#!/bin/sh

export DATE="8.5.2010";SCRIPT=${0#/rom}
export TITLE="Verwaltung: OpenVPN"
. ${SCRIPT%/*}/cgi-bin-pre.sh

cat<<EOF
<H1>Verwaltung: OpenVPN</H1>
EOF

unset CFG
case ${QUERY_STRING#[2-9]} in "")
CFG=$QUERY_STRING
;;esac
QUERY_STRING=${QUERY_STRING#[1-9]}
case $REQUEST_METHOD in POST)
read QUERY_STRING
;;esac
case $QUERY_STRING in "")
#Speedups
ff_ovpn_count="$(nvram get ff_ovpn_count)"
ff_ovpn_mode="$(nvram get ff_ovpn_mode${CFG})"
ff_ovpn_cli="$(nvram get ff_ovpn_cli${CFG})"
ff_ovpn_tap="$(nvram get ff_ovpn_tap${CFG})"
ff_ovpn_gw="$(nvram get ff_ovpn_gw${CFG})"
ff_ovpn_dns="$(nvram get ff_ovpn_dns${CFG})"
ff_ovpn_nat="$(nvram get ff_ovpn_nat${CFG})"
ff_ovpn_policy="$(nvram get ff_ovpn_policy${CFG})"
ff_ovpn_range="$(nvram get ff_ovpn_range${CFG})"
ff_ovpn_remote="$(nvram get ff_ovpn_remote${CFG})"
ff_ovpn_port="$(nvram get ff_ovpn_port${CFG})"
ff_ovpn_tcp="$(nvram get ff_ovpn_tcp${CFG})"
ff_ovpn_lzo="$(nvram get ff_ovpn_lzo${CFG})"
ff_ovpn_ca_crt="$(nvram get ff_ovpn_ca_crt${CFG})"
ff_ovpn_crt_key="$(nvram get ff_ovpn_crt_key${CFG})"
ff_ovpn_dh="$(nvram get ff_ovpn_dh${CFG})"
ff_ovpn_psk="$(nvram get ff_ovpn_psk${CFG})"
;;*)
IFS=\&;set $QUERY_STRING;unset IFS;eval $*
case $post_genkey_ovpn in "");;*)
unset QUERY_STRING
ff_ovpn_ca_crt="$(unescape $ff_ovpn_ca_crt)"
ff_ovpn_crt_key="$(unescape $ff_ovpn_crt_key)"
ff_ovpn_dh="$(unescape $ff_ovpn_dh)"
ff_ovpn_psk=$(openvpn --genkey --secret /tmp/openvpn-psk.$$;sed '/^#/d' /tmp/openvpn-psk.$$;rm -f /tmp/openvpn-psk.$$)
ff_ovpn_range="$(unescape $ff_ovpn_range)"
ff_ovpn_remote="$(unescape $ff_ovpn_remote)"
ff_ovpn_port="$(unescape $ff_ovpn_port)"
;;esac
;;esac
SSL=no
openvpn --version 2>&1|grep -q '\[SSL\]' && SSL=yes
case $QUERY_STRING in "")

cat<<EOF
<FORM ACTION="openvpn.html${CFG:+?${CFG}}" METHOD="POST">
<TABLE CLASS="shadow0" CELLPADDING="0" CELLSPACING="0"><TR><TD><TABLE CLASS="shadow1" CELLPADDING="0" CELLSPACING="0"><TR><TD><TABLE CLASS="shadow2" CELLPADDING="0" CELLSPACING="0"><TR><TD><TABLE BORDER="0" CLASS="form"><TR
TITLE="Diese Einstellung aktiviert die aktuelle OpenVPN-Konfiguration und bestimmt dabei die Topologie. Eine Punkt-zu-Punkt-Topologie (ein Klient verbindet zu einem Server) ist einfacher einzurichten. Mit einer Punkt-zu-Mehrpunkt-Topologie können mehrere Klienten zu einem Server verbinden. Klient und Server benötigen dieselbe Einstellung.">
<TD>Verbindungsart:</TD><TD COLSPAN="2">
EOF

case $SSL in yes)

cat<<EOF
<SELECT NAME="ff_ovpn_mode" ONCHANGE="this.form.ff_ovpn_range.readOnly=(0==this.value.indexOf('MULTI')&&this.form.ff_ovpn_cli[1].checked);this.form.ff_ovpn_ca_crt.readOnly=(0!=this.value.indexOf('MULTI'));this.form.ff_ovpn_crt_key.readOnly=(0!=this.value.indexOf('MULTI'));this.form.ff_ovpn_dh.readOnly=(0!=this.value.indexOf('MULTI')||this.form.ff_ovpn_cli[1].checked);this.form.ff_ovpn_psk.readOnly=(0!=this.value.indexOf('PTP'));">
<OPTION VALUE="">Ausgeschaltet</OPTION>
<OPTION
VALUE='PTP' $(case $ff_ovpn_mode in PTP)echo "selected=selected";;esac)>Punkt-zu-Punkt
(PTP)</OPTION>
<OPTION
VALUE='MULTI' $(case $ff_ovpn_mode in MULTI)echo "selected=selected";;esac)>Punkt-zu-Mehrpunkt
(MULTI)</OPTION></SELECT>
EOF

;;*)

cat<<EOF
<SELECT NAME="ff_ovpn_mode" ONCHANGE="this.form.ff_ovpn_range.readOnly=(0==this.value.indexOf('MULTI')&&this.form.ff_ovpn_cli[1].checked);this.form.ff_ovpn_ca_crt.readOnly=(0!=this.value.indexOf('MULTI'));this.form.ff_ovpn_crt_key.readOnly=(0!=this.value.indexOf('MULTI'));this.form.ff_ovpn_dh.readOnly=(0!=this.value.indexOf('MULTI')||this.form.ff_ovpn_cli[1].checked);this.form.ff_ovpn_psk.readOnly=(0!=this.value.indexOf('PTP'));">
<OPTION>Ausgeschaltet</OPTION>
<OPTION
VALUE='PTP' $(case $ff_ovpn_mode in PTP)echo "selected=selected";;esac)>Punkt-zu-Punkt
(PTP)</OPTION></SELECT>
EOF

;;esac

cat<<EOF
</TD>
</TR>
<TR
TITLE="Die aktuelle Konfigation kann die Rolle des Servers oder die Rolle des Klienten übernehmen. Ein Server hat üblicherweise eine feste Adresse oder einen DynDNS-Namen. Hinter einem Server ist im Regelfall das größere Netzwerk zu erreichen.">
<TD>Betriebs-Rolle:</TD><TD><INPUT CLASS="radio" NAME="ff_ovpn_cli" TYPE="RADIO" VALUE="0" ONCHANGE="this.form.ff_ovpn_range.readOnly=(0==this.form.ff_ovpn_mode.value.indexOf('MULTI')&&1==this.value);this.form.ff_ovpn_dh.readOnly=(0!=this.form.ff_ovpn_mode.value.indexOf('MULTI')||1==this.value);for(var i=0;i<2;i++){this.form.ff_ovpn_gw[i].readOnly=1==this.value;this.form.ff_ovpn_dns[i].readOnly=1==this.value;this.form.ff_ovpn_nat[i].readOnly=1!=this.value;this.form.ff_ovpn_policy[i].readOnly=1!=this.value;}"$(case $ff_ovpn_cli in 1);;*)echo ' checked="checked"';;esac)>Server</TD><TD><INPUT CLASS="radio" NAME="ff_ovpn_cli" TYPE="RADIO" VALUE="1" ONCHANGE="this.form.ff_ovpn_range.readOnly=(0==this.form.ff_ovpn_mode.value.indexOf('MULTI')&&1==this.value);this.form.ff_ovpn_dh.readOnly=(0!=this.form.ff_ovpn_mode.value.indexOf('MULTI')||1==this.value);for(var i=0;i<2;i++){this.form.ff_ovpn_gw[i].readOnly=1==this.value;this.form.ff_ovpn_dns[i].readOnly=1==this.value;this.form.ff_ovpn_nat[i].readOnly=1!=this.value;this.form.ff_ovpn_policy[i].readOnly=1!=this.value;}"$(case $ff_ovpn_cli in 1)echo ' checked="checked"';;esac)>Klient</TD>
</TR><TR
TITLE="Ein Tunnel (tun) verbindet auf der IP-Ebene. Dabei werden IP-Pakte in das jeweils andere Netzwerk geroutet. Eine Brücke (tap) verbindet auf der Ethernet-Ebene. Dabei wird mehr Information übertragen. Es werden z.B. auch ungezielte Broadcast-Pakete über die Brücke gesendet.">
<TD>Ger&auml;t:</TD>
<TD><INPUT CLASS="radio" NAME="ff_ovpn_tap" TYPE="RADIO" VALUE="0"$(case $ff_ovpn_tap in 1);;*)echo ' checked="checked"';;esac)>Tunnel (tun)</TD>
<TD><INPUT CLASS="radio" NAME="ff_ovpn_tap" TYPE="RADIO" VALUE="1"$(case $ff_ovpn_tap in 1)echo ' checked="checked"';;esac)>Br&uuml;cke (tap)
</TD>
</TR><TR
TITLE="Nur Server: bestimmt, ob an Klienten die Information 'Internet hier!' gesendet wird. Ein Klient leitet daraufhin beim Verbindungsaufbau seine Default-Route über den Tunnel um.">
<TD>Internet f&uuml;r Klienten:</TD><TD><INPUT CLASS="radio" NAME="ff_ovpn_gw" TYPE="RADIO" VALUE="0"$(case $ff_ovpn_gw in 1);;*)echo ' checked="checked"';;esac)$(case $ff_ovpn_cli in 1)echo ' readonly="readonly"';;esac)>Unge&auml;ndert / Nicht &uuml;ber Tunnel</TD><TD><INPUT CLASS="radio" NAME="ff_ovpn_gw" TYPE="RADIO" VALUE="1"$(case $ff_ovpn_gw in 1)echo ' checked="checked"';;esac)$(case $ff_ovpn_cli in 1)echo ' readonly="readonly"';;esac)>&Uuml;ber Tunnel umleiten</TD>
</TR><TR
TITLE="Nur Server: manche DNS-Server reagieren nicht auf Anfragen aus fremden Netzwerken. Auf einem Klienten kann eine Ausnahme für die DNS-Adressen konfiguriert werden (Einstellung: 'Ungeändert'). Oder der Server übermittelt dem Klienten eine neue DNS-Einstellung (Einstellung: 'Über Tunnel'). Das Ändern der DNS-Einstellung funktioniert prima unter Windows. Unter Linux wird ein zusätzliches Skript benötigt (Debian: Paket 'resolvconf').">
<TD>DNS f&uuml;r Klienten:</TD><TD><INPUT CLASS="radio" NAME="ff_ovpn_dns" TYPE="RADIO" VALUE="0"$(case $ff_ovpn_dns in 1);;*)echo ' checked="checked"';;esac)$(case $ff_ovpn_cli in 1)echo ' readonly="readonly"';;esac)>Unge&auml;ndert / Nicht &uuml;ber Tunnel</TD><TD><INPUT CLASS="radio" NAME="ff_ovpn_dns" TYPE="RADIO" VALUE="1"$(case $ff_ovpn_dns in 1)echo ' checked="checked"';;esac)$(case $ff_ovpn_cli in 1)echo ' readonly="readonly"';;esac)>&Uuml;ber Tunnel umleiten</TD>
</TR><TR
TITLE="Nur Klient auf diesem Router: befindet sich hinter dem Klienten ein ganzes Netzwerk (z.B. das an diesem Router angeschlossene LAN), muss auf dem Server eine geeignete Rückwärts-Route eingerichtet sein. Wahlweise kann der Klient mit einer Network Address Translation (NAT) der Verkehr aus dem angeschlossenem Netzwerk auf seine Klienten-IP abbilden.">
<TD>Tunnel mit NAT:</TD><TD><INPUT CLASS="radio" NAME="ff_ovpn_nat" TYPE="RADIO" VALUE="0"$(case $ff_ovpn_nat in 1);;*)echo ' checked="checked"';;esac)$(case $ff_ovpn_cli in 1);;*)echo ' readonly="readonly"';;esac)>Ausschalten</TD>
<TD><INPUT CLASS="radio" NAME="ff_ovpn_nat" TYPE="RADIO" VALUE="1"$(case $ff_ovpn_nat in 1)echo ' checked="checked"';;esac)$(case $ff_ovpn_cli in 1);;*)echo ' readonly="readonly"';;esac)>Einschalten</TD>
</TR><TR
TITLE="Nur Klient auf diesem Router: man kann den gesamten Internet-Verkehr dieses Routers über einen OpenVPN-Server z.B. im Ausland umleiten. Wahlweise kann mit Policy-Routing auch nur der Verkehr aus dem OLSR-Netzwerk über den OpenVPN-Tunnel geleitet werden. Damit bleibt die WAN-Schnittstelle dieses Routers aus dem Internet erreichbar. Außerdem ist das Internet für Rechner schneller, die an die LAN-Schnittstelle angeschlossen sind.">
<TD>Tunnel nur f&uuml;r OLSR:</TD><TD><INPUT CLASS="radio" NAME="ff_ovpn_policy" TYPE="RADIO" VALUE="0"$(case $ff_ovpn_policy in 1);;*)echo ' checked="checked"';;esac)$(case $ff_ovpn_cli in 1);;*)echo ' readonly="readonly"';;esac)>Standard-Routing</TD><TD><INPUT CLASS="radio" NAME="ff_ovpn_policy" TYPE="RADIO" VALUE="1"$(case $ff_ovpn_policy in 1)echo ' checked="checked"';;esac)$(case $ff_ovpn_cli in 1);;*)echo ' readonly="readonly"';;esac)>Policy-Routing</TD>
</TR><TR
TITLE="Nur Server oder Punkt-zu-Punkt-Klient: mit dieser Einstellung kann der von OpenVPN verwendete interne IP-Adressbereich eingestellt werden. Im Regelfall führt ein leeres Eingabefeld zu einer funktionierenden Konfiguration. Wahlweise die Konfigurationsbeispiele unterhalb der Eingabemaske lesen.">
<TD>Tunnel IP-Bereich:</TD><TD COLSPAN="2"><INPUT MAXLENGTH="48" NAME="ff_ovpn_range" SIZE="24" TYPE="TEXT" VALUE="$ff_ovpn_range"$(case $ff_ovpn_cli in 1)case $ff_ovpn_mode in MULTI)echo ' readonly="readonly"';;esac;;esac)>&nbsp;
(192.168.255.240/28 wenn leer) </TD>
</TR><TR
TITLE="Ein Klient benötigt immer die IP-Adresse oder den DNS-Namen des Servers. Für einen Server kann hier festgelegt werden, von welchem Klienten ein Verbindungsaufbau erwartet wird. Dies kann für Punkt-zu-Punkt-Konfigurationen sinnvoll sein, beispielsweise um die Sicherheit von unverschlüsselten/zugangsprüfungsfreien Verbindungen zu erhöhen">
<TD>Gegenstation (IP&nbsp;oder DNS-Name):</TD><TD COLSPAN="2"><INPUT MAXLENGTH="48" NAME="ff_ovpn_remote" SIZE="24" TYPE="TEXT" VALUE="$ff_ovpn_remote">
&nbsp;(Pflichtfeld f&uuml;r Klient)</TD>
</TR><TR
TITLE="Bei einen Klienten die Portnummer, auf der eine Verbindung zum Server erfolgen soll. Bei einem Server die Portnummer, auf der Verbindungsanfragen erwartet werden. Ein Server kann nur unbelegte Portnummern verwenden, z.B. sind die Ports 53 (UDP) und 80/443 (TCP) auf diesem Router bereits durch andere Dienste belegt.">
<TD>Portnummer</TD>
<TD COLSPAN="2"><INPUT MAXLENGTH="8" NAME="ff_ovpn_port" SIZE="24" TYPE="TEXT" VALUE="$ff_ovpn_port">
&nbsp;(1194 wenn leer)</TD>
</TR><TR
TITLE="Das Protokoll UDP ist üblicherweise schneller. Das Protokoll TCP ist flexibler, es kann z.B. über einen Proxy-Server umgeleitet werden. Es ist möglich, zwei OpenVPN-Server auf der gleichen Portnummer aber mit unterschiedlichen Protokollen zu betreiben.">
<TD>Protokoll:</TD>
<TD><INPUT CLASS="radio" NAME="ff_ovpn_tcp" TYPE="RADIO" VALUE="0"$(case $ff_ovpn_tcp in 1);;*)echo ' checked="checked"';;esac)>UDP </TD><TD><INPUT CLASS="radio" NAME="ff_ovpn_tcp" TYPE="RADIO" VALUE="1"$(case $ff_ovpn_tcp in 1)echo ' checked="checked"';;esac)>TCP</TD>
</TR><TR
TITLE="Die Datenkompression beschleunigt den Datenverkehr in manchen Fällen. Diese Einstellung muss auf Server und Klient übereinstimmen. Wenn kein Ping über den Tunnel möglich ist: diese Einstellung prüfen.">
<TD>LZO Kompression:</TD><TD><INPUT CLASS="radio" NAME="ff_ovpn_lzo" TYPE="RADIO" VALUE="0"$(case $ff_ovpn_lzo in 1);;*) echo ' checked="checked"';;esac)>Ausgeschaltet
</TD><TD><INPUT CLASS="radio" NAME="ff_ovpn_lzo" TYPE="RADIO" VALUE="1"$(case $ff_ovpn_lzo in 1) echo ' checked="checked"';;esac)>Eingeschaltet
EOF

case $SSL in yes)

cat<<EOF
</TD>
</TR>
<TR><TD COLSPAN="3">&nbsp;</TD>
</TR><TR
TITLE="Nur Punkt-zu-Mehrpunkt: Zertifikat, das alle ausgestellten Zertifikate und Schlüssel verifiziert. Ein CA-Zertifikat darf jeder sehen. Wer es in seine Software importiert vertraut dem Aussteller.">
<TD VALIGN="TOP">CA-Zertifikat (ca.crt):</TD><TD COLSPAN="2" VALIGN="TOP">
<TEXTAREA NAME="ff_ovpn_ca_crt" ROWS="4" COLS="66" $(case $ff_ovpn_mode in MULTI);;*) echo ' readonly="readonly"';;esac)>$ff_ovpn_ca_crt</TEXTAREA>
</TD>
</TR>
<TR
TITLE="Nur Punkt-zu-Mehrpunkt: Ein Paar aus Zertifikat und Schlüssel, dass zu einem Gegenpaar auf der anderen Seite passen muss. Das eigene Paar aus Zertifikat und Schlüssel hintereinander in dieses Eingabefeld einfügen. Wichtig sind nur die Schlüsselzeilen inkl. der Kennungszeilen ('---BEGIN' und '---END').">
<TD VALIGN="TOP">Zertifikat&nbsp;(*.crt) &amp;<BR>
Schl&uuml;ssel&nbsp;(*.key)</TD><TD COLSPAN="2" VALIGN="TOP">
<TEXTAREA NAME="ff_ovpn_crt_key" ROWS="4" COLS="66" $(case $ff_ovpn_mode in MULTI);;*) echo ' readonly="readonly"';;esac)>$ff_ovpn_crt_key</TEXTAREA>
</TD>
</TR>
<TR
TITLE="Nur Punkt-zu-Mehrpunkt Server: Die 'Public Key Encryption' ist recht langsam. Der Server verhandelt mit dem Klienten daher einen symmetrischen Daten-Schlüssel über das Diffie-Hellman Schlüsselaustauschverfahren. Damit auch das schnell geht (15 Min. Berechnung auf diesem Router!) sind die DH-Parameter auf dem Server fest einstellbar.">
<TD VALIGN="TOP">Diffie-Hellman-Parameter:</TD><TD COLSPAN="2" VALIGN="TOP">
<TEXTAREA NAME="ff_ovpn_dh" ROWS="4" COLS="66" $(case $ff_ovpn_mode in MULTI)case $ff_ovpn_cli in 1) echo ' readonly="readonly"';;esac;;*) echo ' readonly="readonly"';;esac)>$ff_ovpn_dh</TEXTAREA>
</TD>
</TR>
<TR
TITLE="Nur Punkt-zu-Punkt: Einfach generieren und den gleichen Schlüssel auf der anderen Seite verwenden. ">
<TD VALIGN="TOP">Vereinbarter Schl&uuml;ssel:</TD><TD COLSPAN="2" ROWSPAN="2" VALIGN="TOP">
<TEXTAREA NAME="ff_ovpn_psk" ROWS="4" COLS="66" $(case $ff_ovpn_mode in PTP);;*) echo ' readonly="readonly"';;esac)>$ff_ovpn_psk</TEXTAREA>
</TD>
</TR>
<TR><TD VALIGN="BOTTOM"><INPUT NAME="post_genkey_ovpn" VALUE="Erzeugen" TYPE="submit">
EOF

;;esac #SSL
case $CFG in "")

cat<<EOF
</TD>
</TR>
<TR
TITLE="Es können mehrere OpenVPN-Konfigurationen verwaltet werden. Ändere die Anzahl, klicke auf 'Übernehmen', dann lade die Verwaltungsseite neu.">
<TD>OpenVPN-Konfigurationen:</TD><TD COLSPAN="2"><SELECT NAME="ff_ovpn_count" SIZE="1">
<OPTION
VALUE='1' $(case $ff_ovpn_count in [2-4]);;*)echo "selected=selected";;esac)>1</OPTION>
<OPTION
VALUE='2' $(case $ff_ovpn_count in 2)echo "selected=selected";;esac)>2</OPTION>
<OPTION
VALUE='3' $(case $ff_ovpn_count in 3)echo "selected=selected";;esac)>3</OPTION>
<OPTION
VALUE='4' $(case $ff_ovpn_count in 4)echo "selected=selected";;esac)>4</OPTION>
</SELECT> (2-4: zus&auml;tzliche OpenVPN-Tunnel)
EOF

;;esac

cat<<EOF
</TD>
</TR>
<TR><TD COLSPAN="3">&nbsp;</TD>
</TR><TR><TD COLSPAN="3">&nbsp;<INPUT NAME="post_ovpn" TITLE="Die Einstellungen übernehmen. Diese werden erst nach einem Neustart wirksam." VALUE="Übernehmen" TYPE="submit">
EOF

case $CFG in "")if pidof openvpn >&-;then

cat<<EOF
&nbsp;
<INPUT NAME="post_stop_ovpn" TITLE="Alle laufenden OpenVPN-Programme beenden:" VALUE="OpenVPN Beenden" TYPE="submit">
EOF

else

cat<<EOF
&nbsp;
<INPUT NAME="post_start_ovpn" TITLE="Alle OpenVPN-Programme starten." VALUE="OpenVPN Starten" TYPE="submit">
EOF

fi;;esac

cat<<EOF
&nbsp;
<INPUT NAME="post_abort" TITLE="Abbruch dieser Dialogseite" VALUE="Abbruch" TYPE="submit">&nbsp;</TD>
</TR>
</TABLE></TD></TR></TABLE></TD></TR></TABLE></TD></TR></TABLE></FORM>
EOF

case $ff_ovpn_ca_crt in "")if [ ! -f /www/cgi-bin/openvpn-easyrsa.sh ];then

cat<<EOF
<TABLE BORDER="0" CLASS="note"><TR><TD><B>Tipp</B>:
Installiere das Paket &quot;freifunk-openvpn-easyrsa-de&quot; um Schl&uuml;ssel
f&uuml;r einen Server in der Verbindungsart &quot;MULTI&quot; zu
erzeugen.</TD>
</TR>
</TABLE>
EOF

fi;;esac
case ${CFG} in "")

cat<<EOF
<H2>Beispiel 1: Internet f&uuml;r Klienten im Mesh</H2>
<P>Um den Internet-Zugriff f&uuml;r OpenVPN-Klienten &uuml;ber
den OpenVPN-Server im Mesh zu leiten, kann auf dem Server die Option <B>Internet
f&uuml;r Klienten</B> eingeschaltet werden. Nach dem Verbindungsaufbau
wird dazu die Default-Route des Klienten entsprechend ge&auml;ndert. Dies
funktioniert prima, wenn der Klient einen eigenen Internet-Zugang hat oder
beispielsweise auf einem PC, der &uuml;ber Ethernet an einem
Freifunk-Router angeschlossen ist.</P>
<P>Auf einem Rechner mit OLSR oder auf einem
Freifunk-Router und wenn ein fremdes Internet-Gateway &uuml;ber das
Freifunk-Netz benutzt wird, ist es etwas aufwendiger. Die ge&auml;nderte
Default-Route w&uuml;rde die automatische Ank&uuml;ndung &quot;Internet
Hier!&quot; ausl&ouml;sen bzw. die ge&auml;nderte Default-Route st&ouml;rt
den Internet-Zugriff dritter. Soll der OpenVPN-Klient auf einem
Freifunk-Router betrieben und au&szlig;erdem der Internet-Zugriff f&uuml;r
den Freifunk-Router &uuml;ber den OpenVPN-Tunnel geleitet werden, muss die
Option <B>Policy Routing</B> auf der <A HREF="olsrd.html">OLSR-Seite</A>
eingeschaltet werden.</P>
<P><B>Tipp</B>: Auch f&uuml;r einen OpenVPN-Server im
Mesh kann die Option <B>Policy Routing</B> auf der <A HREF="olsrd.html">OLSR-Seite</A>
sinnvoll sein. Nur wer einen OpenVPN-Schl&uuml;ssel hat, kann das
Internet-Gateway benutzen.</P>
<H2>Beispiel 2: Internet-Gateway im Ausland</H2>
<P>Wenn du einen Internet-Zugang im Freifunk-Netz
anbietest, m&ouml;chtest du m&ouml;glicherweise das Internet &uuml;ber ein
OpenVPN-Gateway im Ausland umleiten. Dazu muss entweder ein
Freifunk-Router im Ausland aufgestellt werden, du mietest einen Server
(z.B. XEN-basierte Linux VPS mit &quot;iptables -j SNAT&quot; gibt es ab
\$7,--/Monat <A TARGET="_new" HREF="http://www.webhostingtalk.com/">in
den USA</A>) oder du hast ein Account bei einem OpenVPN-Anbieter.</P>
<P>&Uuml;blicherweise bekommst du die IP-Adresse des
Servers, ein CA-Zertifikat, ein Klienten-Zertifikat und einen
Klienten-Schl&uuml;ssel. Schalte die <B>Verbindungsart</B> auf &quot;MULTI&quot;,
die <B>Betriebs-Rolle</B> auf &quot;Klient&quot; und das <B>Ger&auml;t</B>
auf &quot;Tunnel (tun)&quot;. Konfiguriere die <B>Gegenstation</B> und
kopiere den Inhalt der CA-Zertifikatsdatei in das Eingabefeld <B>CA-Zertifikat</B>.
Kopiere den Inhalt des Klienten-Zertifikats und des Klienten-Schl&uuml;ssels
direkt hintereinander in das Eingabefeld <B>Zertifikat &amp; Schl&uuml;ssel</B>.
Klicke auf die Schaltfl&auml;che <B>&Uuml;bernehmen</B>. Rufe diese Seite
erneut auf und klicke auf die Schaltfl&auml;che <B>OpenVPN Starten</B>.</P>
<P><B>Tipp</B>: Die <B>Tunnel nur f&uuml;r OLSR</B>-Option
bestimmt, dass nur der Internet-Verkehr aus dem OLSR-Mesh &uuml;ber den
Tunnel geleitet wird.</P>
<H2>Beispiel 3: Zwei Mesh-Netzwerke verbinden</H2>
<P>Um zwei OLSR-Mesh-Netzwerke &uuml;ber Internet zu
verbinden, kann man einen OpenVPN-Tunnel (Ger&auml;t: &quot;tun&quot;) im
Modus &quot;PTP&quot; einsetzen. Die eine Seite der Verbindung ist der
Server (Vorgabe f&uuml;r Tunnel-IP: 192.168.255.240), die andere Seite ist
der Client (Vorgabe f&uuml;r Tunnel-IP: 192.168.255.241). Die Verbindung
wird &uuml;ber einen vorher vereinbarten Schl&uuml;ssel (PSK) gesichert.
Dazu einfach auf die Schaltfl&auml;che <B>Erzeugen</B> dr&uuml;cken.
Kopiere anschlie&szlig;end den Inhalt des Eingabefeldes zur anderen Seite.
Die &quot;tun0&quot;-Schnittstelle muss in /etc/local.olsr.conf
aufgenommen werden. Beispiel f&uuml;r die Server-Seite:</P>
<PRE>Interface &quot;tun0&quot;
{
IP4Broadcast 192.168.255.241 # unicast to client tunnel IP
}</PRE>
<P><B>Tipp</B>: Die Tunnel-Schnittstelle muss immer
manuell zur OLSR-Konfiguration hinzugef&uuml;gt werden, auch wenn der
Tunnel mit IP-Adressen aus dem OLSR-IP-Bereich konfiguriert ist.</P>
<H2>Beispiel 4: Verbindung in die Firma</H2>
<P>Damit mehrere Klienten direkten Zugriff auf das LAN
z.B. in einer Firma erhalten, kann eine Br&uuml;cke (tap) im Modus MULTI
verwendet werden. Mit der Einstellung <B>Tunnel IP-Bereich</B> nun einen
Teil der LAN-Adressen konfigurieren. Beispiel: ist der LAN-Anschluss des
Servers mit 192.168.1.1/24 konfiguriert, k&ouml;nnen mit einem
Tunnel-IP-Bereich von 192.168.1.240/28 bis zu 13 Klienten gleichzeitig
verbinden (241 f&uuml;r den Server, 242-254 f&uuml;r Klienten). In den
meisten F&auml;llen ist es nicht n&ouml;tig, den Internet-Zugriff f&uuml;r
Klienten &uuml;ber das Firmen-LAN umzuleiten.</P>
<P><B>Tipp</B>: In hartn&auml;ckigen F&auml;llen (z.B. du
sitzt in einer fremden Firma mit restriktiver Internet-Zugriffs-Politik)
kann man den Server auch mit dem <B>Protokoll</B> &quot;TCP&quot;
betreiben. Dies erm&ouml;glicht z.B. den indirekten Zugriff mit einem
OpenVPN-Klienten &uuml;ber einen Web-Proxy.</P>
<H2>Weitere Hinweise zur Konfiguration</H2>
<UL>
<LI>
EOF

case $SSL in yes)

cat<<EOF
Die Verbindungsart <B>PTP</B> kann f&uuml;r eine
Verbindung zwischen einen Server und einen Klienten verwendet werden.
Dazu wird derselbe Schl&uuml;ssel auf dem Klienten und auf dem Server
konfiguriert.</LI>
<LI>Die Verbindungsart <B>MULTI</B> kann f&uuml;r eine
Verbindung zwischen einem Server und mehreren Klienten verwendet werden.
Der Server und alle Klienten erhalten dasselbe CA-Zertifikat. Jeder
Klient und auch der Server ben&ouml;tigen jeweils eigene Schl&uuml;ssel
und eigene Zertifikate. Der Server ben&ouml;tigt zus&auml;tzlich die &quot;Diffie-Hellmann&quot;-Parameter.
Zur Erzeugung von Schl&uuml;sseln und Zertifikaten werden &uuml;blicherweise
die &quot;easy-rsa&quot;-Skripte aus dem OpenVPN-Quelltextpaket auf
einem PC ausgef&uuml;hrt. Wahlweise kann das Paket &quot;freifunk-openvpn-easyrsa-de&quot;
installiert werden. Erzeugte Schl&uuml;ssel werden anhand des
Informationsfeldes &quot;Common Name&quot; unterschieden. Alle anderen
Angaben sind informell. Zudem sollte die Zeit auf Server und Klient
ungef&auml;hr &uuml;bereinstimmen, andernfalls schl&auml;gt der
Verbindungsaufbau mit &quot;TLS Error: Unroutable control packet&quot;
fehl.</LI>
<LI>Das Eingabefeld <B>Zertifikat &amp; Schl&uuml;ssel</B>
enth&auml;lt ein Paar aus Zertifikat und Schl&uuml;ssel. Beide Dateien
also einschlie&szlig;lich der Kennungen &quot;------BEGIN&quot; und &quot;------END&quot;
hier einf&uuml;gen. Zeilen vor oder hinter diesen Kennungen k&ouml;nnen
weggelassen werden. In der Rolle des Servers enth&auml;lt diese
Einstellung das Server-Paar, in der Rolle des Klienten das
Klienten-Paar.</LI>
<LI>Diese Oberfl&auml;che unterst&uuml;tzt keine mit
Kennwort versehenen Schl&uuml;ssel. Benutze &quot;openssl rsa -in
pass.key -out nopass.key&quot; auf einem PC um ggf. das Kennwort zu
entfernen.</LI>
<LI>
EOF

;;esac #SSL

cat<<EOF
Die LZO-Kompression wird nicht ausgehandelt. Diese
Einstellung muss daher auf Klient und Server &uuml;bereinstimmen. Kein
Ping? LZO pr&uuml;fen!</LI>
<LI>Das Tunnel-Ger&auml;t im Modus &quot;Br&uuml;cke
(tap)&quot; wird automatisch zur LAN-Br&uuml;cke (br0) hinzugef&uuml;gt,
wenn das Tunnel-Ger&auml;t eine IP-Adresse aus dem LAN verwendet. Dies
gilt sowohl f&uuml;r den OpenVPN-Server als auch f&uuml;r verbundene
Klienten.</LI>
<LI>Die OpenSSL-Bibliothek belegt viel Flash-Speicher.
Aus diesem Grund gibt es ein Paket &quot;freifunk-openvpn-nossl&quot;,
mit dem nur eine unverschl&uuml;sselte Verbindung in der Verbindungsart
<B>PTP</B> konfiuriert werden kann. Ohne Verschl&uuml;sselung sollte
aus Sicherheitsgr&uuml;nden auch f&uuml;r den Klienten die IP-Adresse
bzw. der DNS-Name der Gegenstation konfiguriert werden.</LI>
<LI>F&uuml;r Klienten wird die Option &quot;route-nopull&quot;
in der OpenVPN-Konfigurationsdatei nur weggelassen, wenn Policy Routing
auf der <A HREF="olsr.html">OLSR-Seite</A> aktiv ist, wenn es eine
Default-Route mit Metric=0 gibt oder wenn die Tunnel-Default-Route nur f&uuml;r
Teilnehmer aus dem Mesh gelten soll (Option: <B>Tunnel nur f&uuml;r
OLSR</B>).</LI>
<LI>Zus&auml;tzliche Parameter k&ouml;nnen in die
Dateien /etc/local.ovpn und /etc/local-client.ovpn geschrieben werden.</LI>
</UL>
EOF

;;esac #CFG
;;*)
DIRTY=
case $post_start_ovpn in "");;*)
DIRTY=start
;;esac
case $post_stop_ovpn in "");;*)
DIRTY=stop
;;esac
case $post_ovpn in "");;*)
VARS="ff_ovpn_count ff_ovpn_mode ff_ovpn_cli ff_ovpn_tap ff_ovpn_gw ff_ovpn_dns ff_ovpn_nat ff_ovpn_policy ff_ovpn_range ff_ovpn_remote ff_ovpn_port ff_ovpn_tcp ff_ovpn_lzo"
case $SSL in yes)
VARS="$VARS ff_ovpn_ca_crt ff_ovpn_crt_key ff_ovpn_dh ff_ovpn_psk"
;;esac
for V in $VARS; do
eval C=\"\$$V\"
C="$(unescape $C)"
case "$(nvram get $V${CFG})" in "$C");;*)
DIRTY=1
nvram set $V${CFG}="$C"
;;esac
done
;;esac
case $DIRTY in "")

cat<<EOF
<TABLE BORDER="0" CLASS="note"><TR><TD>Es wurden keine
Einstellungen ge&auml;ndert.</TD>
</TR>
</TABLE>
EOF

;;1)
nvram commit>&- 2>&-

cat<<EOF
<TABLE BORDER="0" CLASS="note"><TR><TD> Die ge&auml;nderten
Einstellungen wurden &uuml;bernommen. Die Einstellungen sind erst beim n&auml;chsten
<A HREF="reset.html">Neustart</A> aktiv.   </TD>
</TR>
</TABLE>
EOF

;;*)
echo -n '<PRE>'
/etc/init.d/S91openvpn $DIRTY
mark=$(logread|sed -n '$s/(.*//p')
case $DIRTY in start)
cat<<EOF
---begin config---
$(cat /etc/openvpn/freifunk${CFG}.conf)
---end config---
EOF
sleep 10
;;*)
sleep 5
;;esac
logread|sed -n "/^$mark/,\$s/^.*]: //p"
echo -n '</PRE>'
;;esac
;;esac

. ${SCRIPT%/*}/cgi-bin-post.sh