VPN-Server mit NAT hinter einem OpenWrt-Router betreiben
Auch wenn es nicht empfehlenswert ist, ist es gerade im kleinen Firmennetzwerk oder Heimnetzwerk oft nicht anderes möglich, als auch den VPN-Server hinter einer Firewall mit NAT zu betreiben. Einige kleine Kniffe und Portforwardings erledigen unter OpenWrt diese Aufgabe ganz souverän.
PPTP
Um einen PPTP-Server hinter einer NAT-Firewall zu betreiben, installieren Sie zunächst das Paket kmod-nf-nathelper-extra am Router.
opkg install kmod-nf-nathelper-extra
Fügen Sie nun zur Firewall ein Port-Forwarding für den Port 1723 (TCP) auf Ihren VPN-Server (im Beispiel mit der IP 192.168.1.1) hinzu und ergänzen Sie die folgenden Firewall-Regeln im Skript firewall.users:
iptables -t nat -A zone_wan_prerouting -p gre -j DNAT --to 192.168.1.1
iptables -A zone_wan_forward -p gre -d 192.168.1.1 -j ACCEPT
Achtung: Beachten Sie, dass das PPTP-Protokoll bereits als entschlüsselt gilt und damit nicht mehr als abhörsicher einzustufen ist.
L2TP/IPSec
Für das moderne Protokoll L2TP over IPSec sind keine weiteren Kunststücke, außer das Hinzufügen von Port-Forwardings auf die folgenden Ports Ihres VPN-Servers notwendig:
- 500 (UDP)
- 1701 (UDP)
- 4500 (UDP)
