OVPNIP4
IP-Tunnel mit OpenVPN einrichten auf Lucom LR77 v2

Voraussetzungen

1. Lucom LR77 v2 (LTE router LR77 v2 Libratum) (B+B SmartWorx / Advantech)
2. Firmware-Version: mind. 6.2.8 (2021-02-19)
3. SIM-Karte mit Datenverbindung
4. Test-Zugang oder bezahlter Zugang auf dem IP-Tunnel-Server OVPNIP4
5. Stabile LTE-Verbindung

Testumgebung

• Router: Lucom LR77 v2 (LTE router LR77 v2 Libratum) (B+B SmartWorx / Advantech)
• Firmware: 6.2.8 (2021-02-19)
• SIM-Karte: Vodafone

Die zu erwartende Bandbreite liegt bei ca. 5,5 Mbit/s (Download) bzw. 6,5 Mbit/s (Upload) (der Durchsatz wird durch die Prozessorleistung des Geräts begrenzt, nicht durch den IP-Tunnel-Dienst).

Grundkonfiguration

Damit der IP-Tunnel-Zugang konfiguriert werden kann, muss der Router über eine funktionierende Internet-Verbindung verfügen. Konfigurieren Sie den Router gemäß der Anleitung des Herstellers so, dass eine Internet-Verbindung zustande kommt.

Öffnen Sie die Konfigurationsoberfläche mit einem Internet-Browser.

1. Adresse: http://192.168.1.1/ (in neueren Firmware-Versionen wird Ihr Browser auf HTTPS weitergeleitet, weshalb eine Zertifikatswarnung erscheint)
2. Benutzername: root
3. Passwort: root

Passwort ändern

Nach Abschluss der Konfiguration ist der Router über eine feste, öffentliche IPv4-Adresse aus dem Internet erreichbar. Deshalb sollte das Standard-Passwort umgehend durch ein sicheres Passwort ersetzt werden.

1. Navigieren Sie zu Administration > Change Password
2. New Password: ein neues, sicheres Passwort
3. Confirm Password: “New Password” wiederholen
4. Klicken Sie auf Apply.

SIM-Einstellungen vornehmen

1. Navigieren Sie zu Configuration > Mobile WAN
2. Create connection to mobile network: Aktiviert (falls das Kontrollkästchen sichtbar ist)
3. Nehmen Sie die folgenden Einstellungen für den genutzten SIM-Slot vor.
4. APN: Wie von Ihrem Mobilfunkprovider vorgegeben (z.B. web.vodafone.de (Vodafone), internet.telekom (Telekom / T-Mobile) oder internet (o2))
5. Username: Wie von Ihrem Mobilfunkprovider vorgegeben (z.B. leer (Vodafone), t-mobile (Telekom / T-Mobile)
6. Password: Wie von Ihrem Mobilfunkprovider vorgegeben (z.B. leer (Vodafone), tm (Telekom / T-Mobile)
7. DNS Settings: set manually
8. DNS IP Address: Setzen Sie hier einen DNS-Server wie z.B. 8.8.8.8 (Google), 1.1.1.1 (Cloudflare) oder 9.9.9.9 (IBM Quad9) ein, da Ihr Mobilfunkanbieter DNS-Anfragen, die von einer IP-Adresse außerhalb seines Netzes stammen, nicht beantworten wird, sobald der Router über eine feste, öffentliche IPv4-Adresse verfügt.
9. Klicken Sie auf Apply

Mobilfunkverbindung testen

Prüfen Sie, ob Sie mit dem Konfigurationscomputer Webseiten im Internet über den LR77 v2 Router erreichen können. Es sollte außerdem ein ping auf ovpnip4.internet-xs.de möglich sein. Falls Sie keine Webseiten im Internet erreichen oder ein Ping auf ovpnip4.internet-xs.de nicht möglich ist, prüfen Sie bitte die Mobile WAN-Einstellungen.

Firewall vorbereiten

Damit die an die per IP-Tunnel-Verbindung bereitgestellte feste, öffentliche IPv4-Adresse gesendeten Pakete von den über die Web-Oberfläche konfigurierten Firewall-Regeln erfasst werden, muss die virtuelle Netzwerkschnittstelle in die entsprechende Firewall-Zone gesetzt werden.

1. Navigieren Sie zu Configuration > Scripts > Startup
2. Fügen Sie dem Startup-Script diese Zeilen an:

/sbin/iptables -t mangle -A PREROUTING -i tun+ -j pre
/sbin/iptables -t mangle -A PREROUTING -i tun+ -j block

Das Feld Startup Script sollte anschließend so aussehen:

#!/bin/sh
#
# This script will be executed *after* all the other init scripts.
# You can put your own initialization stuff in here.

/sbin/iptables -t mangle -A PREROUTING -i tun+ -j pre
/sbin/iptables -t mangle -A PREROUTING -i tun+ -j block

OpenVPN Client konfigurieren

1. Navigieren Sie zu Configuration > OpenVPN > 1st Tunnel
2. Create 1st OpenVPN tunnel: Aktiviert
3. Description: ixs-ovpnip4
4. Protocol: UDP
5. UDP Port: 1194
6. Remote IP Address: 212.58.69.4 (setzen Sie hier nicht die Ihrem IP-Tunnel Zugang zugeteilte feste, öffentliche IPv4-Adresse ein!)
7. Remote Subnet: 212.58.82.0 (setzen Sie hier nicht die Ihrem IP-Tunnel Zugang zugeteilte feste, öffentliche IPv4-Adresse ein!)
8. Remote Subnet Mask: 255.255.255.0
9. Redirect Gateway: yes (falls Sie Port-Weiterleitungen / DNAT konfigurieren möchten) oder no (falls Sie nur auf die Web-Oberfläche des Routers zugreifen möchten)
10. Local Interface IP Address: leer
11. Remote Interface IP Address: leer
12. Ping Interval: 20
13. Ping Timeout: 120
14. Renegotiate Interval: leer
15. Max Fragment Size: leer
16. Compression: none
17. Nat Rules: applied
18. Authenticate Mode: username / password
19. Security Mode: tls-auth
20. Pre-shared Secret: Leer
21. CA Certificate: Bitte kopieren Sie den Text-Block unten inklusive “-----BEGIN CERTIFICATE-----” und “-----END CERTIFICATE-----” in das Textfeld:

-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

22. Username: Setzen Sie hier den Benutzernamen / die Zugangskennung Ihres IP-Tunnel-Zugangs ein (z.B. ixs004-1234-a1b2c3d4)
23. Password: Setzen Sie hier das Passwort zu Ihrem IP-Tunnel-Zugang ein
24. Extra Options: --keysize 0 --cipher none --sndbuf 0 --rcvbuf 0 --fast-io --reneg-sec 0 --reneg-bytes 0 (falls Sie keine Port-Weiterleitungen vornehmen möchten, sondern nur die Konfigurationsoberfläche per fester, öffentlicher IPv4-Adresse erreichbar machen möchten, verwenden Sie diese Optionen: --keysize 0 --cipher none --pull-filter ignore redirect-gateway
25. Klicken Sie auf Apply

Verbindung prüfen

1. Navigieren Sie zu Status > System Log
2. Eine Zeile wie diese sollte im Protokoll auftauchen: 2021-03-24 17:02:34 openvpn[1380]: Initialization Sequence Completed.
3. Navigieren Sie zu Status > Network
4. Im Bereich Interfaces sollte ein Eintrag ähnlich diesem erscheinen:

tun0      Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00  
          inet addr:212.58.82.XXX  P-t-P:212.58.82.XXX  Mask:255.255.255.0
          UP POINTOPOINT RUNNING NOARP MULTICAST  MTU:1500  Metric:1
          RX packets:82 errors:0 dropped:0 overruns:0 frame:0
          TX packets:102 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:100 
          RX bytes:11757 (11.4 KB)  TX bytes:20324 (19.8 KB)

5. Im Bereich Routing Table sollten folgende Zeilen vorhanden sein, falls Sie die Option Redirect Gateway auf yes gesetzt haben:

0.0.0.0         212.58.82.1     128.0.0.0       UG    0      0        0 tun0
128.0.0.0       212.58.82.1     128.0.0.0       UG    0      0        0 tun0
212.58.69.4     192.168.253.254 255.255.255.255 UGH   0      0        0 usb0
212.58.82.0     212.58.82.1     255.255.255.0   UG    0      0        0 tun0
212.58.82.0     0.0.0.0         255.255.255.0   U     0      0        0 tun0

Port-Weiterleitungen / DNAT konfigurieren

Um Dienste von Geräten im Netzwerk des LR77 v2 Libratum per fester, öffentlicher IPv4-Adresse aus dem Internet zu erreichen, müssen entsprechende Port-Weiterleitungen / DNAT konfiguriert werden.

Die folgenden Schritte sind für alle Ports zu wiederholen, die per IP-Tunnel-IP-Adresse erreicht werden sollen.

1. Navigieren Sie zu Configuration > NAT
2. Public Port(s): Geben Sie hier eine Port-Nummer zwischen 1 und 65535 als externen Port ein, z.B. 8080
3. Private Port(s): Geben Sie hier die Ziel-Port-Nummer der Port-Weiterleitung ein. Dieser Port wird i.d.R. durch das anzubindende Gerät vorgegeben, bspw. 80 oder 554 oder 443 oder 3389.
4. Type: Das Protokoll wird durch das anzubindende Gerät vorgegeben (80, 443, 3389 i.d.R. TCP, 554 i.d.R. UDP)
5. Server IP Address: Geben Sie hier die LAN-IP-Adresse des anzubindenden Geräts / Webcam / NVR / Datenlogger etc. ein (z.B. 192.168.0.10)
6. Masquerade outgoing packets: Aktiviert
7. Klicken Sie auf Apply.

Optional: Zugriff auf lokale Dienste erlauben

1. Enable remote HTTP access on port: Aktiviert den Zugriff auf die Web-Oberfläche des Routers aus dem Internet.
2. Enable remote HTTPS access on port: Aktiviert den Zugriff auf die Web-Oberfläche des Routers aus dem Internet mittels HTTPS (verschlüsselte Verbindung).
3. Enable remote FTP access on port: Aktiviert den Zugriff auf den FTP-Server des Routers aus dem Internet.
4. Enable remote SSH access on port: Aktiviert den Zugriff auf die Kommandozeile des Routers aus dem Internet (verschlüsselte Verbindung).
5. Enable remote Telnet access on port: Aktiviert den Zugriff auf die Kommandozeile des Routers aus dem Internet (unverschlüsselt, sollte immer deaktiviert sein).
6. Enable remote SNMP access on port: Aktiviert den Zugriff auf den SNMP-Server zum auslesen des Status aus dem Internet (unverschlüsselt, sollte immer deaktiviert sein).

Aktivieren Sie diese Optionen nur, wenn Sie sie wirklich benötigen. Ändern Sie ggf. die Ports ab, damit das Gerät von automatischen Scannern nicht so leicht gefunden werden kann. Verwenden Sie stets sichere Passworte und verschlüsselte Verbindungen für den Zugriff.

Sie können diese Einstellungen unter Configuration > Firewall weiter einschränken und bspw. den Zugriff auf die Web-Oberfläche des Routers nur aus bestimmten IP-Netzen erlauben.

Optional: Exposed Host

Mithilfe dem Kontrollkästchen Send all remaining incoming packets to default server kann jeglicher eingehender Traffic, der nicht von einer anderen Port-Weiterleitung erfasst wird, an eine bestimmte Ziel-LAN-IP-Adresse (Default Server IP Address) gesendet werden. Dies eignet sich immer dann, wenn Sie einen Firewall-Router im Netzwerk betreiben und den LR77 v2 Libratum z.B. als Backup-WAN-Zugang einsetzen möchten.

Neustart

Damit das zuvor eingerichtete Startup-Script erstmalig ausgeführt wird, muss der Router neu gestartet werden.

1. Navigieren Sie zu Administration > Reboot
2. Klicken Sie auf Reboot

Port-Weiterleitungen / DNAT testen

Verbinden Sie sich nun mit einem Gerät, das sich außerhalb des Netzwerks des LR77 v2 Libratum befindet (bspw. mit einem Smartphone, das ins LTE-Netz eingebucht ist), mit einem Port-Weiterleitungsziel. Beispiel:

http://212.58.82.X:8080

• 212.58.82.X: Die Ihrem IP-Tunnel-Zugang zugeteilte feste, öffentliche IPv4-Adresse
• 8080: Im Bereich Public Port(s) angegebene Port-Nummer

Die Anfrage wird vom Router dann an bspw. 192.168.0.10:80 weitergeleitet, wobei

• 192.168.0.10: Im Feld Server IP Address angegebene Ziel-LAN-IP-Adresse
• 80: Im Bereich Private Port(s) angegebener Ziel-Port

entspricht.

Automatischer Verbindungs-Neustart bei Verbindungsabbruch (optional)

Falls das Gerät an einem schwer erreichbaren Ort aufgestellt wird empfehlen wir, einen sog. “Ping-Reboot” einzurichten. Dabei versucht der Router, alle X Minuten ein bestimmtes Ziel zu erreichen. Ist das Ziel nicht erreichbar, wird die Mobilfunkverbindung neu gestartet. Das Ping-Ziel ist dabei der IP-Tunnel-Einwahlserver, auf dem der konfigurierte Zugang beheimatet ist.

1. Navigieren Sie zu Configuration > Mobile WAN
2. Check Connection: enabled
3. Ping IP Address: 212.58.82.1
4. Ping Interval: 120
5. Ping Timeout: 10
6. Apply

Der Router verfügt leider über keine Möglichkeit, sich automatisch vollständig neu zu starten. Es wird nur die Mobilfunkverbindung neu gestartet.

Tipps

1. Nach erfolgreicher Konfiguration sollte ein Konfigurations-Backup über Administration > Backup Configuration erstellt werden.
2. Ein Reset kann nur über den Reset-Taster am Gerät durchgeführt werden.

Fehlerdiagnose

1. Bitte prüfen Sie im Status > System Log, ob das Gerät über ein aktuelles Datum / Uhrzeit verfügt.
2. Die Ihrem IP-Tunnel-Zugang zugeteilte feste, öffentliche IPv4-Adresse muss nirgends eingesetzt werden, sie wird automatisch vom IP-Tunnel-Server bezogen.

Falls trotz minutiöser Befolgung dieser Anleitung keine Verbindung mit dem IP-Tunnel-Dienst zustande kommt, senden Sie uns bitte das Systemprotokoll (Status > System Log) unter Angabe der IP-Tunnel-Zugangskennung (Benutzername) und der zugeteilten IP-Adresse an info@internet-xs.de.