Amerikaanse Netflix kijken met Chromecast

Mijn dochter gebruikt Private Internet Access (PIA) om Amerikaanse Netflix te kijken op haar smartphone en laptop. Ze vertelde echter dat ze dan niet kon casten naar haar Chromecast en soms is kijken op een groter TV scherm toch wel fijner. Netflix heeft namelijk allerlei maatregelen getroffen om dit te voorkomen als je gebruik maakt van een VPN-truc.

Om dit op te lossen moet je de Chromecast verbinding laten maken met dezelfde verbinding als je VPN connectie op je smartphone en/of laptop. Ik heb dit opgelost door van een Raspberry Pi een Wi-Fi hotspot te maken, waarbij de internet verbinding via een VPN verbinding loopt.

In deze blog leg ik uit hoe ik voor elkaar heb gekregen. In mijn stappen hieronder maak ik gebruik van Private Internet Access (PIA) als VPN provider.

Raspbian

Als eerste heb ik de lite versie van Raspbian gedownload vanaf deze lokatie en met Win32DiskImager naar een SD kaart geschreven.

Vanuit veiligheidsoogpunt staat in de laatste versie van Raspbian SSH standaard uitgeschakeld. Hierdoor kun je niet remote inloggen met Putty. Dit is eenvoudig op te lossen door, nadat je image hebt gezet op je SD kaart, een leeg bestand met de naam ‘ssh’ te zetten in de boot partitie (de eerste drive-letter van je SD kaart).

Stop het SD kaartje in je Raspberry PI en sluit de USB power aan. Met behulp van je router kun je kijken welk IP-adres je Raspberry Pi heeft gekregen via DHCP. Hierna kun je met Putty inloggen op je Raspberry PI met user-naam ‘pi’ en wachtwoord ‘raspberry’. Vergeet niet je standaard paswoord te veranderen met het commando ‘passwd’.

Update de Raspberry Pi naar de laatste software:

sudo apt-get update
sudo apt-get upgrade
sudo rpi-update
sudo reboot

Eventueel kun je hierna met ‘sudo raspi-config’ nog instellingen plegen naar jouw inzicht (host-name, lokalisatie en Advanced/Expand Filesystem).

Ook is het handig dat je Samba installeert zodat je eventueel altijd met een browser je files op je Raspberry Pi kunt benaderen:

sudo apt-get install samba samba-common-bin
sudo useradd some_user_name
sudo smbpasswd -a some_user_name

Voeg nu de volgende regels toe aan de file ‘/etc/samba/smb.conf’

[Root]
  browseable = yes
  writeable = yes
  path = /
  revalidate = yes
  comment = Share to Root
  valid users = some_user_name
  available = yes

Restart je samba service met het volgende commando:

sudo /etc/init.d/smbd restart

We hebben nu dus een werkend Operating Systeem op de SD kaart van een Raspberry PI staan.

Wi-Fi Hotspot

Om een Wi-Fi Hotpost op te zetten heb je ‘hostapd’ (hotspot) en ‘dnsmasq’ (DHCP, DNS) nodig. Installeer deze twee packages met de commando’s:

sudo apt-get install hostapd
sudo apt-get install dnsmasq

Aangezien we nogal wat aanpassingen gaan verrichten is het beste om de twee packages na installatie even te stoppen:

sudo systemctl stop hostapd
sudo systemctl stop dnsmasq

Configureer static IP adres voor eth0 / wlan0 interfaces

Hiervoor assign je een vast IP-adres aan je eth0 en wlan0 interface. Edit hiervoor de file ‘/etc/dhcpcd.conf’

sudo nano /etc/dhcpcd.conf

Voeg de volgende regels toe aan deze file:

interface eth0
static ip_address=192.168.1.72
static routers=192.168.1.1
static domain_name_servers=1.1.1.1

interface wlan0
static ip_address=192.168.0.10/24
denyinterfaces eth0

Configureer DHCP server

Als iemand met jouw Wi-Fi hotspot verbind dan moet deze natuurlijk een IP-adres krijgen. Je moet hiervoor de file ‘/etc/dnsmasq.conf’ aanpassen.

sudo nano /etc/dnsmasq.conf

Verander de ‘resolv-file’ entry als volgt (de file ’tun0.openvpn’ wordt straks in OpenVPN met het ‘update–resolv–conf’ script gevuld bij het maken van een VPN verbinding):

resolv-file=/var/run/resolvconf/interfaces/tun0.openvpn

Voeg de volgende regels toe aan deze file:

interface=wlan0
dhcp-range=192.168.0.11,192.168.0.30,255.255.255.0,24h

Configureer Hotspot

Hiervoor gebruik je de file ‘/etc/hostapd/hostapd.conf’.

sudo nano /etc/hostapd/hostapd.conf

Voeg de volgende regels toe aan deze file:

interface=wlan0
hw_mode=g
channel=7
wmm_enabled=0
macaddr_acl=0
auth_algs=1
ignore_broadcast_ssid=0
wpa=2
wpa_key_mgmt=WPA-PSK
wpa_pairwise=TKIP
rsn_pairwise=CCMP
ssid=NETWERK
wpa_passphrase=WACHTWOORD

Kies voor NETWERK en WACHTWOORD je eigen waardes.

Nu moet je voor je Hotspot nog aangeven waar zijn configuratie file staat. Dit doe je in file ‘/etc/default/hostapd’

sudo nano /etc/default/hostapd

Zet in deze file de volgende regel:

DAEMON_CONF="/etc/hostapd/hostapd.conf"

Private Internet Access VPN

Installeer OpenVPN met commando:

sudo apt-get install openvpn

Haal de profielen van Private Internet Access (PIA) op voor je OpenVPN verbinding:

wget https://www.privateinternetaccess.com/openvpn/openvpn.zip
sudo apt-get install unzip
unzip openvpn.zip -d openvpn

Kies nu het PIA profiel waarvoor je een WiFi Hotspot wilt opzetten (ik kies hieronder USA / New-York):

sudo cp openvpn/ca.rsa.2048.crt openvpn/crl.rsa.2048.pem /etc/openvpn/
sudo cp openvpn/US\ New\ York\ City.ovpn /etc/openvpn/US.conf

Creëer file ‘/etc/openvpn/login’ die je gebruikersnaam en wachtwoord bevat van je PIA:

Gebruikersnaam
Wachtwoord

Verander de permissies van deze file zodat alleen de root gebruiker deze kan lezen:

sudo chmod 600 /etc/openvpn/login

Stel nu OpenVPN zo in dat deze standaard bovenstaande file gebruikt om in te loggen.

sudo nano /etc/openvpn/US.conf

Verander de volgende regel van:

auth-user-pass

naar

auth-user-pass /etc/openvpn/login

Voeg verder de volgende regels toe:

script-security 2
up /etc/openvpn/update-resolv-conf
down /etc/openvpn/update-resolv-conf

Je kunt nu controleren of je VPN verbinding daadwerkelijk werkt:

sudo openvpn --config /etc/openvpn/US.conf

Hierbij zou de output ongeveer het volgende moeten zijn:

Fri Jul 10 14:04:09 2020 OpenVPN 2.4.7 arm-unknown-linux-gnueabihf [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [PKCS11] [MH/PKTINFO] [AEAD] built on Feb 20 2019
Fri Jul 10 14:04:09 2020 library versions: OpenSSL 1.1.1d  10 Sep 2019, LZO 2.10
Fri Jul 10 14:04:09 2020 TCP/UDP: Preserving recently used remote address: [AF_INET]107.182.230.194:1198
Fri Jul 10 14:04:09 2020 UDP link local: (not bound)
Fri Jul 10 14:04:09 2020 UDP link remote: [AF_INET]107.182.230.194:1198
Fri Jul 10 14:04:09 2020 WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this
Fri Jul 10 14:04:10 2020 [ae3adc1e63e163a8933ba9177f6220c5] Peer Connection Initiated with [AF_INET]107.182.230.194:1198
Fri Jul 10 14:04:11 2020 TUN/TAP device tun0 opened
Fri Jul 10 14:04:11 2020 /sbin/ip link set dev tun0 up mtu 1500
Fri Jul 10 14:04:11 2020 /sbin/ip addr add dev tun0 local 10.32.10.6 peer 10.32.10.5
Fri Jul 10 14:04:11 2020 Initialization Sequence Completed

Je wilt dat deze verbinding voortaan automatisch wordt opgezet bij elke herstart van je Raspberry Pi. Enable VPN tijdens startup met:

sudo systemctl enable openvpn@US

Nu moet je nog wat aan routering doen. Als eerste moet je IP forwarding aanzetten met de volgende commando’s:

echo -e '\n#Enable IP Routing\nnet.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

Tenslotte moet je NAT voor je verkeer aanzetten van/naar je VPN tunnel. Ik gebruik hiervoor tun0 en eth0 (waarop internet binnenkomt).

sudo iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE
sudo iptables -A FORWARD -i tun0 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
sudo iptables -A FORWARD -i eth0 -o tun0 -j ACCEPT

Een zeer goede uitleg over iptables vind je hier.

Bovenstaande iptables moet je nog persistent maken. Gebruik hiervoor de ‘iptables-persistent’ en ‘netfilter-persistent’ packages. Installeer deze met:

sudo apt-get install iptables-persistent
sudo apt-get install netfilter-persistent

Om de iptables persistent op te slaan geef je het volgende commando:

sudo netfilter-persistent save

Om de iptables regels toe te passen tijdens startup gebruik je het commando:

sudo systemctl enable netfilter-persistent

Blokkeren Chromecast DNS

De Chromecast heeft een hardcoded DNS setting naar Google die roet in het eten kan gooien. Daarom wil je deze ignoren. Dit doe je met de volgende iptables commando’s:

sudo iptables -I FORWARD --destination 8.8.8.8 -j REJECT
sudo iptables -I FORWARD --destination 8.8.4.4 -j REJECT

Sla vervolgens de huidige iptables op met het commando:

sudo netfilter-persistent save

Reboot nu je Raspberry Pi:

sudo reboot

Tenslotte

Als laatste actie moet je je Chromecast opnieuw instellen. De Wi-Fi verbinding moet namelijk voortaan naar je nieuwe hotspot gaan waarop je VPN connectie draait.

Het enigste wat mijn dochter nu voortaan moet doen om de Chromecast met Netflix te gebruiken is op haar Smartphone verbinding maken met het nieuwe hotspot. Vervolgens kan ze dan content casten naar haar Chromecast. Kan ze eindelijk Grey’s Anatomy verder kijken, want die was er namelijk bij Videoland opeens afgegooid.

Tips

Ik had in het begin wat problemen met het activeren van het Access-Point. De volgende commando’s lostte dit voor mij op:

sudo systemctl unmask hostapd
sudo systemctl enable hostapd
sudo systemctl start hostapd

Een foutje is zo gemaakt als je met het ‘iptables’ commando bezig bent. Hieronder wat commando’s die je kunnen helpen.

Tonen huidige iptables instellingen

sudo iptables -L -n -v --line-numbers
sudo iptables -t nat -L -n -v --line-numbers

Verwijderen iptables instellingen
Hieronder een aantal voorbeelden. Kies zelf welk type het is (b.v. FORWARD, POSTROUTING, etc.)

sudo iptables -D FORWARD <regel-nummer>
sudo iptables -t nat -D POSTROUTING <regel-nummer>

Verwijderen alles instellingen m.b.t iptables

sudo iptables -F
sudo iptables -t nat -F
sudo iptables -t mangle -F
sudo iptables -X

Om te controleren of je alles goed hebt gedaan kun je een zogenaamde ‘DNS leak test’ uitvoeren. Dit kun je op de volgende site doen:

https://www.dnsleaktest.com/

Je kunt hier tevens zien of je VPN zijn werk goed doet (je IP adres moet in het buitenland zijn en je DNS ook).

Mocht het onverhoopt na verloop van tijd niet meer werken, check dan even of er nieuwe profielen zijn voor OpenVPN en doorloop de betreffende stappen nogmaals.

Conclusie

Met een aantal simpele stappen kun je je Raspberry Pi omtoveren in een Wi-Fi Hotspot die onder water een specifieke VPN verbinding heeft. Door je Chromecast en je Smartphone met dit specifieke hotspot verbinding te laten maken kun je toch Amerikaanse Netflix via je Chromecast kijken. Bovenstaand verhaal lijkt simpel, maar ik moet eerlijkheidshalve wel zeggen dat ik het hele weekend bezig bent geweest om dit allemaal uit te zoeken 😉 .