Der Unifi Controller unterstützt mittlerweile nicht nur das StartTLS sonder prüft auch das Zertifikat des Mail Servers. Was erstmal in die Kategorie „Captain Obvious“ fallen sollte, wird interessant, weil frühere Versionen das nicht gemacht haben und die Zertifikatsprüfung auch gemacht wird, wenn man 127.0.0.1 als Mailserver verwendet.
Konkret: auch wenn man in der Controller-Config angibt, dass der Mailserver ohne SSL/TLS anzusprechen ist, wird beim Verbindungsaufbau ein StartTLS gesendet und das Zertifikat geprüft. Das Zertifikat muss zur verwendeten MailServer-Addresse passen. Wer den MailServer lokal betreibt oder direkt mit IP anspricht, muss das Zertifikat entsprechend anpassen oder die korrekte DNS-Adresse verwenden.
Vorweg: mit IPv6 wäre das nicht notwendig. IPv6 ist aber immer noch nicht flächendeckend ausgerollt (und wird es wohl zu meiner Lebenzeit auch nicht)
Wenn man sich via VPN aus einem beliebigen Netz in sein eigenes Netzwerk verbindet funktioniert das nur, wenn das Lokale Netz (aus dem man sich verbinden will) eine andere Netzmaske hat, als das Zielnetz, in das man sich verbinden will.
In meinem Fall Hotel-WLan-Gateway die gleiche Adresse wie eine meiner Server (auf dessen Service ich gerade zugreifen wollte).
Ich halte ja mittlerweile zwei unterschiedliche VPN Netzwerk Konfigurationen bereit, für den Fall, dass mein Gastnetzwerk den gleichen Addressraum nutzt, denn auch mein VPN hat. Für die Zieladressen konnte ich diesen Weg aber nicht gehen.
Das Problem kann man mit einem Router und „Policy Based Routing“ lösen.
Der Router wird mit dem zur Verfügung gestellten Gast Netz verbunden (IP Range A) und stellt selber ein Netzwerk (IP Range B) zur Verfügung. Der Router wählt sich nun in das VPN-Netzwerk ein (IP Range C). Das interne Netzwerk, dass durch das VPN erreicht werden soll, hat auch IP Range A.
Das Problem: wenn ein Client aus IP Range B versucht auf interne Ressourcen mit der IP Range A zuzugreifen, geht der Router nicht über das VPN, sondern auf den direkten Link, also ins GastNetz.
Die Lösung: man legt sich eine neue Routing Table an, die zwei Einträge hat:
Den Lokalen Link für das eigene Netzwerk (IP Range B) eine Default Route über das VPN (IP Range C)
Das kann dann so aussehen
ip route add IP-RANGE-B dev LOCAL-DEV proto kernel scope link src LOCAL-IP table 200
ip route add default via VPN-GW-IP dev VPN-DEV table 200
Anschließend muss man dem Router nur noch dazu Bringen, alles aus dem eigenen Netzwerk (IP Range B) über diese Tabelle zu routen. Das geht wie folgt:
ip rule add from IP-RANGE-B lookup 200
Wenn nun etwas aus dem eigenen Netzwerk (IP Range B) bearbeitet wird, kennt der Router das GastNetz (IP Range A) nicht.
Das ganze kann man auch ohne Router erreichen, also mit einem Client direkt im GastNetz (IP Range A) und einer OpenVPN Instanz am laufen. Dann werden die „ip rule“ Statements nur viel komplizierter.
Die Ansatz hier ist: Sämtlichen Traffic, der nicht von dem VPN erzeugt wird, über eine gesonderte RoutingTable zu bearbeiten und nur den VPN Traffic an das Default GW zu bekommen. Der Kniff ist „Sämtlichen Traffic, der nicht von dem VPN erzeugt wird“ korrekt zu erkennen. Möglichkeiten hier sind:
Alles was nicht an den Default GW gesendet wird
Alles was nicht von einem bestimmten User erzeugt wurde
Alles in allem hat man einfach ein bisschen mehr Aufwand.
Oder man sorgt mittels IPv6 einfach dafür, dass man keine zwei Netze mit gleicher IP Range hat…
Wer „aus Gründen“ einen uacctd auf einem System einsetzt, bei dem zwar der systemd zum einsatz kommt, aber das uacct-packet kein Service-File mitliefert, hier ein excampel:
Bestimmte Android Phones (bei mir eine Samsung A3 2016) scheinen ein Problem mit ihrer 802.11r Implementierung zu haben.
Symptom: Es kann keine Stabile WLAN Verbindung aufgebaut werden. Ständig disconnected/reconnected sich das Device. Bei mir hat es nur eines von 8 Geräten betroffen, deshalb hab ich die AP/Controller Seite Implementierung ausschließen.
Lösung: testhalber mal UAPSD auf dem Netzwerk abschalten
Frei nach dem Motto „wenn man nichts zu sagen hat, …“ ist es hier in letzter Zeit sehr ruhig gewesen. Meine IT zu Hause läuft einfach zu rund, es gibt nichts zu Berichten. Nun ja bis heute…
Seit geraumer Zeit läuft auf meinem StorageServer ein TV Headend. Das lief bis vor kurzem Problemlos. Nur seit ein paar wochen plagen mich kurze Verzögerungen/Aussetzer. Anfangs konnte ich das auf einen schlechten SAT Empfang schieben aber immer gehäufter traten folgende Fehlermeldungen in den Logs auf:
igb: eth0 NIC Link is Down
igb: eth0 NIC Link is Up 1000 Mbps Full Duplex, Flow Control: RX
Das eth-Interface geht Down und kommt sofort wieder hoch. Fast alle Protokolle und Dienste (NFS, SAMBA,…) scheinen damit gut klar zu kommen nur TV Headend goutiert das mit einem Connection-Reset und am Client sieht man „negative Auswirkungen“.
Davon abgesehen, warum geht das Interface unmotiviert down. Kurze Analyse später, das passiert häufiger: 2-5 mal am Tag. Meine postulierte Verfügbarkeit von 99.999% war dahin. Es folgten 2 Wochen Fehlersuche:
Kabel tauschen
Interface tauschen
Verschiedene Switcheinstellung (Powersave) abgeschaltet…
div. Optionen testen
vieles mehr …
Dank des sporadischen Auftretens hieß es nach jeder Änderung Stunden warten …
Ein Switch Tausch brachte die nötigen Hinweis. Der eigentliche Switch konnte als Fehlerquelle ausgeschlossen werden, da der Fehler auf allen Ports auftrat aber immer nur, wenn an dem Port mein Server hing. Alle anderen Geräte wiesen diese Disconnects nicht auf. An dem „notfall“-Switch traten die Disconnects aber auch nicht auf, die OnBoard-Netzwerkkarten waren also auch nicht defekt.
Schnell nochmal alle Switch-Einstellungen kontrolliert und dann die kryptische Option IEEE802.3az gefunden. Google angeworfen und geflucht.
IEEE802.3az (oder Energy Efficient Ethernet/EEE) ist eine Powersaving-Option (die Sinnigerweise nicht unter Powersaving aufgeführt wurde …) bei der zwei Geräte untereinander aushandeln ob und wann sie ihre Transmitter am Interface abschalten. Das erklärte auch das Fehlerverhalten. Immer wenn ich einen Lasttest gefahren hab, trat das Problem nicht auf, da EEE nicht zugeschlagen hat. Erst wenn nur Sporadisch Bandbreite benötigt wurde, kam es zu Disconnects.
Der erste Versuch EEE vie ethtool abzuschalten brachte keine Besserung:
ethtool --set-eee eth0 eee off
Erst als am Switch EEE für den ServerPort abgeschaltet wurde verschwand das Problem.
Wer, wie ich, eine eigene (private) CA betreibt, wird irgendwann mal überrascht feststellen, dass auch das Root-Zertifikat ausläuft. Standardmäßig nach 4 Jahren. Wenn plötzlich der Radius keine Clients mehr ins Netz lässt, wenn jede interne HTTPS-Verbindung auf Warnung läuft und man sich plötzlich wieder mit Notfall-Passwörtern anmelden muss, weiß man, dass man vergessen hat, sein Root-Zertifikat rechtzeitig zu erneuern.
Was bei einzelnen Clients noch mit vertretbaren Aufwand zu beheben ist, nervt beim Zwangs erneuern der CA doch ziemlich, besonders wenn man gerade etwas anderes vor hatte.
Für diesen Zweck hab ich mir ein kleines Script gebastelt, das via Munin alle Cert-Restlaufzeiten ermittelt und rechtzeitig Alarm schlägt.
Wer das Problem hat, dass bei iptables-Rules wie der folgenden keine (oder nur vereinzelt) Verbindungen nach draußen zustande kommen hat das gleiche Problem wie ich es hatte:
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth1 -o pppoe0 -j ACCEPT
Die Regel besagt, alles von „Drinnen“ (eth1) nach „Draußen“ (pppoe0) zuzulassen und alle Pakete der Verbindungstatus als ESTABLISHED oder RELATED erkannt wird zuzulassen. Kurz: eine StateFull-Firewall die alles von drinnen nach draußen routet aber von draußen nur angefragtes rein lässt.
Wer auf etwas „stabilere“ (oder ältere) Software setzt (in Worten: debian squeeze) ist noch mit einem 2.6er Kernel unterwegs. Bei diesem sind die Module fürs ConnectionTracking wohl noch etwas schärfer/unbrauchbarer.
Erst mit folgendem Befehl verhält sich das ConnectionTracking wie man es erwarten würde:
Seit 14 Tagen verrichtet ein Router der Marke „EdgeMax Lite“ von Ubiquiti seinen Dienst in meinem Netzwerk. Hier eine kleine Zusammenfassung meiner Erfahrungen.
Kurzfazit: Dieser Router wurde darauf ausgelegt 1Gbit über alle drei Ethernet Interfaces zu routen. Dafür wurde auf die üblichen Dinge wie WLAN, integrierter Switch, TK-Anlage und weitere Features verzichtet. Wer hingegen einen leistungsstarken Router und nur „einen Router“ braucht, der liegt mit diesem Gerät goldrichtig.
Der EdgeMax Lite wird es als Produkt nicht leicht haben, dass wird schon bei einem einfachen Blick auf die Featureliste und Technischen Daten klar. Andere Produkte im 100€ Segment bieten für die „normale Nutzung“ wesentlich mehr zusätzliche Features. Spätestens 30 Minuten nach Inbetriebnahme dürfte der Normalnutzer entgeistert aufgeben und bereuen sich keine „Eierlegende Wollmichsau“ zum gleichen Preis gekauft zu haben. Wie ein solcher „Vergleich“ sich dann in einem Test niederschlägt, kann man bei SmallnetBuilder nachlesen. Den EdgeMax mit einer FritzBox zu vergleichen ist ungefähr so als wolle man einen Combi mit einem Sportwagen vergleichen. Das kann man machen, viel Sinn macht es aber nicht.
Ich hab mich für einen Einsatz des EdgeMax entschieden, da mein „alter“ Buffalo AG300H einige Features einfach nicht abdecken konnte. Das Killer-Feature war dabei der Routing-Durchsatzt. Ich wollte meinen Server von meinem lokalen LAN isolieren. Etwas was jeder IT-Azubi im ersten Lehrjahr lernen sollte. Mit dem Buffalo war das nicht möglich. Ein frisches OpenWRT mit geflushten Iptables brachte gerade mal 400mbits über den Router. Sobald ein paar Iptables Rules zum Einsatz kamen, sank der Durchsatz auf unter 300mbits. HD Filme die von einem NAS gestreamt werden, fangen jetzt an zu ruckeln. Das war keine Option.
Der EdgeMax gibt sich hier keine Blöße. Wie von Ubiquiti beworben legt er das Gigabit auf die Leitung. Der Einsatz von Firewall-Regeln oder QoS hat dabei keinen Einfluss auf den Durchsatz, wenn man sich an kleinere Einschränkungen hält (erleuterung folgt gleich). Mittels IPerf konnte ich 850mbits ermitteln. Wobei mein Switch 900mbits auf die Leitung legt. Dieser Durchsatz wird erreicht, ohne dass der CPU auch nur Notiz davon nimmt (Load von 0).
Ein Blick auf die technischen Daten macht aber klar, dass dieses Ergebnis zu erwarten ist. Zum Einsatz kommt ein Cavium Octeon 500MHz Dual Core (Hardware Einheit zur Paketverarbeitung inklusive), 512MB RAM und 2GB Flashspeicher. Das ist einfach eine andere Hausnummer als meine bisherige Routerhardware. Auch so hinterlässt der EdgeMax einen anderen Eindruck als jeder SoHo Router den ich bis jetzt in die Finger bekommen habe. Er blinkt nicht wie ein Weihnachtsbaum und buhlt auch nicht um Aufmerksamkeit wie die letzten Asus und Netgear Geräte.
EdgeMax-Lite während der Konfiguration
Das auffälligste ist im ersten Moment der vierte RJ45 Port – die gute alte Serielle Schnittstelle ist zu Wartungszwecken raus geführt worden. Gut selbst Cisco nutzt dafür jetzt USB Ports aber egal, ob Hauptsache sie ist raus geführt. Danach bekommt man (normalerweise) als erstes die (Web) GUI zu Gesicht. Diese kann man wohlwollend mit „managementtauglich“ Beschreiben. Man kann quasi jedem Azubi Zugriff geben, viel kaputt machen kann er nicht… Selbst für das Konfigurieren der Interfaces braucht man Zugriff via Konsole. Eine Konsole kann man zwar auch über die GUI bekommen, aber dass ist dann nicht mehr Klicki-Bunti. Überhaupt die GUI noch die sichtbarste Baustelle. Das einrichten einer Firewall Rule geht noch alles andere als intuitive von der Hand.
Wenn man sich via SSH (muss aktiviert werden) oder gar Seriellen Konsole auf den Router verbindet bekommt man direkten Zugriff auf das Router OS. Zum Einsatz kommt ein von Ubiquiti geforktes Vyatta. Dies ist eine Debian basierte Router Distribution. Anders als z.B Chanonical setzt Ubiquiti aber auf die standart Debian (squeeze) Quellen.
Die zur Verfügung gestellte vbash lehnt sich in Aufbau und Bedienung an die IOS (Cisco) Devices an. Das kann man mögen, muss aber man nicht. Standardmäßig wird zudem eine eingeschränkte Quagga Routing Suite eingesetzt. Wobei ich das Gefühl nicht loswerden, dass diese nur eingeschränkt wurde, weil man noch nicht das ganze Spektrum in der Konfigurations-Schnittstelle abdecken kann.
Das Konfigurieren geht dabei gut von der Hand. Schnittstellen und Routing sind schnell und übersichtlich Konfiguriert und der Router einsatzbereit. Besonders angenehm fällt dabei die „Commit/Rollback“-Fähigkeit der Konfigurationsoberfläche auf. Änderungen müssen erst via „Commited“ freigegeben werden bevor man sie final in den VRAM raus schreiben kann. So kann man zu jedem Zeitpunkt seine Änderungen „einsehen“. Beim Commit werden die neuen Einstellungen auf „Konsistenz“ geprüft. Firewall Rules ohne Interface werden gar nicht erst gespeichert. Anschließend werden alle Änderungen wirksam gemacht: Befehle angewendet, Dienste neu gestartet usw. Erst jetzt kann der finale „Save“ ausgeführt werden. Fehlkonfigurationen bei denen man sich selber Aussperrt, werden so erschwert. Zusätzlich können mehrere Einstellungssets vorgehalten werden. Das wirkt alles ausgereift und durchdacht. Nur leider bleibt das was man konfigurieren kann, weit hinter dem zurück, was dieser Router bietet.
Für mich war bei der Einrichtung der Firewall Schluss mit der vbash. Ich weiß nicht wie viele Versuche ich gesehen habe das Iptables-Kommando vor dem Benutzer zu verstecken. Dies ist ein weiterer auf der Liste. Kurz: ich führe nur noch das Nötigste (interfaces, web-gui abschalten, logins) in der Konfiguration, danach geht es über einen zweiten Benutzer (alternativ sudo su) an das „eigentliche“ Debian.
Ab jetzt spielt der „Router“ seine Stärke aus: brachiale Performance, Platz und Debian halt. 2GB sind für den Anfang mehr als genug um ein paar zusätzliche Dienste zu installieren. Da man die kompletten Debian-Quellen im Zugriff hat, findet man eigentlich jeden Dienst, den man irgendwie im Netzwerk gebrauchen könnte. Man hat aber auch nur 2GB Speicher. Eine Erweiterung via USB oder anderen BusSystem ist nicht vorgesehen. Zum Hosten kleiner WebSites würde es reichen, ist aber nicht zu empfehlen. Begründung folgt gleich…
Bei muss der Router FreeRadius , Kerberos zur Verfügung stellen und mehrere Clients mit einer 2 DMZ-Lans verbinden. Zu Testzwecken hab ich vier simultane (unterschiedliche Rechner) bonnie++ auf eine NFS Freigabe losgegangen. Der Durchsatz über den Router lag immer im Bereich 750 bis 850 mbits und die CPUs langweilten sich bei einem Load von 0. Auch versuche die CPU mit normalen Radius/Kerberos anfragen zu quälen, waren nicht von Erfolg gekrönt. Das sollte für den „Heimgebrauch“ reichen. Der Durchsatz ist aber stark vom Einsatz-Szenario abhängig. Die Hardwarebeschleunigung greift nicht überall. Sobald Bridging oder VLANs in Spiel kommen, muss die CPU rann. IPv6 wird erst mit der neusten Firmware auch „beschleunigt“ (disabled by default.). Wenn die Hardwarebeschleunigung fehlt bricht der Durchsatz rapide ein. Jeh nach Szenario landet man bei 500mbits oder gar 400 mbits (Firewall, NAT, QOS, IPv6 ohne HW) und der CPU ist am Limit. Der Router war allerding noch ansprechbar, und gut bedienbar. Ich hab es mit fünf Simultanen Floodings nicht geschafft, den Router so weg zu schießen, dass er nicht mehr bedienbar war. Ob er einem richtigen DDOS angriff stand hält würde ich mal bezweifeln.
Ein Wort zu den VLANs/Bridging Einschränkungen. Es ist möglich auf einem Interface „ungebridged“/“ungetagged“ und gleichzeitig „bridged“/“tagged“ zu arbeiten. Dabei wird der „ungebridged“/“ungetagged“ Traffic durch die Hardware beschleunigt und der Rest muss über die CPU. Man hat also, wenn man es clever anstellt, genügend Spielraum diesen „Makel“ zu umgehen. Zumal der Hersteller in Aussicht gestellt hat, dass sich dieser Umstand in Zukunft noch verbessert, sprich VLANs auch Hardware beschleunigt werden. Überhaupt sind noch viele der Eckpunkte des EdgeMax „im Fluss“. Ubiquiti erweitert mit jedem Update die Funktionalitäten, den Umfang der Hardwarebeschleunigung und behebt (natürlich) Bugs. Dabei hatte ich nie das Gefühl eine Beta im Einsatz zu haben. (Wobei man sich für selbige anmelden kann.) Die FirmwareUpdates machen immer einen sehr runden Eindruck.
Wo wir bei den Firmware Updates waren. Die kommen momentan recht zügig (zwischen 1.1.0 und 1.2.0 lagen 4 Monate). Das Firmwareupdate läuft dabei ähnlich wie bei OpenWRT. Einmal geflasht gehen alle Informationen verloren. Einzig die ConfigDatei und alles was in bestimmten Ordnern liegt wird erhalten. Größere Datenmengen oder gar Datenbanken verbieten sich da. Da nach einem Update sowieso die zusätzlichen Dienste neu installiert werden müssen, sollte man sich nur Keys, Certs und ähnliches auf dem Router vorhalten. Ein richtiger Webserver schließt sich somit fast aus. Komfortabel ist das noch nicht. Ein Mitarbeiter von Ubiquiti hat jedoch erläutert, dass in späteren Versionen auf einen RollingRelease angeboten werden könnte…
Wo wir beim letzten wichtigen Thema sind: dem Support von Ubiquiti. Der wird recht häufig gescholten. Ich hatte bis jetzt nur das „Vergnügen“ ihn in den Foren zu erleben und muss sagen, dass es wirklich ein Vergnügen ist. Es scheinen ein paar Mitarbeiter der EdgeMax Produktlinie abgestellt worden zu sein, durch die Foren zu streifen. Zu jeder wichtigeren Frage findet man immer eine, meist sogar mehrere Antworten von Ubiquiti-Mitarbeitern. Sie begründen Entscheidung, gehen auf Testergebnisse ein oder geben Hilfestellungen. Alles in allem macht es einen ungewohnt offenen Eindruck. Dies ist aber angesichts der Funktionalität und der (fehlenden) Dokumentation auch nötig. Während die meisten etablierten Router-Hersteller eine selbsterklärende GUI oder dicke (sinnfreie) Manuals anbieten, baut Ubiquiti gerade erste ihre KnowledgeBase auf. Bei vielen Fragen muss man aufs Forum zurückgreifen. In diesem Fall sehe ich das aber nicht als Nachteil. Die Suche funktioniert gut die passenden Antworten sind markiert.
Ein letztes Wort zum Thema OpenSource: Hier blick ich nicht mehr ganz durch. Laut Ubiquiti ist es möglich sich einen eigenen Kernel oder gar Image selber zu erzeugen. Bei Freebsd und OpenWRT gibt es auch Builds die wohl den Chip unterstützen. In wie weit dort die Hardware-Beschleunigung inbegriffen ist konnte ich in Ermangelung an Zeit nicht Testen. Interessant ist in jedem Fall, das für einen SDK von Cavium erst mal ein NDA unterzeichnet werden muss. Man bekommt also einen Kernel mit ClosedSource Binaries. Für Leute die nur 100% frei Software im Einsatz haben wollen, ist die Büchse aktuell erst mal nichts.
Für alle anderen, die einen „echten“ Router suchen, ist der EdgeMax genau das richtige. Klein, Unscheinbar, Leistungsstark und wenn man Linux beherrscht simpel in der Bedienung. Hatte ich den serielle Konsole schon erwähnt? Ende des Jahres sollte die 5Port POE Version des Routers im Handel verfügbar sein, dann werden meine Buffalos endgültig ausgemistet…
Ich hab seit einiger Zeit einen FreeRadius-Server um mein WLAN abzusichern und mein VPN Zugang zu regeln. Das System war so konfiguriert, dass der Client ein Zertifikat vorzeigt, einen Tunnel aufbaut und dann via EAP/PAP autorisiert wird. Das Gruppenmanagement übernahm dabei LDAP und die das Passwort wurde via Kerberos geprüft. Alles in allem sehr flexibel aber auch sehr komplex. Vor allem der LDAP Server störte mich doch extrem. Zum einen ist der so ganz anders zu konfigurieren und zu verwalten, als alle anderen Dienst ein meiner Landschaft, zum anderen hab ich ihn nie so richtig verstanden. Kurz der musste weg. Ich wollte aber weiterhin die Option haben, eine Nutzer via VPN auf Subnets „Zugang“ zu lassen aber vom Heimnetz „Sicher“ fern zu halten. Insofern man den aktuellen FreeRadius einsetzt bietet dieser eine sehr elegante Möglichkeit an, dass auf Zertifikatsbasis zu lösen.
Der Grundgedanke: Insofern man der CA wirklich vertraut bzw. die CA selber stellt, kann man davon ausgehen, dass ein Client nur das Zertifikat hat, dass er haben darf. Verlust und Diebstahl wird über eine aktuelle „Revocation Liste“ gelöst. Vertraut man der CA, kann man somit die Zugangsinformationen ins Zertifikat hinterlegen. Zum Beispiel kann man das OU (OrganisationUnit) oder gar das CN Feld nutzen. In meinem Fall, hab ich mich auf das CN Feld bzw den ganzen Zertifikats-Pfad verlassen. Meine Netz ist in verschiedene Bereiche getrennt: Sicher, Gesichert, Offen (Radius entfällt). Alle Clients haben schon jetzt Zertifikate die wie folgt aussehen: hostname.sicher.ca oder bekannter.gesichert.ca. Ich musste den Radius nur noch dazu bekommen, dass ein Client der in das „Sichere“ Netz will auch ein „sicher.ca“-Zertifakt vorweißt.
Umsetzung: Was man vorher braucht, ist ein Radius der TLS beherrscht. Das wird hier beschrieben: Ubuntusers:Wiki – FreeRadius. Läuft der TLS Modus stehen nun eine Reihe von Variablen innerhalb der FreeRadius-Configuraiton zur Verfügung. Eine komplette Liste konnte ich nicht auftreiben aber laut einigen Mailinglisten sind die folgenden Variablen wohl verfügbar:
TLS-Cert-Serial
TLS-Cert-Expiration
TLS-Cert-Issuer
TLS-Cert-Subject
TLS-Client-Cert-Serial
TLS-Client-Cert-Expiration
TLS-Client-Cert-Issuer
TLS-Client-Cert-Subject
Interessant ist die TLS-Client-Cert-Subject – Variable. Diese stellt das Subject via String zur verfügung. Jetzt muss man nur noch mittels RegExp seine gewünschte Prüfung durchführen. Dass kann dann so aussehen.
Was folgt ist folgende Prüfung. Wenn eine TLS-Verbindung über einen Zugangspunkt mit der IP 10.11.1.2 und NAS-ID (vorher vereinbart) „sicheres-lan“ ankommt muss das CLientZertifikat auf „*.sicher.ca“ ausgestellt sein. Alles andere wird abgeleht. Mann kann da noch weitere else-Zweige einbauen. Aber das Prinzip bleibt das gleiche.
Da CSync leider nicht meine Erwartungen erfüllt hat bzw. nicht im Ubuntu-Repository versorgt wird musste ich mich vor ein Weile nach Alternativen umschauen.
Dabei bin ich auf Unison gestoßen. Installiert man es auf Client und Server kann man via ssh sehr schnell große Datenmengen in beide Richtungen abgleichen. Man kann sogar eine Konfliktlösungsstrategie angeben, falls es sowohl auf Server als auch Clients zu Änderungen kam.
Mittels Exclude-List kann man gezielt steuern was übertragen werden soll. Sogar via Regex.
Bleibt nur noch das Problem wie man den ssh-Daemon auf der Server-Seite dazu bekommt ohne weitere Passwortabfrage eine Verbindung zuzulassen. Da gibt es verschiedene Varianten wie z.b. das Public-Key-Verfahren (wobei der keyring automatisch aufgemacht werden muss) oder GSSAPI. Letztere ist relativ bequem einzusetzen, wenn man mal einen Kerberos eingerichtet hat. Dann muss man einfach folgende Konfiguration im SSH Daemon vornehmen.
