KBU Bonn V2

KBU Hood Bonn V2

Aufgrund der alten Batman-Version der bisherigen Hood Bonn (V 2013.4.0) kann diese nicht mehr sinnvoll weiter geupdatet werden, da es einen Kompatibilitätsbruch ab der Version 2013.4.0 gibt. Deswegen haben wir eine neue Bonner Hood erstellt, welche (leider) inkompatibel zur bisherigen Hood ist.

Da wir in Bonn also ohnehin mit der Kompatibilität brechen mussten, ergab sich die Gelegenheit in allen Bereichen der Firmware "auf der grünen Wiese" anzufangen und sich von legacy ballast zu befreien.

Technische Daten

• Wahlweise WireGuard oder FastD als VPN Verbindungsmöglichkeiten zu den Supernodes
  • Beide VPN Systeme bauen eine verschlüsselte Verbindung auf, unterscheiden sich aber in einigen Punkten deutlich: WireGuard unterstützt Multithreading, skaliert also auf MultiCore CPU Systemen. Außerdem lässt es sich im Linux Kernelspace ausführen. Beides führt zu besserer Cryptoperformance und daher zu höherem Datendurchsatz. FastD bleibt vor allem ein Vorteil: Es verbraucht weniger Platz in der Firmware und kann daher auch auf Routern eingesetzt werden, die nur über 4MB Flashspeicher verfügen. Für alle Modelle mit mehr als 4MB Speicher ist es sinnvoll WireGuard einzusetzen. Daher pflegen wir aktuell zwei Branches: WireGuard und FastD
• Batman-Adv 2018.X
• OpenWrt 18.06.x(ab Gluon 2018.2). Dadurch verwenden wir jetzt den Kernel 4.9.146 oder 4.14.89 je nach Hardware-Target.
• WLAN-Mesh via 802.11s zwischen den Nodes
  • Die Verwendung des Mesh-Standard IEEE 802.11s anstelle von IBSS/Adhoc eröffnet die Möglichkeit Support für zusätzliche aktuelle Routermodelle anzubieten. Außerdem kann dadurch der WLAN-Treiber ath10k statt ath10k-ct genutzt werden der stabiler und schneller läuft. Z.B. unterstützt er MU-MIMO wenn die Hardware das hergibt. (getestet auf AVM Fritzbox 4040 & zyxel NGB6617)
• Kabelbasiertes Mesh via VxLAN anstelle von MeshOnLAN
• Dynamic DNS.
  • Dadurch können die Router und andere Rechner/Dienste auch über Ihren Namen angesprochen werden und nicht nur über die IP-Adressen. Diese Funktion funktioniert sowohl für feste als auch dynamische IP-Adressen.
• Die Autoupdate Funktion kann aktiviert werden.
• Es gibt ein Paket Repository, um Kerneltreiber nachzuinstallieren. Dadurch kann z.B. ein eventuell vorhandener USB-Port verwendet werden.

Die Kombination von 802.11s & WireGuard macht das Target ipq40xx besonders interessant:

• durch den Einsatz von WireGuard können alle 4 CPU cores des Routers für einen performanten und stabilen VPN-Uplink
• WLAN-Mesh via 802.11s mit dem WLAN-Treiber ath10k erlauben MultiUser MIMO sowohl für clients als auch für WLAN-Meshverbindungen.

Supernodes

Es existieren aktuell folgende Supernodes:

DNS-Name	IP-Adresse	Zugriffsmöglichkeit	Zugriffe
bonn1.kbu.freifunk.net	5.9.102.119	ssh bonn1.kbu.freifunk.net -p 222	Kevin, Nunatak, Simon, JohnnyBee
bonn2.kbu.freifunk.net	163.172.107.146	ssh bonn2.kbu.freifunk.net -p 2208	Kevin, Nunatak, Simon, JohnnyBee
bonn3.kbu.freifunk.net	195.154.84.24	ssh bonn3.kbu.freifunk.net -p 2211	Kevin, Nunatak, Simon, JohnnyBee
bonn4.kbu.freifunk.net	81.173.204.217	ssh bonn4.kbu.freifunk.net -p 2250	Kevin, Nunatak, Simon, JohnnyBee
bonn5.kbu.freifunk.net	164.68.121.184	ssh bonn5.kbu.freifunk.net -p 22	Kevin, Nunatak, Simon, JohnnyBee
bonn6.kbu.freifunk.net	157.90.178.17	ssh bonn6.kbu.freifunk.net -p 2262	Kevin, Nunatak, Simon, JohnnyBee
bonn7.kbu.freifunk.net	157.90.178.15	ssh bonn7.kbu.freifunk.net -p 2272	Kevin, Nunatak, Simon, JohnnyBee

Interne Dienste/Maschinen

Außerdem gibt es bis jetzt folgende interne Dienste/Systeme:

DNS-Name	IP-Adresse	Funktion	Zugriffe
dns1.bn.ffkbu	fdd3:5d18:b5dd:fc00::1	Interner DNS-Server 1 (Master)	Kevin, Nunatak, simon, JohnnyBee
dns2.bn.ffkbu	fdd3:5d18:b5dd:fc00::2	Interner DNS-Server 2 (Slave)	Kevin, Nunatak, simon, JohnnyBee
ntp1.bn.ffkbu	fdd3:5d18:b5dd:fc00::1	Interner NTP-Server 1	Kevin, Nunatak, simon, JohnnyBee
ntp2.bn.ffkbu	fdd3:5d18:b5dd:fc00::2	Interner NTP Server 2	Kevin, Nunatak, simon, JohnnyBee
ansible.bn.ffkbu	fdd3:5d18:b5dd:fc00::10	Zum Ausrollen der Maschinen via Ansible	Kevin, Nunatak, simon, JohnnyBee
updates.bn.ffkbu	fdd3:5d18:b5dd:fc00::11	Dort liegen die Firmwareupdates und Pakete zur Installation via opkg	Kevin, Nunatak, simon, JohnnyBee

Alle Zugriffsberechtigten können mit Ihrem privaten Zertifikat und Ihrem Namen entsprechend auf die Maschinen zugreifen!

IP-Bereiche

In der neuen Hood wird der IPv6-Bereich fdd3:5d18:b5dd:fc00::/64 verwendet. In diesem Bereich werden IPv6-Bereiche mit einer 68 Bit Maske verwendet. Diese teilen sich wie folgt auf:

IP-Range	Verwendungszweck
fdd3:5d18:b5dd:fc00::/68	reserviert für feste Dienste/Maschinen
fdd3:5d18:b5dd:fc00:1000::/68	DHCP-Bereich Supernode Bonn1
fdd3:5d18:b5dd:fc00:2000::/68	DHCP-Bereich Supernode Bonn2
fdd3:5d18:b5dd:fc00:3000::/68	DHCP-Bereich Supernode Bonn3
fdd3:5d18:b5dd:fc00:4000::/68	DHCP-Bereich Supernode Bonn4
fdd3:5d18:b5dd:fc00:5000::/68	DHCP-Bereich Supernode Bonn5
fdd3:5d18:b5dd:fc00:6000::/68	DHCP-Bereich Supernode Bonn6
fdd3:5d18:b5dd:fc00:7000::/68	DHCP-Bereich Supernode Bonn7
fdd3:5d18:b5dd:fc00:8000::/68	DHCP-Bereich Supernode Bonn8
fdd3:5d18:b5dd:fc00:9000::/68	DHCP-Bereich Supernode Bonn9
fdd3:5d18:b5dd:fc00:a000::/68	DHCP-Bereich Supernode Bonn10
fdd3:5d18:b5dd:fc00:b000::/68	Frei
fdd3:5d18:b5dd:fc00:c000::/68	Frei
fdd3:5d18:b5dd:fc00:d000::/68	Frei
fdd3:5d18:b5dd:fc00:e000::/68	Frei
fdd3:5d18:b5dd:fc00:f000::/68	Frei

Als IPv4-Bereich wird 10.70.0.0 mit einer 16er Subnetzmaske verwendet. Dann verwenden wir 21er Bereiche für die einzelnen Bereiche:

IP-Range	Verwendungszweck
10.70.0.0/21	Für interne Dienste
10.70.8.0/21	DHCP-Bereich für Supernode Bonn1
10.70.16.0/21	DHCP-Bereich für Supernode Bonn2
10.70.24.0/21	DHCP-Bereich für Supernode Bonn3
10.70.32.0/21	DHCP-Bereich für Supernode Bonn4
10.70.40.0/21	DHCP-Bereich für Supernode Bonn5
10.70.48.0/21	DHCP-Bereich für Supernode Bonn6
10.70.56.0/21	DHCP-Bereich für Supernode Bonn7
10.70.64.0/21	DHCP-Bereich für Supernode Bonn8
10.70.72.0/21	DHCP-Bereich für Supernode Bonn9
10.70.80.0/21	DHCP-Bereich für Supernode Bonn10
10.70.88.0/21-10.70.248.0/21	Frei

Nötige Freigaben für den Betrieb des Routers hinter einer Firewall

Als erstes müssen natürlich die Zieladressen aller Supernodes(siehe oben) freigegeben werden!

Danach werden für Wireguard-Router noch die Ports 443(TCP) eingehend und 10020 (UDP) ausgehend freigegeben.

FastD-Router benötigen stattdessen (nur) den Port 10040(UDP).