4.1 KiB
Experimenta VPN via Tailscale/Headscale
Projektname: xPortal
Ziel: Zugang zum Experimenta-Firmennetz von zu Hause — ohne F5 VPN Client.
Setup
- Router: GL-MT3000 (GL.iNet Stock-Firmware, OpenWRT-basiert)
- Modus: Client-Mode im Firmen-WLAN
- Headscale: hs.noxware.net
MAC-Adressen (MacBook Pro)
| Interface | MAC | Notiz |
|---|---|---|
| Ethernet | f8:e4:3b:75:81:8e | Hardware-MAC |
| WLAN (privat) | 92:85:65:dd:6c:02 | Private Adresse, statisch — diese für Spoofing verwenden! |
Die private WLAN-MAC ist die, die Bastian in den letzten Jahren im Firmen-WLAN genutzt hat → Firewall kennt diese.
MAC-Spoofing auf GL-MT3000
Config-Datei: /etc/config/repeater
option macaddr '92:85:65:dd:6c:02'
(Ohne r, Prefix — das r, bedeutet "randomized")
Nach Änderung:
/etc/init.d/repeater restart
# oder: wifi reload
Getestet: 2026-02-01 — Heimrouter vergibt korrekt die MacBook-IP (192.168.222.125) an den Router.
Netzwerk-Konfiguration
| Netz | IP-Range | Beschreibung |
|---|---|---|
| Heimnetz | 192.168.222.0/24 | heimdall (Haupt-Router) |
| GL-MT3000 LAN | 192.168.228.0/24 | Router-eigenes LAN (bewusst ungewöhnlich wg. Firmen-Kollision) |
Tailscale advertised routes:
- 192.168.222.0/24 (Heimnetz)
- 192.168.228.0/24 (Router-LAN)
LED-Steuerung
/etc/init.d/gl_led turnoff # LED permanent aus
/etc/init.d/gl_led turnon # LED permanent an
/etc/init.d/gl_led start # LED-Service starten
/etc/init.d/gl_led stop # LED-Service stoppen
Die turnon/turnoff Befehle persistieren über Reboots.
Routen (aus F5 VPN extrahiert)
| Netz | Beschreibung |
|---|---|
| 10.10.0.0/16 | Haupt-Firmennetz |
| 10.20.0.0/16 | Weiteres internes Netz |
| 172.31.1.0/24 | - |
| 172.31.2.1/32 | Einzelhost |
| 192.168.1.0/24 | - |
| 192.168.2.0/24 | - |
| 192.168.4.0/24 | - |
| 192.168.5.2/32 | Einzelhost |
| 192.168.5.3/32 | Einzelhost |
| 192.168.5.5/32 | Einzelhost |
| 192.168.5.11/32 | Einzelhost |
| 192.168.6.0/24 | - |
DNS-Server: 10.10.32.1, 10.10.32.2
Schritt 0: MAC-Adresse spoofen (Firmen-Firewall)
Die Firmen-Firewall kennt nur die MAC-Adressen deines MacBooks (WLAN + Ethernet). Der Router muss die WLAN-MAC deines Macs übernehmen.
# Auf dem Mac — WLAN-MAC rausfinden:
networksetup -getmacaddress Wi-Fi
# oder: ifconfig en0 | grep ether
# Auf dem Router — MAC persistent setzen:
uci set wireless.@wifi-iface[0].macaddr='XX:XX:XX:XX:XX:XX'
uci commit wireless
wifi reload
Alternativ via LuCI: Network → Wireless → Client-Interface → Advanced Settings → Override MAC address
⚠️ Wichtig: Mac danach nicht mehr direkt ins Firmen-WLAN — nur noch über Tailscale durch den Router!
Schritt 1: GL-MT3000 konfigurieren
# IP Forwarding aktivieren
sysctl -w net.ipv4.ip_forward=1
echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
# Tailscale starten mit Routen
tailscale up --login-server=https://hs.noxware.net \
--advertise-routes=10.10.0.0/16,10.20.0.0/16,172.31.1.0/24,172.31.2.1/32,192.168.1.0/24,192.168.2.0/24,192.168.4.0/24,192.168.5.2/32,192.168.5.3/32,192.168.5.5/32,192.168.5.11/32,192.168.6.0/24 \
--accept-dns=false
Schritt 2: Firewall (OpenWRT)
# Zone für Tailscale
uci add firewall zone
uci set firewall.@zone[-1].name='tailscale'
uci set firewall.@zone[-1].input='ACCEPT'
uci set firewall.@zone[-1].output='ACCEPT'
uci set firewall.@zone[-1].forward='ACCEPT'
uci set firewall.@zone[-1].network='tailscale'
# Forwarding Tailscale → WAN
uci add firewall forwarding
uci set firewall.@forwarding[-1].src='tailscale'
uci set firewall.@forwarding[-1].dest='wan'
uci commit firewall
/etc/init.d/firewall restart
Schritt 3: Headscale — Routen freigeben
headscale routes list
headscale routes enable -r <ROUTE_ID>
Schritt 4: Client zu Hause
tailscale up --accept-routes
Hinweise
- Heimnetz: 192.168.222.0/24 — kollidiert nicht ✅
- Exit-Node: Nicht nötig, da nur Split-Tunnel gewünscht
- Router muss im Firmen-WLAN eingeloggt sein (Client-Mode)
Erstellt: 2026-01-31