Banana Pi Pro - als AP.

[55F]

Moin,

Wollte mal fragen wie ich am geschicktesten meinen Banana Pi als AP verwerden kann, sprich ich möchte das dieser sich per Wlan zu einem x-beliebigen Router verbindet (WPA_Supplicant, nmtui) und die Verbindung an den vorhandenen LAN Port weiterreicht.

In meiner Vorstellung sieht das in etwa so aus:

Notebook (LAN) <-> Banana Pi Pro (Subnet? Firewall und VPN konfiguration? Später evtl. noch einen kleinen Blog...) <-> Router <-> WWW.

Bisher habe ich lediglich Armbian (Debian/Jessie) eingerichtet. Und ein paar wenige spielerein.
Für mich ist bisher leider gar nicht absehbar wo ich anfangen und aufhören soll auch Sicherheitstechnisch (soll alles über SSH funktionieren) und dann gibt es auch noch andere Dinge die mich interessieren wie pfSense/OPNsense....

Wie ihr seht kein Anfang und kein Ende aber bin für jeden dankbar der eventuell was für mich hat. (vorzugsweise in deutsch)

PS: Wahrscheinlich ziemlich mies geschildert mein Vorhaben aber ich hoffe ihr versteht was ich meine ...

[H4x0r007]

Wollte mal fragen wie ich am geschicktesten meinen Banana Pi als AP verwerden kann, sprich ich möchte das dieser sich per Wlan zu einem x-beliebigen Router verbindet (WPA_Supplicant, nmtui) und die Verbindung an den vorhandenen LAN Port weiterreicht.

Ich gehe mal davon aus, dass du den Banana Pi als WLAN-Client verwenden willst? Dann meinst du wohl Station statt AP :-)

Notebook (LAN) <-> Banana Pi Pro (Subnet? Firewall und VPN konfiguration? Später evtl. noch einen kleinen Blog...) <-> Router <-> WWW.

Dazu würde ich erstmal folgende Überlegungen anstellen:

• Soll IPv6 auch unterstützt werden?
• Willst du ein eigenes IPv4-Netzwerk mit Routing und NAT verwenden, oder reicht eine Bridge (einfachste Möglichkeit)?
• Willst du das Netz komplett abschotten oder sollen Ports durchgereicht werden (z.B. für den Blog)?

Ich weiß nicht, ob ich den Banana Pi dafür "opfern" würde. Diese Anforderungen schreien ein bisschen nach einem günstigen OpenWRT-Router. Der TP-Link WR841 kostet um die 20 EUR und kann mit OpenWRT-Firmware genau solche Geschichten. Gut, den Blog wirst du darauf vermutlich nicht laufen lassen können. So oder so: Es ist ein schönes Bastelprojekt, bei dem man einiges lernen kann.

Jetzt ist nur die Frage: Bei was genau können wir dir helfen?
Zur Softwarewahl: wpa_supplicant hast du ja schon angesprochen. Als Firewall reicht iptables bzw. ufw / firewall-cmd, je nach Distri. Wenn du dich entscheidest, ein eigenes Netzwerk per NAT einzurichten, nimm dnsmasq oder isc-dhcp-server für DHCP.
Die einfachste Mögichkeit ist natürlich, den Banana Pi als WLAN-Station einzurichten und den LAN-Port aufs WLAN-Interface zu bridgen. Dann bekommst du vom nachgelagerten Router die IP-Adressen zugewiesen und musst dich um nichts kümmern.

[55F]

Ich gehe mal davon aus, dass du den Banana Pi als WLAN-Client verwenden willst? Dann meinst du wohl Station

Danke dir erst einmal fürs (die Mühe) antworten und verstehen :b

Dazu würde ich erstmal folgende Überlegungen anstellen:

• Soll IPv6 auch unterstützt werden?
• Willst du ein eigenes IPv4-Netzwerk mit Routing und NAT verwenden, oder reicht eine Bridge (einfachste Möglichkeit)?
• Willst du das Netz komplett abschotten oder sollen Ports durchgereicht werden (z.B. für den Blog)?

IPv6 soll mir fürs erste Schnuppe sein.
Würde Bridge bedeuten das ich ein seperates Subnet besitze?
Portfreigabe ... da war was! (deswegen funktioniert der ssh nur lokal...Danke!)

Ich weiß nicht, ob ich den Banana Pi dafür "opfern" würde. Diese Anforderungen schreien ein bisschen nach einem günstigen OpenWRT-Router. Der TP-Link WR841 kostet um die 20 EUR und kann mit OpenWRT-Firmware genau solche Geschichten. Gut, den Blog wirst du darauf vermutlich nicht laufen lassen können. So oder so: Es ist ein schönes Bastelprojekt, bei dem man einiges lernen kann.

Als opfern würde ich es nicht bezeichnen mir ging es eigentlich viel mehr um die Erfahrungswerte und wie du schon geschrieben hast hätte der Pi dann auch noch Verwendung als Blog (Was es dann noch nötig machen würde mich mit Apache und Chryrp zu beschäftigen ) zudem hat das Teil noch ne SATA Schnittstelle... (sftp? hätte noch zwei andere 2.5' HDDs hier, wegen meines Notebooks). Und durch dich bin ich jetzt darauf gekommen dass das was ich gesucht habe tatsächlich ein NAT zu sein scheint.1! Beim Wikipedia Text lesen ist mir dann das IPSec Protokoll ins Auge gefallen ... was mich wieder an pfSense erinnert hat (OSI 3). Macht iptables dann Geschichten wie pfSense/OPNsense nicht eigentlich überflüssig?

...Und auch iptables scheint ja eine Welt für sich zu sein.

Jetzt ist nur die Frage: Bei was genau können wir dir helfen?

Bei einem Konzept für den Pi? *liebguck* Nein, im ernst mich interessiert das mit routing... Auf jedem Kack Smart-Gerät ist der Hotspot mit 2 Klicks erledigt und ich schaffe es nicht mal die Verbindung von meinem Pi an den LAN Port des Notebooks zu bridgen.

Idealerweise kann ich das Ding am Ende absichern (SSH, sFTP), Firewall, der Bridge auf den LAN Port damit das Notebook auch eine Verbindung zum interwebz bekommt und dann wäre da noch der kleine Apache Server mit dem Blog . (Wie du siehst Konzept steht schon ganz grob. Auch wenn mir das mit dem Blog und dem Port Forwarding Kopfschmerzen bereitet so lange der Pi mobil bleiben soll)

Zur Softwarewahl: wpa_supplicant hast du ja schon angesprochen. Als Firewall reicht iptables bzw. ufw / firewall-cmd, je nach Distri. Wenn du dich entscheidest, ein eigenes Netzwerk per NAT einzurichten, nimm dnsmasq oder isc-dhcp-server für DHCP.

Um solche Dinge ging es mir beim einrichten des Subnetzes/Bridges(/VPNs?) quasi auch.

Die einfachste Mögichkeit ist natürlich, den Banana Pi als WLAN-Station einzurichten und den LAN-Port aufs WLAN-Interface zu bridgen. Dann bekommst du vom nachgelagerten Router die IP-Adressen zugewiesen und musst dich um nichts kümmern.

Wenn ich es mir einfach mache könnte aber wieder nichts (dazu-)lernen. (Würde bedeuten weiterhin stupide Tutorials abzuklopfen statt euch mit meinen Fragen zu belästigen)
Außerdem möchte ich ja von WLAN zum LAN Port bridgen wenn das irgendwie realisierbar ist.

Ich hab bei NAT bisher immer mit NAS assoziert ... nicht mit masquerading.
Weswegen ich vermutlich jetzt zum ersten mal über die Netzwerkadressübersetzung lese.

[H4x0r007]

Hi.

Kurze grundlegende Netzwerkkunde :-)
Grundsätzlich hast du zwei Möglichkeiten:

Bridge
bridge.jpg
Hier hast du kein eigenes Subnetz, sondern hängst deine in das "Hauptnetz". Das ist die einfachste Möglichkeit, weil du dich um keine IP-Adressvergabe und natting kümmern musst. Zugriff von PC1 auf PC2 ist ohne weiteres möglich.

​Routing
routing.jpg
Hier baust du dir dein eigenes Subnetz, musst eigene IP-Adressen vergeben und kannst eigene Firewall-Regeln definieren, dass z.B. ein Zugriff aus dem Hauptnetz in dein Netz nicht möglich ist. Damit kommen einige Probleme:

• Du weißt nicht zwangsläufig, welches Hauptnetz verwendet wird. In diesem Beispiel ist das 192.168.178.0/24, wie es z.B. von Fritzboxen vergeben wird. Wenn du deinen Banana Pi nun in ein anderes Netzwerk hängst, kann es sein, dass das Hauptnetz schon 192.168.1.0/24 vergibt und du dein internes Banana-Pi Netz umkonfigurieren müsstest.
• NAT ist immer böse. Es gibt Protokolle wie z.B. SIP, FTP usw., die IP-Adressen in ihren Paketen verschicken. Bei NAT schreibt der Router (in deinem Fall der Banana Pi) die Absenderadresse eines Pakets um. Damit gehen manche Protokolle kaputt. Einfaches Beispiel: PC2 sendet ein Paket mit Absenderadresse 192.168.1.10 an PC1 192.168.178.2. Der Banana-Pi schreibt die Absenderadresse des Pakets in seine eigene um: Absender: 192.168.178.99, Ziel: 192.168.178.2. Antwortpakete müssen dann wieder entsprechend umgeschrieben werden. Abhilfe schafft hier IPv6.
• Ohne Weiteres ist ein Zugriff von PC1 auf PC2 nicht möglich. Der Router leitet alle Pakete, die nicht an sein eigenes Netzwerk 192.168.178.0/24 gehen, ans Internet weiter. Dort gibt es die Adresse von PC2 192.168.1.10 aber nicht. Im Router muss also eine statische Route eingerichtet werden, die sagt: Leite alle Pakete, die an das Subnetz 192.168.1.0/24 gehen sollen an den Banana Pi auf 192.168.178.99 weiter.

Wenn du auf dem Banana Pi einen Dienst laufen lassen möchtest, der im Hauptnetz 192.168.178.0/24 erreichbar ist, genügt es, den Daemon auf das WLAN-Interface zu binden.
---

Mit pfSense habe ich bisher noch nicht gearbeitet. Momentan sehe ich es als eine Art GUI für iptables (bzw. das Pendant dazu von FreeBSD). iptables ist das grundlegende Firewall-Verwaltungstool für den Linux Kernel. Alle anderen Firewall-Programme für Linux verwenden im Hintergrund iptables.


Schreibe einfach nochmal, wenn du Fragen hast. Diese (theoretischen) Vorüberlegungen sind wichtig, um das Netzwerk später konfigurieren zu können.