[Ubuntu/iptables]T.net onbereikbaar

[Syzzer]

Ik gebruik een Ubuntu server als router voor mijn internetverbinding. Ik zit in een studentencomplex in Delft, met internet van de TU. Dit houdt in dat mijn router 2 netwerken moet forwarden: het complexnetwerk (aangesloten op eth0) en mijn internetverbinding (ppp0, een PPPoE verbinding over eth0). Hiervoor gebruik ik iptables en het werkte prima. De harddisk van mijn server was echter brak, dus heb ik op de HCC dagen een nieuwe aangeschaft en heb ik maar gelijk een nieuwe install gedaan (betere partitieindeling etc).

Bij de nieuwe install krijg het echter niet compleet aan te praat; sommige sites zijn onbereikbaar. Het lijkt erop dat dit allen sites zijn die achter een loadbalancer zitten, zoals t.net.

Na uren zoeken, vechten met iptables en vloeken kwam ik op het idee op de oude harddisk er weer even aan te hangen, et voila, alles werkte weer. iptables-save gedaan, nieuwe harddisk aangesloten, iptables-restore, maar wederom hetzelfde probleem.

De iptables settings die werkten op me oude install (zoals iptables-save ze export):

# Generated by iptables-save v1.3.3 on Thu Dec 28 01:29:51 2006
*mangle
:PREROUTING ACCEPT [131:14027]
:INPUT ACCEPT [129:13770]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [157:11455]
:POSTROUTING ACCEPT [157:11455]
COMMIT
# Completed on Thu Dec 28 01:29:51 2006
# Generated by iptables-save v1.3.3 on Thu Dec 28 01:29:51 2006
*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [157:11455]
-A INPUT -i ! ppp0 -j ACCEPT
-A INPUT -p tcp -m tcp --tcp-flags ACK ACK -j ACCEPT
-A INPUT -m state --state ESTABLISHED -j ACCEPT
-A INPUT -m state --state RELATED -j ACCEPT
-A INPUT -p udp -m udp --sport 53 --dport 1024:65535 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 4 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 12 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A FORWARD -i eth1 -j ACCEPT
-A FORWARD -i ppp0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
COMMIT
# Completed on Thu Dec 28 01:29:51 2006
# Generated by iptables-save v1.3.3 on Thu Dec 28 01:29:51 2006
*nat
:PREROUTING ACCEPT [16:2865]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [1:59]
-A POSTROUTING -o eth0 -j MASQUERADE
-A POSTROUTING -o ppp0 -j MASQUERADE
COMMIT
# Completed on Thu Dec 28 01:29:51 2006

Voor de rest heb ik in /etc/sysctl.conf net/ipv4/ip_forward=1 geuncomment om packet forwarding te activeren. Ook net/ipv6/ip_forward=1 en net/ipv4/tcp_syncookies=1 heb ik al geprobeerd, maar hielp niet.

Welke koning helpt mij verder?

[blaataaps]

Als sommige sites wel werken, en andere niet, zou ik eens naar Explicit Congestion Notification kijken

[Syzzer]

Ik heb even zitten lezen over ECN, maar zie niet in wat ik hiermee moet. Heeft het iets te maken met mijn constatering dat sites achter loadbalancers niet werken? Ik heb iets meer hulp nodig ben ik bang.

[Syzzer]

Na een tip van iemand anders erachter gekomen dat de MTU size van mijn pppoe verbinding te hoog stond voor masquerading; MTU van 1496 naar 1412 gezet in mijn verbindingsinstellingen en het werkt!

Bedankt voor de moeite!