Zusätzliche öffentliche IPv4-Adresse via GRE-Tunnel

[CoMo]

Sooo... folgendes habe ich nun konfiguriert:

config nat
        option target 'SNAT'
        option src 'noez2'
        option name 'SNAT noez'
        option snat_ip '5.230.x.x'
        option enabled '1'

config zone
        option input 'ACCEPT'
        option name 'noez_gre'
        option output 'ACCEPT'
        list network 'noez1'
        list network 'noez2'
        list network 'noez3'
        option masq '1'
        option forward 'REJECT'
        option family 'ipv4'

config forwarding
        option dest 'wan'
        option src 'noez_gre'

config forwarding
        option dest 'noez_gre'
        option src 'lan'

Und ich kann die 172.16.2.1 auch von anderen Geräten pingen 👍

Jetzt müsste ich als nächstes eine Route konfigurieren, die den Traffic bestimmter Geräte über die 172.16.2.1 nach draußen routet und darüber auch Antwort bekommt. Eine statische Route nach 0.0.0.0 über 172.16.2.1 scheint aber keinen Effekt zu haben. Wo übersehe ich hier noch was?

 

[syhm]

Wollte mal nachfragen ob es geklappt hat.

 

[CoMo]

Nein, hat leider nicht geklappt. Ich habe aufgegeben.

 

[syhm]

Nein das akzeptiere ich nicht Dank dir habe ich mich mit OpenWRT überhaupt beschäftigt und nun ist es mein treuer Freund geworden. Mir war gar nicht bewusst das das sogar auf einem Pi läuft.

Da ich eine Zeit lang krank und auch verreist war, hat mir die Zeit gefehlt mich damit zu befassen. Die Routing Tabellen waren dann der Schlüssel. Aber sieh selbst es funktioniert nun

Die OpenWRT Kiste verwendet den normalen WAN Zugang während ein Client in einer bestimmten Zone über den Tunnel geroutet wird. Das war dein Ziel wenn ich das richtig verstanden habe.

Wenn du den Tunnel noch hast und benötigst, können wir die Konfig gerne nochmal überarbeiten.

 

[stantropics]

Hallo zusammen,
ich stehe vor einem ähnlichen Problem. Ich würde gerne Services hinter CGNat mithilfe einer Noez Flex-IP (GRE Tunnel) hosten. Dabei möchte ich OpenWRT auf einem PI betreiben (hinter einem bestehenden Router (UDM SE)) und den Pi als Gateway für den GRE-Tunnel nutzen, bzw. eingehenden Traffic an entsprechende Geräte im Netzwerk weiterleiten. Dabei entsteht noch ein erhöhter Schwierigkeitsgrad, denn durch das CGNat habe ich keine (eigene) öffentliche IPv4, somit muss ich den Tunnel über IPv6 aufbauen. Hat jemand eine funktionierende Config? Leider bekomme ich aktuell noch garkeine Verbindung aufgebaut. Die aktuelle config ist inspiriert durch diesen Thread und sieht folgendermaßen aus:

config interface 'noez'
    option proto 'grev6'
    option peer6addr '<noez-ipv6>'
    option ip6addr '<eigene IPv6>'

config interface 'noezstatic'
    option proto 'static'
    option device '@noez'
    option ipaddr '<noez tunnel ip>'
    option netmask '255.255.255.252'

config interface 'noezstaticpub'
    option proto 'static'
    option device '@noez'
    option ipaddr '<erste public IPv4>'
    option netmask '255.255.255.255'

Über jeden Hilfe würde ich mich freuen. Danke!

 

[riversource]

Ich weiß nicht, was OpenWRT da macht, aber ich kann dir sagen, dass es mit einem Standard-Linux auf einem Raspi problemlos läuft, mit der Anleitung von noez. Auch mit einem IPv6 Endpunkt. Wichtig sind natürlich entsprechende Weiterleitungen für GRE in dem vorgelagerten Router.

 

[stantropics]

Danke für die Info. Die Konfiguration des Tunnels funktioniert auch in meinem Fall grundsätzlich. Leitest du auch eingehenden Traffic an andere Netzwerkgeräte weiter (und wieder zurück) und könntest du deine Konfiguration mit mir teilen?

 

[riversource]

Die Konfiguration des Tunnels funktioniert auch in meinem Fall grundsätzlich.

Ich wage zu bezweifeln, dass der Tunnel in dieser Form funktioniert. Ich sehe z.B. nichts vom policy-based Routing, was man ja zwangsläufig braucht. Wo hast du das eingestellt?

Meine Konfiguration des Tunnels läuft einfach über die Beispielkonfiguration:

ip tunnel add gre1 mode ip6gre local <localIPv6> remote <remoteIPv6> ttl 255
ip addr add <tunnelIP>/30 dev gre1
ip link set gre1 up
ip addr add <publicIP>/32 dev gre1
ip rule add from <publicIP> table 20 prio 1
ip route add default via <tunnelEndpoint> dev gre1 table 20

Die Weiterleitung auf interne Geräte erfolgt dann einfach per iptables, im Beispiel mal für TCP Port 8080 auf ein spezifisches Gerät:

iptables -A FORWARD -i gre1 -p tcp --dport 8080 -d <internalIP> -j ACCEPT
iptables -t nat -A PREROUTING -i gre1 -d <publicIP> -p tcp --dport 8080 -j DNAT --to-destination <internalIP>:8080