tailscale, OCI und iptables

Im Zug der Umstellung von Glasfaser- auf 5G-Internetzugang (da massiv günstiger) hatte ich damals tailscale auf den meisten meiner Netzwerkgeräte installiert, was auch soweit sehr gut funktioniert. Da meine internen Netzwerkgeräte wegen CG-NAT aber nicht direkt von aussen erreichbar waren, lief der Traffic immer über DERP-Relay-Server von Tailscale, was natürlich nur so etwa 5-10MBit/s waren. Auf die Dauer bzw. bei gewissen Datentransfers ist das etwas zäh. Ende Dezember hatte ich mir in der Oracle Cloud Infrastructure (OCI) im Free Tier eine gratis-VM mit Rootzugriff und ubuntu drauf hochgefahren. Wichtig: public IPv4, d.h. vom Handy oder von zu Hause aus ist diese Maschine direkt ohne Umwege erreichbar, eigentlich zumindest. Irgendwie wollte tailscale aber auch im Dezember noch nicht direkt dahin verbinden (nur über Relay), aber es war mir zu dem Zeitpunkt erstmal egal, Bandbreite nicht so wichtig.

Heute hab ich mir das aus unerfindlichen Gründen nochmal angeschaut und dachte, dass das doch eigentlich gehen müsste. Die Knowledgebase von Tailscale hat dazu einige Hinweise und generell natürlich sehr praktisch präsentierte Informationen gehabt. Auf der Fritz!Box daheim gab’s nichts umzustellen, also hab ich auf der OCI mal meine VM etwas genauer angeschaut. Mit ufw konnte ich nichts richtig bewirken, musste dann tatsächlich mal auf nmap, tcpdump und iptables runtergehen, stackoverflow und reddit haben wie üblich auch geholfen.

Das Einrichten einer Firewall-Öffnung (Ingress-Rule) in der Oracle-Netzwerkinfra war recht einfach:

Danach ging es aber immer noch nicht. Der Brute-Force-Test auf der VM selbst war ein iptables –flush, mit dem Effekt, dass plötzlich wie gewünscht meine Direktverbindung ging (yay!), aber ich natürlich nach dem Neustart der VM nicht mehr per SSH auf die Maschine kam (boo!). Gut, dafür gibt’s ja die Cloud Management Console. In /etc/iptables/rules.v4 steht jetzt zusätzlich noch folgende Zeile:

-A INPUT -p udp -m state --state NEW -m udp --dport 41641 -j ACCEPT -m comment --comment "tailscale"

Und damit verbanden sich fast alle tailscale-Clients glücklich direkt miteinander bis an ihr End-Of-Life. Vom Handy aus bekomme ich jetzt auch meine ~100MBit/s via tailscale und Oracle-VM und eben auch mit Pi-Hole DNS-ad-gefiltert von unterwegs aus. Jedesmal, wenn ich irgendwo anders das ungefilterte Internet aufmache, fliegt mir erstmal jede Menge blinkender Werbemüll entgegen, das lebt sich schon wirklich angenehmer ohne das. Die Bandbreitenbeschränkung liegt jetzt ausserdem bei der CPU-Last der VM, die bei 100MBit/s um 90% liegt. Wenn ich jetzt die VM upgraden würde, wäre das nächste Limit dann bei 500MBit/s die Netzwerkanbindung der VM. Und wenn ich auch die wiederum upgraden würde, wäre die nächste dann vielleicht das 5G-Netz, was realistisch etwa 800-900MBit/s zu Hause bringt. Da sind sie wieder, die Luxusprobleme.

Morgen folgt die Osternachtsmesse (Te Deum von Marc-Antoine Charpentier; der erste Satz geht immer noch auswendig, da unzählige Male im Jugendorchester gespielt), am Sonntag die Paukenmesse von Haydn — laut eigenem Blogeintrag vor neun Jahren erstmalig und zuletzt gespielt. Mit dem “neuen” Cello macht das schon wirklich mehr Spass, da kommt noch Ton und nicht nur Kratzen, wenn es lauter sein soll. Ich warte immer noch auf das Schlumpfgetriebe für die Speedmachine und fahre bei den eher fusskalten Temperaturen daher lieber noch auf dem Patria oder dem Alpenfalter herum.

• 

•