[firewall] freebsd en ipcop

[jealma]

In de huidige situatie heb ik xs4all-only met een speedtouch 546i (isdn) in bridging modus. Mijn ip-adres wordt toegewezen aan een interface van een firewall die de linux-distributie IPcop draait. Bij IPcop krijg ik netjes mijn IPadres en de hostname die ik via XS4ALL heb ingesteld.

Ik wil de firewall met IPcop gaan vervangen door een andere firewall die FreeBSD gaat draaien met daarop de PF (packet filter) firewall van OpenBSD. Ik krijg echter met geen mogelijkheid verbinding met het internet. Dezelfde kabel die normaal naar de IPcop gaat, gaat nu naar de FreeBSD server; ik krijg netjes weer het IPadres van XS4ALL, zelfs de primary en secondary DNS worden gegeven, maar ik heb geen internet. Tevens geeft FreeBSD bij het configureren via sysinstall aan dat het "ipv4 gateway adres" invalid is (194.109.5.230). Mijn IP-adres van xs4all is 82.xx.xxx.xx . Als ik zo'n soort adres als gateway typ (wat neit bestaat), accepteert sysinstall het adres wel, maar dat adres is natuurlijk fictief en kan ik niet gebruiken.

Ik heb ook OpenBSD geprobeerd, maar ik krijg exact hetzelfde probleem. Wel het IP-adres, de primary en secondary DNS en gateway; geen internet.

Zodra ik het kabeltje weer in de IPcop plug heb ik weer internet.

Iemand suggesties?

[jealma]

Het lijkt erop dat ik iets verder ben met het probleem:

Als ik een windows-pc regelrecht achter mijn speedtouch hang, zodat deze pc het externe IP-adres van XS4ALL krijgt, krijg ik netjes een IP, een netmask, gateway en 2 DNS-servers. Het internet werkt dan ook. Als ik boot met een knoppix-cd en ik doe hetzelfde, werkt het niet, terwijl ik dezelfde gegevens krijg. Evenzo met OpenBSD en FreeBSD. Het lijkt erop dat de gateway in hetzelfde subnet moet liggen als het IP-adres ofzo, maar de gateway die ik van XS4ALL krijg moet wel werken.

Volgens http://www.bsdforums.org/forums/showthread.php?t=351 kun je met

code:

route add default 194.109.5.230

de gateway toevoegen, maar dat accepteren ze ook niet.
Wie kan me helpen? Want met IPcop, wat ook linux is, doet het perfect en gebruikt ook mijn IP-adres, gateway en DNS die hij van XS4ALL krijgt.

[GraveR]

En als je dit probeert:

route add -net 194.109.5.230/32 -interface -cloning
route change default 194.109.5.230
of
route add default 194.109.5.230

[jealma]

GraveR schreef op zondag 18 februari 2007 @ 16:25:
En als je dit probeert:

route add -net 194.109.5.230/32 -interface -cloning
route change default 194.109.5.230
of
route add default 194.109.5.230

Werkt niet. Bij de eerste geeft ie aan dat er een syntax-fout is, bij de tweede kent ie de change-parameter niet (wel add en del), en de derde geeft ie aan dat het adres niet geldig is.

[GraveR]

jealma schreef op zondag 18 februari 2007 @ 18:16:
[...]


Werkt niet. Bij de eerste geeft ie aan dat er een syntax-fout is, bij de tweede kent ie de change-parameter niet (wel add en del), en de derde geeft ie aan dat het adres niet geldig is.

Dat die 2 laatsten mislukken, komt omdat de eerste mislukt

Ik zag dat de syntax mogelijk wat gewijizigd is in de nieuwere versies:

Werkt dit:

route add -net 194.109.5.230/32 -iface <naamnetwerkadapter*> -cloning

Eventueel zonder -cloning

Het zit namelijk wel in die richting. Je moet eerst zorgen dat ie 194.109.5.230 rechtstreeks kan benaderen. Dat doet dus die -iface

* bijvoorbeeld fxp0, em0, rl0, (zie ifconfig)

[ Voor 15% gewijzigd door GraveR op 18-02-2007 18:50 ]

[jealma]

Nope werkt ook niet. Ik krijg via geen enkele BSD distro een verbinding met internet. Heb ook de pfSense firewall, die gebaseerd is op MoNoWall en FreeBSD geprobeerd. Ik boot met de live-cd en stel de LAN en WAN interface in. Het IP-adres en de DNS-servers van XS4ALL komen netjes via DHCP op de WAN interface, maar geen internet. Ik kan vanuit de firewall bijna niets pingen:

code:

ping 10.0.0.138 werkt (firewall naar speedtouch)
ping 194.109.5.230 werkt (firewall naar gateway xs4all)
ping 194.109.6.66 doet niets (firewall naar DNS van xs4all)

Heb ook geprobeerd om het IP-adres statisch in te stellen op exact dezelfde manier als ik de gegevens van XS4ALL via DHCP krijg, maar dan kan ik de gateway niet meer pingen. Het gedeelte met route add -net en route change accepteert de firewall wel, hij voert de commando's ook met success uit, maar ik kan zelfs dan de gateway van XS4ALL niet pingen.

Tevens heb ik geprobeerd om het MAC-adres van mijn IPcop voor de pfSense firewall te gebruiken, aangezien ik had gelezen dat bij sommige routers en dergelijke het oude MAC-adres nog in de ARP-cache zou blijven hangen, echter werkt dit ook niet. Tevens maakt het MAC-adres niet uit, omdat ik met een windows-xp machine meteen op internet kan met de DHCP-lease van XS4ALL.

Wie weet wat ik fout doe of wat er fout gaat? Ben volgens mij helemaal door mijn opties heen.

[jealma]

SCHOP!

[GraveR]

Huh, als je de gateway al kunt pingen ben je er al bijna

Als je de gateway kunt pingen, wat is dan de output van:

route -n get default

Aangezien je 10.0.0.138 kunt pingen, probeer dan het volgende:

route add -net 10.0.0.138/32 -interface fxp0 -cloning

(fxp0 vervangen door je interface)
(getest met FreeBSD poweredge.lan 6.2-RELEASE FreeBSD 6.2-RELEASE #7: Sun Jan 28 01:24:59 CET 2007)

Output moet dan worden:

[root@poweredge ~]# route add -net 10.0.0.138/32 -interface fxp0 -cloning     
add net 10.0.0.138: gateway fxp0

Als je "route: writing to routing socket: File exists" krijgt, dan wordt hierboven route add dus route change

En daarna:

route add default 10.0.0.138
of
route change default 10.0.0.138 in geval van "route: writing to routing socket: File exists"

Let wel, als je het beestje statisch instelt, word je subnetmask 255.255.255.255(!), zo zou het via DHCP ook moeten zijn.

[ Voor 77% gewijzigd door GraveR op 22-02-2007 00:01 ]

[jealma]

Dat route add -n default ga ik zo even proberen. Dan post ik wel wat de output is.

Let wel, als je het beestje statisch instelt, word je subnetmask 255.255.255.255(!), zo zou het via DHCP ook moeten zijn.

Ik krijg via DHCP een netmask van 255.0.0.0 hoor? Via mijn IPcop krijg ik ook dat subnetmask.

[GraveR]

Dubieus, dat netmask, maargoed.

Zorg er ook voor dat gateway_enable="YES" in /etc/rc.conf staat.

Dit zorgt ervoor dat ip forwarding aanstaat telkens als je opstart.

In de console kun je dat handmatig doen door 'sysctl net.inet.ip.forwarding=1' in te kloppen.

[jealma]

De output van "route -n get default"

code:

route to: default
destination: default
mask: default
interface: xl0
flags: <UP,DONE,CLONING,STATIC>
recvpipe sendpipe sstresh rtt,msec rttvar hopcount mtu expire
0 0 0 0 0 0 1500 -64

route add -net 10.0.0.138/32 -interface xl0 -cloning geeft:

code:

add net 10.0.0.138: gateway xl0

Daarna heb ik "route change default 10.0.0.138" gedaan.

Kon nog steeds 10.0.0.138 pingen, evenals de gateway van xs4all (194.109.5.230), maar geen DNS-servers of andere sites/hosts.

Daarna heb ik in plaats van die pfSense freebsd livecd de IPcop 1.4.11 cd in dezelfde pc gedaan, geboot en geinstalleerd. Dezelfde netwerkkaarten weer toegewezen aan het interne en externe netwerk, de netwerkkaart voor het externe netwerk (internet) weer op DHCP ingesteld en ik krijg van XS4ALL gewoon een IP-adres, DNS en gateway en ik kan zonder problemen alles pingen en op internet.

Het probleem ligt duidelijk bij BSD, want met zowel OpenBSD als FreeBSD als de livecd pfSense (op freebsd en monowall gebaseerde firewall) hebben hetzelfde probleem en doen helemaal niets nul noppes.

Ik weet niet wat ik nog moet doen, dus ik denk dat ik de helpdesk van XS4ALL maar eens ga bellen.

[jealma]

YAHOOOO ik heb het voor elkaar:

code:

ifconfig xl0 ***.***.***.***/32
route add -net 10.0.0.138/32 -interface ***.***.***.*** -cloning
route add default 10.0.0.138

Hierbij is ***.***.***.*** mijn externe IP-adres van XS4ALL; xl0 de naam van de netwerkkaart die verbonden is met het internet via de speedtouch; 10.0.0.138 is het adres van mijn speedtouch 546i.

@GraveR: Je zat er heel dicht bij, maar ik moet blijkbaar eerst het IP-adres van mijn xl0 interface statisch instellen, en idd met het netmask 255.255.255.255.

Nu loop ik tegen het volgende probleem aan: De verbinding is retetraag in de zin van 12 KB/s max. Moet ik nog iets aanpassen aan het MTU of iets dergelijks?