OpenBSD 4.8 als DSL-Router (NAT) einrichten

OpenBSD verfügt über alles was nötig ist, um schnell einen DSL-Router aufzusetzen. Alles was man benötigt ist ein Rechner mit zwei Netzwerkkarten und eine standard OpenBSD Installation.
Diese Anleitung wurde zwar für OpenBSD 4.6 geschrieben, sollte aber auf OpenBSD 4.7 und OpenBSD 4.8 genauso funktionieren.

Installation

Als erstes sollte man das Betriebssystem installieren. Dazu läd man sich von http://www.openbsd.org/ das neueste ISO-Image oder kauft die neuesten Installations CDs. In der FAQ sollte alles nötige was man sonst noch wissen muss drinstehen: http://www.openbsd.org/faq/de/faq4.html.

Netzwerk vorbereiten

Das DSL-Modem wird an eine Netzwerkkarte angeschlossen und das restliche Netzwerk an die andere. Es sollten Lämpchen leuchten die die Verbindung signalisieren. Im folgenden werden wir annehmen, dass das DSL-Modem an dem Interface rl1 hängt und das lokale Netz in rl0.

Internet Verbindung einrichten

In der Datei /etc/hostname.pppoe0 werden die Verbindungsdetails von der Internetverbindung eingetragen. Bei der Telekom muss man folgendes eintragen:

inet 0.0.0.0 255.255.255.255 NONE \
   pppoedev rl1 authproto pap \
   authname '00012345678901234567890#0001@t-online.de' authkey 'xxxx' up
dest 0.0.0.1
!/sbin/route add default 0.0.0.1

Der authname ist diese lange Nummer die sich aus Anschlusskennung, T-Online-Nummer, einer Raute (aka. Sharp, Teppich, Doppelkreuz), Mitbenutzernummer (meist 0001) und dem Suffix @t-online.de zusammensetzt.

Ausserdem sollte man dafür sorgen, dass das rl1 interface beim booten aktiviert wird. Das geht mit:

echo "up" >> /etc/hostname.rl1

Das Interface für das lokale Netz muss ganz normal konfiguriert werden. Z.B. in dem man in die /etc/hostname.rl0 folgendes reinschreibt

inet 10.0.0.1 255.255.255.0 NONE
up

Jetzt noch schnell einen DNS-Server in die /etc/resolv.conf eingetragen (im Idealfall nimmst du den DNS deines Providers, alternativ einen aus der Liste http://www.stanar.de/)

echo "nameserver 123.4.5.6" >> /etc/resolv.conf

und schon kann man prüfen, ob man ‘drin’ ist. Dazu bringen wir zuerst das Interface rl1 up und dann pppoe0.

ifconfig rl1 up
ifconfig pppoe0 up

Nach einigen Sekunden sollte der Befehl ifconfig pppoe0 einen Erfolg vermelden. Den Erfolg erkennt man daran, dass man eine IP bekommen hat.  Der Befehl ping example.com sollte jetzt erfolgreich sein.

NAT-Regeln

Damit das Routing funktioniert muss man den PacketFilter (OpenBSDs Firewall)  konfigurieren.  Eine sehr simple, aber ausreichende Filterregel Datei sieht so aus (meine liegt in /root/pf/nat.conf):

# network information
int_if = "rl0"
ext_if = "pppoe0"
int_net = "10.0.0.0/24"

# well known hosts
marla = "10.0.0.222"
dmz_host = "10.0.0.254"

# ports that should be blocked. Hier kannst du auch die Portnummern angeben. Weitere
# Namen findest du in /etc/services
to_block = "{ smtp, auth, ntp, netbios-ns, netbios-dgm, netbios-ssn, imap, nfsd, mysql }"

# nat/rdr
nat on $ext_if from $int_if:network to any -> ($ext_if)

rdr on $ext_if proto {tcp, udp} from any to any port 33881:33891 -> $marla
rdr on $ext_if proto {tcp, udp} from any to any port 22 -> $marla

# Entmilitarisierte Zone (dmz):
#rdr on $ext_if from !$int_net -> $dmz_host

block in quick on $ext_if proto {tcp, udp} from any to any port $to_block
pass out keep state

Als erstes definieren wir einige Makros. Z.B. welches das interne und welches das externe Netz ist, oder welche IPs im internen Netz verwendet werden. Dann kommen einige Makros zu bekannten Rechnern. Wir haben hier zwei Rechner marla und einen DMZ Host. Anschließend defineren wir noch ein Makro das Ports enthält die geblockt werden sollen.
Nun beginnt der interessante Teil. Die Zeile die mit nat beginnt ist die welche für das Routing (genauer die Network Address Translation) sorgt. Im Grunde besagt die Regel: Alles was beim internen Interface reinkommt wird beim externen Interface wieder rausgeschickt. Eigentlich ist diese eine Zeile die einzige die man wirklich braucht.

Danach habe ich noch ein paar Beispiele angefügt. Z.B. wie man eine Portumleitung macht. Die erste Zeile die mit rdr (also redirect) anfängt besagt: Wenn auf dem externen Interface ein TCP oder UDP Packet ankommt dessen Zielport im Bereich von 33881 bis 33891 liegt, dann leite das Packet an den Rechner 10.0.0.222 aus dem internen Netz weiter. Auf diese Weise könnte Marla auf einem dieser Ports einen Server bereitstellen, der von Internet aus erreichbar wäre.

Dann habe ich noch ein Beispiel für einen DMZ Host, also einen Rechner, an den alle einkommenden Packete weitergeleitet werden mit denen der Router sonst nichts anzufangen weiss.

Die Zeile die mit block beginnt dient dazu einzelne Ports auf dem Router dicht zu machen. Das kann nötig sein, falls man auf dem Router noch Server laufen hat, die nur im lokalen Netz benutzt werden sollen. Oder um den DMZ Host vor einigen bestimmten Packeten zu schützen.

Damit dem Packetfilter auch erlaubt ist Packete weiterzuleiten müssen wir in der /etc/sysctl.conf die Variable net.inet.ip.forwarding auf 1 setzen. Um nicht auf den nächsten Neustart warten zu müssen setzen wir die Variable auch gleich noch für das laufende System

sysctl net.inet.ip.forwarding=1

Jetzt noch den Packefilter einschalten.

pfctl -e -f /root/pf/nat.conf

Diese Zeile sollte man auch in die Datei /etc/rc.local eintragen, damit die Firewall gleich beim booten mitgestartet wird.

Done

Der Theorie nach sollten die Rechner aus dem internen Netz jetzt ‘drin’ sein.

Wie gehts weiter?

DHCP Server einrichten.

Tipps

Ich hab bei mir noch zusätzlich einen Cronjob, der morgens einmal kurz die Verbindung trennt und sofort wieder aufbaut. Damit stelle ich sicher, dass mich die 24h Zwangstrennung nicht mitten in der Arbeit erwischt. Folgendes Skript wird einmal täglich ausgeführt:

#!/bin/sh
ifconfig pppoe0 down
sleep 10
ifconfig pppoe0 up

Kommentare und Anregungen sind wie immer herzlich willkommen.