IPtables errors onder embedded 2.4

[Petervanakelyen]

Ik heb mijn 2de MIPS-bookje (TrendTac) nieuw leven weten in te blazen door er een versie van de embedded software op te flashen waarin SSH standaard enabled is. Ik zou graag van dit dingetje een simpele NAT-router willen maken met IPtables.

Het lijkt er echter op dat er hier en daar iets aan de config niet goed zit. Een "modprobe ip_tables" geeft geen errors, maar met "iptables --flush" krijg ik al onmiddelijk volgende error:

iptables v1.3.8: can't initialize iptables table `filter': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.

En daar zit het probleem. Er is wel een 2.6-kernel beschikbaar, maar omdat WiFi-support voor dit ding daar nog niet 100% stabiel voor is, ben ik aangewezen op de 2.4 kernel. IPtables upgraden is misschien wel een optie, maar ik heb geen zin weer een package daarvoor te gaan samenstellen. Onder Debian Etch doet hij het overigens ook wel goed, maar ook daar is de WiFi-support redelijk brak.

Iemand suggesties?

[deadinspace]

De filter table wordt geleverd door een aparte module, iptable_filter, misschien moet je die nog laden. Normaalgesproken wordt die automatisch geladen als het iptables commando die nodig heeft, maar misschien dat autoloading niet aanwezig is op dat embedded systeem, of dat de autoloading op dat systeem niet overweg kan met (de namen van modules van) een 2.4 kernel.

Het zou dus kunnen dat die module onder 2.4 kernels anders heet, misschien dat je de juiste module(s) kunt achterhalen met iets als

find /lib/modules | grep ipt

[Petervanakelyen]

Dat geeft als output:

/lib/modules/2.4.20-celf3/kernel/net/ipv4/netfilter/ipt_MASQUERADE.o
/lib/modules/2.4.20-celf3/kernel/net/ipv4/netfilter/iptable_nat.o

Waar ik dus zou mogen uit afleiden dat het gewoon over de module "iptable_nat.o" gaat?
Na het modproben daarvan echter nog steeds dezelfde error.

[CAPSLOCK2000]

Op mijn (veeeeel nieuwere) systeem heb ik de volgende lijst:./ip_queue.ko
[cmd]
casper@raki:/lib/modules/2.6.34-1-amd64/ > find|grep ipt
./kernel/net/ipv4/netfilter/ipt_addrtype.ko
./kernel/net/ipv4/netfilter/ipt_CLUSTERIP.ko
./kernel/net/ipv4/netfilter/ipt_REDIRECT.ko
./kernel/net/ipv4/netfilter/iptable_nat.ko
./kernel/net/ipv4/netfilter/ipt_REJECT.ko
./kernel/net/ipv4/netfilter/iptable_mangle.ko
./kernel/net/ipv4/netfilter/ipt_ECN.ko
./kernel/net/ipv4/netfilter/ipt_NETMAP.ko
./kernel/net/ipv4/netfilter/ipt_ULOG.ko
./kernel/net/ipv4/netfilter/iptable_raw.ko
./kernel/net/ipv4/netfilter/iptable_filter.ko
./kernel/net/ipv4/netfilter/ipt_LOG.ko
./kernel/net/ipv4/netfilter/ipt_ah.ko
./kernel/net/ipv4/netfilter/iptable_security.ko
./kernel/net/ipv4/netfilter/ipt_MASQUERADE.ko
./kernel/net/ipv4/netfilter/ipt_ecn.ko
<knip>
[/cmd

Het gaat me om de file iptable_filter; jij hebt hem niet.
Het kan overigens dat jouw kernel die driver heeft ingebouwd in plaats van een losse module.
Ik vermoed dat je een driverpackage moet bij installeren.

[Petervanakelyen]

Probleem is een beetje dat het over een embedded systeempje gaat en je niet zomaar spul kan gaan bij installeren. Enkel voor Debian Etch-packages kan je met relatief weinig moeite een package voor dit ding samenstellen. Het gekke is dat ik in de Debian-repo's helemaal geen "iptables" package kan vinden voor Etch.

[Borromini]

Petervanakelyen schreef op maandag 02 augustus 2010 @ 18:29:
Dat geeft als output:

/lib/modules/2.4.20-celf3/kernel/net/ipv4/netfilter/ipt_MASQUERADE.o
/lib/modules/2.4.20-celf3/kernel/net/ipv4/netfilter/iptable_nat.o

Waar ik dus zou mogen uit afleiden dat het gewoon over de module "iptable_nat.o" gaat?
Na het modproben daarvan echter nog steeds dezelfde error.

Niet echt, als de foutmelding over filter gaat dan wil hij toch filter?

root@zeus:~# opkg list_installed |grep ipt|grep filter
iptables-mod-filter - 1.4.6-2
kmod-ipt-filter - 2.6.32.10-1
root@zeus:~# find /lib/modules/2.6.32.10/ -name "*filter*"
/lib/modules/2.6.32.10/ip6table_filter.ko
/lib/modules/2.6.32.10/iptable_filter.ko

Ik vrees dat de kernel die je gebruikt geen filter-ondersteuning voor iptables heeft.

Misschien kan je OpenWrt er wel op proberen? Of een andere (niet-Debian) distro die ook een MIPS-port heeft en zich meer op networking/routering richt, maar ik weet niet of ClarkConnect/ClearOS en consoorten MIPS-varianten hebben... Of anders een volledige 2.4 Debian-kernel installeren op de bestaande installatie, ik vrees dat de userland een beetje gaat breken als je een 2.6-kernel voor MIPS installeert...

[ Voor 33% gewijzigd door Borromini op 02-08-2010 19:42 ]

[Petervanakelyen]

Ik heb geen idee hoe ik OpenWRT of enige andere distro hierop krijg. De kernel is ook embedded en is op een ander gedeelte van de NAND geflashed dan de OS-image. Op dit moment is er wel een werkende 2.6-kernel, maar jammer genoeg kan ik die dus niet gebruiken omdat er geen fatsoenlijk WiFi-support in zit en ik natuurlijk nog steeds geen werkend scherm heb. Ik heb met erg veel moeite de OS-image weten aan te passen voor SSH-toegang.

[deadinspace]

Petervanakelyen schreef op maandag 02 augustus 2010 @ 18:29:
Dat geeft als output:

/lib/modules/2.4.20-celf3/kernel/net/ipv4/netfilter/ipt_MASQUERADE.o
/lib/modules/2.4.20-celf3/kernel/net/ipv4/netfilter/iptable_nat.o

Dan lijkt het erop dat die kernel geen ondersteuning heeft voor de filter table. Als ik de 2.4.19 mips kernel image uit Debian Woody (woody, pff, 2.4.20 is oud zeg...) bekijk, dan zie ik de volgende netfilter modules:

/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_MIRROR.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_REJECT.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_ULOG.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_REDIRECT.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_ah.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_multiport.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_tos.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_length.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_owner.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_state.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/iptable_nat.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_unclean.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_tcpmss.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_TOS.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_MARK.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_ttl.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_limit.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_TCPMSS.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/iptable_filter.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_MASQUERADE.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_mark.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/iptable_mangle.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_esp.o
/lib/modules/2.4.19-r5k-ip22/kernel/net/ipv4/netfilter/ipt_LOG.o

Onder 2.4 heet die module dus ook iptable_filter.

Maar... Jij hebt wel iptable_nat en ipt_MASQUERADE, en volgensmij is dat alles wat je nodig hebt voor NAT. Probeer eens gewoon NAT op te zetten?

CAPSLOCK2000 schreef op maandag 02 augustus 2010 @ 18:53:
Het gaat me om de file iptable_filter; jij hebt hem niet.
Het kan overigens dat jouw kernel die driver heeft ingebouwd in plaats van een losse module.

Als dat zo was, dan kreeg hij die foutmelding niet

[Petervanakelyen]

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

Dat lukt nog. Maar bij het uitvoeren van...

iptables -A FORWARD -i eth1 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT

...krijg ik jammer genoeg weer dezelfde error.
Hoe zit het bij NAT overigens met DHCP? Wordt dat automatisch verzorgd door iptables?

[lamko]

Misschien geen antwoord op je vraag maar waarom niet gewoon een los usb stickje voor wireless met fatsoenlijke 2.6 ondersteuning. Zie ook deze link http://www.liliputing.com...adding-a-wifi-dongle.html waar hij mooi in de behuizing is weggewerkt.
15 euro voor n stickje plus leuk knutselwerk en een werkend iets hebben is toch veel meer waard dan met een outdated kernel om zitten te klooien naar iets wat toch niet gaat werken.

just my 2 cents

[Petervanakelyen]

Ik ben je voor, dat stickje zat bij mij een jaar geleden al ingebouwd
Probleem is dat er in de huidige 2.6.24-kernel een vervelende ZyDAS-bug zit waardoor alle netwerken met 100% signaal worden weergegeven en WiFi uitvalt bij het dimmen van de backlight (wat automatisch gebeurd). Verre van stabiel voor WiFi-gebruik dus.

[deadinspace]

Petervanakelyen schreef op dinsdag 03 augustus 2010 @ 17:54:

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

Dat lukt nog.

Dan zou NAT moeten werken volgensmij.

Maar bij het uitvoeren van...

iptables -A FORWARD -i eth1 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
/sbin/iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT

...krijg ik jammer genoeg weer dezelfde error.

Mmja, da's weer in de filter table. Zonder heb je ook wel werkende NAT, het is alleen niet zo netjes; je FORWARD chain staat dan wijdopen, wat niet ideaal is.

Hoe zit het bij NAT overigens met DHCP? Wordt dat automatisch verzorgd door iptables?

Nee, daarvoor moet je een DHCP server draaien, zoals dhcpd of dnsmasq.

Petervanakelyen schreef op dinsdag 03 augustus 2010 @ 23:24:
Ik ben je voor, dat stickje zat bij mij een jaar geleden al ingebouwd
Probleem is dat er in de huidige 2.6.24-kernel een vervelende ZyDAS-bug zit [...]

Hmm, maar 2.6.24 is ook al oud, we zitten inmiddels op 2.6.35. Zou die bug inmiddels niet verholpen kunnen zijn?

[lamko]

Ik heb het ook over een 'fatsoenlijk' stickje dus voor jouw een zonder zydas chipset en zonder bug
En met ^ eens stel dat je bug al opgelost is ?

[Petervanakelyen]

De meest recente kernel voor deze is 2.6.31, en op dit moment is die zo kaal dat er zelfs geen SD-card support voor is. Ik heb ook een Ralink RT73-stickje, maar het zou wel een pak meer netjes zijn moest ik de (inmiddels ingebouwde) stick kunnen gebruiken. Vergeet niet dat je de kernel niet zomaar kan upgraden.

Ik zal overigens morgen eens experimenteren met dhcpd en zien of ik al iets werkend kan krijgen.

[ Voor 13% gewijzigd door Petervanakelyen op 04-08-2010 00:46 ]

[igmar]

Petervanakelyen schreef op zondag 01 augustus 2010 @ 22:07:

iptables v1.3.8: can't initialize iptables table `filter': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.

Op 2.4 bestond er ook nog ipchains. Je hebt kans dat die kernel alleen dat snapt.