei Wireless-Lan-Netze auf und ggf. eine VPN-Verbindung auf.<br />
<br />
* ''wlan0'' wird als "Master"-Netz betrieben<br />
* ''wlan1'' arbeitet als "Ad-Hoc"-Netz <br />
* ''tap0'' ist das VPN-Interface. <br />
<br />
wlan1 und tap0 sind hierbei dem ''bat0'' Interface hinzugefügt. <br />
<br />
''Hinweis'': Aus technischen Gründen (u.a. vlan-Fähigkeit einzelner Geräte), weichen Interface-Namen in der Node-Firmware z.T. ab.<br />
<br />
== OSI-2: Data-Link-Layer ==<br />
[[Datei:Osi-2.png|thumb|350px|right|Abb. 3]]<br />
<br />
Die komplettes Bridging Strategie sieht vor, dass alle Stationen zu einem OSI-2 Segment zusammen gefasst werden. Hierbei werden LAN, WLAN und VPN-Verbindungen via bridging verbunden. In diesem Absatz wird die Konfiguration der verschiedenen Komponenten des Segements erläutert. Abb. 3 illustriert das Segment. Es besteht aus den Super-Nodes fastd1, fastd2 und fastd3, den Nodes <tt>b0487aaeec16</tt>, <tt>f8d111883fea</tt> und <tt>d85d4cae420c</tt> sowie zwei Klienten. <br />
* Nodes <tt>b0..</tt> und <tt>f8..</tt> sind per Kabel mit dem Internet verbunden und bauen eine VPN-Verbindung zu jeweils zwei Supernodes auf.<br />
* Node <tt>d8..</tt> verfügt über keine kabelgebundene Verbindung zum Internet. Er ist via ad-hoc wlan mit der Wolke verbunden<br />
* Entlang der blau eingezeichneten Verbindungen werden batman-adv Frames ausgetauscht.<br />
Die Klienten werden daher via batman-adv TT-annouces im Mesh bekannt gemacht. Bridge-Loop-Avoidance (BLA) wird nicht verwendet (http://www.open-mesh.org/projects/batman-adv/wiki/Understand-your-batman-adv-network)<br />
<br />
=== Node-IDs ===<br />
Jedem Node wird eine eindeutige ID zugewiesen. Sie entspricht der Hardware-Adresse gemäß Aufkleber - Trennzeichen werden entfernt. (Beispiel: Hardware-Adresse: <tt>F4:EC:38:E9:72:34</tt> => Node-ID: <tt>f4ec38e97234</tt>. Verfügt ein Node über mehrere Interfaces, so wird die des ersten (gemäß Treiber- / Kernel Nummerierung) 2.4 GHz-Interface verwendet.<br />
<br />
=== Wireless LAN ===<br />
Im Freifunk-KBU Netz wird IEEE 802.11g/n verwendet:<br />
* Das Infrastruktur-Netz führt die SSID <tt>kbu.freifunk.net</tt>. Für Klienten erscheint es als normaler Accesspoint.<br />
* Das Ad-Hoc Netz nutzt die ESSID und BSSID: <tt>02:d1:11:37:fc:39</tt>. Es ermöglicht die direkte Kommunikation zwischen verschiedenen Nodes.<br />
<br />
=== VPN ===<br />
==== Verwendung ====<br />
Verfügt ein Node über einen drahtgebundenen Zugang zum Internet, so baut er eine VPN-Verbindung auf. Als VPN wird fastd (https://projects.universe-factory.net/projects/fastd) verwendet. Fastd baut - ähnlich zu l2tp - per Default Verbindungen nur zwischen zu definierten Links auf. Somit ergibt sich keine Redundanz zur batman-adv Topologie-Ermittlung: Für batman-adv existiert ''nicht'' der transitive Abschluss aller konfigurierten fastd-Links als Broadcast-Medium. Das VPN arbeitet hier als Ersatz für ad-hoc wlan Verbindungen: Teile des Netzes zwischen denen keine Verbindungen bestehen, werden über das VPN zusammen gefasst.<br />
Nodes ohne Verbindung zum VPN-Server bilden eine gemeinsames OSI-2 Segment, wenn eine Ad-Hoc Verbindung besteht oder wenn zwischen ihnen eine VPN-Verbindung manuell konfiguriert wurde<br />
(fastd-Peers per Shell im Dateisystem des Nodes hinterlegt). Eine Verbindung zu Supernodes ist nicht zwingend erforderlich. Somit gilt:<br />
<br />
''Das VPN verbindet Ad-Hoc Mesh-Partitionen - Partitionen ohne VPN-Link zu Supernodes arbeiten autark.<br />
<br />
==== Schlüsselaustausch ==== <br />
[[Datei:Key-submit.png|thumb|300px|right|Abb. 4]]<br />
<br />
Zum Aufbau einer fastd-Verbindung müssen beide Peers (Node und Supernode) vorab ihren Public Key ausgetauscht haben.<br />
* Die Keys der Supernodes sind in der Firmware hinterlegt und stehen von Beginn an zur Verfügung.<br />
* Die Keys der Nodes werden initial (beim ersten Systemstart) generiert und müssen danach übermittelt werden.<br />
<br />
Die Übermittlung erfolgt dabei über die Supernodes. Jeder Supernode betreibt einen RESTful-Webservice über den er Schlüssel entgegen nimmt (https://github.com/ff-kbu/fastd-service): Initiiert ein Node eine VPN-Verbindung zu einem Supernode zu übermittelt er im Vorfeld seinen Public-Key. Durch die Verwendung Elliptischer Kurven sind die Schlüssel hinreichend klein und können urlencoded übermittelt werden. Abb. 4 zeigt den Schlüsselaustausch zwischen Node und Supernode. Die Übermittlung geschieht bei jedem Boot des Nodes.<br />
<br />
Das Node-Register ist ebenfalls am Austausch beteiligt: Es kann Schlüssel ablehnen (bspw. wenn er bereits im Netz verwendet wird). In diesem Fall übermittelt das Node-Register HTTP-423 (Locked). Alle anderen Rückgabewerte oder Fehler werden vom Supernode ignoriert. Somit ist ein Schlüsselaustausch auch ohne verfügbares Node-Register möglich.<br />
<br />
Ändert sich der Schlüssel eines Nodes (z.B. durch Neuinstallation), so wird der neue Schlüssel anstelle des alten übermittelt und im VPN verwendet.<br />
<br />
=== Frame-Typen ===<br />
Für die genutzten Frame-Typen gilt:<br />
* vlan-Tagging wird nicht verwendet.<br />
* VPN und ad-hoc: ''batman-adv''-Frames <br />
* Infrastruktur-Netz: Gewöhnliche Wireless-Lan Frames (IEEE 802.11)<br />
<br />
=== MTU / PMTU ===<br />
* wireless-lan Interfaces verwenden als MTU 1500 Byte<br />
* fastd tap-Interfaces verwenden als MTU 1426 Byte<br />
<br />
''Hinweise: ''<br />
<br />
fastd-Pakete werden per default nicht fragmentiert. Wird eine VPN-Verbindung mit zu kleiner PMTU verwendet, werden die Pakete verworfen. Die MTU 1426 des fastd-Interfaces errechnet sich durch:<br />
* PMTU des Uplinks: 1500 Byte - 8 Byte = 1492 Byte = MTU einer DSL-PPPoE Verbindung<br />
* Overhead fastd: 1492 Byte - 20 Byte (IP) - 8 Byte (UDP) - 24 Byte (fastd) - 14 Byte (Inner Ethernet) = 1426 Byte<br />
<br />
Falls keine fastd-Verschlüsselung verwendet wird (Method: 'null') rediziert sich der fastd-Overhead von 24 Byte auf 1 Byte.<br />
<br />
Problematisch ist, dass Netcologne bei ADSL typischerweise nur eine PMTU von 1442 (d.h. 50 Byte weniger) zur Verfügung stellt. Hiermit ist fraglich, in wie weit 1426 als MTU für fastd-Interfaces sinnvoll ist (alternativ: 1376). Aktuell werden alle Supernodes ohne PMTU-Discovery betrieben (<tt>sysctl -w net.ipv4.ip_no_pmtu_disc=1</tt>), so dass das Don't Fragment (DF)-Bit seitens fastd auf 0 gesetzt wird und keine Probleme durch Paketverlust auftreten. Auf den Nodes ist PMTU-Discovery derzeit aktiv - Probleme sind jedoch nicht erkennbar. Mittelfristig sollte das Fragmentierungsverhalten seitens fastd konfigurierbar sein: https://projects.universe-factory.net/issues/120<br />
<br />
Somit senden radvds eine MTU von 1350 (1376 - batman-adv Overhead) (<tt>AdvLinkMTU 1350</tt>)<br />
<br />
== OSI-3: Network Layer ==<br />
Zur Kommunikation im Freifunk-Netz und mit weiteren Netzen ist es erforderlich, IP-Adressen zu Vergeben und Pakete in andere Netze zu routen. Dieser Absatz beschreibt die verwendete Adressierungs- und Routing-Strategien im Freifunk-Netz. Hierbei wird insbesondere auf das Backbon-VPN (Tinc) und auf die Konfiguration der Supernodes eingegangen.<br />
<br />
=== IPv4 ===<br />
[[Datei:Osi-3-v4.png|thumb|400px|right|Abb. 5]]<br />
Abb. 5 illustriert die verwendeten IPv4-Netze. Zur Vereinfachung sind nicht alle Supernodes und Server dargestellt. Von ''oben nach unten'' gesehen werden die Netze wie folgt verwendet (vgl. [[IP Subnetze]]).<br />
<br />
==== Mesh ====<br />
In der Mesh-Wolke (dem OSI-2 Segment) werden Adressen aus dem Bereich <tt>172.27.0.0/18</tt> verwendet. <br />
* Supernodes ist eine statische Adresse fest zugewiesen. fastd3 verwendet die Adresse <tt>172.27.8.1</tt> während fastd4 <tt>172.27.16.1</tt> nutzt. <br />
* Nodes besitzen keine IPv4 Adresse - sie sind nicht Teil des IPv4-Netzes. (Evtl. bald doch - siehe Abschnitt [[Architektur#Anycast | Anycast]])<br />
* Jedem Supernode ist ein /21 Netz zugeteilt. Hier: fastd3: <tt>172.27.8.0/21</tt>, fastd4: <tt>172.27.16.0/21</tt>. Sie verfügen somit über je 2048 Adressen. <br />
** Jeder Supernode betreibt einen DHCP-Server, der Adressen aus dem zugeteilten Bereich in der Mesh-Cloud vergibt. fastd3 vergibt beispielsweise Adressen aus dem Bereich <tt>172.27.8.10</tt> - <tt>172.27.15.255</tt><br />
** Jeder Klient im Mesh-Netz bezieht eine IP von einem Supernode. Er nutzt ihn als ''Default-Router'' und ''DNS-Server''. Die Auswahl des Supernodes erfolgt durch den batman-adv Gateway Mode (Vgl. http://www.open-mesh.org/projects/batman-adv/wiki/Gateways).<br />
<br />
==== Backbone-VPN / Tinc ====<br />
Alle Supernodes und sonstigen Server des Freifunk-KBU-Netztes sind untereinander über ein dezentrales VPN (Tinc - vgl. http://tinc-vpn.org/) verbunden.<br />
* Das Netz verwendet den Adressbereich <tt>172.27.255.0/24</tt>. Bspw. verwendet fastd3 die Adresse <tt>172.27.55.9</tt> -- fastd4 hingegen <tt>172.27.255.10</tt><br />
* Das VPN wird als Transport-Netz benutzt: IP-Pakete mit fremden Quell- und Zieladressen werden darüber transportiert.<br />
* Verfügt ein Supernode über Kontakt zu weiteren Netzten so annonciert er eine entsprechende Route. In der Abbildung kann fastd4 über das Tor-Netzwerk Verbindungen zum WWW aufbauen. Er annonciert daher die Route <tt>0.0.0.0/0</tt> (Default Route). Verfügt ein Node über Kontakt im ChaosVPN (http://wiki.hamburg.ccc.de/ChaosVPN) oder IC-VPN (http://wiki.freifunk.net/IC-VPN) so annonciert er diese Netzbereiche.<br />
* Das VPN ist verschlüsselt. Nutzlast wie z.B. Service-Aufrufe müssen daher nicht zusätzlich per SSL/TLS gesichert werden.<br />
* Jeder Router annonciert zusätzlich das im zugeteilte Netz -- fastd3: <tt>172.27.8.0/21</tt>, fastd4: <tt>172.27.16.0/21</tt><br />
* Der Schlüsselaustausch erfolgt via github (https://github.com/ff-kbu/bbkeys).<br />
Paul nimmt hierbei eine Sonderrolle ein: Als einziger, regulärer Router zum Internet kann er als IPv4- und IPv6-Default-Router verwendet werden. Paul ist kein Supernode sondern wickelt lediglich externen Traffic ab.<br />
<br />
==== Anycast ====<br />
<todo nicht implementiert> <br />
Jeder Node ist über das Infrastruktur-Netz auf der IP <tt>172.27.0.1</tt> erreichbar. Hierüber können Klienten Status-Informationen des Nodes beziehen, bei dem sie eingebucht sind.<br />
</todo nicht implementiert><br />
<br />
=== IPv6 ===<br />
[[Datei:Osi-3-v6.png|thumb|450px|right|Abb. 6]]<br />
Abb. 6 illustriert die IPv6 Konfiguration. Wie zuvor bei IPv4 sind zur Vereinfachung nicht alle Supernodes und Server dargestellt. Für IPv6 werden die folgenden Addressbereiche verwendet:<br />
* <tt>fdd3:5d16:b5dd::/48</tt> Unique Local Addresses (ULA)<br />
* <tt>2001:67C:20A0:B100::/56</tt> Global.<br />
Die Verwendung der Public IPv6 Address ermöglicht, dass alle Teilnehmer des Freifunk-Netzes extern erreichbar sind. <br />
<br />
Von ''oben nach unten'' werden die Netze wie folgt verwendet:<br />
<br />
==== Mesh ====<br />
Im Mesh werden ULA und global gültige IPv6-Addressen verwendet. Jedem Supernode ist ein eigenes, globales /64 Subnet zugewiesen. Der Supernode verwendet die Host-ID 1. Hier: fastd3: <tt>2001:67c:20a0:b104::1/6</tt>, fastd4: <tt>2001:67c:20a0:b105::1/64</tt>).<br />
<br />
Supernodes versenden Router Advertisments (RA) im kompletten Segment. Nodes und Klienten erhalten aus jedem Pool eine Addresse (stateless autoconfiguration). Jeder Supernode routed IPv6-Pakete zwischen Mesh-Cloud und Internet.<br />
<br />
Hinweis: Da der Klient das Default-Gateway zufällig wählt, werden Pakete idR auf verschiedenen Routes zugestellt:<br />
* Sendet der Klient ein Paket, so wird der vom Klienten zufällig gewählte Supernode genutzt<br />
* Empfängt der Klient ein Paket, so richtet sich der Supernode nach der verwendeten Public IPv6 Addresse des Klienten: es wird der Supernode verwendet, aus dessem Subnet die Adresse stammt<br />
<br />
==== Backbone-VPN / Tinc ====<br />
Im Backbone-VPN wird IPv6 analog zu IPv4 verwendet (vgl. [[Architektur#Backbone-VPN_.2F_Tinc | Backbone-VPN / Tinc (IPv4)]]. Jedem Teilnehmer ist eine IP aus dem Bereich <tt>fdd3:5d16:b5dd:3::/64</tt> zugewiesen. Die Endziffer entspricht der von IPv4. Bspw. verfügt Paul über die Adressen <tt>172.27.255.3</tt> und <tt>fdd3:5d16:b5dd:3::3</tt><br />
<br />
Supernodes annoncieren fremde Public-V6 Netze des Mesh-Segments mit geringer Priorität im Tinc-Backone. Somit ist sichergestellt, dass bei einem Ausfall eines Supernodes die Addressen weiterhin verwendet werden können. Im kompletten Mesh wird <tt>fdd3:5d16:b5dd::/64</tt> zur internen Adressierung genutzt.<br />
<br />
==== Sonstige Bereiche / ULA ====<br />
Einzelnen Anwendungen stehen komplette /64-Netze zur Verfügung gestellt. Entsprechende Adressen sind in der Firmware fest verdrahtet. Die Nutzung eigener /64 Netze ermöglicht es, Server zu transparent migrieren ohne auf DNS angewiesen zu sein. Beispiel: collectd verwendet <tt>fdd3:5d16:b5dd:2::/64</tt>, der collectd-Server ist unter <tt>fdd3:5d16:b5dd:2::1</tt> erreichbar.<br />
<br />
== OSI-7: Anwendungen ==<br />
TBD - Hier kommen hin:<br />
* Register<br />
* collectd<br />
* DNS<br />
* Ggf. Squid<br />
<br />
== Ausblick / Probleme / TODOs / Offene Punkte ==<br />
# Anycast Info-Page implementieren<br />
# In Tinc 1.0 wird das annoncieren beliebiger Netze hackish, da [http://www.tinc-vpn.org/documentation-1.1/tincctl.8 tincctl] noch nicht nutzbar ist. (Ggf. Scripten)? Alternativ können wir auch OSPF auf allen Tinc-Verbindungen nutzen - Nachteil: Komplexität.<br />
# Wenn Lübeck LFF 0.3.2.1 release hat: Filter für Broadcast / Multicast dokumentieren. -> Weniger Last auf den fastd-Gateways.<br />
# DNS-Caches auf den Supernodes _wirklich_ implementieren - bislang leiten wir ganz "lame" an Paul weiter.<br />
<br />
== Notizblock ==<br />
Nix zu sehen - bitte weitergehen.<br />
<strike> <br />
<br />
Im OSI-2 Segment werden die folgenden Adressen verwendet:<br />
* 2001:67c:20a0:b102::/64<br />
* fdd3:5d16:b5dd::/64<br />
* fdd3:5d16:b5dd:1::/64<br />
<br />
=== Konfiguration Super-Nodes ===<br />
Jeder Super-Node betreibt einen DHCPv4-Server, mit dem er die Konfiguration für die Klienten ausliefert. Gleichzeitig betreibt er einen DNS-Cache - optional ist der Betrieb eines transparenten HTTP-Proxies denkbar.<br />
<br />
Die aktuelle Planung sieht 8 Super-Nodes für das FF-KBU vor, auf denen DHCP-Server betrieben werden. Keys und DNS-Namen sind in der Firmware hinterlegt. Bei Bedarf können weitere Super-Nodes hinzugefügt werden.<br />
<br />
=== Konfiguration Nodes ===<br />
''<todo> (TODO: Implementierung in der Firmware ausstehend).''<br />
<br />
Nodes verwenden im Uplink-Netz zusätzlich den ULA-Bereich<br />
*fdd3:5d16:b5dd:1::/64 <br />
Jeder Node kann über seine Public-IPv6, ULA-IPv6, Link-Local-IPv6 Adressen und die IPv4-Adresse seines WAN-Uplink-Netzes erreicht werden. Jedem Node wird dadurch eine eindeutige Adresse aus fdd3:5d16:b5dd::/64 zugewiesen, die aus allen Netzen - mit denen er verbunden ist erreicht werden kann <br />
<br />
Gleichzeitig verwendet jeder Node die anycast-Adresse 172.27.0.255, die nur aus dem Infrastruktur-Netz erreichbar ist. Hierdurch kann ein Client explizit abfragen, mit welchem Node er verbunden ist. </todo><br />
<br />
=== IPv6 / RADVD ===<br />
Hinweis: Aktell nicht so umgesetzt - Tinc in Squeeze hat da afair Probleme TODO: Umsetzen.<br />
Super-Nodes betreiben radvd-Server im Adressbereich 2001:67c:20a0:b102::/64 und annoncen sich selbst als Router<br />
</strike></div>Christof