Linux ufw firewall instelling i.c.m. Nicotine+ hulp gevraagd

[StopEcocide]

Ik zit nu al een tijdje te klooien met terminal commando's die voor mij allemaal ingewikkelde output geven, en voordat ik de hele configuratie van mijn internetverbinding naar z'n grootje help vraag ik jullie hulp / expertise:

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

Hopelijk is mijn uitleg enigszins duidelijk... Als jullie verdere info nodig hebben hoor ik het graag. Alvast bedankt voor het meedenken. Dat waardeer ik.

[ Voor 6% gewijzigd door StopEcocide op 24-01-2025 22:02 ]

[Ruben279]

UPnP is een protcol om automatisch poorten te openen. Dat werkt niet met ufw dus je zal het idd handmatig moeten doen.

Kan het zijn dat die software niet TCP maar UDP is? Als je in ufw alleen maar 'ufw allow 2234' doet, opent ie die poort alleen maar voor TCP.
Dus voor de zekerheid ook nog even dit uitvoeren:

code:

sudo ufw allow 2234/tcp
sudo ufw allow 2234/udp

Maar eigenlijk mis je nog wel een uitleg of een tekening hoe je netwerk eruit ziet.
Want is de Linux doos waar je ufw op draait een eind device? En is het verkeer vanaf die Linux machine gezien inbound of outbound?

[MAX3400]

Let ook even op dat rekening moet houden met net.ipv4.ip_forward in /etc/ufw/sysctl.conf als je gebruikt maakt van ufw om te NAT'en.

En zoals @Ruben279 aangeeft; doe even een basale tekening van je netwerk en zeker op welk device ufw draait en op welk device Nicotine+ draait

[StopEcocide]

Ruben279 schreef op vrijdag 24 januari 2025 @ 22:16:
UPnP is een protcol om automatisch poorten te openen. Dat werkt niet met ufw dus je zal het idd handmatig moeten doen.

Kan het zijn dat die software niet TCP maar UDP is? Als je in ufw alleen maar 'ufw allow 2234' doet, opent ie die poort alleen maar voor TCP.
Dus voor de zekerheid ook nog even dit uitvoeren:

code:

sudo ufw allow 2234/tcp
sudo ufw allow 2234/udp

Maar eigenlijk mis je nog wel een uitleg of een tekening hoe je netwerk eruit ziet.
Want is de Linux doos waar je ufw op draait een eind device? En is het verkeer vanaf die Linux machine gezien inbound of outbound?

Bedankt voor je antwoord! Ik heb de twee commando's ingevoerd, maar helaas bleef de foutmelding.

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

MAX3400 schreef op vrijdag 24 januari 2025 @ 22:20:
Let ook even op dat rekening moet houden met net.ipv4.ip_forward in /etc/ufw/sysctl.conf als je gebruikt maakt van ufw om te NAT'en.

En ook jij bedankt

Jouw tips geven de volgende output:

code:

ubuntu@ubuntu:~$ sysctl net.ipv4.ip_forward
net.ipv4.ip_forward = 0
ubuntu@ubuntu:~$ cat /proc/sys/net/ipv4/ip_forward
0
ubuntu@ubuntu:~$ sysctl -w net.ipv4.ip_forward=1
sysctl: permission denied on key "net.ipv4.ip_forward", ignoring
net.ipv4.ip_forward = 1
ubuntu@ubuntu:~$ cat /proc/sys/net/ipv4/ip_forward
0

En zoals @Ruben279 aangeeft; doe even een basale tekening van je netwerk en zeker op welk device ufw draait en op welk device Nicotine+ draait

Ik voel me een n00b, want ik weet niet hoe ik deze laatste aanwijzingen moet uitvoeren.

[Hero of Time]

Is het wel verstandig om een Linux systeem als firewall te gebruiken als je geen basiskennis van Linux hebt? Het gebruik van 'sudo' is een van de eerste dingen die je leert.

Ik denk ook dat je vraag beter in Linux Clients past, dus ik verplaats het topic even. CSA -> LNX.

[MAX3400]

@StopEcocide als je sysctl wil wijzigen, doe je dat in het algemeen ook als sudo en/of je vi't of nano't de bijbehorende conf-file. Echter, zoals @Hero of Time probeert te duiden; je bent met sudo bezig om op het allerhoogste niveau van permissies zaken te configureren; veel (niet alle) deployments geven aan dat niet te doen in geval van onhandige zaken, breaches, etc.

Verder mis ik nog steeds een simpele uitleg van je netwerk?

[StopEcocide]

MAX3400 schreef op zaterdag 25 januari 2025 @ 10:50:
@StopEcocide als je sysctl wil wijzigen, doe je dat in het algemeen ook als sudo en/of je vi't of nano't de bijbehorende conf-file. Echter, zoals @Hero of Time probeert te duiden; je bent met sudo bezig om op het allerhoogste niveau van permissies zaken te configureren; veel (niet alle) deployments geven aan dat niet te doen in geval van onhandige zaken, breaches, etc.

Verder mis ik nog steeds een simpele uitleg van je netwerk?

Het spijt me, @MAX3400. Ik ben bang dat ik die simpele uitleg nog niet kan geven. Vandaar dat ik mijzelf als n00b bestempelde. Wat moet ik doen om jullie de gewenste info van mijn netwerk te geven?

Ik heb overigens inmiddels mijn laptop geformatteerd om helemaal opnieuw te beginnen. Ik heb gisteren echt te veel lopen kloten. Je hebt gelijk @Hero of Time dat het inderdaad niet verstandig is om te tweaken als ik geen basiskennis heb van de commands. Maar ik haal er voldoening uit om te leren van mijn fouten, dus ik neem het risico voor lief. Ik hoop dat jullie mij willen blijven helpen om het gewenste resultaat te behalen. Ik ben jullie nu al dankbaar voor alle hulp. Echt.

Ik heb de GUI van ufw gedownload en heb daar de applicatie Nicotine toegevoegd. Ik zie daar nu de volgende rules:

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

In mijn router zie ik bij Nicotine+ de volgende instellingen:

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

Misschien moet dit, zoals @Ruben279 al zei, ook in UDP gezet worden?

Kunnen jullie hier misschien iets mee? Ik hoor graag van jullie hoe, en als, ik andere info moet verstrekken (nogmaals ben ik niet erg ervaren, maar wel leergierig!).

Ruben279 schreef op vrijdag 24 januari 2025 @ 22:16:

Maar eigenlijk mis je nog wel een uitleg of een tekening hoe je netwerk eruit ziet.
Want is de Linux doos waar je ufw op draait een eind device? En is het verkeer vanaf die Linux machine gezien inbound of outbound?

Wat is een eind device? En hoe kom ik er achter of het verkeer inbound of outbound is?

[ Voor 21% gewijzigd door StopEcocide op 25-01-2025 12:29 ]

[Hero of Time]

Laten we eerst achterhalen hoe je netwerk nou zit. Want dat je nu constant bezig bent met UFW geeft ons het idee dat je een pc gebruikt als gateway/router voor je hele netwerk. Maar je noemt nu "inmiddels mijn laptop geformatteerd om helemaal opnieuw te beginnen", waardoor dat idee niet meer zo vanzelfsprekend is. Dus hoe zit het nou? Hoe verbind je met het internet?

Inbound en outbound verkeer is heel eenvoudig te achterhalen. Maak jij een verbinding naar iets, zoals Tweakers.net? Dan is je verkeer in eerste instantie outbound, jij maakt een verzoek voor verbinding. Dat je daarna gegevens ontvangt, is gerelateerd aan je initiële verzoek hiervoor.

Maakt iemand anders verbinding met jou zodat jij data moet sturen, dan is het inbound. Voor inbound verbindingen is het nodig om te weten op welke poorten er data verwacht wordt, dus moet dit ook toegestaan worden in een firewall. Voor thuis is er ook nog eens sprake van NAT en is het nodig om aan te geven naar welk intern IP een bepaalde poort moet gaan, want van buitenaf gezien is er maar 1 IP adres, aan de binnenkant kunnen dat er veel meer zijn.

Er is een techniek dat UPnP heet, waardoor applicaties zelf zo'n port forward kunnen regelen bij routers/firewalls. Dit lijkt in jouw geval ook te werken, getuige het bericht dat je krijgt als UFW uit staat. Maar UFW heeft regels voor beide kanten op. Je moet dus zorgen dat de applicatie in eerste instantie naar buiten mag, maar dan vervolgens ook wat kan ontvangen op de poort waar het op luistert.

[StopEcocide]

Hero of Time schreef op zaterdag 25 januari 2025 @ 14:10:
Laten we eerst achterhalen hoe je netwerk nou zit. Want dat je nu constant bezig bent met UFW geeft ons het idee dat je een pc gebruikt als gateway/router voor je hele netwerk. Maar je noemt nu "inmiddels mijn laptop geformatteerd om helemaal opnieuw te beginnen", waardoor dat idee niet meer zo vanzelfsprekend is. Dus hoe zit het nou? Hoe verbind je met het internet?

Inbound en outbound verkeer is heel eenvoudig te achterhalen. Maak jij een verbinding naar iets, zoals Tweakers.net? Dan is je verkeer in eerste instantie outbound, jij maakt een verzoek voor verbinding. Dat je daarna gegevens ontvangt, is gerelateerd aan je initiële verzoek hiervoor.

Maakt iemand anders verbinding met jou zodat jij data moet sturen, dan is het inbound. Voor inbound verbindingen is het nodig om te weten op welke poorten er data verwacht wordt, dus moet dit ook toegestaan worden in een firewall. Voor thuis is er ook nog eens sprake van NAT en is het nodig om aan te geven naar welk intern IP een bepaalde poort moet gaan, want van buitenaf gezien is er maar 1 IP adres, aan de binnenkant kunnen dat er veel meer zijn.

Er is een techniek dat UPnP heet, waardoor applicaties zelf zo'n port forward kunnen regelen bij routers/firewalls. Dit lijkt in jouw geval ook te werken, getuige het bericht dat je krijgt als UFW uit staat. Maar UFW heeft regels voor beide kanten op. Je moet dus zorgen dat de applicatie in eerste instantie naar buiten mag, maar dan vervolgens ook wat kan ontvangen op de poort waar het op luistert.

Beste @Hero of Time, erg bedankt voor je uitgebreide antwoord. Dat je de tijd neemt om zo te reageren waardeer ik. Thanks.

Ik heb alleen een laptop die op WiFi is aangesloten. Nicotine+ is, zoals je misschien wel weet, een p2p-netwerk dus up- en downloaden... is dat dan ook inbound / outbound? Ik zeg je eerlijk dat ik het moeilijk te vatten vind. Ligt niet aan jou. Ik laat het er (voorlopig) bij.

[Kabouterplop01]

@StopEcocide
juist up en downloaden is hetzelfde als outbound en inbound.

naar je laptop toe is inbound is downloaden.
van je laptop af is outbound is uploaden.

Ik denk dat je er van uit kunt gaan dat als je je laptop aan zet en je het programmaatje start om tweakers.net te bezoeken én als dat werkt, je zonder het gebruik van ufw Nicotine+ kunt gebruiken.

Dit kan wat verwarrend zijn:
Als men een port forward suggereert men op de router (het apparaat van de Internet Provider, waar je internet op binnenkomt) een instelling te maken die van buiten (internet) naar een apparaat op het lokale netwerk (LAN) wijst en daar de port voor open zet. Dat sugereert dat er een barriere is en dat heet de firewall.
Standaard zouden alle poorten van buiten naar binnen dicht moeten staan.
Op een laptop of PC waar een operating system op staat staat tegenwoordig ook een firewall.
(Goed dat je er een gebruikt)

Het is een beetje ongelukkig gekozen m.b.t. de term forward.

de netwerk stack (de verzamelnaam voor het netwerkgebeuren op een apparaat) is verantwoordelijk voor het afhandelen van het netwerkverkeer.
Dat is voor de abstractie verdeeld in lagen.
We zijn nu bezig met laag 3 en 4. (ip adressen en poorten)

Om in een netwerk deel te nemen heeft een device een ip adres nodig. (geen zorgen, als je wifi hebt krijgt je laptop automatisch een ip adres) Zo kun je netwerkverkeer genereren. Die laag 3 die met IP adressen (het internet protocol) is erg belangrijk; het hele internet werkt ermee. Alle routers op de wereld weten de weg op het internet en dat heet de routering.
Zoals je hebt gemerkt bestaan er poorten, die representeren services. Dit is laag 4
elke netwerkstack heeft er ongeveer 65000. Voor zowel TCP, als UDP
er zijn er 1024 voor de heel bekende services en de rest voor onbekende.
Als je op tweakers.net uit komt dan heeft je machine een netwerkverbinding opgezet naar:

88.221.24.33 op poortje 443 TCP, door op je laptop een willekeurig poort boven de 1024 open te zetten en via een ingewikkeld mechanisme dat de naam tweakers.net vertaalt naar 88.221.24.33 op poort 443.

Op 88.221.24.33 moet men (de beheerder ervan) wél zorgen dat poortje 443 open staat anders werkt het niet.

Dit is in het heel kort zoals internet werkt. (Het is nog veel complexer)

[StopEcocide]

Kabouterplop01 schreef op zondag 26 januari 2025 @ 09:15:
@StopEcocide
juist up en downloaden is hetzelfde als outbound en inbound.

naar je laptop toe is inbound is downloaden.
van je laptop af is outbound is uploaden.

Ik denk dat je er van uit kunt gaan dat als je je laptop aan zet en je het programmaatje start om tweakers.net te bezoeken én als dat werkt, je zonder het gebruik van ufw Nicotine+ kunt gebruiken.

Dit kan wat verwarrend zijn:
Als men een port forward suggereert men op de router (het apparaat van de Internet Provider, waar je internet op binnenkomt) een instelling te maken die van buiten (internet) naar een apparaat op het lokale netwerk (LAN) wijst en daar de port voor open zet. Dat sugereert dat er een barriere is en dat heet de firewall.
Standaard zouden alle poorten van buiten naar binnen dicht moeten staan.
Op een laptop of PC waar een operating system op staat staat tegenwoordig ook een firewall.
(Goed dat je er een gebruikt)

Het is een beetje ongelukkig gekozen m.b.t. de term forward.

de netwerk stack (de verzamelnaam voor het netwerkgebeuren op een apparaat) is verantwoordelijk voor het afhandelen van het netwerkverkeer.
Dat is voor de abstractie verdeeld in lagen.
We zijn nu bezig met laag 3 en 4. (ip adressen en poorten)

Om in een netwerk deel te nemen heeft een device een ip adres nodig. (geen zorgen, als je wifi hebt krijgt je laptop automatisch een ip adres) Zo kun je netwerkverkeer genereren. Die laag 3 die met IP adressen (het internet protocol) is erg belangrijk; het hele internet werkt ermee. Alle routers op de wereld weten de weg op het internet en dat heet de routering.
Zoals je hebt gemerkt bestaan er poorten, die representeren services. Dit is laag 4
elke netwerkstack heeft er ongeveer 65000. Voor zowel TCP, als UDP
er zijn er 1024 voor de heel bekende services en de rest voor onbekende.
Als je op tweakers.net uit komt dan heeft je machine een netwerkverbinding opgezet naar:

88.221.24.33 op poortje 443 TCP, door op je laptop een willekeurig poort boven de 1024 open te zetten en via een ingewikkeld mechanisme dat de naam tweakers.net vertaalt naar 88.221.24.33 op poort 443.

Op 88.221.24.33 moet men (de beheerder ervan) wél zorgen dat poortje 443 open staat anders werkt het niet.

Dit is in het heel kort zoals internet werkt. (Het is nog veel complexer)

Heel erg bedankt voor deze lange uitleg. Helaas is het niet helemaal duidelijk voor me. Ik heb hier duidelijk niet veel kaas van gegeten.

EDIT: misschien iets te gevoelige info uit mijn router gedeeld...

[ Voor 30% gewijzigd door StopEcocide op 26-01-2025 20:09 ]

[MAX3400]

Euh: matthijst in "Poorten gesloten voor Nicotine+ (Soulseek)" ???

Dus nogal dom/bot gedacht nu van me: dat topic gaat over de instellingen van jouw router en daar zou je mistens 2 screenshots / aanpassingen gemaakt hebben. Namelijk de poort en ook het IP-adres van de PC waar jij Nicotine+ op hebt draaien.

Goed, ik neem aan (maar je post-history is wat lastig te doorgronden) dat je dus Linux op een laptop hebt geinstalleerd en dat op die laptop dus ufw draait? Die laptop moet dus een IP-adres hebben en die kan je vinden door

code:

ifconfig -a

in te tikken in een terminal-venster.

Vergelijk nu de output van jouw laptop met de instellingen in jouw router. Als jouw laptop nu bijvoorbeeeeld uitspuugt dat het ip 192.168.2.21 is, dan moet dus ook ergens in jouw router staan dat de portforward voor Nicotine+ naar 192.168.2.21 moet worden gestuurd.

En daarmee (en ja, ik ga nu even security op 0 zetten) hoef je dus op je laptop helemaal geen ufw te draaien. Door

code:

sudo systemctl stop ufw

te draaien, stop je kortstondig enige vorm van firewalling op de laptop zelf. Dat is "niet heel erg" om te testen want als je je router goed hebt ingesteld, wordt nu dus alleen poortje 2234 doorgestuurd naar jouw laptop en de overige "requests van het boze internet" worden tegengehouden door de firewall in jouw router.

Let wel: ik zeg zeker niet dat je geen firewall op je laptop zou moeten hebben maar met relatief weinig kennis even ufw te installeren en daarmee "by default" heleboel niet toe te laten, belemmert je vooral eerst in je troubleshooting om zeker te weten dat jouw port-forward op de router werkt.

En zodra je een testje hebt gedaan om te kijken of uPnP nu werkt in Nicotine+, kan je je ufw weer aanzetten met

code:

sudo systemctl start ufw

om te laptop weer te beveiligen.


Het kan ook zijn dat ik nu oude info aan elkaar knop echter het screenshot eerder in het huidige topic, doet me nog steeds bedenken dat je bij KPN zit. En al zou je daar niet meer bij zitten, vind ik (mening) het handig dat je je even verdiept in de huidige apparatuur waar het internet op binnenkomt.

[ Voor 4% gewijzigd door MAX3400 op 27-01-2025 19:40 ]

[Hero of Time]

@MAX3400, zoals ik het begrijp in dit topic, is dat het programma UPnP ondersteund en de benodigde zaken op z'n router/modem regelt, getuige het 'ok, alles in orde' bericht. Maar met UFW aan, de lokale firewall, gaat dit niet meer.

Er is dus wat meer dan alleen het poortje voor N+ in UFW toestaan. Wellicht dat UFW nog wat voor UPnP blokkeert.

[MAX3400]

@Hero of Time zeker maar ik probeerde het netwerk ietwat te schetsen / raden. En dat klinkt als een Experiabox (modem/router ineen) en dan dus de laptop met ufw. Maar dan moeten we er ook vanuit gaan (en dat doe ik liever niet) dat uPnP aan de WAN-kant altijd goed gaat

Maar wat me ineens opvalt (en allicht niet terzake doende)

Members only:

Alleen zichtbaar voor ingelogde gebruikers. Inloggen

Waarom staat er een toggle-box "Deny" aan? Ik gok dat dat inhoudt "block any except rules below" maar ik ken de gui van ufw onvoldoende.

/edit: wat ik verderop vond:
sudo systemctl enable --now ufw.service
sudo ufw enable
sudo ufw allow in 2234/tcp

Disable "Use UPnP to forward listening port" in Nicotine+

Source: https://github.com/nicotine-plus/nicotine-plus/issues/2098

[Hero of Time]

De enige toggle box die ik zie in die screenshot is voor het aan/uitzetten van de firewall zelf. Daaronder staan dan de standaard regels die ook al bij iptables werden gebruikt: je mag vrij naar buiten (tenzij anders aangegeven), maar niks mag zomaar naar binnen. Dat is juist je hele configuratie voor een firewall.

Het uitzetten van UPnP feature zou ik alleen doen als het modem/router al is ingesteld om de poort door te sturen. Anders gaat het alsnog niet werken.

[StopEcocide]

MAX3400 schreef op maandag 27 januari 2025 @ 19:39:
Euh: matthijst in "Poorten gesloten voor Nicotine+ (Soulseek)" ???

Wederom een dikke buiging voor jullie behulpzaamheid.

Dit was inderdaad een soortgelijk topic. Al ging dat volgens mij over het openzetten van de poort, wat toen opgelost was en nu ook is, en hier niet het probleem is. Hier ging het mij om het instellen van een firewall. Wat ik tot dusverre eigenlijk nooit gedaan heb! Net als in dit topic heb ik screenshots van de inhoud van mijn router gedeeld, maar ik twijfelde of ik daarmee gevoelige info deelde. Vandaar dat ik in dat en dit topic alle afbeeldingen heb verwijderd.

Ik heb in N+ UPnP uitgezet en ufw staat aan. Ik heb de rules voor N+ in ufw toegevoegd en op dit moment krijg ik de melding dat mijn poort in N+ open staat. Volgens mij is dit de gewenste situatie.

Of jullie moeten zeggen dat het uitschakelen van UPnP in N+ niet verstandig is? In mijn router staat UPnP aan.

[Hero of Time]

Ik vind persoonlijk UPnP een veiligheidsrisico, want elke applicatie kan zomaar poorten open zetten in je modem/router. Handig voor de niet-technische gebruiker die iets wil dat 'gewoon werkt', maar het is ook iets dat voor minder plezierige zaken gebruikt kan worden.

Dus prima om het in N+ uit te zetten, maar kijk even of het nog wel nodig is op je modem/router. Zo niet, zet het dan ook lekker uit. Er gaat vanzelf wel iets piepen.

[StopEcocide]

Hero of Time schreef op dinsdag 28 januari 2025 @ 19:24:
Ik vind persoonlijk UPnP een veiligheidsrisico, want elke applicatie kan zomaar poorten open zetten in je modem/router. Handig voor de niet-technische gebruiker die iets wil dat 'gewoon werkt', maar het is ook iets dat voor minder plezierige zaken gebruikt kan worden.

Dus prima om het in N+ uit te zetten, maar kijk even of het nog wel nodig is op je modem/router. Zo niet, zet het dan ook lekker uit. Er gaat vanzelf wel iets piepen.

Dus in N+ uitschakelen is okay, en in mijn router gewoon aan laten staan?

[StopEcocide]

Voordat er mensen zijn die nog input gaan geven aan dit topic: Ik houd het definitief voor gezien.

Vanaf vandaag komt er een einde aan piraterij voor mij.

Vele malen dank voor jullie hulp, ook al heeft het niet tot het gewenste resultaat geleidt.