Fortunatamente ho una serie di VPS onLine e mi sono appoggiato ad uno di questi per pubblicare la porta di WireGuard tramite SSH Port Forwarding, ma in questo caso la cosa non è stata immediata, perché WireGuard funziona in UDP mentre SSH fa il Port Forwarding di connessioni TCP.

Beh, allora l’unica cosa da fare era veicolare i pacchetti UDP sulla connessione TCP che SSH, tramite Port Forwarding, metteva a disposizione. Passiamo al dunque.

Intanto ho bisogno di autossh sul raspberry che installiamo con:

apt install autossh

e socat sia sul raspberry che sul VPS:

apt install socat

Sul raspberry (Wireguard Server) ho inserito queste due righe nel file /etc/rc.local (in modo da avviare automaticamente al reboot):

autossh -2 -fN -M 20001 -R 51821:localhost:51821 user@ip_del_vps
socat tcp4-listen:51821,reuseaddr,fork udp:localhost:51820

Sul VPS (con IP pubblico) ho inserito questa riga nel file /etc/rc.local:

socat -T15 udp4-recvfrom:51820,reuseaddr,fork tcp:localhost:51821

ecco fatto… Ora, effettuando la connessione dal client Wireguard verso l’IP del server VPS su porta 51820/UDP, i pacchetti vengono inoltrati da socat verso la porta 51821/TCP dove in ascolto c’è la connessione SSH, per il Port-Forwarding, avviata dal Raspberry sul quale abbiamo nuovamente socat che rigira i pacchetti dalla porta 51821/TCP verso la porta 51820/UCP dove è in ascolto il servizio VPN WireGuard.

Nota:

Sui sistemi Debian Based recenti (con systemd) è necessario riattivare l’esecuzione di rc.local al riavvio. C’è già il file systemd in /lib/systemd/system/rc-local.service dove aggiungeremo la sezione [Install] alla fine:

[Install]
WantedBy=multi-user.target

Poi creiamo il file rc.local:

>/etc/rc.local
chmod +x /etc/rc.local

in cui scriviamo

#!/bin/sh -e
#
# rc.local
#
#inserire di seguito le istruzioni


exit 0

infine attiviamo il servizio:

systemctl enable rc-local.service
systemctl start rc-local.service

enjoy!

Ci sono però degli script che semplificano diverse procedure su raspbian, come ad esempio la creazione di un server VPN basato su OpenVPN o WireGuard. OpenVPN è forse la VPN più conosciuta, stabile e sicura, mentre WireGuard è una “nuova” VPN più performante della prima, sicuramente da provare.

La procedura di installazione è comunque sta stessa, sia per l’una che l’altra. Innanzitutto aggiorniamo la nostra distro con:

apt update && apt full-upgrade

A questo punto digitiamo:

curl -L https://install.pivpn.io | bash

e seguiamo la procedura guidata

Bene, a questo punto per aggiungere un nuovo client digitare:

pivpn add

Per visualizzare una guida all’uso:

pivpn help

enjoy!

L’aggiornamento è in classico stile debian, tutto molto semplice.

Colleghiamoci al terminale del raspberry e poi procediamo ad aggiornare stretch come segue:

apt update
apt dist-upgrade -y

Ora aggiorniamo il firmware del raspberry con:

rpi-update

Effettuiamo un reboot prima di procedere:

reboot

Infine modifichiamo il file /etc/apt/sources.list (ed eventuali altri file con repository) sostituendo stretch con buster:

grep -rl stretch /etc/apt/ | xargs sed -i 's/stretch/buster/g'

rimuoviamo il pacchetto apt-listchange per velocizzare la procedura:

apt remove apt-listchanges

Aggiorniamo ora il sistema operativo:

apt update
apt dist-upgrade -y

Rimuoviamo alcuni pacchetti che non servono più:

apt purge timidity lxmusic gnome-disk-utility deluge-gtk evince wicd wicd-gtk clipit usermode gucharmap gnome-system-tools pavucontrol

Rimuoviamo altri eventualmente non necessari:

apt autoremove -y

Puliamo la cache apt:

apt autoclean

Ci siamo, riavviamo tutto:

 reboot

enjoy!

Dopo aver scaricato la versione di raspbian che preferite (rif link), troverete un file .zip nella cartella Downloads. Con un doppio click il file .zip verrà decompresso e sarà mostrato un file .img.

Ora collegate l’SD Card al Mac e nel Terminale, digitate:
diskutil list

questo mostrerà una serie di righe, es:
/dev/disk0 (internal):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme 500.3 GB disk0
1: EFI EFI 314.6 MB disk0s1
2: Apple_APFS Container disk1 500.0 GB disk0s2

/dev/disk2 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: FDisk_partition_scheme *15.5 GB disk2
1: Windows_FAT_16 RECOVERY 1.7 GB disk2s1
2: Linux 33.6 MB disk2s5
3: Windows_FAT_32 boot 72.4 MB disk2s6
4: Linux 13.7 GB disk2s7

Nel mio caso l’SD Card si chiama /dev/disk2.

Smonto l’SD Card (ovvero lascio collegata l’SD ma faccio in modo che il disco non sia accessibile) con:
diskutil unmountDisk /dev/disk2

Ora copio l’immagine disco, ipotizziamo di chiami 2018-06-27-raspbian-stretch-lite.img, con:
sudo dd bs=1m if=~/Downloads/2018-06-27-raspbian-stretch-lite.img of=/dev/risk2 conv=sync

Al termine della procedura (è possibile vedere lo stato di avanzamento premendo CTRL+T), sarà mostrato nuovamente il promt nel terminale e potremo verificare con:
diskutil list

che questa volta mostrerà:
/dev/disk0 (internal):
#: TYPE NAME SIZE IDENTIFIER
0: GUID_partition_scheme 500.3 GB disk0
1: EFI EFI 314.6 MB disk0s1
2: Apple_APFS Container disk1 500.0 GB disk0s2

/dev/disk2 (external, physical):
#: TYPE NAME SIZE IDENTIFIER
0: FDisk_partition_scheme *15.5 GB disk2
1: Windows_FAT_32 boot 45.3 MB disk2s1
2: Linux 1.8 GB disk2s2

Bene, smontiamo nuovamente l’SD card con:
diskutil unmountDisk /dev/disk2

scolleghiamola dal Mac ed inseriamola nel raspberry e seguiamo la procedura guidata di installazione.

Nota: ricordo che l’utente di default al primo avvio è pi e la password è raspberry. Dopo il primo avvio, per la configurazione, si può usare l’utility raspi-config.

enjoy!

In questo caso, l’uso di un tunnel SSH è l’ideale, sempre che si disponga di un server linux con IP pubblico da usare.

In pratica la situazione è questa:

raspberry 192.168.1.10
router/AP (doppio IP) 192.168.1.1/192.168.10.20
router/gateway pubblico 192.168.10.1/61.24.35.76

Pertanto, il raspberry per “navigare” passa attraverso il router/AP che a sua volta passa attraverso il router/gateway pubblico.

Raggiungere il raspberry da internet con questa configurazione non è possibile, a meno che non si possa configurare il router/gateway e poi il router/AP per inoltrare i pacchetti diretti verso una determinata porta del router/gateway verso il raspberry.

Abbiamo a disposizione un server linux con IP pubblico, ad esempio il 60.60.60.60.

Cosa possiamo fare?
Dal raspberry possiamo avviare un tunnel ssh verso il server linux e “dirgli” che se dovessero arrivargli pacchetti su una determinata porta, li deve girare verso il raspberry, tramite il tunnel ssh.

Questa cosa può essere fatta nativamente da SSH attivando un remote port forwarding.

Innanzitutto bisogna creare una chiave pubblica SSH sul raspberry e caricarla sul server linux. Non mi dilungo su questa parte.

Sul server linux bisogna inserire nel file /etc/ssh/sshd_config la seguente direttiva:
GatewayPorts yes

Successivamente, sul raspberry, dovremo lanciare il seguente comando:

ssh -R 2203:localhost:22 utente@60.60.60.60

dove 2203 e la porta da aprire sul server linux, 22 è la porta del raspberry che vogliamo risponda, utente@60.60.60.60 è l’utente e l’IP/FQDN del server linux

Cosi’ facendo, sarà possible collegarsi alla porta 2203 del server linux 60.60.60.60 tramite il client ssh e vedremo rispondere il servizio ssh del raspberry.

Ovviamente possiamo girare non solo la porta 22, ma anche altre porte, ad esempio la 80 se vogliamo rendere pubblico un servizio web su internet.

Riavviando il raspberry, purtroppo, il tunnel verrà interrotto. Per mantenerlo sempre attivo ed avviarlo in automatico in caso di reboot del raspberry, consiglio l’installazione del pacchetto autossh:
apt-get install autossh

e poi l’inserimento della seguente riga come penultima (prima di exit 0) del file /etc/rc.local:
autossh -2 -fN -M 20000 -R 2203:localhost:22 utente@60.60.60.60

In alternativa è possibile creare un file Systemd service per autossh. Creare il file /etc/systemd/system/autossh-tunnel.service con dentro:

[Unit]
Description=AutoSSH tunnel service
After=network.target

[Service]
Environment="AUTOSSH_GATETIME=0"
#-p [PORT]
#-l [user]
#-M 0 --> no monitoring
#-N Just open the connection and do nothing (not interactive)
# LOCALPORT:IP_ON_EXAMPLE_COM:PORT_ON_EXAMPLE_COM
ExecStart=/usr/bin/autossh -2 -fN -M 20000 -R 2203:localhost:22 utente@60.60.60.60
ExecStop=/bin/kill -9 autossh

[Install]
WantedBy=multi-user.target

Poi abitiliamo:

systemctl daemon-reload
systemctl enable autossh-tunnel.service
systemctl start autossh-tunnel.service

Per verificare:

journalctl | grep autossh

enjoy!

Ad ogni modo, se ci interessa avere un IP statico, possiamo operare in diversi modi, ma vi consiglio il sistem per modificare meno la configurazione originale, ovvero agire sul file /etc/dhcpcd.conf.

Il file /etc/dhcpcd.conf contiene le configurazioni per il client DHCP; è possibile aggiungere alcuni parametri per impostare un indirizzo IP statico. Ad esempio, le seguenti righe che potete incollare in coda al vostro /etc/dhcpcd.conf:
interface wlan0
static ip_address=192.168.1.105/24
static routers=192.168.1.250
static domain_name_servers=192.168.1.250

servono ad impostare l’IP 192.168.1.105 all’interfaccia i rete WIFI. La riga domain_name_servers serve ad impostare il server DNS; se il vostro gateway si occupa anche di questo, potete impostare lo stesso IP, altrimenti un qualsiasi server DNS pubblico di vostra fiducia

Dopo la modifica, occorre un riavvio.

enjoy!