• Läuft auf einem Debian GNU/Linux Server
• Verwendet ausschließlich SIP
• Ist bei den drei Providern Sipgate, QSC sowie dus.net registriert
• Annahme von Anrufen von allen Providern
• ausgehende Anrufe über alle Provider
• einfaches LCR (Least Cost Routing), welches ausgehende Anrufe
  • ins Festnetz in der Nebenzeit über QSC,
  • ins Festnetz in der Hauptzeit über dus.net und
  • alle anderen Anrufe über sipgate leitet.
• Direkte Wahl eines Anbieters über eine führende Ziffer
  • 3 für dus.net
  • 4 für QSC IPfonie
  • 7 für Sipgate

;
; SIP Configuration for Asterisk
;
; Syntax for specifying a SIP device in extensions.conf is
; SIP/devicename where devicename is defined in a section below.
;
; You may also use
; SIP/username@domain to call any SIP user on the Internet
; (Don't forget to enable DNS SRV records if you want to use this)
;
; If you define a SIP proxy as a peer below, you may call
; SIP/proxyhostname/user or SIP/user@proxyhostname
; where the proxyhostname is defined in a section below
;
; Useful CLI commands to check peers/users:
;   sip show peers              Show all SIP peers (including friends)
;   sip show users              Show all SIP users (including friends)
;   sip show registry           Show status of hosts we register with
;
;   sip debug                   Show all SIP messages
;
;   reload chan_sip.so          Reload configuration file
;                               Active SIP peers will not be reconfigured
;

[general]
context=from-sip                ; Default context for incoming calls

;recordhistory=yes              ; Record SIP history by default (see sip history / sip no history)
;realm=qsc.de                   ; Realm for digest authentication
                                ; defaults to "asterisk"
                                ; Realms MUST be globally unique according to RFC 3261
                                ; Set this to your host name or domain name
port=5060                       ; UDP Port to bind to (SIP standard port is 5060)
bindaddr=0.0.0.0                ; IP address to bind to (0.0.0.0 binds to all)
srvlookup=yes                   ; Enable DNS SRV lookups on outbound calls
                                ; Note: Asterisk only uses the first host
                                ; in SRV records
                                ; Disabling DNS SRV lookups disables the
                                ; ability to place SIP calls based on domain
                                ; names to some other SIP users on the Internet
;pedantic=yes                   ; Enable slow, pedantic checking for Pingtel
                                ; and multiline formatted headers for strict
                                ; SIP compatibility (defaults to "no")
;tos=184                        ; Set IP QoS to either a keyword or numeric val
;tos=lowdelay                   ; lowdelay,throughput,reliability,mincost,none
;maxexpirey=3600                ; Max length of incoming registration we allow
;defaultexpirey=120             ; Default length of incoming/outoing registration
;notifymimetype=text/plain      ; Allow overriding of mime type in MWI NOTIFY
;videosupport=yes               ; Turn on support for SIP video

disallow=all                    ; First disallow all codecs
; use "show translation" for installed codecs
;allow=gsm
;allow=g726
;allow=adpcm
;allow=slin
;allow=lpc10
allow=alaw
allow=ulaw                      ; Allow codecs in order of preference
;allow=ilbc                     ; Note: codec order is respected only in [general]
;musicclass=default             ; Sets the default music on hold class for all SIP calls
                                ; This may also be set for individual users/peers
;language=en                    ; Default language setting for all users/peers
                                ; This may also be set for individual users/peers
;relaxdtmf=yes                  ; Relax dtmf handling
;rtptimeout=60                  ; Terminate call if 60 seconds of no RTP activity
                                ; when we're not on hold
;rtpholdtimeout=300             ; Terminate call if 300 seconds of no RTP activity
                                ; when we're on hold (must be > rtptimeout)
;trustrpid = no                 ; If Remote-Party-ID should be trusted
;progressinband=no              ; If we should generate in-band ringing always
useragent=Asterisk 1.2          ; Allows you to change the user agent string
nat=yes                         ; NAT settings
                                ; yes = Always ignore info and assume NAT
                                ; no = Use NAT mode only according to RFC3581
                                ; never = Never attempt NAT mode or RFC3581 support
                                ; route = Assume NAT, don't send rport (work around more UNIDEN bugs)
;promiscredir = no      ; If yes, allows 302 or REDIR to non-local SIP address
;                       ; Note that promiscredir when redirects are made to the
;                       ; local system will cause loops since SIP is incapable
;                       ; of performing a "hairpin" call.
;
; Examples:
;externip = 83.236.156.2        ; Address that we're going to put in outbound SIP messages
                                ; if we're behind a NAT

                                ; The externip and localnet is used
                                ; when registering and communicating with other proxies
                                ; that we're registered with
                                ; You may add multiple local networks.  A reasonable set of defaults
                                ; are:
;localnet=10.0.0.10
;localnet=192.168.0.0/255.255.0.0; All RFC 1918 addresses are local networks
;localnet=10.0.0.0/255.255.255.0        ; Also RFC1918
;localnet=172.16.0.0/12         ; Another RFC1918 with CIDR notation


register => 030123456789:MYPASSWD@sip.qsc.de/030123456789       ; Register 030123456789 @ QSC
register => SIP-ID:SIP-PWD@sipgate.de/SIP-ID                 ; Register SIP-ID @ sipgate
register => Auth-ID:Kennwort@voip.dus.net/Auth-ID     ; Register AuthID @ dus.net


; ##### SIP PROVIDERS #####
[qsc]
type=peer
context=qsc-incoming
insecure=very
username=030123456789
secret=MYPASSWD
fromuser=030123456789
host=sip.qsc.de
dtmfmode=rfc2833
canredirect=no


[sipgate]
type=peer
context=sip-incoming
insecure=very
username=SIP-ID
secret=SIP-PWD
fromuser=SIP-ID
fromdomain=sipgate.de
host=sipgate.de
qualify=no
dtmfmode=info
canredirect=no


[dus]
type=peer
context=dus-incoming
insecure=very
username=Auth-ID
secret=Kennwort
fromuser=Auth-ID
host=proxy.dus.net
dtmfmode=rfc2833
canredirect=no
language=de


; ##### SIP CLIENTS #####
[client01]
; ~~~ Grandstream Budge-Tone 101 ~~~
type=friend
context=intern-client01
username=client01
secret=password01
host=dynamic
dtmfmode=info


[client02]
type=friend
context=intern-client02
username=client02
secret=password02
host=dynamic
dtmfmode=info

;
; The "General" category is for certain variables.  All other categories
; are interpreted as extension contexts
;
[general]

static=yes
writeprotect=no
autofallthrough=yes
;clearglobalvars=no
;priorityjumping=no

;
[globals]

USERNAME=cypressor                  ; display name for  caller ID in outgoing calls

QSCUSERID=030123456789                          ; caller ID number for QSC calls
QSCPREFIX=4                                     ; 4-GHI (Ipfonie)
DUSUSERID=Auth-ID                               ; caller ID number for dus.net calls
DUSPREFIX=3                                     ; 3-DEF (Dus.net)
SIPUSERID=SIP-ID                                ; caller ID number for sipgate calls
SIPPREFIX=7                                     ; 7-PQRS (Sipgate)

DEFAULTCONTEXT=sipgate-out                      ; default outgoing context for all calls
                                                ; that could not be routed

PHONE1=SIP/client01                             ; identification of phone no. 1
PHONE1NAME=(local) Grandstream BT101            ; display name, will be set if phone does not provide a name itself
PHONE1NUMBER=101                                ; extension number of phone no. 1

PHONE2=SIP/client02
PHONE2NAME=(local) Phone 2
PHONE2NUMBER=102



; #############################################
; #####  CALLS MADE FROM INTERNAL PHONES  #####
[intern-client01]
exten => _X.,1,NoOp(${CALLERID})
exten => _X.,2,GotoIf($["${CALLERIDNAME}" != ""]?3:5)
exten => _X.,3,SetCallerID("${CALLERIDNAME}" <${PHONE1NUMBER}>)
exten => _X.,4,Goto(6)
exten => _X.,5,SetCallerID("${PHONE1NAME}" <${PHONE1NUMBER}>)
exten => _X.,6,Goto(intern,${EXTEN},1)
include => intern

[intern-client02]
exten => _X.,1,NoOp(${CALLERID})
exten => _X.,2,GotoIf($["${CALLERIDNAME}" != ""]?3:5)
exten => _X.,3,SetCallerID("${CALLERIDNAME}" <${PHONE2NUMBER}>)
exten => _X.,4,Goto(6)
exten => _X.,5,SetCallerID("${PHONE2NAME}" <${PHONE2NUMBER}>)
exten => _X.,6,Goto(intern,${EXTEN},1)
include => intern

[intern]
; check with exceptions
include => out-exceptions
; try to route calls with available providers
include => out-route
; unrouteable extension, try default
include => default-out
; no outgoing extension available, try local
include => local
; nothing found yet? playback error
exten => i,1,Playback(invalid)
exten => i,2,Hangup



; #############################################
; ##### CALLS GOING OUT TO SIP-PROVIDERS  #####
[out-exceptions]
; exceptional extensions for outgoing calls
; especially numbers not beginning with 0 to prevent them
; from being routed to another (not-default) provider
include => out-mailbox
exten => 110,1,GoSub(sipgate-out,${EXTEN},1)

[out-mailbox]
; external mailboxes
; sipgate
exten => 50000,1,GoSub(sipgate-out,${EXTEN},1)

[out-route]
; route outgoing (external) calls to provider
; use the first number 2-9 to choose provider
; try numbers beginning with 1 in local context
exten => _1.,1,GoSub(local,${EXTEN},1)
exten => _${DUSPREFIX}.,1,GoSub(dus-out,${EXTEN:1},1)
exten => _${QSCPREFIX}.,1,GoSub(qsc-out,${EXTEN:1},1)
exten => _${SIPPREFIX}.,1,GoSub(sipgate-out,${EXTEN:1},1)
; weekend, always Off-Peak
exten => _0[2-9]X.,1,GoSubIf($["${IFTIME(*|sat-sun|*|*?true)}" != ""]?qsc-out,${EXTEN},1)
 ; mo-fr, Off-Peak is 18-9h
exten => _0[2-9]X.,2,GoSubIf($["${IFTIME(18:00-8:50|mon-fri|*|*?true)}" != ""]?qsc-out,${EXTEN},1)
; On-Peak, use dus.net
exten => _0[2-9]X.,3,GoSub(dus-out,${EXTEN},1)
; 01802/01804 not supported by sipgate
exten => _0180[2,4].,1,GoSub(dus-out,${EXTEN},1)

[default-out]
; include default for outgoing calls
include => ${DEFAULTCONTEXT}

[qsc-out]
exten => _X.,1,SetCallerID("${USERNAME}" <${QSCUSERID}>|a)
exten => _X.,2,Dial(SIP/${EXTEN}@qsc,90,tr)
exten => _X.,3,Hangup
; Return
exten => i,1,Return

[dus-out]
exten => _X.,1,SetCallerID("${USERNAME}" <${DUSUSERID}>)
exten => _X.,2,Dial(SIP/${EXTEN}@dus,60)
exten => _X.,3,Hangup
; Return
exten => i,1,Return

[sipgate-out]
exten => _X.,1,SetCallerID("${USERNAME}" <${SIPUSERID}>)
exten => _X.,2,Dial(SIP/${EXTEN}@sipgate,30,trg)
exten => _X.,3,Hangup
; Return
exten => i,1,Return


; #############################################
; ##### LOCAL CALLS TO OTHER PHONES #####
[local]
; Phone 1
exten => ${PHONE1NUMBER},1,Dial(${PHONE1},60)
exten => ${PHONE1NUMBER},2,Hangup
; Phone 2
exten => ${PHONE2NUMBER},1,Dial(${PHONE2},60)
exten => ${PHONE2NUMBER},2,Hangup
; Return
exten => i,1,Return

; #############################################
; ##### INCOMING CALLS ON ASTERISK #####
[from-sip]
exten => s,1,NoOp(Incoming asterisk call\, no extension)
exten => s,2,NoOp(Setting pseudo extension 00 to call)
exten => s,3,NoOp(${STRFTIME(,,%H)})
exten => s,4,GoTo(00,1)
include => ring-all


; #############################################
; ##### INCOMING CALLS FROM SIP-PROVIDERS #####
[qsc-incoming]
include => ring-all

[sip-incoming]
include => ring-all

[dus-incoming]
include => ring-all


; #############################################
; ##### CALLS TO ALL PHONES #####
[ring-all]
exten => _X.,1,NoOp(Call on line ${EXTEN} from ${CALLERID}.)
exten => _X.,2,DIAL(${PHONE1}&${PHONE2}, 90)
exten => _X.,3,Hangup

NoOp		macht nichts
Hangup		legt auf, beendet also die Verbindung bzw weist einen Anruf ab
Dial		wählt einen anderen Anschluss an
Goto		springt zu einem Ziel
GoSub		geht in eine Unterroutine
Return		kehrt aus einer Unterroutine zurück
GotoIf		springt zu einem Ziel, wenn die Bedingung erfüllt ist
GoSubIf		geht in die Unterroutine, wenn die Bedingung erfüllt ist
SetCallerID	setzt Displayname und Nummer des Anrufers

• X Eine Zahl zwischen 0 und 9
• N Eine Zahl zwischen 2 und 9
• Z Eine Zahl zwischen 1 und 9
• . beliebig viele Zeichen und Zahlen
• [125-8] Eine Zahl aus 1,2,5,6,7,8

[intern-client01]
exten => _X.,1,NoOp(${CALLERID})
exten => _X.,2,GotoIf($["${CALLERIDNAME}" != ""]?3:5)
exten => _X.,3,SetCallerID("${CALLERIDNAME}" <${PHONE1NUMBER}>)
exten => _X.,4,Goto(6)
exten => _X.,5,SetCallerID("${PHONE1NAME}" <${PHONE1NUMBER}>)
exten => _X.,6,Goto(intern,${EXTEN},1)
include => intern

[intern]
; check with exceptions
include => out-exceptions
; try to route calls with available providers
include => out-route
; unrouteable extension, try default
include => default-out
; no outgoing extension available, try local
include => local
; nothing found yet? playback error
exten => i,1,Playback(invalid)
exten => i,2,Hangup

[out-route]
; route outgoing (external) calls to provider
; use the first number 2-9 to choose provider
; try numbers beginning with 1 in local context
exten => _1.,1,GoSub(local,${EXTEN},1)
exten => _${DUSPREFIX}.,1,GoSub(dus-out,${EXTEN:1},1)
exten => _${QSCPREFIX}.,1,GoSub(qsc-out,${EXTEN:1},1)
exten => _${SIPPREFIX}.,1,GoSub(sipgate-out,${EXTEN:1},1)
; weekend, always Off-Peak
exten => _0[2-9]X.,1,GoSubIf($["${IFTIME(*|sat-sun|*|*?true)}" != ""]?qsc-out,${EXTEN},1)
 ; mo-fr, Off-Peak is 18-9h
exten => _0[2-9]X.,2,GoSubIf($["${IFTIME(18:00-8:50|mon-fri|*|*?true)}" != ""]?qsc-out,${EXTEN},1)
; On-Peak, use dus.net
exten => _0[2-9]X.,3,GoSub(dus-out,${EXTEN},1)
; 01802/01804 not supported by sipgate
exten => _0180[2,4].,1,GoSub(dus-out,${EXTEN},1)

; weekend, always Off-Peak
exten => _0[2-9]X.,1,GoSubIf($["${IFTIME(*|sat-sun|*|*?true)}" != ""]?qsc-out,${EXTEN},1)

; On-Peak, use dus.net
exten => _0[2-9]X.,3,GoSub(dus-out,${EXTEN},1)

[dus-out]
exten => _X.,1,SetCallerID("${USERNAME}" <${DUSUSERID}>)
exten => _X.,2,Dial(SIP/${EXTEN}@dus,60)
exten => _X.,3,Hangup
; Return
exten => i,1,Return

Teil 1: Pinnen

Teil 2: Software installieren

Teil 3: Asterisk compilieren

Teil 4: Startupscript anlegen

#!/bin/sh -e
#
# asterisk              This init.d script is used to start asterisk.
#                       It basically just calls asterisk.

ENV="env -i LANG=C PATH=/usr/local/bin:/usr/bin:/bin"


set -e
if [ -x /usr/sbin/asterisk ] ; then
        HAVE_ASTERISK=1
else
        exit 0
fi

ASTERISK="$ENV /usr/sbin/asterisk"
PIDFILE="/var/run/asterisk.pid"

asterisk_start() {
        if [ -e "$PIDFILE" ]
        then
                echo " ... Already running"
                exit 1
        fi

        $ASTERISK
}

asterisk_stop() {
        if [ -e "$PIDFILE" ]
        then
                PID=`cat $PIDFILE 2>/dev/nul`

                $ASTERISK -rx "stop now"

                CNT=0
                while [ 1 ]
                do
                        CNT=$(expr $CNT + 1)

                        [ ! -d /proc/$PID ] && break

                        if [ $CNT -gt 60 ]
                        then
                                echo " ... failed!"
                                echo "Asterisk failed to honor the stop command, please investigate the situation by hand."
                                exit 1
                        fi

                        sleep 1
                done
        else
                echo -n " ... no pidfile found! not running?"
        fi
}

case $1 in
        start)
                echo -n "Starting PBX: Asterisk"
                asterisk_start
                echo "."
        ;;
        stop)
                echo -n "Stopping PBX: Asterisk"
                asterisk_stop
                echo "."
        ;;
        reload)
                echo -n "Reloading PBX config..."
                $ASTERISK -rx "restart gracefully"
                echo "done."
        ;;
        restart | force-reload)
                echo -n "Forcing reload of PBX: Asterisk"
                asterisk_stop
                asterisk_start
                echo "."
        ;;
        *)
                echo "Usage: /etc/init.d/asterisk start|stop|restart|reload|force-reload"
        ;;
esac

Teil 5: Starten und verbinden

1. Schlüssel erstellen

   In einem Verzeichnis der Wahl erstellt man mit
   
   openssl req -new > new.cert.csr
   
   einen privaten Schlüssel und die Zertifikationsanforderung. Der Common Name (CM) muss dabei dem hostname des Servers entsprechen, etwa fs-design.homelinux.org.

2. Passwort entfernen

   Mittels
   
   openssl rsa -in privkey.pem -out new.cert.key
   
   entfernt man aus dem privaten Schlüssel das Passwort.

3. Zertifikat für Schlüssel erstellen

   openssl x509 -in new.cert.csr -out new.cert.crt -req -signkey new.cert.key -days 365
   
   erstellt ein Zertifikat, das 365 Tage, also ein Jahr lang, gültig ist.

4. Zertifikat zum Apache kopieren

   mkdir /etc/apache2/conf/ssl.key
   mkdir /etc/apache2/conf/ssl.crt
   cp new.cert.key /etc/apache2/conf/ssl.key/server.key
   cp new.cert.crt /etc/apache2/conf/ssl.crt/server.crt
   

5. mod_ssl konfigurieren

   Die Datei /etc/apache2/conf/ssl.conf mit dem Editor der Wahl öffnen und die Zeilen mit <IfDefine> und </IfDefine> auskommentieren. Den VirtualHost auf * setzen. Eine leere Datei für den Sessioncache anlegen mit touch /var/log/apache2/ssl_scache.

6. Server neu starten

   Den httpd mit apache2ctl graceful neu starten, nun sollte er unter dem Port 443 SSL-verschlüsselt erreichbar sein.

1. Apache2

   Anleitung laut http://www.php.net/manual/en/install.apache2.php.
   Apache httpd herunterladen und entpacken.
   
   #> cd apache2
   #> ./configure \
   --prefix=/etc/apache2/
   --enable-so
   #> make && make install
   
   In der /etc/apache2/conf/httpd.conf für User und Group einen existierenden Benutzer und dessen Gruppe, zb nobody und nogroup eintragen.

2. PHP4 mit GD-Library

   Freetype 2, und zlib herunterladen, kompilieren und installieren ohne besondere Parameter.
   libpng herunterladen, aus scripts die makefile.linux nach ../makefile kopieren, und mit make && make install kompilieren und installieren.
   jpeg-6b downloaden und mit make kompilieren.
   
   #> mkdir /usr/local/man/man1
   #> cp libjpeg.* /usr/lib/
   #> cp j*.h /usr/local/
   #> make install
   
   GD Graphics Library herunterladen und kompilieren.
   
   #> cp gd.h /usr/local/lib
   #> make install
   
   PHP4 herunterladen und entpacken.
   
   #> ./configure \
   --prefix=/etc/php4 \
   --with-apx2=/etc/apache2/bin/apxs \
   --with-zlib \
   --enable-bcmath \
   --with-bz2 \
   --enable-exif \
   --enable-ftp \
   --with-gd=/usr/local/lib \
   --with-jpeg-dir
   

1. Einleitung

   Parallel zu OpenVPN beschäftigte ich mich auch mit einer anderen VPN-Technik, nachdem mich ein Artikel in der c't 22/05 neugierig gemacht hatte.

2. Server unter Debian Sarge 3.1

   Während VDE zwar im stable-Zweig von Debian enthalten ist, sind es die für die komplette Funktion benötigten Pakete bridge-utils und uml_utilities nicht. Um das System nicht durcheinander zu bringen, indem ich stable und unstable mische, füge ich einen extra Servereintrag in die Datei /etc/apt/sources.list hinzu, der nach der Installation wieder auskommentiert wird. Sämtliche großen Mirrors stehen zur Wahl, momentan läuft aber folgender Eintrag gut:
   
   # unstable mirror
   deb http://ftp.uni-koeln.de/debian/ unstable main
   
   Nach einem apt-get update können nun die benötigten Pakete installiert werden:
   
   #> apt-get install vde bridge-utils uml_utilities
   
   Nun kann der unstable-Mirror in der Serverliste wieder auskommentiert werden, ein apt-get update bringt die Paketliste wieder auf den aktuellen "stable" Stand.
   Im Folgenden wird ein TAP-Device angelegt, und mit einer entsprechenden IP-Adresse hochgefahren.
   
   #> tunctl -t 1
   #> vde_switch -tap tap1 -daemon
   #> ifup tap1 192.168.1.1 up
   

3. Client unter Mac OS X

   Für den Mac verwende ich VDE2, die Quelldateien können von der Projektseite bei Sourceforge heruntergeladen werden. Für die Kompilierung müssen die XCode-Tools mit GCC installiert sein.
   Die Sources werden entpackt, kompiliert und installiert.
   
   #> tar -xjf vde-2.0.2.tar.bz2
   #> cd vde-2.0.2
   #> ./configure
   #> make
   #> sudo make install
   
   Anschließend wird auch unter OS X ein TAP-Device benötig. Da ich im Zuge von OpenVPN tunnelblick installiert hatte, war für mich keine Arbeit mehr nötig. Manuell können die TUN/TAP-Treiber von http://www-user.rhrk.uni-kl.de/~nissler/tuntap/ heruntergeladen werden. Das bei mir vorhandene Device ist tap0.
   
   #> vde_switch --tap tap0 --daemon
   
   Jetzt muss nur noch die Verbindung zum Server hergestellt werden. VDE tunnelt die Ethernetpakete über SSH, prinzipiell ist aber auch telnet möglich. Hier wird also jetzt der virtuelle Netzwerkstecker eingeklickt und anschließend die "Karte" hochgefahren.
   
   #> sudo dpipe vde_plug = ssh <USER>@<SERVER> vde_plug
   #> ifconfig tap0 192.168.1.2 up
   
   Und schon sind die beiden Rechner über das (virtuelle) Netzwerk 192.168.1.0/24 verbunden.

4. Fazit

   Einrichtung geht wirklich problemlos. Allerdings gibt es meines Wissens bisher keine GUI (stört das jemanden?). Riesiger Vorteil gegenüber einem "herkömmlichen" VPN ist natürlich, dass Ethernetpakete getunnelt werden, das also hier wirklich auf der alleruntersten Ebene stattfindet. Da spielt es auch gar keine Rolle, welche Protokolle darauf aufsetzen, laut Autor des c't-Artikels war sogar eine stabile PPPoE-Verbindung zu einem DSL-Modem möglich.
   Einen Geschwindigkeitsvorteil gegenüber OpenVPN konnte ich aber nicht bemerken, zumindest nicht, was Pings oder Websurfen angeht. Und: Von einer offenen TCP/IP-Verbindung zwischen Server und Client sind beide Systeme abhängig!

5. VDE tunneln

   Um die Verbindung zwischen Client und Server herzustellen, benötigt VDE einen Tunnel. Das Einfachste ist sicherlich SSH, da hier auch gleich die sonst nicht vorhandene Verschlüsselung mit eingebaut wird. Damit kommt man natürlich nicht durch jede Firewall, und erst recht nicht durch jeden Proxy! Es gilt also für SSH das Gleiche wie für OpenVPN. Es funktioniert auch genau so.

System

• libswt-carbon-3139.jnilib
• libswt-pi-carbon-3139.jnilib
• libswt-webkit-carbon-3139.jnilib

Eclipse

• org.eclipse.swt_3.1.0.jar
• org.eclipse.swt.carbon.macosx.ppc_3.1.1.jar
• org.eclipse.jface_3.1.1.jar
• org.eclipse.jface.text_3.1.1.jar
• org.eclipse.core.runtime_3.1.1.jar

1. Tunneln per CONNECT

   Etliche Proxyserver erlauben auch Verbindungen zu HTTPS-Servern. Dabei hat der Proxy allerdings keinen Zugriff auf die aufgebaute Verbindung (wir erinnern uns: Verschlüsselung) und leitet die Daten einfach nur durch. Prinzipiell weiß er nicht einmal, dass am Ende eine SSL-Verbindung aufgebaut wurde, denn initial wird lediglich eine unverschlüsselte TCP/IP-Verbindung verwendet.
   Dieser Mechanismus ist im OpenVPN-Client bereits eingebaut und kann einfach in der Konfigurationsdatei eingestellt werden.
   
   http-proxy [proxy server] [proxy port #]
   
   Standardmäßig werden HTTPS-Verbindungen zum Port 443 aufgebaut, und daher beschränken Proxyadministratoren auch gerne das CONNECT-Kommando auf diesen Port. In meinem Falle "sitzt" da zu Hause aber bereits ein Webserver, so dass ich auf diese Methode leider nicht zurückgreifen kann. Mit ein wenig Herumprobieren ließe sich eventuell der Port mittels iptables sharen.

2. HTTPTunnel

   Was aber erlaubt wird, sind unverschlüsselte, les- und cachebare HTTP-Verbindungen. Wer wirklich Pech hat, darf auch diese nur zu einem Port 80 aufbauen und - genau - da sitzt eben oft auch ein Webserver. Glücklicherweise wird der Port 8080 oftmals auch freigeschaltet, und über den lasse ich nun HTTPTunnel laufen. Tipps dazu habe ich aus diesem Artikel.

   1. Setup Server (Debian Sarge 3.1 "stable")

      Nach apt-get install httptunnel wird mit touch /etc/init.d/httptunnelein kleines Startupscript angelegt und mit folgendem Inhalt gefüllt:
      
      #!/bin/bash
      
      # Startup-script für HTTPTunnel
      # Tunnelendpunkt auf Port 8080 wird auf
      # 1194 (OpenVPN-Server) weitergeleitet
      echo Starting HTTPTunnel for OpenVPN
      hts --forward-port localhost:1194 8080
      Automatisch bei Systemstart laden:
      
      chmod +x /etc/init.d/httptunnel
      update-rc.d httptunnel defaults 98
      
      Damit ist der Tunnel eingerichtet, aber zwei Anpassungen für OpenVPN sind in der /etc/openvpn/server.conf noch vorzunehmen:
      
      # HTTP-Tunnelling funktioniert nur mit TCP-Paketen!
      proto tcp
      ;proto udp
      
      # Mit tun funktioniert das NAT-Routing auf dem VPN-Server nicht
      dev tap
      ;dev tun
      Nach einem Neustart sind die Änderungen übernommen:
      
      /etc/init.d/openvpn stop
      /etc/init.d/openvpn start

   2. Setup Client (Max OS X)

      Hier ist ein bisschen mehr Arbeit nötig. Auf jeden Fall müssen die aktuellen XCode-Tools installiert werden, da sonst die GCC nicht vorhanden ist.
      Die Sources müssen heruntergeladen und entpackt werden, aktuell ist 3.0.5. Nun in das Verzeichnis wechseln und mit
      
      ./configure
      make
      sudo make install
      sudo ./install-sh hts /usr/local/bin
      sudo ./install-sh htc /usr/local/bin
      kompilieren und installieren. Der Tunnelclient ist nun einsatzbereit:
      
      htc --forward-port 8080 --proxy <PROXY>[:<PORT>] [--proxy-authorization <USER>:<PASS>] <VPN_HOSTNAME>:8080
      
      Damit auch der VPN-Client über den HTTPTunnel geht, müssen ihm diese Änderungen über die Konfiguration bekannt gemacht werden. In den Utilities mit einem Doppelklick Tunnelblick starten, auf das Icon klicken, Details... auswählen und auf Edit Configuration klicken.
      
      # TAP statt TUN verwenden
      ;dev tun
      dev tap
      
      # HTTP verwendet TCP und nicht UDP
      ;proto udp
      proto tcp
      
      # Tunnel wird lokal geöffnet
      ;remote myserver.dyndns.org 1149
      remote localhost 8080
      Abspeichern und fertig ist.
   Damit lässt sich nun aus fast jedem Netzwerk heraustunneln. Die Pinglaufzeit ist mit rund 60ms akzeptabel, die Geschwindigkeit ist durch das zweifache Tunneln allerdings deutlich herabgesetzt, bei umfangreichen Webseiten dauert das Laden schon mal bis zu 5 Sekunden. Dazu muss ich allerdings sagen, dass mein Homeserver mit 1536/1024 kbps angebunden ist, letztendlich ist der Upstream der Flaschenhals. Wer nur 16 Kbyte (=128kbps) hat, wird auch nicht groß über ISDN-Geschwindigkeit hinauskommen können.
   Bei dem von mir verwendeten Proxy bricht leider die Verbindung nach kurzer Zeit immer wieder ab, eine runde halbe Minute später beendet sich dann auch der HTTPTunnel-Client und muss neu gestartet werden. Eventuell lässt sich dies aber noch über die verschiedenen Parameter (htc --help) optimieren.
   Last but not least fehlt noch ein elegantes (automatisches?) Startupscript für den HTTPTunnel-Client. Wenn ich mal wieder nichts zu tun habe...

1. Server (Debian Sarge 3.1 "stable)

   1. Installation

      Einfacher geht es nicht: apt-get install openvpn.

   2. Schlüssel und Zertifikate

      Hat so funktioniert, wie im offiziellen Quick-HOWTO beschrieben.
      Zuerst müssen die Installationsscripte in das vorgesehende Verzeichnis kopiert werden:
      
      cp -r /usr/share/doc/openvpn/examples/easy-rsa /etc/openvpn/
      Um nicht später bei der Erstellung der Zertifikate alles per Hand mehrfach eingeben zu müssen, werden in der Datei /etc/openvpn/easy-rsa/vars ein paar Variablen gesetzt:
      
      export KEY_COUNTRY=DE
      export KEY_PROVINCE=NA
      export KEY_CITY="<Stadt>"
      export KEY_ORG="<Organisation>"
      export KEY_EMAIL="<Mailadresse>"
      
      Das erste Zertifikat ist das er zertifizierenden Stelle, bei Common-Name ist ein beliebiger Name einzutragen, das Passwort ist nicht zu belegen.
      
      . ./vars; ./clean-all; ./build-ca
      Nun erstellt ./build-key-server server das Serverzertifikat, bei Common-Name ist server einzutragen, alle Nachfragen nach Zertifizierungen sind mit Y zu bejahen.
      
      Für jeden Client, der später zum Server connecten darf, muss nun ebenfalls ein Zertifikat und ein Schlüssel erstellt werden, dabei muss der Common-Name mit dem jeweils angegebenen Clientnamen des Kommandozeilenaufrufs (im Beispiel client1) übereinstimmen.
      
      ./build-key client1
      
      Die Diffie-Hellman-Parameter werden mit ./build-dh erstellt. Die folgende Tabelle zeigt, welche Dateien auf welchem Rechner benötigt werden:
      
      Datei Rechner Zweck
      ca.crt Serv+Cl Root CA Zertifikat
      ca.key Signierung Root CA Schlüssel
      dh{n}.pem Server Diffie Hellman Param.
      server.crt Server Server Zertifikat
      server.key Server Server Schlüssel
      client1.crt Client1 Client1 Zertifikat
      client1.key Client1 Client1 Schlüssel
      Alle Schlüssel (*.key) sind dabei geheim und sollten nicht öffentlich zugänglich sein. Die für den Betrieb von OpenVPN benötigten Dateien server.key, server.crt, ca.crt und dh{n}.pem sind nach /etc/openvpn zu kopieren.

   3. Konfiguration

      Die Vorlagen aus /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz nach /etc/openvpn kopieren und entpacken. Drei Änderungen sind vorzunehmen:
      # Ändert auf Clients den default Gateway auf
      # den VPN-Server um, so dass SÄMTLICHER
      # traffic über das VPN geleitet wird
      # (ausser für das jeweils lokale Netzwerk).
      push "redirect-gateway def1“
      
      # Aktivieren der Kompression, da
      # mehrfaches Tunnel massiv die
      # Geschwindigkeit drückt.
      comp-lzo
      
      # Standardwert ist nobody, doch diese
      # Gruppe existiert auf Debian Sarge nicht
      group nogroup
      Nach einem Neustart des OpenVPN-Servers wird die Konfiguration übernommen:
      
      /etc/init.d/openvpn stop
      /etc/init.d/openvpn start

   4. NAT-Routing

      Jetzt wird zwar sämtlicher Traffic von den Clients auf den Server geleitet, kommt von dort aber nicht mehr weiter. Daher muss hier noch etwas Arbeit geleistet werden, die Langfassung beschrieb T.J. Nelson.
      touch /etc/init.d/iptables.openvpn.sh legt eine neue Datei fürs Routing an. Folgende Zeilen sind in die Datei einzutragen:

      #!/bin/bash
      # get rid of previous iptables entries
      iptables -F
      iptables -F -t nat
      iptables -X
      
      iptables -t nat -A POSTROUTING -o eth0  -j SNAT --to 192.168.0.2
      iptables -A FORWARD  -j ACCEPT
      #iptables -L -t nat     (list all rules)
      
      # activate ip forwarding
      echo 1 > /proc/sys/net/ipv4/ip_forward

      Nun noch einmalig händisch starten
      
      chmod +x /scripts/iptables.ovpn.sh
      /etc/init.d/iptables.openvpn.sh
      und automatisch beim Systemstart ausführen lassen:
      
      update-rc.d iptbl.ovpn defaults 98

2. Client (Max OS X)

   Die Hauptarbeit ist bereits getan, nach wenigen Schritten sollte sich nun der erste Client verbinden lassen. Der fertig geschnürte OpenVPN-Client Tunnelblick muss in der Version 3 heruntergeladen und alle enthaltenen Programme mit Doppelklick auf Tunnelblick-Complete.mpkg installiert werden.
   
   Nachdem die Schlüssel und Zertifkate client1.crt, client1.key und ca.crt (etwa per SCP) vom Server nach /Users/USERNAME/Library/openvpn/ gewandert sind, startet man Tunnelblick mit einem Doppelklick (zu finden unter Utilities). Ein Klick auf das Symbol öffnet das spartanische Menü, Details... öffnet den Log Output, bei dem sich ein Button Edit Configuration findet. Hier sind nur wenige Änderungen vorzunehmen:

   # Serveradresse angeben
   remote HOST PORT
   
   # Zertifikat und Schlüssel
   cert client1.crt
   key client1.key
   
   # Kompression
   comp-lzo

   Abspeichern und ein Klick auf Connect oder openvpn (Disconnected im Menü sollte erfolgreich Zugang zum Server gewähren.

1. System und Software

   • Windows 2000 Professional mit Service Pack 4 Rollup 1
   • Sun Java 2 Standard Edition v.1.4.2.11 SDK
   • Apache Tomcat 4.1.31
   • Chiba Web v.2.0.0 RC1

2. Installation von Java

   Angeblich ist Chiba zwar auch mit Java 2 SE v.5.0 lauffähig, bei mir jedoch machte es damit Probleme. Daher auf jeden Fall die 1.4er Version installieren, und zwar das SDK. Tomcat benötigt zum Kompilieren von Chiba nämlich den javac Compiler. Das Installationsverzeichnis ist egal.

3. Installation von Tomcat

   Laut Chiba-Webseite ist die 4er Version von Tomcat erste Wahl. Der 5.0er wollte bei mir gar nicht laufen, 5.5 erkannte zwar Chiba, lud aber die Beispiele nicht. Angeblich funktioniert Chiba dennoch....
   Das Installationscript von Tomcat 4.1 erkennt den Pfad zum JDK einwandfrei, ich hatte jedoch kein Java 5.0 JDK nebenher installiert, was bei so einer Parallelinstallation dann abläuft, kann ich nicht sagen. Start- und Stopscripte werden automatisch im Startmenü eingerichtet, alternativ lässt sich Tomcat auch als NT-Service installieren.
   [Update] Tomcat 5.5 funktioniert, wenn bei der Installation auf das Verzeichnis der Java 1.4 RE verwiesen wurde und zusätzlich das Kompatibilitätsupdate "compat" installiert wird (einfach extrahieren).

4. Installation von Chiba

   WAR-Datei herunterladen, und nach ${CATALINA.HOME}/webapps kopieren, wobei ${CATALINA.HOME} auf das Rootverzeichnis der Tomcat-Installation weist.
   Zu diesem Zeitpunkt dürfte sich die Indexseite von Chiba bereits über die URL http://127.0.0.1:8080/chiba-web-2.0.0rc1/ aufrufen lassen - der Port ließ sich bei der Tomcat-Installation einstellen. Ein Klick auf eines der Beispielscripte dürfte jedoch gnadenlos in einer von mehreren Exceptions enden:
   
   javax.servlet.ServletException: Servlet execution threw an exception
   javax.xml.transform.TransformerException: javax.xml.transform.TransformerException: java.lang.RuntimeException: dependant file 'C:\Programme\Apache Group\Tomcat 4.1\ui.xsl' does not exist!
   Darum ist jetzt noch der folgende, weniger nachvollziehbare Schritt notwenig.

5. Fehlende Packages installieren

   Das Verzeichnis ${CATALINA.HOME}/common/endorsed in ${CATALINA.HOME}/common/endorsed.bak umbenennen. Von http://www.apache.org/dyn/closer.cgi/xml/xalan-j die Datei xalan-j_2_7_0-bin.zip herunterladen und die vier enthaltenen jar-Dateien nach ${CATALINA.HOME}/common/endorsed extrahieren.

6. Installation überprüfen

   Die URL http://127.0.0.1:8080/chiba-web-2.0.0rc1/ im Browser aufrufen und bei einer der aufgelisteten XHTML-Dateien die Scripted HTML Version anklicken. Jetzt sollte alles prima laufen.