約 2,848,753 件
https://w.atwiki.jp/ddwrt/pages/30.html
WHR-300HP2へのDD-WRT導入方法 導入方法は、TFTPを使って書き込むのと、純正WebGUIから書き込む方法があります。 TFTPを使って書き込む 【用意するもの】 TFTPサーバー「3cdaemon」 WHR-300HP2用ファームウェア http //download1.dd-wrt.com/dd-wrtv2/downloads/betas/2017/12-29-2017-r34311/buffalo_whr_300hp2/firmware.uimage まず、3cdaemonを起動します。TFTPのルートディレクトリは、ダウンロードしたファームウェアがある場所にします。 firmware.uimageはfirmware_WHR-300HP2.ramに名前を変更します。変更しないと起動しません。 PCのIPアドレスは192.168.11.168に設定します。 いよいよインストールします。 AOSSボタンを押しながら、電源を入れます。 5秒ほど押しっぱなしにしたら指を離します。 その直後、4秒ほどで転送が始まります。3cdaemonの方にログが増えるはずです。 約5分後、ルーターのLEDランプの Wi-Fiランプ、インターネットランプが点灯したら起動に成功しています。 また、この方法を使って純正ファームウェアに戻すこともできます。 純正WebGUIから書き込む 【用意するもの】 Web管理画面にアクセスできるPCやスマホ、タブレット WHR-300HP2用ファームウェア http //download1.dd-wrt.com/dd-wrtv2/downloads/betas/2017/12-29-2017-r34311/buffalo_whr_300hp2/firmware-jp.bin 最初にファームウェアをダウンロードしておきます。 ダウンロードしたら、Web管理画面にアクセスして、ファームウェア更新のところへ行きます。 ファイル選択で、ダウンロードしたファームウェアを選び、更新開始します。 3分くらいで書き換えが終わり、ルーターのLEDランプの Wi-Fiランプ、インターネットランプが点灯したら起動に成功しています。 シリアル通信で書き込む 残念ながら、WHR-300HP2は分解されにくい設計になっているので、無理です。
https://w.atwiki.jp/ddwrt_openwrt/pages/58.html
L2TP/IPsec(racoon + xl2tpd + pppd) 前提条件 動的グローバルIPでDDNSを利用 IPsecの認証は事前共有鍵方式 NAT-Tのみ対応 L2接続(VPN接続後はOpenWRTと同一セグメント) GUIに影響が出ないようする OpenWRTのLAN側IPは192.168.1.1/24 動作確認環境 BHR-4GRV(OpenWRT 14.07) iPhone 3GS(iOS 6.1.6) Windows 7 SP1(x64) 参考 https //forum.openwrt.org/viewtopic.php?id=30982 http //www.neko6.tk/archives/1263 http //wiki.openwrt.org/inbox/openswanxl2tpvpn https //code.google.com/p/debian-for-alix/wiki/L2TPIPSecVPN パッケージのインストール パッケージをインストールする 依存で必要なパッケージもインストールされる # opkg update # opkg install ipsec-tools # opkg install xl2tpd # opkg install kmod-ipsec4 (IPv6の場合は代わりにkmod-ipsec6が必要と思われる) DDNSの設定 crontabへDDNSの更新設定の登録 例えば、URLをリクエストしたIPでDNSを更新するサービスの場合で、1時間に1回更新する場合 */60 * * * * wget -O - DDNSサーバの設定URL /dev/null 2 1 IPsec(racoon)の設定 /etc/ipsec.confを作成する # cat /etc/ipsec.conf flush; spdflush; spdadd 0.0.0.0/0 192.168.1.1[l2tp] udp -P in ipsec esp/transport//require; spdadd 192.168.1.1[l2tp] 0.0.0.0/0 udp -P out ipsec esp/transport//require; # 事前共有鍵の設定 # cat /etc/racoon/psk.txt *事前共有鍵の文字列 # /etc/racoon.confの設定 /etc/racoon.confのremote anonymousとsainfoを変更する 「https //forum.openwrt.org/viewtopic.php?id=30982」の設定値でも大丈夫 remote anonymous { exchange_mode aggressive,main; doi ipsec_doi; situation identity_only; generate_policy on; proposal_check obey; nat_traversal on; dpd_delay 20; support_proxy on; ike_frag on; passive on; lifetime time 2 min; proposal { encryption_algorithm aes; hash_algorithm sha256; authentication_method pre_shared_key; dh_group 2; } proposal { encryption_algorithm aes; hash_algorithm sha1; authentication_method pre_shared_key; dh_group 2; } proposal { encryption_algorithm 3des; hash_algorithm sha256; authentication_method pre_shared_key; dh_group 2; } proposal { encryption_algorithm 3des; hash_algorithm sha1; authentication_method pre_shared_key; dh_group 2; } } sainfo anonymous { lifetime time 30 minutes; encryption_algorithm aes, rijndael, 3des; authentication_algorithm hmac_sha1; compression_algorithm deflate; pfs_group 2; } xl2tpdの設定 /etc/xl2tpd/xl2tpd.confの設定をする ip rangeはDHCPサーバのIP配布レンジを避けること local ipに192.168.1.1を設定しないこと なお、接続台数が多い場合はip rangeのレンジを広げる # cat /etc/xl2tpd/xl2tpd.conf [global] ipsec saref = yes listen-addr = 192.168.1.1 [lns default] ip range = 192.168.1.3-192.168.5 local ip = 192.168.1.2 length bit = yes pppoptfile = /etc/ppp/options.xl2tpd # pppdの設定 /etc/ppp/options.xl2tpdを設定する mschap-v2を利用しているがIPsecで暗号化されているのでpapでも問題ない # cat /etc/ppp/options.xl2tpd auth name l2tp refuse-pap refuse-chap refuse-mschap require-mschap-v2 ms-dns 192.168.1.1 netmask 255.255.255.0 proxyarp nodefaultroute lock deflate 15,15 bsdcomp 15,15 vj-max-slots 16 mtu 1350 mru 1350 #logfile /var/log/xl2tpd.log # /etc/ppp/chap-secretsを設定する # cat /etc/ppp/chap-secrets ユーザー名l2tpパスワード* # F/Wの設定 /etc/firewall.userへのルール追加 GUIでPort Foward設定すると、DNATでなくREDIRECTになるのでfirewall.userで設定する iptables -t nat -A zone_wan_prerouting -p udp -d 0.0.0.0/0 --dport 4500 -j DNAT --to-destination 192.168.1.1 4500 -m comment --comment "Allow-IPsec-IKE" iptables -t nat -A zone_wan_prerouting -p udp -d 0.0.0.0/0 --dport 500 -j DNAT --to-destination 192.168.1.1 500 -m comment --comment "Allow-IPsec-NAT-T" firewall.userのreloadを有効化 これをしないとF/Wの再起動時にfirewall.userが読み込まれない /etc/config/frewallの「option reload 1 」を追記する config include option path /etc/firewall.user option reload 1 - この行を追記する F/Wの穴あけ firewall.userのDNATと合わせて、500と4500がオープンする 1701はDNATされていないのでWAN側は閉じたままになる /etc/config/frewallに追記 config rule option target ACCEPT option src wan option proto udp option dest_port 4500 option name Allow-IPsec-NAT-T option dest_ip 192.168.1.1 config rule option target ACCEPT option src wan option proto udp option dest_port 500 option name Allow-IPsec-IKE option dest_ip 192.168.1.1 config rule option target ACCEPT option src wan option proto udp option dest_port 1701 option name Allow-L2TP option dest_ip 192.168.1.1 VPNセグメントの作成 VPN接続時にpppインターフェイスのzoneをlanに入れるため、ダミーのインターフェイス(ppp+)を作成する 但し、インターフェイス名がppp+なので各インターフェイスの正確なパケット数などはカウントされない ppp0、ppp1のように複数作成すれば、パケットなどをカウントできるようになる(が、面倒だと思う) /etc/config/networkに以下を追記 config interface VPN option proto none option ifname ppp+ VPNセグメントをlan zoneに入れる /etc/config/firewallのzone lanのnetworkにVPNを追加する config zone option name lan option input ACCEPT option output ACCEPT option forward ACCEPT option family ipv4 option network lan VPN - この行にVPNを追加する サービスの有効化 # /etc/init.d/racoon enable # /etc/init.d/xl2tpd enable # reboot クライアントから接続する 各クライアントL2TP/IPsecを設定する。 Windowsクライアントの場合は、割り当てるIPによってネットワークセグメントが強制的に決められる。 10.0.0.0/8内で適当な10.*.*.*/24で割り当てると、10.0.0.0/8でルーティングが切られる。
https://w.atwiki.jp/pirochan/pages/12.html
pirocha@wikiへようこそ さて、FONを買ってdd-wrt化しました。 やり方をまとめておきます。 まず、telnetで、Redbootにログインします。
https://w.atwiki.jp/ddwrt/pages/14.html
注意 DD-WRTはあなたのルーターを破壊する恐れがあります。純正ファームに戻せない機種も存在しますし、戻すためにはバックアップを取っておく必要があるものなどさまざまで、相応の知識を必要とします。(全部自己責任です。転んでも泣かない。) DD-WRT化手順 ダウンロード先DD-WRTルーターデーターベース 方法もさまざまなものがあります。出来る方法は機種によって異なります。 1.WebUIからのインストール 各種モデルに用意されているfirmware-jp.binを、純正Web GUIから書き込むことができます。 最もやりやすい。 失敗したら2or3をやるしかない。 2.tftpでのインストール dd-wrt標準配布ファームウェアから、バイナリエディタでヘッダ部分34byteを削除する(削除後は27 05 19 56で始まるファイルになる）ことにより、tftpでファームを焼くことができます。 失敗してもやり直せる。 万が一OS領域が壊れてブリック化しても、保護されたU-BOOT領域が生存しており、U-BOOT形式のファームイメージがあれば、復活させることが可能です。 3.殻割りしてシリアルポートからインストール シリアルラインからファームを書き込んだり、LAN接続時にはtftp（サーバー・クライアントモード）によってファームを書き込んだりできます。 tftpサーバーモードのアップロードタイミングがコンソール上に表示されるため、tftpによるROM焼きもより簡単になります。 U-BOOT環境変数をいじったり、一時的にメモリに書き込んで起動したり、デバッグを行ったりさまざまなことが出来る。 分解にはトルクスドライバーなど特殊ドライバーが必要なことが多い。 万が一OS領域が壊れてブリック化しても、保護されたU-BOOT領域が生存しており、U-BOOT形式のファームイメージがあれば、復活させることが可能です。
https://w.atwiki.jp/ddwrt_openwrt/pages/32.html
長くなったのでページを分割しました。 OpenWRTでIPSec VPN(6)『CAの構築と証明書の作成』で作成した各種証明書等をインストールします。 証明書のOpenWrtルータへのインストール ルートCA証明書のインストール プライベートなルートCA証明書「caCert.pem」をルータにコピーします。 root@OpenWrt /tmp/CA# cp caCert.pem /etc/ipsec.d/cacerts/ ipsecの動作のためにルータ自体にルートCA秘密鍵「caKey.pem」を保存する必要はありません。 第3者に勝手に証明書を発行されないように、ルータ上に残さないほうが良いでしょう。 ただし、caKey.pemがないと新たな証明書の発行が出来ませんので、 バックアップしたファイルは厳重に保管してください。 OpenWrtルータの秘密鍵とServer証明書のインストール OpenWRTルータの秘密鍵「serverKey.pem」をコピーします。 root@OpenWrt /tmp/CA# cp serverKey.pem /etc/ipsec.d/private/ 続けてOpenWrtルータの証明書「serverCert.pem」をコピーします。 root@OpenWrt /tmp/CA# cp serverCert.pem /etc/ipsec.d/certs/ 各端末用のClient証明書のインストール root@OpenWrt /tmp/CA# cp iPhoneCert.pem /etc/ipsec.d/certs/ ここまでやってきて気がついた人がいるかもしれませんが、 証明書の発行は必ずしもOpenWrtルータ上で行う必要はありません。 別途Linuxなどで発行してももちろん構いません。（そちらのほうがより適切かもしれません） 証明書の各端末へのインストール 作成した端末用のClient証明書をインストールします。 それぞれのOSによってやり方が異なります。 詳細な方法は各端末のマニュアルを参照してください。 Apple iOS(iPhone/iPad) ルートCA証明書「caCert.pem」とiOS用PKCS#12証明書「iPhoneCert.p12」を使用します。 (本来はiPhoneCert.p12だけでいいのですが、iOSの仕様(bug?)でルートCA証明書を取り出せないようです) メールで送信 手っ取り早くインストールするにはPCにバックアップした 「caCert.pem」と「iPhoneCert.p12」を添付ファイルとしてメールしてしまうことです。 添付ファイルをクリックすると、証明書のインストール画面になります。 ただし、普通のインターネットプロバイダのメール送信(SMTP)は暗号化されていないため、 盗聴(wiresharkなどでパケットキャプチャ)された場合に 証明書が流出するリスクがあることは認識しておきましょう。 gmailの下書き経由で gmailの受信経路はSSLで暗号化されているため比較的安全です。 PC上からWebブラウザでgmailでメールを新規作成→ファイル添付で 「caCert.pem」と「iPhoneCert.p12」を添付した後、 「下書き」として保存します。 iOS端末側からそのgmailアカウントの下書きを参照します。 添付ファイルをクリックすると、証明書のインストール画面になります。 Web経由で いくらgmailが安全と言っても外部のサーバに証明書を置く以上、 流出の可能性が0とはいえません。 よりセキュリティを気にする場合には PC上のIISを有効にするなどして、 自宅LAN内のパーソナルなWebサイトに証明書を置いて、 ダウンロードするようにすると良いでしょう。 手っ取り早く、OpenWrtルータで起動しているuhttpd を使って一時的にdownloadできるようにするには以下のようにします。 # cd /www # ln -sf /tmp/CA/caCert.pem # ln -sf /tmp/CA/iPhoneCert.p12 iPhoneのsafariブラウザから http //OpenWrtルータのIP/caCert.pem を指定すれば、 証明書がダウンロードされて、インストールできるようになります。 Android PKCS#12形式の証明書にはルートCA証明書も含まれているので、ひとつのファイルでOKです。 USB接続 PCとUSB接続して内蔵ストレージの「download」フォルダに 「androidCert.p12」をコピーします。 「設定」メニュー ↓ 「セキュリティ」 ↓ 「認証情報ストレージ」の 「内部ストレージからインストール」を選びます。 Xperia Acro HD(Android 4.0.4)の場合です。 gmail iOSと同様にgmail経由でも良いです。 Windows Vista 作成中 Windows 7 作成中 Windows 8 作成中 MacOS X 作成中
https://w.atwiki.jp/ddwrt_openwrt/pages/17.html
これからOpenWRTでIPSecVPNを行う方法を記述していきますが、仕様を決めておきたいと思います。 目的 外出先から、携帯端末・PCを使って自宅のデスクトップPCにリモートデスクトップ接続して操作できるようにする。 要件 この文書の情報鮮度 2013年9月時点での一般的に使用される機器・OSとし、少なくとも１年程度は運用できることを前提とする。 OpenWRTルータ 読者の入手性を考慮し現時点でも販売中のBuffalo BHR-4GRVと中古市場で安価に入手可能なBuffalo BHR-4RVをターゲットとする。 それぞれ有線専用のルーターのため無線設定についてはこの文書では触れない。 [2014/11/08追記] OpenWRT Barrier Breaker 14.07 + Buffalo WZR-HP-300NH についても追記する。 [追記ここまで] 端末 外出先から使用する端末として以下を想定する。追加ソフトを使用せずできるだけOS標準機能で完結できるようにする。 iPhone/iPad (iOS 6.1) Android (4.0/4.1) Windows8 Windows7 SP1 Windows Vista SP2 MacOS X 10.8 回線（外出先） 以下の回線を使用することを前提とする。 3G回線/LTE回線 スマートフォン経由のテザリング(USB/Bluetooth/WiFi) Fon、各キャリアが提供する公衆無線LAN 回線（自宅） PPPoE方式のFTTH回線を前提とする。 家庭用のため固定したIPアドレスは使用しない。 安全性 数々の脆弱性が指摘されているPPTPは使用しない。 OS標準機能を利用する前提のため、OpenVPNは採用しない。 強固なIPSecを採用するが、漏れた場合に侵入を許してしまう事前共有キー(pre shared key)方式は使用しない。 X.509公開証明書によるクライアント認証を採用する。 利便性 複数の端末でのVPNアクセスが出来るようにする。 節電の為自宅のPCは未使用時にはスタンバイまたは休止状態とし、必要に応じてWoLで起動できるようにする。 自宅のPCはIPアドレス直指定ではなく、ホスト名でアクセスできるようにする。
https://w.atwiki.jp/ddwrt/pages/23.html
US BaffaloサポートサイトではProfessional Firmwareと称するdd-wrtベースのカスタムファームウェアを配布しています。 ファームウェアファイルは暗号化されており、純正ファームのWeb GUIからファームを導入する。 導入のためにはシリアルコンソール接続し、U-BOOTのregion環境変数をUSに変える必要がある。 枯れたバージョンのdd-wrtにAOSSなどの独自機能が追加されている。 オリジナルファームウェアに戻すためには、U-BOOTのregion環境変数をJPに戻す必要がある。
https://w.atwiki.jp/ddwrt_openwrt/pages/29.html
この文書では先にCAの設定を行い、X.509証明書を作成します。 以降の作業は基本的にSSHでのCLI作業となります。 参考情報 この記事を書くにあたって引き続き以下の情報を参考にしています OpenWRTの公式サイトのDocument 『install/configure strongswan for IPhone/IPad』 StrongSwan公式サイトのDocument 『iOS (Apple iPhone, iPad...) and Mac OS X』 ファイル名命名規則 この文書における各種秘密鍵・証明書ファイルの命名ルールは慣例に従い、以下のようにします。 秘密鍵 ....Key.* caKey.pem、serverKey.pemなど 証明書(公開鍵) ....Cert.* caCert.pem、clientCert.p12 など 作業用 *.tmp CA(認証局)の設定 クライアント証明書の発行元となるCAの設定を行います。 といっても、daemonの設定を行うわけではなく、CAの秘密鍵と証明書を作成するだけです。 ファイルをramdisk 上に生成するために /tmp に作業ディレクトリを作成します。 うっかり残したままにしておいて流出のリスクを減らすためです。 このため作業途中で再起動させるとファイルは消え、最初からやり直しになります。 root@OpenWrt /# mkdir /tmp/CA root@OpenWrt /# cd /tmp/CA root@OpenWrt /tmp/CA# (2014/11/02追記ここから) なお、ここからの作業で no files found matching /etc/strongswan.d/charon/*.conf , ignored no files found matching /etc/strongswan.d/*.conf , ignored というエラーが出ても無視してよい模様です。 作成しようとしているファイル(***.pem等)がちゃんと出来ていれば次に進んでください。 (2014/11/02追記ここまで) CAの秘密鍵を作成します。(10～30秒程度かかります) root@OpenWrt /tmp/CA# ipsec pki --gen --outform pem caKey.pem CAの秘密鍵を自己署名してプライベートなルートCA証明書を作成します。 root@OpenWrt /tmp/CA# ipsec pki --self --in caKey.pem --dn "C=JP, O=MyVPN, CN=home.lan" --ca --outform pem caCert.pem これでルートCA証明書『caCert.pem』ができました。 ※これは俗に言う「オレオレ証明書」になりますが、作成者本人がその出所を認識して使う分には問題ありません。 Server証明書(＝ OpenWRTルータの証明書)の作成 OpenWRTルータ用の秘密鍵を生成します(10～30秒程度かかります) root@OpenWrt /tmp/CA# ipsec pki --gen --outform pem serverKey.pem 以下のコマンドで秘密鍵から公開鍵(証明書)を生成します。 root@OpenWrt /tmp/CA# ipsec pki --pub --in serverKey.pem serverCert_not_singed.tmp ※ここではステップをわかりやすくするために一度ファイル化していますが、 後で削除するので参考サイトのようにリダイレクトさせて処理してもOKです。 このままでは電子署名されていないので使用できないので、 この公開鍵をプライベートなルートCA証明書を使って電子署名します。 root@OpenWrt /tmp/CA# ipsec pki --issue --in serverCert_not_singed.tmp --cacert caCert.pem --cakey caKey.pem --dn "C=JP, O=My_OpenWRT_Router , CN=gtx.odwtztk.wig.jp" --flag serverAuth --flag ikeIntermediate --outform pem serverCert.pem ※wikiの関係で2行に分割してます。1回のコマンドで全て入力して実行してください。 未署名の公開鍵は二度と使わないので削除しておきます。 root@OpenWrt /tmp/CA# rm -i /tmp/CA/serverCert_not_singed.tmp DN(識別名)の部分は各自の環境にあわせて修正してください。 ここではあらかじめ『OpenWRTでIPSec VPN(3)『DynamicDNS』』で取得しておいたドメイン名、ホスト名を使っています。 CN=にダイナミックDNSサービスに登録したホスト名＋ドメイン名(FQDN)を記述します。 パラメータ名 意味 意味 設定例 備考 C Country 国名 JP StrongSwanのdefault値はCH、OpenWRTのDocument例ではDEになっています。 O Organization 組織名 My OpenWRT Router SSL用の証明書では会社名などを記載。実質上証明書の説明書きになるので、認識しやすい名称に。 CN Common Name コモンネーム gtx.odwtztk.wig.jp SSL用の証明書ではURLとなるホスト名。IPSec接続先のOpenWRTルータのFQDN名。最も重要で間違うと接続できない。 これで『caCert.pem』で署名済みのOpenWRTルータのServer証明書『serverCert.pem』が出来ました。 Client証明書（＝端末用の証明書)の作成 ここでは端末用の証明書を作成します。 iOS用証明書の作成 最初にiPhone用の秘密鍵を作成します。 root@OpenWrt /tmp/CA# ipsec pki --gen --outform pem iPhoneKey.pem 秘密鍵から公開鍵(証明書)を生成します。 root@OpenWrt /tmp/CA# ipsec pki --pub --in iPhoneKey.pem iPhoneCert_not_singed.tmp プライベートなルートCA証明書を使って電子署名します。 root@OpenWrt /tmp/CA# ipsec pki --issue --in iPhoneCert_not_singed.tmp --cacert caCert.pem --cakey caKey.pem --dn "C=JP, O=My iPhone , CN=My iPhone Client Cert" --outform pem iPhoneCert.pem ※wikiの関係で2行に分割してます。1回のコマンドで全て入力して実行してください。 未署名の公開鍵は二度と使わないので削除しておきます。 root@OpenWrt /tmp/CA# rm -i /tmp/CA/serverCert_not_singed.tmp OpenSSLを使ってca証明書「caCert.pem」、Client秘密鍵「iPhoneKey.pem」、Client証明書「iPhoneCert.pem」の3つをまとめてPKCS#12形式の証明書「iPhoneCert.p12」を作成します。 root@OpenWrt /tmp/CA# openssl pkcs12 -export -inkey iPhoneKey.pem -in iPhoneCert.pem -name "My iPhone Client Cert" -certfile caCert.pem -caname "MyVPN" -out iPhoneCert.p12 ※wikiの関係で2行に分割してます。1回のコマンドで全て入力して実行してください。 Export Passwordの問い合わせがあります。この証明書をiOS端末にインストール(インポート)する時に必要になります。このパスワードは忘れないでください。 Enter Export Password ********* Verifying - Enter Export Password ********* これでiPhone用のクライアント証明書『iPhoneCert.p12』ができました。 Android用証明書の作成 実はiOSの場合とやり方は一緒です。 最初に秘密鍵を作成します。 root@OpenWrt /tmp/CA# ipsec pki --gen --outform pem androidKey.pem 秘密鍵から公開鍵(証明書)を生成し、リダイレクトでプライベートなルートCA証明書を使って電子署名します。 root@OpenWrt /tmp/CA# ipsec pki --pub --in androidKey.pem | ipsec pki --issue --cacert caCert.pem --cakey caKey.pem --dn "C=JP, O=My Android Phone , CN=My Android Client Cert" --outform pem androidCert.pem ※wikiの関係で2行に分割してます。1回のコマンドで全て入力して実行してください。 OpenSSLを使ってandroidCert.pem androidKey.pem caCert.pem をPKCS#12形式の証明書にまとめます。 root@OpenWrt /tmp/CA# openssl pkcs12 -export -inkey androidKey.pem -in androidCert.pem -name "My Android Client Cert" -certfile caCert.pem -caname "MyVPN" -out androidCert.p12 ※wikiの関係で2行に分割してます。1回のコマンドで全て入力して実行してください。 Export Passwordの問い合わせがあります。端末にインストール(インポート)する時に必要になるので忘れないでください。 これでAndroid用のクライアント証明書『androidCert.p12』ができました。 Windows用証明書の作成 実はiOS/Androidの場合とやり方は一緒です。 最初に秘密鍵を作成します。 root@OpenWrt /tmp/CA# ipsec pki --gen --outform pem WindowsKey.pem 秘密鍵から公開鍵(証明書)を生成し、リダイレクトでプライベートなルートCA証明書を使って電子署名します。 root@OpenWrt /tmp/CA# ipsec pki --pub --in WindowsKey.pem | ipsec pki --issue --cacert caCert.pem --cakey caKey.pem --dn "C=JP, O=My Windows PC, CN=My Windows Client Cert" --outform pem WindowsCert.pem ※wikiの関係で2行に分割してます。1回のコマンドで全て入力して実行してください。 OpenSSLを使ってPKCS#12形式の証明書にまとめます。 root@OpenWrt /tmp/CA# openssl pkcs12 -export -inkey WindowsKey.pem -in WindowsCert.pem -name "My Windows Client Cert" -certfile caCert.pem -caname "MyVPN" -out WindowsCert.p12 ※wikiの関係で2行に分割してます。1回のコマンドで全て入力して実行してください。 Export Passwordの問い合わせがあります。端末にインストール(インポート)する時に必要になるので忘れないでください。 これでWindows用のクライアント証明書『WindowsCert.p12』ができました。 MacOS X用証明書の作成 作成中 証明書のバックアップ 証明書が生成できたら、ここで一旦バックアップをとっておきます。 /tmp/CA 以下のファイルをSCPやFTP等を使って作業用PCにコピーし、ファイルは安全なところに保管します。 WindowsではWinSCPが使いやすいと思います。
https://w.atwiki.jp/ddwrt_openwrt/pages/50.html
OpenWrtで IPSec + L2TP VPN/(2)パッケージインストール 必要モジュールインストール opkg install kmod-crypto-aes opkg install kmod-crypto-arc4 opkg install kmod-crypto-authenc opkg install kmod-crypto-cbc opkg install kmod-crypto-core opkg install kmod-crypto-crc32c opkg install kmod-crypto-deflate opkg install kmod-crypto-des opkg install kmod-crypto-ecb opkg install kmod-crypto-fcrypt opkg install kmod-crypto-hash opkg install kmod-crypto-hmac opkg install kmod-crypto-hw-hifn-795x opkg install kmod-crypto-iv opkg install kmod-crypto-manager opkg install kmod-crypto-md4 opkg install kmod-crypto-md5 opkg install kmod-crypto-michael-mic opkg install kmod-crypto-misc opkg install kmod-crypto-null opkg install kmod-crypto-ocf opkg install kmod-crypto-ocf-hifn7751 opkg install kmod-crypto-pcbc opkg install kmod-crypto-pcompress opkg install kmod-crypto-rng opkg install kmod-crypto-sha1 opkg install kmod-crypto-sha256 opkg install kmod-crypto-test opkg install kmod-crypto-user opkg install kmod-crypto-wq opkg install kmod-crypto-xts opkg install kmod-ip6tables opkg install kmod-ipsec opkg install kmod-ipsec4 opkg install kmod-ipsec6 opkg install kmod-ipt-conntrack opkg install kmod-ipt-core opkg install kmod-ipt-extra opkg install kmod-ipt-ipsec opkg install kmod-ipt-ipset opkg install kmod-ipt-nat opkg install kmod-ipt-nathelper opkg install kmod-iptunnel4 opkg install kmod-iptunnel6 opkg install kmod-ipv6 opkg install kmod-ledtrig-usbdev opkg install kmod-lib-crc-ccitt opkg install kmod-lib-zlib opkg install kmod-mac80211 opkg install kmod-nfnetlink ※kmod failed to insert～ というエラーが出ても無視してください Firewallとインターフェース設定 /etc/config/network に以下追記 #L2TP config interface vpn0 option ifname ppp0 option proto none option auto 1 config interface vpn1 option ifname ppp1 option proto none option auto 1 config interface vpn2 option ifname ppp2 option proto none option auto 1 config interface vpn3 option ifname ppp3 option proto none option auto 1 /etc/config/firewall に以下追記 #config IPSec config rule option name Allow-ESP option src wan option proto esp option target ACCEPT config rule option name Allow-IKE option src wan option proto udp option dest_port 500 option target ACCEPT config rule option name Allow-IKE(NAT-T) option src wan option proto udp option dest_port 4500 option target ACCEPT config rule option name Allow-AH option src wan option proto ah option target ACCEPT config rule option name L2TP option target ACCEPT option src wan option proto udp option dest_port 1701 config zone option name vpn option network vpn0 vpn1 vpn2 vpn3 option conntrack 1 option input ACCEPT option output ACCEPT option forward REJECT config forwarding option src vpn option dest lan config forwarding option src lan option dest vpn config forwarding option src vpn option dest wan /etc/firewall.user に以下追記 iptables -I INPUT -m policy --dir in --pol ipsec --proto esp -j ACCEPT iptables -I FORWARD -m policy --dir in --pol ipsec --proto esp -j ACCEPT iptables -I FORWARD -m policy --dir out --pol ipsec --proto esp -j ACCEPT iptables -I OUTPUT -m policy --dir out --pol ipsec --proto esp -j ACCEPT ここまで、およびこれからの設定ファイルについて、いずれも最終行で改行しておくこと。 ここまででルータ再起動 ルータ再起動後 opkg update opkg install strongswan-full opkg install ipsec-tools openssl-util opkg install xl2tpd
https://w.atwiki.jp/ddwrt_openwrt/pages/49.html
OpenWrtで IPSec + L2TP VPN/(1)動作環境 IPSec + L2TP を使用し、WAN側からVPN経由でLANに接続する環境を作ります。 ※機能やセキュリティに関して充分に検討されていません。あくまでテスト用とお考え下さい。 1.サーバ環境 WZR-HP-300NH(ar71xx系なら多分なんでも大丈夫) OpenWrt Barrier Breaker 14.07 ip 3.15.0-1 StrongSwan 5.1.3-1 ipsec-tools 0.8.1-1 openssl-util 1.0.1j-1 xl2tpd 1.3.6 WAN接続 PPPoE OCNフレッツ光 2.ネットワーク環境 WAN側ネットワークアドレス 動的グローバルIP LAN側ネットワークアドレス 192.168.11.1/24 pppインターフェースアドレス 192.168.11.90 3.クライアント環境 Android 4.x iOS 7.1.1(iphone5 と ipad airは確認) WAN接続 iijmio回線 wifiルータ運用 －以上－