[Gentoo & Iptables]Een paar probleempjes

[LollieStick]

Hallo,

Ik ben bezig een firewall met masquerading op te zetten op mijn router. Ik maakte voorheen altijd gebruik van kant en klare scripts maar wil er nu zelf mee aan de gang.

Ik heb een complete ruleset gemaakt m.b.v. Webmin en een voorbeeld hier.

Het probleem wat ik nu heb is dat ik:

1.) geen internet heb vanaf de clients
2.) de locale interface niet kan pingen vanaf de server (ping 192.168.0.1 geeft permission denied)
3.) ik wel kan pingen vanaf de server naar een willekeurige host maar m.b.v. van wget niets er af kan trekken.

Ik kan wel andere clients pingen en de server is zelf ook te pingen van binnenuit. Als het goed is is dit van buitenaf uitgeschakeld.

Mijn configuratie staat momenteel hier

[asing]

Tipje : ik heb mijn firewall gebouwd met FWBuilder (www.fwbuilder.org). Die is grafisch, en je kunt je config opslaan. Waarschijnlijk heb je je firewall te strak staan.

[Sendy]

En wat heb je geprobeerd om zelf de problemen op te lossen? Met een handleiding en wat nadenken zullen de problemen toch wel te verhelpen zijn?

Waarom ben je afgestapt van die kant-en-klare scripts? Waarom heb je die niet uitgebreid?

[LollieStick]

1.) de site die ik je gaf is een handleiding
2.) het kant-en-klare script is niet meer te verkrijgen vanaf die site. Enkel de losse voorbeeldjes.

[freggy]

Zonder je setje iptables regels die je hebt gebruikt, is het nogal moeilijk voor ons om te weten waarom het niet werkt, niet?

Ik zou anders een Shorewall proberen. Bestaan ook goeie howto's van, en is zeer handig in gebruik. Als je toch per se met iptables aan de slag wil, neem dan de Netfilter Howto's eens door.

[LollieStick]

Freggy schreef op zaterdag 26 maart 2005 @ 20:37:
Zonder je setje iptables regels die je hebt gebruikt, is het nogal moeilijk voor ons om te weten waarom het niet werkt, niet?

Zelfs dat heb ik al in de TS gezet. Nogmaals: hier is de configuratie van IP-tables momenteel.

Shorewall is een optie maar daar heb ik helemaal geen kaas van gegeten. Het beetje Iptables kennis dat ik had heb ik meegenomen hierin en begin het nu aardig door te krijgen.

Ik snap dus alleen niet hoe het komt dat ik op bovenstaande problemen stuit.

[Seth4Chaos]

LollieStick schreef op zaterdag 26 maart 2005 @ 00:54:
1.) geen internet heb vanaf de clients

das niet zo gek:

code:

:FORWARD DROP [255:12080]

en geen enkele FORWARD rule die de clients wel toegang geeft

2.) de locale interface niet kan pingen vanaf de server (ping 192.168.0.1 geeft permission denied)

code:

:OUTPUT DROP [7:588]

output standaard op drop? of je moet een super beveiligde server hebben die alleen specifiek contact mag hebben met de buitenwereld anders zet je meestal OUTPUT standaard op accept.

3.) ik wel kan pingen vanaf de server naar een willekeurige host maar m.b.v. van wget niets er af kan trekken.

voor pingen geef je toestemming:

code:

[4:336] -A OUTPUT -o eth0 -p icmp -m icmp --icmp-type 8 -j ACCEPT

voor contact met poort 80 zover ik kan zien niet.

verder zie ik wel erg veel flaggetjes staan in je script (zou kunnen kloppen, heb het niet geanalyseerd) maar volgens mij klopt dit niet helemaal.

Als ik het zo zie lijkt het me toch handiger dat je de adviezen van hierboven opvolgt en danwel shorewall gebruikt danwel FWBuilder. Dan kan je altijd de output die deze script/proggies produceren gaan doorlezen en begrijpen wat er staat.

[SandStar]

http://www.gentoo.org/doc/en/home-router-howto.xml

Vrij duidelijke uitleg van Gentoo zelf
Misschien dat dat helpt

[LollieStick]

Ok, een aantal dingen klopten inderdaad niet. Met name ook de flags had ik het één en ander door elkaar gehaald.

Ik heb nu internet op mijn eigen PC achter de router. De INPUT policy op eth0 is DROP. Op lo en eth1 is dit ACCEPT.

FORWARD en OUTPUT policies staan ook op ACCEPT zonder verdere rules voor alle interfaces.

Nieuwe configuratie hier te vinden (INPUT).

Het downloaden op de clients vanaf een http server gaat traag. Zo 30kb/s vanaf een snelle server. Van een snelle FTP server is de snelheid echter maar 2kb/s (!).

Hier op tweakers en op google heb ik al gezocht waaraan dit kan liggen, maar ben nog niets relevants tegen gekomen.

De modules voor FTP over NAT zijn geladen. Ook zonder deze modules is de snelheid bijzonder traag (nog trager zelfs en ik kan dan geen filelist opvragen).

Heeft iemand, aan de hand van de configuratie, een idee wat het kan zijn?

tnx

edit:

Wat ik vergeten ben te vermelden is dat ik op de router zelf geen internet heb. De clients achter de router dus wel. Ik heb ook nog geen oplossing gevonden om dit op te lossen. Misschien iemand die dat weet?

[ Voor 19% gewijzigd door LollieStick op 27-03-2005 23:39 ]

[Seth4Chaos]

LollieStick schreef op zondag 27 maart 2005 @ 23:10:
De INPUT policy op eth0 is DROP.

Wat ik vergeten ben te vermelden is dat ik op de router zelf geen internet heb.

Als je je input policy op drop zet (en daar geen regels bij zet) dan kan er geen enkel verkeer de router in gaan, dus heeft de router idd geen internet. Wat je moet doen is een regel toevoegen die 'established' verkeer (dus verkeer dat refereert naar eerder verkeer) toelaten, dus iets van:

code:

${IPTABLES} -A INPUT   -m state --state ESTABLISHED,RELATED -j ACCEPT

overigens zou ik dit ook doen met je FORWARD, maar dat is een keuze.

ps. volhouden is inderdaad wel de beste manier om het te leren

[LollieStick]

Helaas, ik heb de regel toegevoegd maar het geeft geen resultaat.

De FORWARD heeft als default policy ACCEPT ongeacht de interfaces, dan hoef ik toch niet te definieren dat hij onder bepaalde voorwaarden moet forwarden?

Ik heb dus alleen de INPUT aangepast en op DROP gezet met uitzonderingen zoals hierboven beschreven.

[Seth4Chaos]

Wat je moet doen (on te 'debuggen') is overal log regels toevoegen voordat je iets dropt danwel reject, dus:

code:

${IPTABLES} -A INPUT -s 1.2.3.4 -j LOG --log-prefix="iptables: host 1.2.3.4! "
${IPTABLES} -A INPUT -s 1.2.3.4 -j DROP

dan kan je de volgende regel (als laatste) nog toevoegen zodat je ziet wat er aan het einde van je INPUT komt (en dus door de default gedropt zal worden)

code:

${IPTABLES} -A INPUT -j LOG --log-prefix="iptables: einde INPUT! "

mm toen ik even naar het plaatje ging kijken leek het erop alsof je FWbuilder gebruikt en je chain begint met een drop, deze zou ik naar beneden verplaatsen. iptables werkt zo als die een match vindt voert die die uit en zal die niet verder gaan. die drop (default) moet dus helemaal onderaan staan.

[LollieStick]

Het werkt

Door de DROP naar onderen te verplaatsen
Ook FTP en het downloaden gaat nu sneller (50/100kb/s).
Ik ben er achter gekomen dat dit met de Gentoo boot cd ook niet sneller gaat.
@home zal wel ergens een probleempje hebben.

Ik wacht het nog even af. Ik kan nu tenminste een beetje fatsoenlijk internetten

tnx

PS. het was geen FWbuilder maar Webmin

[M@rijn]

LollieStick schreef op zaterdag 26 maart 2005 @ 18:03:
1.) de site die ik je gaf is een handleiding
2.) het kant-en-klare script is niet meer te verkrijgen vanaf die site. Enkel de losse voorbeeldjes.

Volgens mij stonden de complete scripts nog op het nedlinux Wiki dus hierbij een link ernaar toe:

http://wiki.nedlinux.nl/index.php?page=NetFilterScripts