OpenVPN mit obfsproxy (Stealth VPN) auf einem Router mit OpenWRT

Installation

Laden Sie zuerst das oben verlinkte Archiv mit den OpenVPN-Konfigurationsdateien herunter und entpacken es. Öffnen Sie das Programm PuTTY oder ein anderes Terminal-Programm und melden Sie sich auf dem Router an. Führen Sie folgende Kommandos nacheinander aus: opkg update und opkg install openvpn-openssl luci-app-openvpn obfsproxy

Konfiguration anpassen

Erstellen Sie anschließend mit Hilfe von WinSCP (alternativ können diese Schritte natürlich auch im SSH-Terminal durchgeführt werden) im Verzeichnis /etc/openvpn/ des OpenWRT-Routers die Datei up.sh mit den folgenden Zeilen als Inhalt

#!/bin/sh
env | sed -n -e "
/^foreign_option_.*=dhcp-option.*DNS/s//nameserver/p
/^foreign_option_.*=dhcp-option.*DOMAIN/s//domain/p
" | sort -u > /tmp/resolv.conf.vpn
uci set dhcp.@dnsmasq[0].resolvfile="/tmp/resolv.conf.vpn"
/etc/init.d/dnsmasq restart

und die Datei down.sh mit dem Inhalt

#!/bin/sh
uci set dhcp.@dnsmasq[0].resolvfile="/tmp/resolv.conf.auto"
/etc/init.d/dnsmasq restart

Öffnen Sie die Eigenschaften von den Dateien up.sh und down.sh und setzen die Rechte auf 755.

Unter /var/log/openvpn.log können Sie später jederzeit das Log einsehen, falls irgendwelche Probleme bei einer OpenVPN Verbindung auftreten sollten.

Obfsproxy Konfiguration

Als nächstes öffnen Sie mit WinSCP die Datei obfsproxy im /etc/config/ Verzeichnis. Ersetzen Sie den Inhalt der Datei mit folgendem Text und speichern Sie diese anschließend:

config obfsproxy 'obfsproxy'
 # Set by "option enabled" 1 to enable and 0 to disable this instance
 option enabled 1
 option transport 'obfs3'
 option mode 'socks'
 option listen_host '127.0.0.1'
 option listen_port '10000'
 option log_file '/var/log/obfsproxy.log'

Wenn Sie später OpenVPN deaktivieren möchten, dann vergessen Sie nicht obfsproxy auch zu deaktivieren. Öffnen Sie dazu die Datei obfsproxy im /etc/config/ Ordner und ändern Sie die Zeile:

option enabled 1

in

option enabled 0

DNS-Server konfigurieren

Loggen Sie sich auf ihrem OpenWRT-Router über einen Browser ein (192.168.1.1). Wechseln Sie zum Network=>Interfaces=>WAN=>Edit=>Advanced Settings Tab und deaktivieren Sie Use DNS servers advertised by peer. Tragen Sie unter Use custom DNS servers mindestens zwei öffentliche IPv4 DNS-Server (z.B. 8.8.8.8 und 8.8.4.4) ein und klicken Sie auf den Button Save.

Machen Sie das gleiche im WAN6 Tab und tragen Sie auch dort mindestens zwei IPv6 DNS Server ein. Klicken Sie anschließend auf den Save und den Save & Apply Button. Sie können entweder die DNS-Server von Google benutzen (IPv4: 8.8.8.8 und 8.8.4.4 IPv6: 2001:4860:4860::8888 und 2001:4860:4860::8844) oder welche vom OpenNIC-Projekt.

Hinweis: Wenn Sie möchten, können Sie auch Perfect-Privacy-Nameserver einsetzen (zu finden auf der DNS-Server-Seite im Kunden-Bereich). Beachten Sie aber, dass diese ohne VPN-Verbindung nur Perfect-Privacy-Domains auflösen, was bedeutet, dass der Internetzugang nur mit bestehender VPN-Verbindung funktioniert. Allerdings besteht kein DNS-Leak wenn man öffentliche DNS-Server benutzt, da DNS-Anfragen bei bestehender VPN-Verbindung immer anonymisiert über den verschlüsselten VPN-Tunnel gesendet werden, solange das VPN verbunden ist.

OpenVPN Konfiguration

Wechseln Sie zum Menü VPN=>OpenVPN und tragen Sie unter OVPN configuration file upload PP_Basel1 ein. Klicken Sie dann auf Durchsuchen und wählen die heruntergeladene Basel1.ovpn Datei von Perfect Privacy aus. Klicken Sie danach auf den Button Upload.

Öffnen Sie die neu angelegte Instanz PP_Basel1 mit Klick auf Edit und ersetzen Sie in der ersten Zeile den Text "userpass.txt“ durch “PP_Basel1.auth“.

Wenn Sie die von OpenVPN zur Verbindung verwendeten Ports einschränken möchten (z.B. auf 443 oder 53), kommentieren Sie die unerwünschten Einträge in der verwendeten OpenVPN-Konfigurationsdatei aus.

Vergewissern Sie sich, dass die Formatierung mit dem Browser richtig übernommen wurde und dass alle remote Befehle untereinander stehen.

Fügen Sie im zweiten Feld den Perfect Privacy Nutzernamen und das zugehörige Passwort ein und speichern Sie anschließend mit Save ab.

Firewall-Konfiguration

Gehen Sie zum Menü Network=>Interfaces und klicken Sie auf Add new interface….

• Name: PP_VPN
• Protocol: Unmanaged
• Interface: In der letzten Zeile tun0 eingeben

Mit dem Create interface Button die Einstellungen übernehmen.

Wechseln Sie im neu erstellten Interface zum Tab Firewall Settings. Öffnen Sie die Auswahl neben Create / Assign firewall-zone, und tippen in der untersten Zeile PP_FW ein. Mit dem Save Button die Einstellungen übernehmen.

Wechseln Sie anschließend zu Network=>Firewall und klicken rechts neben PP_FW auf Edit. Passen Sie folgendes an:

• Name: PP_FW
• Input: reject
• Output: accept
• Forward: reject
• Masquerading: aktivieren
• MSS clamping: aktivieren
• Covered networks: PP_VPN

Im unteren Feld folgendes auswählen:

• Allow forward from source zones: lan aktivieren

Mit dem Save Button die Einstellungen übernehmen und anschliessend auf Save & Apply klicken.

OpenVPN aktivieren

Gehen Sie zum Menü Services=>OpenVPN und setzen Sie ein Häkchen bei Enabled. Klicken Sie anschließend auf den Button Save & Apply und starten Sie PP_Basel1 mit dem Button start.

Optional: Kill-Switch aktivieren

Achtung: Dieser Schritt aktiviert den Firewall-Schutz ("Kill-Switch“), der dafür sorgt, dass bei unterbrochener Internetverbindung kein Traffic mehr ins Internet geschickt wird. Wenn Sie über Ihren Router auf das Internet auch ohne VPN zugreifen möchten, müssen Sie diesen Schritt überspringen.

Navigieren Sie zu Network=>Firewall und öffnen Sie unter Zones die Zone lan mit dem Button Edit.

Scrollen Sie nach unten und aktivieren Sie neben Allow forward to destination zones nur PP_FW. Klicken Sie danach auf den Button Save & Apply.

Wenn Sie den Firewall-Schutz ("Kill-Switch“) wieder deaktivieren wollen, dann aktivieren Sie neben Allow forward to destination zones: zu PP_FW zusätzlich WAN und WAN6.

Sie können dann prüfen, dass die VPN-Verbindung korrekt funktioniert, indem Sie auf einem beliebigen über den Router angebundenen Gerät unsere Check-IP-Webseite aufrufen.