› › ›

Linux 15.036 Themen, 107.107 Beiträge

Verfolgung starten Optionen

Firewall blockt internes routen

Benedict / 13 Antworten / Baumansicht Nickles

Ahoi zusammen

ich habe ein Problem mit meiner Firewall unter SuSE 7.0

Der Linux Server wird als Router für 4 Netzwerke (intern) und zum
Internet eingesetzt. Die Internetanbingung erfolgt per DSL.

Squid, Samba, Send- u. Fechtmail sowie das Routen der internen Netzwerke
läuft alles wunderbar.
Wenn ich jedoch die Firewall aktiviere stopt alles. Fatal bei ist, dass auch das
Routing der internen Netze geblockt wird.

Der Bootvorgang läuft sauber durch und die Firewall wird ohne Fehlermeldung initialisiert.
Anbei die Conf-Datei der Firewall. Vielleicht sieht einer von euch den Fehler oder kennt
das Problem. Eigenltich sollte mit den Einstellungen alles offen sein.

Mit freundlichen Grüßen

Benedict

FW_DEV_WORLD="ppp0"
FW_DEV_WORLD_ppp0="192.168.0.1 255.255.255.0"
FW_DEV_INT="eth1 eth2 eth3 eth4"
FW_DEV_DMZ=""
FW_ROUTE="yes"
FW_MASQUERADE="yes"
FW_MASQ_NETS="192.168.0.0/16 192.168.10.0/24 192.168.14.0/24 192.168.21.0/24"
FW_MASQ_DEV="$FW_DEV_WORLD" # e.g. "ippp0" or "$FW_DEV_WORLD"
FW_PROTECT_FROM_INTERNAL="no"
FW_AUTOPROTECT_GLOBAL_SERVICES="no" # "yes" is a good choice
FW_SERVICES_EXTERNAL_TCP="1:65000" # Common: smtp domain
FW_SERVICES_EXTERNAL_UDP="1:65000" # Common: domain
FW_SERVICES_DMZ_TCP="" # Common: smtp domain
FW_SERVICES_DMZ_UDP="" # Common: domain syslog
FW_SERVICES_INTERNAL_TCP="1:65000" # Common: ssh smtp domain
FW_SERVICES_INTERNAL_UDP="1:65000" # Common: domain
FW_TRUSTED_NETS=""
FW_SERVICES_TRUSTED_TCP="" # Common: ssh
FW_SERVICES_TRUSTED_UDP="" # Common: syslog time ntp
FW_ALLOW_INCOMING_HIGHPORTS_TCP="yes" # Common: "ftp-data" (sadly!)
FW_ALLOW_INCOMING_HIGHPORTS_UDP="yes" # Common: "dns"
FW_SERVICE_DNS="no" # if yes, FW_SERVICES_*_TCP needs to have port 53
# (or "domain") set to allow incoming queries.
# also FW_ALLOW_INCOMING_HIGHPORTS_UDP needs to be "yes"
FW_SERVICE_DHCLIENT="no" # if you use dhclient to get an ip address
# you have to set this to "yes" !
FW_SERVICE_DHCPD="no" # set to "yes" if this server is a DHCP server
FW_SERVICE_SAMBA="no" # set to "yes" if this server uses samba as client
# or server. As a server, you still have to set
# FW_SERVICES_{WORLD,DMZ,INT}_TCP="139"
# Everyone may send you udp 137/138 packets if set
# to yes!
# (note: samba on the firewall is not a good idea!)

FW_FORWARD_TCP="192.168.0.0/16" # Beware to use this!
FW_FORWARD_UDP="192.168.0.0/16" # Beware to use this!
FW_FORWARD_MASQ_TCP="" # Beware to use this!
FW_FORWARD_MASQ_UDP="" # Beware to use this!
FW_REDIRECT_TCP=""
FW_REDIRECT_UDP=""
FW_LOG_DENY_CRIT="yes"
FW_LOG_DENY_ALL="yes"
FW_LOG_ACCEPT_CRIT="yes"
FW_LOG_ACCEPT_ALL="yes"
FW_KERNEL_SECURITY="no"
FW_STOP_KEEP_ROUTING_STATE="yes"
FW_ALLOW_PING_FW="yes"
FW_ALLOW_PING_DMZ="no"
FW_ALLOW_FW_TRACEROUTE="no"
FW_ALLOW_FW_SOURCEQUENCH="yes"
FW_MASQ_MODULES="autofw cuseeme ftp irc mfw portfw quake raudio user vdolive"

bei Antwort benachrichtigen
Klaus_T Benedict „Firewall blockt internes routen“
Optionen

>FW_PROTECT_FROM_INTERNAL="no"
Das muss auf yes

BTW, warum benutzt Du den Mist? Einige Ipchains-Regeln zu schreiben ist nach einiger Einarbeitung
wirklich nicht schwer. Das Ding da oben ist total vermurkst, so wie ich das verstehe.

www2.little-idiot.de/zusammen44.html
home.foni.net/~bmueller

Bye, Klaus

bei Antwort benachrichtigen
Klaus_T Nachtrag zu: „ FW_PROTECT_FROM_INTERNAL no Das muss auf yes BTW, warum benutzt Du den Mist?...“
Optionen

Oops, vertan. Es muss so heissen:

www2.little-idiot.de/firewall/zusammen-44.html
Uebrigens, hast Du wirklich 4 Netzwerkkarten im PC?

Klaus

bei Antwort benachrichtigen
Benedict Klaus_T „Oops, vertan. Es muss so heissen: www2.little-idiot.de/firewall/zusammen-44.html...“
Optionen

Ja, ich hab sogar 5 Netzwerkarten drin, wenn man die für DSL mitzählt.
Das ist zwar alles andere als optimal aber was will man machen...

Der Tip mit dem "Protected from internal funktionert" leider nicht.
So wie ich das verstanden hab, wäre das ja auch eher ein Einschräckung.

Wie sieht das aus mit den IPchain Regel, muß ich da erst die neuen Pakete für die Firewall deinstallieren und die von der Version 6.3 aufspielen

bei Antwort benachrichtigen
Klaus_T Benedict „Ja, ich hab sogar 5 Netzwerkarten drin, wenn man die für DSL mitzählt. Das ist...“
Optionen

Die Ipchains-Regeln haben mit dem Firewallpaket nicht viel zu tun. Wenn Du ein Script selbst schreibst,
must Du das beim booten immer wieder aufrufen, ist ja mit einem Bootscript ganz einfach. Wenn der
Rechner runtergefahren wird, sind die Regeln bei dem naechsten Start automatisch weg.
Protected from Internal bedeutet, so wie ich es verstanden habe, Das vomm internen Netz alles erlaubt
ist. Aber egal, so wie Deine rc.firewall ist, kannst Du die eh gleich ganz abschalten.
Genau das ist das Problem mit den fertigen Paketen, man hat keinen Ueberblick und keine Ahnung,
was da alles passiert. Deshalb, Regeln selbst erstellen und man versteht auch alles.

Bye, Klaus

bei Antwort benachrichtigen
Benedict Klaus_T „Die Ipchains-Regeln haben mit dem Firewallpaket nicht viel zu tun. Wenn Du ein...“
Optionen

Das die Firewall ganz offen ist, ist klar.
Da sie nicht funtionierte hab ich erstmal alles freigeschaltet.
Das Problem ist das sie alles blockt, eagl wie freigeschaltet ich sie hab

bei Antwort benachrichtigen
RAO Benedict „Firewall blockt internes routen“
Optionen

hey Benedict,

ich will dich nicht beleidigen oder so, aber mein gefuehl sagt
mir dass du keine ahnung von firewalls hast.
das was du da oben gepostet hast, was hat das mit firewalls zu tun?
es sind einfach nur ein haufen (shell) variablen die auf irgendwelche
werte gesetzt werden. zugegeben, vermutlich werden diese variablen
dann in einem script verwendet.

schau dir mal die links an die Klaus_T gepostet hat, und lies die
manpages fuer ipchains (kernel 2.2) oder iptables (kernel 2.4).
der 2.4er unterstuetzt auch compatibilitaet zu ipchains, aber wenn
du sowieso alles neu schreibst kannst du gleich zum neuen tool
wechseln.

die moral... es hat keinen sinn so ein vorgefertigtes zeugs
zu verwenden, grade dann wenn man sicherheit auch wirklich
gewaehrleisten will. man sollte die scripte selbst schreiben, dann
weiss man was wirklich passiert und lernt auch damit umzugehen.
(und muss nicht bei jeder aenderung bei nickles posten ;))

noch eine randbemerkung: oftmals braucht man gar keine firewall,
masquerading und richtig konfigurierte rechner alleine reichen.



hoffe ich konnte dir helfen ohne dich zu vergraemen,


RAO

bei Antwort benachrichtigen
(Anonym) RAO „hey Benedict, ich will dich nicht beleidigen oder so, aber mein gefuehl sagt mir...“
Optionen

Ahoi,

ich will dich auch nicht beleidigen, aber das einzig konstruktive von dir, ist der Verweis auf Links eines anderen und ein paar Manpages.

Wenn man Neuerrungen, welche Einsteigern helfen sollen, so runter macht, dann wird sich Linux weiterhin schwer tun.

Komisch das es immer Leute geben muss, die Fragen eines anderen dazu nutzen sich selbst zu produzieren.

Jedenfalls hat dein Beitrag nicht die Spur geholfen. Na ja wahrscheinlich hast du die Konfigurationsdatei noch nie gesehen, über die du dich so herzlich auslässt.

Nichts für ungut :-)

Gruß Benedict

bei Antwort benachrichtigen
AxelE Benedict „Firewall blockt internes routen“
Optionen

Hi,

das Script /sbin/init.d/firewall wertet ab Suse 6.4 diese Variablen aus.

FW_PROTECT_FROM_INTERNAL="no" läßt den Rechner nach innen offen
FW_PROTECT_FROM_INTERNAL="yes" 'schützt' rechner auch nach innen

Mit der Definition:
FW_DEV_WORLD="ppp0"
FW_DEV_WORLD_ppp0="192.168.0.1 255.255.255.0"
Wird beim starten des Scripts ein Modemdevice ppp0 up gesetzt, welches du sicher nicht hast. Trage hier die DSL-NIC ein (ethX)
(X=devicenummer)Wenn Du NIC's bei 0 beginnend eingerichtet hast, ist bei Deinen Daten eth0 die DSL card. Oder sind eth0-eth3 die vier internen und eth4 Deine fünfte DSL-card?

Hier definierst Du, welche Netze oder Rechner nach außen maskiert werden sollen:
FW_MASQ_NETS="192.168.0.0/16 192.168.10.0/24 192.168.14.0/24 192.168.21.0/24"

und die Maskierung findet für dieses device statt:
FW_MASQ_DEV="$FW_DEV_WORLD" (also bei der nach außen gerichteten NIC; in Deinem Fall noch ppp0)

Für alles weitere und die genaue Wirkungsweise schließe ich mich meinen Vorgängern an.

Cu Axel

bei Antwort benachrichtigen
(Anonym) AxelE „Hi, das Script /sbin/init.d/firewall wertet ab Suse 6.4 diese Variablen aus....“
Optionen

Ahoi und danke für die Antwort :-)

Mit dem eth0 anstelle von ppp0 hab ich es schon ausprobiert, leider ohne Erfolg. Hab in einer Zeitung gelesen,daß die Firewall mit eth0 nicht zurechtkommen würde. Dort wurde ppp0 vorgeschlagen.

FW_MASQ_DEV="$FW_DEV_WORLD"

Das könnte es sein :-)Werde es direkt anfang der Woche , wenn ich wieder am Rechner bin ausprobieren.

Vielen dank für den konstruktiven Vorschalg

Benedict

bei Antwort benachrichtigen
RAO Benedict „Firewall blockt internes routen“
Optionen

hehe, benedict, linux tut sich schwer? nee, nee. du tust dir schwer mit linux. ;) sorry, das konnt ich mir jetzt nicht verkneifen. ich bleib dabei, es hat ueberhaupt keinen sinn dieses "zeugs" zu verwenden. wenn man wirklich eine ipchains/ iptables "firewall" haben will, gibt es nur einen weg, die manpages und eventuell vorhandene HOWTOs zu lesen. du findest alle linux HOWTOs auf "linuxdoc.org". du darfst mich nicht falsch verstehen, und ich will mich auch nicht produzieren ... nur, wenn es wirklich richtig gemacht werden soll, muss man ahnung davon haben. ansonsten ist man mit dem ergebnis bloss unzufrieden. wenn du nicht die zeit hast, oder einfach keine lust, musst du dir das komplett von einem "fachmann" einrichten lassen. siehst du meinen punkt? ich glaube durchaus, dass es konstruktiv ist, jemanden daraufhinzuweisen, dass er die dokumentation lesen und alles _selber_ verstehen muss. ich finde diesen thread ganz interessant und wuerde mich ueber eine antwort von dir sehr freuen. sag mir bitte ob du mich verstehst, und gegebenenfalls warum du nicht meiner meinung bist. cu, RAO

bei Antwort benachrichtigen
Benedict RAO „hehe, benedict, linux tut sich schwer? nee, nee. du tust dir schwer mit linux....“
Optionen

Ahoi,

ich denke es ist eher deine Art und Weise gewesen, die mich aufgeregt hat. Ich versuche auch soviel wie möglich von Hand zu erledigen, alleine weil ich Linux "auch" als eine Art Strategiespiel sehe, in dem ich immer besser werden will.

z.B. ein " Ahoi , ich kann dir bei deinem konkreten Problem nicht helfen , aber versuch es doch mal mit einem eigenen Scripts....." wäre eine gute Antwort gewesen , die wohl den Sinn deines Threads auch entsprochen hätte.

Wenn jemand Hilfe sucht , braucht er keine Belehrung. Mir liegt es schwer im Magen, dass einem Newbie oft der Spaß an Linux genommen wird, weil er gleich eins auf den Deckel bekommt (selbst wenn es nicht so gemeint war), wenn er nur die zweit oder dritt beste Lösung herausgefunden hat. Dazu kommt noch, dass wir alle unterschiedlich Anforderungen ans System haben.

Mir würde ein automatisch erstelltes Script vorerst sicher reichen. Vor allem, weil ich einer bin, der gerne eine schnelle Lösung hat , die er dann verfeinern oder gegen eine Bessere austauschen kann. Wo wir bei unterschiedlichen Lerntypen wäre. Mir hilft z.B. ein Howto mit einem guten Beispiel (optimal mit Anmerkungen) viel mehr, etwas zu verstehen, als ein dickes Buch.

Zum Thema Fachmann kann ich nur sagen : Ich will keinen holen , sondern einer werden. Leider haben viele der Fachmänner vergessen , dass sie mal wie ich waren. Irgendwas zwischen Newbie und Fachmann.

Wichtig ist eigentlich nur, dass man hier konkret bleibt. Entweder am Problem selbst oder an der besseren Lösung. Grundsatzfragen kann man wie hier jetzt diskutieren, sollten aber nicht
bei Hilfegesuchen Einfluss nehmen.


Gruss

Benedict



PS: Mein Problem ist immer noch nicht gelöst und es kann sicher auch nicht für einen Fachmann falsch sein, dieses Problem lösen zu können.

bei Antwort benachrichtigen
RAO Benedict „Firewall blockt internes routen“
Optionen

was ich vergessen hab: ja es stimmt, .. genau habe ich die konfigurationsdatei wirklich nicht angeschaut (und hab auch noch nie eine aehnliche genauer angeschaut). das ist mir viel zu verwirrend. es ist *wesentlich* einfacher ein eigenes script zu schreiben. letztenendes macht das SuSE-system naemlich auch nichts anderes als ein paar "ipchains -bla bla -bla" auszufuehren. (ja, das kann ich wissen - auch ohne eine SuSE installation zu haben :))

bei Antwort benachrichtigen
RAO Benedict „Firewall blockt internes routen“
Optionen

na komm schon ...

ein "Ahoi, danke fuer den hinweis, aber ich suche eine
schnelle loesung / ich will das jetzt nicht lernen /
hab keine zeit.." oder etwas aehnliches waere doch
deinerseits die angebrachte antwort gewesen.

aber vermutlich liegt der fehler bei mir, ich konnte
dir in zwei postings meinen standpunkt kein bisschen
naeher bringen.


nichts fuer ungut,..

RAO

bei Antwort benachrichtigen