Toon posts:

[BC3] ICMP: pingen van uit het lokale netwerk

Pagina: 1

Acties:

81 views sinds 30-01-2008
Reageer

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

Hoi allemaal,

Ik zit met een probleem, wanneer ik een lokale pc neemt en ga pingen naar het internet, dan krijg ik twee reply''s terug en vervolgens een error.
Via mijn firewall werkt perfect.

misschien wat mis met mijn masq?
Heb alles gemasquerd:
ipchains -A forward -s 192.168.1.0/24 -d 0/0 -j MASQ
Ook heb alle ingaande pings geaccepteerd:
ipchains -A input -p icmp -s 0/0 -j ACCEPT
ipchains -A input -s 0/0 -d 192.168.1.1 1024: -j ACCEPT
(uit mijn hoofd)

vrijdag 20 april 2001 23:03

Acties:

Verwijderd

plak die ping-logs es ff hiero dan?

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

C:\WINDOWS>ping google.com

Pingen naar google.com [216.239.37.100] met 32 byte gegevens:

Timeout bij opdracht.
Antwoord van 213.229.81.65: Doelnetwerk niet bereikbaar.
Antwoord van 213.229.81.65: Doelnetwerk niet bereikbaar.
Timeout bij opdracht.

Pingstatistieken voor 216.239.37.100:
Packets: verzonden = 4, ontvangen = 2, kwijtgeraakt = 2 (50% verlies),
Retourtijd bij benadering in milliseconden:
Minimum = 0ms, Maximum = 0ms, Gemiddeld = 0ms
===================================================================

Dit is niet precies de melding van vorige keer.

vrijdag 20 april 2001 23:03

Acties:

Verwijderd

Je krijgt antwoord van ip: 213.229.81.65 dat het doelnetwerk niet te bereiken is. Is dit soms je gateway, want dan doe je iets fout met je masquerading.

Kun je vanaf je gateway wel gewoon pingen?

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

Nee, dat kan ik gisteren opeens niet meer.
Ik zat gisteren effe te prutsen met mijn ipchains gedoe.

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

.... het is wel heel raar, ik kon gewoon internetten en icq-en(heb zelfs niet een module geinstalleer, heeft slackware dat al ingebakken??)

Maar alle icmp gedoe wou niet.

vrijdag 20 april 2001 23:03

Acties:

Verwijderd

ennuh, wat dacht je van uitgaand ICMP-verkeer? Sta je dat wel toe?

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

ennuh, wat dacht je van uitgaand ICMP-verkeer? Sta je dat wel toe

Ja, dat denk ik wel(terugkerende [masq]traceroute zijn de poorten 33545:35000 of zo toch?)

Ok zo ziet het eruit:

ipchains -F
ipchains -P input DENY
ipchains -P output ACCEPT
ipchains -P forward DENY

#FORWARDING+MASQUERADING
ipchains -A input -i eth1 -s $INTERNE_NETWERK/24 -j ACCEPT
#!!!! hierboven wordt toch alles geaccepteerd voor de lokale host??
ipchains -A forward -p icmp -s 192.168.1.0/24 -j MASQ
ipchains -A forward -p tcp -s 192.168.1.0/24 -j MASQ
ipchains -A forward -p udp -s 192.168.1.0/24 -j MASQ

#LOCALHOST ACCESS
ipchains -A input -i lo -j ACCEPT

#DNS
ipchains -A input -p tcp -s 0.0.0.0/0 53 -d $EXTERNE_IP 1024: -j ACCEPT
ipchains -A input -p udp -s 0.0.0.0/0 53 -d $EXTERNE_IP 1024: -j ACCEPT

#SSH
ipchains -A input -p tcp -s 0.0.0.0/0 -d EXTERNE_IP 22 -j ACCEPT

#INPUT
ipchains -A input -p tcp -s 0.0.0.0/0 -d $EXTERNE_IP 1024: -j ACCEPT
ipchains -A input -p udp -s 0.0.0.0/0 -d $EXTERNE_IP 1024: -j ACCEPT
ipchains -A input -p icmp -s 0.0.0.0/0 -d $EXTERNE_IP 1024: -j ACCEPT

#OUTPUT
ipchains -A output -p tcp -d 0.0.0.0/0 23 -t 0x01 0x10
ipchains -A output -p tcp -d 0.0.0.0/0 21 -t 0x01 0x10
ipchains -A output -p tcp -d 0.0.0.0/0 20 -t 0x01 0x08

#PORTFORWARDING
ipmasqadm portfw -a -P tcp -L $EXTERNE_IP 80 -R 192.168.1.2 80

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

Als goed is, worden alle icmp''s van het interne netwerk gemasqueraded, vervolgens wordt het geaccepteerd door de firewall en omdat het een gemasquereerde icmp packets is wordt het gewoon naar de verzonden host gestuurd. Zo iets moet het toch doen?????

vrijdag 20 april 2001 23:03

Acties:

Verwijderd

je hebt geen output rules voor ICMP
en dus gebruikt die je policy

vrijdag 20 april 2001 23:03

Acties:

Verwijderd

grr
foutje die is accept

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

Op donderdag 19 april 2001 10:56 schreef Deleon het volgende:
je hebt geen output rules voor ICMP
en dus gebruikt die je policy

Misschien moet ik gewoon:

ipchains -A output -p icmp -s $INTERNE_NETWERK -j ACCEPT

doen, misschien werkt het wel? ik heb wel rare dingen meegemaakt.

vrijdag 20 april 2001 23:03

Acties:

Verwijderd

-s $INTERNE_NETWERK is iig niet goed, want het is al gemasq''ed
en je kan masq met 1 rule doen, daar heb je''r geen 3 voor nodig
/sbin/ipchains -A forward -j MASQ -i $EXTIF -s $INTLAN -d $UNIVERSE

vrijdag 20 april 2001 23:03

Acties:

Verwijderd

(shamelesly ripped from trinityOS)

vrijdag 20 april 2001 23:03

Acties:

0siris

hier heb je de output van mijn ipchains -L, doe ermee wat je kunt zou ik zeggen

target prot opt source destination ports
ACCEPT all ------ anywhere anywhere n/a
DENY all ----l- 127.0.0.0/8 anywhere n/a
ACCEPT all ------ 192.168.0.0/24 anywhere n/a
DENY all ----l- 192.168.0.0/24 anywhere n/a
ACCEPT all ------ anywhere my.hostname.com n/a
ACCEPT all ------ anywhere 212.187.27.255 n/a
DENY all ----l- anywhere anywhere n/a
Chain forward (policy DENY):
target prot opt source destination ports
MASQ all ------ 192.168.0.0/24 anywhere n/a
DENY all ----l- anywhere anywhere n/a
Chain output (policy DENY):
target prot opt source destination ports
ACCEPT all ------ anywhere anywhere n/a
ACCEPT all ------ anywhere 192.168.0.0/24 n/a
ACCEPT !tcp ------ anywhere BASE-ADDRESS.MCAST.NET/4 any -> any
DENY all ----l- anywhere 192.168.0.0/24 n/a
ACCEPT all ------ my.hostname.com anywhere n/a
ACCEPT all ------ 212.187.27.255 anywhere n/a
DENY all ----l- anywhere anywhere n/a

ach...in een volgend leven lach je er om!

vrijdag 20 april 2001 23:03

Acties:

Verwijderd

wat heeft hij daar nou aan? Hij heeft meer aan een ruleset zelf maar goed.

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

ja kon ook zo doen:

ipchains -A forward -j MASQ -s $INTERNE_NETWERK -d $EXTERNE_NETWERK

maar in principe werkt het toch wel?

(met mijn drie regels??)

vrijdag 20 april 2001 23:03

Acties:

Verwijderd

Ik denk''t wel, maar 1 regel is sneller dan 3

Als je je andere policies voor de gein eens op ACCEPT zet, werkt het dan wel?

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

hier heb je de output van mijn ipchains -L, doe ermee wat je kunt zou ik zeggen

target prot opt source destination ports
ACCEPT all ------ anywhere anywhere n/a
DENY all ----l- 127.0.0.0/8 anywhere n/a
ACCEPT all ------ 192.168.0.0/24 anywhere n/a
DENY all ----l- 192.168.0.0/24 anywhere n/a
ACCEPT all ------ anywhere my.hostname.com n/a
ACCEPT all ------ anywhere 212.187.27.255 n/a
DENY all ----l- anywhere anywhere n/a
Chain forward (policy DENY):
target prot opt source destination ports
MASQ all ------ 192.168.0.0/24 anywhere n/a
DENY all ----l- anywhere anywhere n/a
Chain output (policy DENY):
target prot opt source destination ports
ACCEPT all ------ anywhere anywhere n/a
ACCEPT all ------ anywhere 192.168.0.0/24 n/a
ACCEPT !tcp ------ anywhere BASE-ADDRESS.MCAST.NET/4 any -> any
DENY all ----l- anywhere 192.168.0.0/24 n/a
ACCEPT all ------ my.hostname.com anywhere n/a
ACCEPT all ------ 212.187.27.255 anywhere n/a
DENY all ----l- anywhere anywhere n/a

Maar ik heb alle poorten onder de 1024 afgesloten, jij niet..

Of wel soms???????? (weet je rulez niet, dus)

En ik gebruik ipmasqadm voor portforwarding(daarom de afsluiting van <1024), heb nodig om enkele vastte host door te laten.

vrijdag 20 april 2001 23:03

Acties:

Verwijderd

Dat maakt voor dit probleem niet uit, die poorten < 1024. Bovendien denk ik dat-ie geen rule heeft om dat allemaal open te zetten, en policy staat op deny (of reject)

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

Als ik -P input ACCEPT zet, dan werkt het wel... ergens gaat het niet goed.. maar waar?
hmmm misschien moet ik ... denk jij wat ik denk??

ipchains -A input -p icmp -s 0.0.0.0/0 -d $EXTERNE_IP 1024: -j ACCEPT

vooral de 1024: ?? voor icmp?

(icmp heeft 7 voor ping ofzo? (zo maar uit mijn hoofd))

Moet straks effe uitproberen...

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

Dat maakt voor dit probleem niet uit, die poorten < 1024. Bovendien denk ik dat-ie geen rule heeft om dat allemaal open te zetten, en policy staat op deny (of reject)

Ah ja, ken jammer zijn -i niet zien(rule), hij heeft wel een rule van ACCEPT ANYWHERE $EXTERNE_IP N/A =vertaling?=> -A input -s 0/0 -d $EXTERNE_IP -j ACCEPT

vrijdag 20 april 2001 23:03

Acties:

Verwijderd

ja of''t verstandig is is wat anders, maar het probleem zit''m dat iets NIET toegestaan wordt, niet dat iets WEL toegestaan wordt

Maaruh, probeer voor de zekerheid even die ene regel met ipmasq
Kan je toevallig zien aan lampjes ergens of die pings wel naar buiten worden gestuurd? (casema demos-modem heeft toch nog voordelen, JAJA!

)

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

gisteren heb ik het geprobeerd, mijn conclusie was dat er wel ping''s naar buiten ging maar niet terug.. (nou in iedere geval het komt niet terug)

Maar denk je dat ik met het blokkeren van <1024 icmp poort wat te maken heeft??(ik vermoed dat het daaraan ligt)

duh, brb going to try....

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

OK, nu doet mijn firewall heeeel raar(heb de verandering nog niet doorgevoerd).....
ik kan niet meer naar buiten pingen, naar mijn lokale netwerk doet ie het wel.(-P input ACCEPT)

nslookup wilt opeens ook niet meer(waarschijnlijk is er een nameserver verandert)

Maar traceroute WERKT!!??(vanaf de firewall)

vrijdag 20 april 2001 23:03

Acties:

Verwijderd

Misschien is het verstandig om naar de firewall van trinity os te kijken. Hier staat erg veel opties en info in over icmp verkeer. Je vind dit voorbeeld script op: http://www.ecst.csuchico.edu/~dranch/LINUX/TrinityOS/cHTML/TrinityOS-c-10.html#ss10.7

Als je echt alles over alle icmp opties wil weten is op: http://www.sys-security.com/html/papers.html ook erg veel te vinden. ICMP lijkt op het eerste gezicht best simpel protocol, maar er zit veel meer achter.

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

Heel raar, ik kan opeens niet meer via mijn firewall naar het internet pingen!!!(zonder ipchains)
Traceroute werkt gewoon wel...

Via mijn kabelmodem zie ik dat er wel TxD verzonden worden en af toe RxD''tje krijg ik terug.

Iemand enig idee hoe dit kan gebeuren?(ligt niet aan mijn firewall... heb het momenteel niet eens aan)

vrijdag 20 april 2001 23:03

Acties:

Verwijderd

Wat heb je op het moment dan als firewall ruleset draaien?

vrijdag 20 april 2001 23:03

Acties:

BC3 Victim

Ik mis nog:

echo 1 > /proc/sys/net/ipv4/ip_forward

De username van de oorspronkelijke plaatser van deze posting is bij Big Crash 3 eind mei 2001 verloren gegaan. Om toch de posting zelf terug te kunnen plaatsen is de user BC3 Victim in het leven geroepen

vrijdag 20 april 2001 23:03

Acties:

Verwijderd

Probeer eens deze testfirewall te draaien:
#!/bin/sh

# Simple firewall rule set for both IPCHAINS and IPFWADM
# v3.00

echo "Enabling IP MASQ, MASQ timeouts, MASQ modules and simple firewalling"

#Load the MASQ modules
#BSDComp/sbin/modprobe bsd_comp
#
echo Loading MASQ modules
#/sbin/modprobe ip_masq_cuseeme
/sbin/modprobe ip_masq_ftp
#/sbin/modprobe ip_masq_irc
#/sbin/modprobe ip_masq_quake
#/sbin/modprobe ip_masq_vdolive

# NOTE: Though Real Audio will work without this module, the data
# will be coming in TCP mode vs. UDP mode. With this
# module, you can enable UDP mode and possibly clean up
# any "glitches" in the sound stream
/sbin/modprobe ip_masq_raudio

# Finished with MASQ modules

# Multicast is a powerful, yet seldom used aspect of TCP/IP for multimedia
# data. Though it isn''t used much now (because most ISPs don''t enable
# multicast on their networks, it will be very common in a few more
# years. Check out www.mbone.com for more detail.
#
# NOTE: Adding this feature is OPTIONAL
#
echo "Adding multicast route.."
/sbin/route add -net 224.0.0.0 netmask 240.0.0.0 dev eth0

echo "Enabling IP Masqurading.."
echo "1" > /proc/sys/net/ipv4/ip_forward

#Note: Redhat users can enable this also by turning the
# flag forward flag on in /etc/sysconfig/network
#
# Change the forward line to
# FORWARD_IPV4=true

#--------------------------------------------------------------------------
# NOTE: The following simple IPFWADM and IPCHAINS rule set is purely to
# *test* IP MASQ functionality.
#
# Though this rule set will work for
# ALL users, it WILL NOT give you any good protection from lusers
# (security crackers, etc) out on the Internet. Trust me, now that
# you are using a UNIX box, you need all the protection you can get!
# Once you can confirm that is MASQ working properly, I *HIGHLY*
# recommend that you -delete- this simple rc.firewall script and
# replace it with the strong IPCHAINS or IPFWADM rule sets shown
# later in this section!
#---------------------------------------------------------------------

#2.2.x+ kernels with IPCHAINS ONLY
#
echo " - Setting Policies: IN/OUT is ACCEPT; FWD is reject (poor security; great functionality)"
/sbin/ipchains -P input ACCEPT
/sbin/ipchains -P output ACCEPT
/sbin/ipchains -P forward REJECT

echo " - Flushing any old rule sets"
/sbin/ipchains -F input
/sbin/ipchains -F output
/sbin/ipchains -F forward

echo "Extending MASQ timeouts.."
# 2 hrs timeout for TCP session timeouts
# 10 sec timeout for traffic after the TCP/IP "FIN" packet is received
# 60 sec timeout for UDP traffic (Important for MASQ''ed ICQ users)
#
# IPCHAINS
/sbin/ipchains -M -S 7200 10 60

echo "Enable IP Masq.."
#
#IPCHAINS
ipchains -A forward -s 192.168.1.0/24 -j MASQ

echo "rc.firewall done."

vrijdag 20 april 2001 23:03

Acties:

Verwijderd

Op donderdag 19 april 2001 23:28 schreef hezik het volgende:
Ik mis nog:

echo 1 > /proc/sys/net/ipv4/ip_forward

/\
||

Ik durf bijna te wedden samen met hezik dat het hieraan ligt!!!

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

Ik draai slackware, en volgens mij wordt het al automatisch bij het opstarten al gedaan.
echo 1 > /proc/sys/net/ipv4/ip_forward
(mijn firewall rulez heb ik alleen gekopieerd vanaf ipchains -F, alles daarboven zitten de modprobe''s, ip_masq_ftp etc..)

maar ik zal echo 1 > /proc/... wel bijtoevoegen.

Ook ga ik effe de andere rulez effe proberen of dat lukt.

heb zo''n kabel modem op een serieel poort(lekker snelllll 3kb/s).

(ik kan internet vanuit mijn lokale netwerk)
(ik kan vanaf mijn firewall ook gewoon internetten)
(firewall kan de lokale hosts pingen)
(lokale hosts kan firewall pingen)

# Multicast is a powerful, yet seldom used aspect of TCP/IP for multimedia
# data. Though it isn''t used much now (because most ISPs don''t enable
# multicast on their networks, it will be very common in a few more
# years. Check out www.mbone.com for more detail.
#
# NOTE: Adding this feature is OPTIONAL
#
echo "Adding multicast route.."
/sbin/route add -net 224.0.0.0 netmask 240.0.0.0 dev eth0

leuk, misschien haal ik de 3,5kb/s wel!!!

vrijdag 20 april 2001 23:03

Acties:

BC3 Victim

(ik kan internet vanuit mijn lokale netwerk)
(ik kan vanaf mijn firewall ook gewoon internetten)
(firewall kan de lokale hosts pingen)
(lokale hosts kan firewall pingen)

Oftewel alles werkt behalve de forwarding

vrijdag 20 april 2001 23:03

Acties:

Topicstarter

Grrrr ik denk dat mijn isp wat te maken heeft met de pings.

Ik kon via mijn shell account ergens op het internet niet naar mijn pc pingen(heb de firewall scriptje niet geladen).
Een traceroute was wel succesvol, g*dv*rd**** dit is echt niet leuk, :(:(

Pagina: 1

Reageer