FreeBSD Chello router Probleem

[Verwijderd]

Ik zit met het volgende brobleem:

Ik wil mijn FreeBSD 4.7 server als router configureren. Hiervoor heb ik
2 realtech netwerkkaarten in mijn server. De eerste (rl0) is voor mijn lokale
netwerk en mijn 2e kaart (rl1) zi op mijn Motorola kabel modem aangesloten.

Beide netwerkkaarten functioneren naar behoren. Ik kan met mijn server zowel het internet als
het lokale netwerk zien.

Wat rest is het delen van de internet verbinding voor het lokale netwerk.
Hierbij wil ik gebruik maken van de natd (Network Adress Translation) daemon
i.c.m. mijn Firewall.

Nu lukt het mij echter niet om dit voor elkaar te krijgen

Ik heb echter van alles geprobeerd maar ik krijg het niet voor elkaar weet iemand raad?
Ik heb hiervoor de belangrijkste configuraties en gegevens hieronder geschreven:

Belangrijkste gegevens van mij kernel:
options IPDIVERT
options IPFIREWALL
options IPFIREWALL_VERBOSE
options IPFIREWALL_VERBOSE_LIMIT=10


Belangrijkste gegevens van '/etc/rc.conf'
hostname="Server.FreeBSD.nl"

network_interface="rl1 rl0 lo0"
# netwerkadapter voor lokaal netwerk (statisch ip-adres)
ifconfig_rl0="inet 192.168.0.1 netmask 255.255.255.0"
# netwerkadapter voor internet (chello via dhcp)
ifconfig_rl1="DHCP"

gateway_enable="YES"

# firewall settings:
firewall_enable="YES"
firewall_script="/etc/rc.firewall"
firewall_type="open"
firewall_quiet="NO"

# Network Adress Translation (Deamon)
natd_program="/sbin/natd"
natd_enable="YES"
natd_interface="rl1"
natd_flags="-f /etc/natd.conf"

Gegevens van '/etc/natd.conf':
interface rl1
use_sockets yes
same_ports yes
dynamic yes
log

Resulaat van 'ifconfig -a':
rl0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500
inet 192.168.0.1 netmask 0xffffff00 broadcast 192.168.0.255
inet6 fe80::208:a1ff:fe1a:606c%rl0 prefixlen 64 scopeid 0x1
ether 00:08:a1:1a:60:6c
media: Ethernet autoselect (100baseTX <full-duplex>)
status: active
rl1: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500
inet6 fe80::208:a1ff:fe1a:597f%rl1 prefixlen 64 scopeid 0x2
inet 62.194.213.28 netmask 0xfffffe00 broadcast 255.255.255.255
ether 00:08:a1:1a:59:7f
media: Ethernet autoselect (100baseTX <full-duplex>)
status: active
faith0: flags=8002<BROADCAST,MULTICAST> mtu 1500
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384
inet6 ::1 prefixlen 128
inet6 fe80::1%lo0 prefixlen 64 scopeid 0x4
inet 127.0.0.1 netmask 0xff000000

Resultaat van 'ipfw show'
00050 183 18582 divert 8668 ip from any to any via rl1
00100 336 37036 allow ip from any to any via lo0
00200 0 0 deny ip from any to 127.0.0.0/8
00300 0 0 deny ip from 127.0.0.0/8 to any
65000 198 19692 allow ip from any to any
65535 3 500 deny ip from any to any

Belangrijkste gegevens van mijn kernel configuratie:
options IPDIVERT
options IPFIREWALL
options IPFIREWALL_VERBOSE
options IPFIREWALL_VERBOSE_LIMIT=10


On dit topic niet te groot te maken kun je hier nog aanvullende info vinden:
http://www.mrburns.nl/fbsd/

Weet iemand raad ?

[kieskes]

waarom is defaultrouter gecomment in rc.conf?
je moet natuurlijk wel een default gateway van chello instellen, anders valt er niet veel te internetten

[ Voor 4% gewijzigd door kieskes op 16-03-2003 21:46 ]

[Verwijderd]

Oke,
ik had deze in de 1e instantie ook aan staan maar dat gaf niet veel verbetering,
toen ik geen defaultrouter tegenkwam in de howto die ik gebruikte heb ik hem maar gecomment.

Maar goed welke ip adres voor de def. gateway moet ik nemen ?
die van chello neem ik aan maar hoe kom ik achter dat nr ?

[vso]

hoi om je te helpen met mijn werkende config:


deze gegevens bij je kernel zetten

options IPFIREWALL_FORWARD
options IPDIVERT
options IPFILTER
options IPFILTER_LOG
options IPSTEALTH
options DUMMYNET

en deze !!!! (staat ergens in het midden van je kernel)

pseudo-device bpf 4 #Berkeley packet filter

de BPF is het gedeelte voor je NAT als ik het goed gelezen heb

nu het gedeelte van mijn rc.conf

firewall_enable="YES"
firewall_type="OPEN"
natd_enable="yes"
natd_interface="xl0"
natd_flags="-m -f /etc/natd.conf"
router="routed"
router_flags="-q"

de volgende regel hoeft niet in je rc.conf maar is handig want het wordt meteen meegeladen !

sysctl -w net.inet.ip.forwarding=1

laat me ff weten of het werkt denk ut wel hoor .. suc6

[kieskes]

hmm dhcp van chello zie ik, dan zou je hem automatisch mee moeten krijgen, ik heb zelf nog static van chello, vandaar dacht ik daaraan

maar goed, ik zie verder zo gauw ook niks wat fout is, helaas

[vso]

Verwijderd schreef op 16 maart 2003 @ 21:50:
Oke,
ik had deze in de 1e instantie ook aan staan maar dat gaf niet veel verbetering,
toen ik geen defaultrouter tegenkwam in de howto die ik gebruikte heb ik hem maar gecomment.

Maar goed welke ip adres voor de def. gateway moet ik nemen ?
die van chello neem ik aan maar hoe kom ik achter dat nr ?

default router in rc.conf is niet nodig tenzei je beide realtek netwerk kaarten DHCP gebruiken ... dan krijg je dat de 2 verschillende default routers van 2 verschillende dhcp servers en dus een conflict waardoor zoals ik een keer meemaakt het zaakje alleen maar werktend krijgt als je eerst de bsdbak online laat gaan met je kabelmodem en daarna pas je kabel van je interne netwerk er in plugt en dit loste ik toen op door in rc.conf een default router neer te zetten ...


als je DHCP adres van chello wel eens de neiging heeft om te veranderen zou ik je ook adviseren om dhclient.conf (dhcp-client config file) te bekijken die is nu waarschijnlijk leeg dus die moet je ook editen ..

maar goed je mag ook willen reboten .. dat lost het dan ook op ... ik hebt het probleem niet meer (vast IP met ADSL)


de NAT van BSD ben ik zeer over tevreden beter dan win2k en zelfs LInux ..
It rules

[Verwijderd]

vso schreef op 16 March 2003 @ 21:52:
hoi om je te helpen met mijn werkende config:


deze gegevens bij je kernel zetten

[...]

en deze !!!! (staat ergens in het midden van je kernel)

etc etc ........

ik heb de configuratie van je kernel overgenomen en ook de rc.conf aangepast
het mocht echter niet helpen

[miniBSD]

Wat ik eigenlijk mis zijn regels voor het inkomend verkeer.
Dit is een voorbeeldje (ipfw2) van waarbij gelet wordt of het inkomend statefull is.

code:

fwcmd=/sbin/ipfw
${fwcmd} -f flush

# loopback
${fwcmd} add pass all from any to any via lo0

# hier eventueel nog je lan (lan_iface is bv xl0,rl0,de0 etc)
# ${fwcmd} add pass all from any to any via $lan_iface

# nat address translation
${fwcmd} add divert natd all from any to any via rl1

# allow statefull traffic
${fwcmd} add check-state
${fwcmd} add pass ip from any to any in via rl1 established
${fwcmd} add pass ip  from any to any out via rl1 keep-state

# log and deny all
$fwcmd add 65000 deny log ip from any to any via rl1

offtopic:
Wat ik een tekortkoming vind aan ipfw is dat NAT niet statefull is, in tegenstelling tot iptables, ipfilter en pf.

[vso]

Verwijderd schreef op 16 March 2003 @ 22:20:
[...]
ik heb de configuratie van je kernel overgenomen en ook de rc.conf aangepast
het mocht echter niet helpen

welk ip adres heeft je client ? gateway v.d client ..
als het windows is kan je doen :

ipconfig /all >> ipconfig.txt

en dan op je win client

tracert www.tweakers.net >> tracert.txt

wat geven deze ? zou je die willen posten ?

[Bergen]

De series 62.194 en 62.195 geven soms wel eens DNS-problemen, je zou als vaste servers kunnen instellen: 62.108.1.65 en 62.108.1.66.

[vso]

miniBSD schreef op 16 March 2003 @ 22:23:
Wat ik eigenlijk mis zijn regels voor het inkomend verkeer.
Dit is een voorbeeldje (ipfw2) van waarbij gelet wordt of het inkomend statefull is.

code:

offtopic:
Wat ik een tekortkoming vind aan ipfw is dat NAT niet statefull is, in tegenstelling tot iptables, ipfilter en pf.

wtf bedoel je met statefull ??? om het maar ff direct te zeggen .. o meester

[vso]

btw heb je je kernel wel gerecompiled neem aan van wel maar oke .. beter zeker weten dan niet .. recomilen is niet alleen txt bestandje editen

[Bergen]

Stateful = dat de router weet of de verbinding nog maar half tot stand is gekomen of dat het al een volledig opgezetten verbinding is, dus dat de router de status van een connectie kan bekijken. (SYN, SYN/ACK en RST, dat soort werkt)

Of de verschillende ICMP-typen hier ook onder vallen weet ik niet zeker... Anyone?

[ Voor 16% gewijzigd door Bergen op 16-03-2003 22:48 ]

[Verwijderd]

vso schreef op 16 maart 2003 @ 22:45:
btw heb je je kernel wel gerecompiled neem aan van wel maar oke .. beter zeker weten dan niet .. recomilen is niet alleen txt bestandje editen

maakt niet uit,
ja ik he idd de kernel gerecompiled

[vso]

kan me dan niet voorstellen waarom je niet kan surven ..

als je de volgende info in stelt op een client in je netwerk (achter je bsd bak)
IP 192.168.0.100
netmask 255.255.255.0
router/gateway 192.168.0.1
+ dns servers van je provider

dan zou je moeten kunnen surven

zeker als je op je bsd bak kan surven (zie anders resolve.conf)

[ Voor 11% gewijzigd door vso op 16-03-2003 23:02 ]

[miniBSD]

vso schreef op 16 March 2003 @ 22:43:
[...]
wtf bedoel je met statefull ??? om het maar ff direct te zeggen .. o meester

controleer dit eens wat betreft mijn opmerking, en als dit wel zo zijn had het nl. een stuk eenvoudig kunnen zijn wat betreft filtering en beter wat betreft veiligheid.

statefull ICMP wordt in ipfw2, evenals in ipfilter, iptables en pf ondersteund. Des te meer is het vreemd dat statefull NAT niet ondersteund wordt ondanks dat ipfw is herschreven voor FreeBSD 5.0 en (optioneel) 4.7.

[ Voor 21% gewijzigd door miniBSD op 16-03-2003 23:16 ]

[Verwijderd]

vso schreef op 16 March 2003 @ 22:41:
[...]


welk ip adres heeft je client ? gateway v.d client ..
als het windows is kan je doen :

ipconfig /all >> ipconfig.txt

en dan op je win client

tracert www.tweakers.net >> tracert.txt

wat geven deze ? zou je die willen posten ?

ipconfig /all werkt niet maar dit zijn de verdere results,

C:\WINDOWS\Desktop>ipconfig

Windows 98 IP configuratie

0 Ethernet adapter :

IP-adres . . . . . . . . . . . : 192.168.0.16
Subnetmasker . . . . . . . . . : 255.255.255.0
Standaardgateway . . . . . . . : 192.168.0.1

C:\WINDOWS\Desktop>tracert www.tweakers.net
Kan naam van doelsysteem www.tweakers.net niet converteren.

C:\WINDOWS\Desktop>tracert 213.239.154.35

Bezig met volgen van route naar 213.239.154.35 voor maximaal 30 hops

1 <10 ms 1 ms <10 ms 192.168.0.1
2 7 ms 6 ms 6 ms 10.101.0.1
3 6 ms 7 ms 7 ms 212.142.23.193
4 8 ms 9 ms 9 ms 212.142.32.138
5 11 ms 11 ms 11 ms 212.142.32.1
6 11 ms 12 ms 11 ms 212.142.32.43
7 15 ms 12 ms 12 ms 213.46.161.45
8 13 ms 11 ms 11 ms 213.46.161.146
9 13 ms 13 ms 13 ms 193.148.15.163
10 13 ms 13 ms 14 ms 213.239.154.35

Trace voltooid.

Kortom ik ben dankzij jou tip weer op het goede spoor gezet
het prblm zit hem in het 'forwarden' van de dns server

[vso]

klopt je kan op je Freebsd server een DHCP server opzetten die je clients automagisch een IP adres geeft en router en DNS server dan ben je van dat probleem ook af

is ook handig als je vrienden langs komen met hun pc/laptop .. Plug and Play .. zelfs online gamen

[Verwijderd]

probeer het is i.c.m. ipf en ipnat

ipnat.rules:

map rl1 192.168.0.0/24 -> 0/32

rc.conf:

ipnat_enable="YES"
ipfilter_enable="YES"

ipfw en natd werkte ook niet helemaal naar mijn verwachtingen, met ipf en ipnat werkte alles gelijk