Admintagebuch - Dokumentation der Admintätigkeiten

Technik Infrastruktur / Backbone
206

Mit Hilfe von Lars läuft das IPv4 auf Des1 jetzt wieder. Das lo mit der Nat-IP hatte statt /32 nur /30 und wurde daher von dem filter hostroute im bird verspeist.

Simon guckt sich das im Ansible nochmal an.

1 „Gefällt mir“
207

Wieder des1: diesmal fehlte die ipv4 rule für eingehende Pakete auf tun-ffrl-*

root@des1 ~ # ip rule 
0:	from all lookup local 
32752:	from 185.66.193.52 lookup ffnet 
32753:	from all iif gre-remue-01 lookup ffnet 
32754:	from all iif gre-ffwaf-srv2 lookup ffnet 
32755:	from all iif gre-parad0x-01 lookup ffnet 
32756:	from all iif gre-greyworm-02 lookup ffnet 
32757:	from all iif gre-greyworm-01 [detached] lookup ffnet 
32758:	from all iif gre-remue-06 lookup ffnet 
32759:	from all iif gre-remue-05 lookup ffnet 
32760:	from all iif gre-remue-04 lookup ffnet 
32761:	from all iif gre-remue-03 lookup ffnet 
32762:	from all iif gre-remue-02 lookup ffnet 
32764:	from all iif bruecke-alt-neu lookup ffnet 
32765:	from all iif lo lookup ffnet suppress_prefixlength 0 
32766:	from all lookup main 
32767:	from all lookup default

So sah es aus. Fix ging so:

root@des1 ~ # ip rule add iif tun-ffrl-ber1 table ffnet

Habe das in /etc/network/interfaces.d/ eingetragen, aber das wir durch den nächsten Anibel-Lauf wieder überschrieben. Bitte das dort zu fixen.

1 „Gefällt mir“
208

ServiceVM: create_map_data.sh von Git-Repository tools nach ansible-ffms umgezogen und dabei angepasst: altes Warendorf raus, Beschreibungen der Domänen hinzugefügt.

209
  • In der Ansible-Rolle für die Rheinlandanbindung fehlten ip rules, im master korrigiert und auf Des1 ausgerollt
  • In backbone.yml bird deaktiviert, da die AS-Nummer für Des1 falsch gesetzt werden würde
  • Einführung für @scroom in die Routenführung des FFML
210

Ich würde einfach in den host_vars von des1 die abweichende AS Nummer setzen.

211

Paketverluste auf fanlin:

[860266.975112] nf_conntrack: table full, dropping packet
[860266.975370] nf_conntrack: table full, dropping packet
[860266.975374] nf_conntrack: table full, dropping packet
[860266.975655] nf_conntrack: table full, dropping packet

Habe das kurz gefixt:

echo 65536 > /proc/sys/net/nf_conntrack_max

Verweise hier kurz auf NAT Tables Sizing … Habe auch auf des1 den Wert hochgedeht. Bitte das zu ansibelisieren…

212

@descilla hat das Problem mit den Paketverlusten gerade behoben.

Die common-Ansible-Rolle kopiert jetzt automatisch die status.pl nach /root/, weil man die doch häufiger mal braucht.

213
  • Domäne-01: Remü-08 wieder entfernt, da die zusätzliche Kiste ohne spezielles Routing nur Quertraffic verursacht hat.
  • Überflüssige Tunnel abgerissen, sodass jedes Gateway nur noch einen Anschluss ans Backbone hat
  • IPv4-Bereiche der DHCP-Server wieder auf die Einstellungen von Ansible-Master zurückgedreht

Remü-08 abgeschaltet.

Hoffe, es läuft dort jetzt wieder besser.

Und falls jemand den Überblick verloren hat:

Ansible Master ist jetzt auf Commander, Fanlin und Des1 ausgerollt.

1 „Gefällt mir“
214

Münsterland-Domäne repariert. Auf Parad0x war die bird.conf für v4 falsch und daher gab es keine V4-Standardroute und es ging nur V6 durch. Fussel war dadurch stark ausgelastet (> 60 Mbit/s).

Jetzt sollte es wieder laufen.

Grüße
Matthias

215

Stabilität geht vor Geschwindigkeit. Ich weiß mir aktuell nicht anders zu helfen, als in Domäne-14 lt2p wieder abzustellen und fastd anzumachen (upload der images erfolgt gerade). Bitte auch an @Alucardo, das latest-Image zu installieren, sobald es verfügbar ist (baue gerade, und werde an einer Stelle noch testen können).

Habe zuvor die Kette experimental -> beta -> stable gebaut, einige von Hand migriert und auch ein paar autoupdates geschehen lassen. Wünscht mit viel Glück und drängt die übrigen Aktiven in Warendorf dazu mich dazu zu zwingen die Verantwortung für das Netz in Warendorf abzugeben!

2 „Gefällt mir“
216
217

Service-VM: Letsencrypt-Zertifikat für https://service.freifunk-muensterland.de/ und https://karte.freifunk-muensterland.org/ installiert, inkl. Ansible und Cron-Job für Zertifikatserneuerung.

2 „Gefällt mir“
218

Hallo,

ich hab heute Nacht spezifischeres Routen für IPv4 implementiert, sodass die Backbone-Server, falls sie mehrere Tunnel zu einer Domäne haben, anhand der DHCP-Bereiche der Gateways schon eine Vorentscheidung treffen, wohin die Pakete gehen sollen.

Die Problematik ist folgende: Querverkehr durch das Batmannetz lähmt die Verbindung extrem.

Wenn es also die folgende Konstellation gibt:

Backboneserver
  |-> Gateway A
  |     | (Gretap)
  |-> Gateway B

Dann haben wir immer Querverkehr. Entweder schickt der Backboneserver alles zu Gateway A und alles, was zu B gemusst hätte, wird durch den Gretap-Tunnel zurück geschoben. Oder umgekehrt.

Daher können wir derzeit pro Domäne nur #Gateways <= #Backbones bauen, damit jeder eine direkte und eindeutige Verbindung hat. Das ist natürlich nicht im Sinne des Erfinders.

Also wird per ipcalc der DHCP-Bereich im Ansible aufgeteilt und dann in Bird als statische Routen angelegt. Diese werden dann über OSPF ans Backbone geschickt.

Das ist jetzt im Ansible-Zweig spezifischeres_Routen mal umgesetzt (mit Simons Hilfe) und auf der Domäne-01 ausgerollt. Für IPv6 wird das ganze noch etwas komplizierter denke ich.

Hier ein Beispiel von Remü-01:

protocol static dhcp_Bereich {
    table ffnet;
    route 10.43.8.2/32 via "bat0";
    route 10.43.8.26/31 via "bat0";
    route 10.43.8.28/30 via "bat0";
    route 10.43.8.32/27 via "bat0";
    route 10.43.8.64/26 via "bat0";
    route 10.43.8.128/25 via "bat0";
    route 10.43.9.0/24 via "bat0";
    route 10.43.10.0/25 via "bat0";
    route 10.43.10.128/27 via "bat0";
    route 10.43.10.160/32 via "bat0";
}

OSPF-Filter:

export filter {
    if source=RTS_STATIC_DEVICE then accept;
    else reject;
};

Grüße
Matthias

1 „Gefällt mir“
219

Neu auftretende Fehler mit apt kann man wie folgt beheben:

220

Mit Unterstützung von @MPW ein bisschen Serverwartung gemacht:

  • ffms-backup (Nicht-Ansible-VM für diverse Backups)
  • apt-get dist-upgrade durchgeführt und neu gestartet
  • parad0x-01
  • apt-transport-https installiert
  • apt-key adv --keyserver keys.gnupg.net --recv-keys CB201D9C
  • apt-get dist-upgrade durchgeführt und neu gestartet
  • parad0x (Backbone)
  • apt-get dist-upgrade durchgeführt und neu gestartet
  • Hostsystem aller VMs
  • Updates installiert und neu gestartet
2 „Gefällt mir“
221

Auf allen fanlin-Maschinen Sicherheitsupdates für Bind9 und Linux eingespielt.
DSA-3448 & DSA3449
Reboot VirtHost heute um 24:00.

1 „Gefällt mir“
222

Backup-VM ist voll gelaufen. Hatte meine Kalender-Erinnerung für das manuelle Löschen alter Sicherungen übersehen.
Alles bereinigt, Backups manuell gestartet und auf dem ToDo-Zettel Anpassung Backup-Skript fett unterstrichen :wink:

1 „Gefällt mir“
223

Auf dem Webserver wurde jetzt der alte Docker-Container entfernt, dieser wurde nicht mehr gebraucht da die Karte jetzt auf https://service.freifunk-muensterland.de/maps/map/ bereitgestellt wird.

Für die alte Karte, also alle URLs die auf https://freifunk-muesterland.de/map/ verweisen habe ich eine Weiterleitung auf die neue Karet eingerichtet so dass diese Links auch weiterhin funktionieren.

1 „Gefällt mir“
224

Grafana ist jetzt auf die Version 2.6.0 aktualisiert.
Zudem habe ich die Übersicht der Knoten und Clients mal etwas aufgebohrt um die Verteilung der Clients auf die Domänen besser darzustellen: https://freifunk-muensterland.de/grafana/dashboard/db/knoten-und-clients

1 „Gefällt mir“
225

Wieder Lebenserhaltende Maßnahmen für die Münsterland-Domäne, auf beiden Gateways:

  • ip (-6) Regeln für die Tunnel-Schnittstellen und br0 eingetragen
  • Aus irgendeinem Grund bevorzugen beide Systeme /56 unrechable vor /64 dev br0 für unser IPv6-Präfix. Daher hab ich die unrechable jetzt auf „via “br0”“ im bird6 geändert

Rebootfestigkeit habe ich nicht getestet.