[FreeBSD 4.7] IPNAT wil niet

[Bestiole]

Dus...

Om mijn internet-verbinding te delen gebruikte ik een FreeBSD 4.7 bak met ipfw + natd. Maar de harde schijf gat zijn laatste adem dus opnieuw installeren, maar deze keer met ipnat en ipfilter, volgens een how-to die ik op internet vond.

Alles perfekt tot het op internet delen aankomt

Situatie

Windows bak : 192.168.97.63
FreeBSD bak "GATE": ed0 192.168.97.2 INTERN
dc0 81.220.xxx.xxx EXTERN

Er kan gepingt worden van ed0 -> winbak, winbak -> dc0 en winbak -> ed0

Op FreeBSD kan ik internet op geen probleem.

De Firewall heb ik helemaal opengezet om te zien waar het probleem zit + er wordt
gelogt om te zien of er wel iets binnenkomt.

Wat gebeurt er nu als ik ping naar bv www.yahoo.com, vanop de winbak ?

Er komt een ICMP pakketje binnen bij GATE

code:

timestamp ed0 @0:3 p 192.168.97.63 -> w18.www.dcn.yahoo.com
[216.109.125.71] PR icmp len 20 60 icmp echo/0 IN

en er volgt

code:

timestamp dc0 @0:3 p 192.168.97.63 -> w18.www.dcn.yahoo.com
[216.109.125.71] PR icmp len 20 60 icmp echo/0 OUT

Wat ik hieruit afleid is dat IPNAT niet werkt want het zou, denk ik, moeten zijn :

code:

timestamp dc0 @0:3 p 81.220.xxx.xxx -> w18.www.dcn.yahoo.com
[216.109.125.71] PR icmp len 20 60 icmp echo/0 OUT

De kernel is gebakken met de opties

options IPFILTER
options IPFILTER_LOG
options IPFILTER_DEFAULT_BLOCK


rc.conf

code:

gateway_enable="YES"
network_interfaces="dc0 ed0 lo0"
ifconfig_ed0="inet 192.168.97.2 netmask 255.255.255.0"
ifconfig_dc0="DHCP"
ifconfig_lo0="inet 127.0.0.1"
ipfilter_enable="YES"
ipfilter_flags=""
ipfilter_rules="/etc/ipf.rules"
ipmon_enable="YES"
ipmon_flags="-Dsvn"
ipnat_rules="/etc/ipnat.rules"
icmp_drop_redirects="YES"

ipnat.rules

code:

map dc0 192.168.97.0/24 -> 0/32 portmap tcp/udp 20000:30000
map dc0 192.168.97.0/24 -> 0/32

ipf.rules

code:

# Eerste 4 regels enkel om zeker te zijn dat de up pakketjes 
# mijn logs niet te groot maken.
pass in quick on dc0 proto udp from any to any
pass out quick on dc0 proto udp from any to any
pass in quick proto udp all
pass out quick proto udp all
# Loggen om uit te zoeken waarom het niet werkt
pass in log all 
pass out log all

Alle hulp natuurlijk welkom, alle vragen ook.

[ Voor 5% gewijzigd door Bestiole op 17-03-2003 12:07 ]

[Verwijderd]

ipnat -l

Paste uitkomst is

[Bestiole]

Ok hier gaat ie:

code:

List of active MAP/Redirect filters:
map dc0 192.168.97.0/24 -> 0.0.0.0/32 portmap tcp/udp 20000:30000
map dc0 192.168.97.0/24 -> 0.0.0.0/32

List of active sessions:

[Verwijderd]

De rules zijn goed zo ver ik kan zien.

Heb je wel op je andere machines de gateway ingesteld?

[Bestiole]

Yep, de machines worden door 192.168.97.1 de DHCP server voorzien van de gateway
Uitslag van ipconfig

code:

 Suffixe DNS propre à la connexion : thecorp.net
 Adresse IP. . . . . . . . . . . . : 192.168.97.63
 Masque de sous-réseau . . . . . . : 255.255.255.0
 Passerelle par défaut . . . . . . : 192.168.97.2

Passerelle par défaut is dus de gateway in het frans

[Verwijderd]

Ik kan me alleen dit voorstellen

ik mis alleen in de rc.conf

ipnat_enable="YES"

[Bestiole]

GRRRRRR Eventjes hoopte ik die domme fout gemaakt te hebben, maar hij staat er wel degelijk. Ik was hem bij het overtypen van de rc.conf vergeten.

de ipnat_enable="YES" staat tussen ipmon_flags en ipnat_rules.

Bedankt voor je hulp in ieder geval Sebatech, ik hoop dat we de oplossing kunnen vinden want alles her-installeren heb ik geen zin in

[miniBSD]

Er wordt uitgaand en inkomend verkeer met protocol UDP doorgelaten. Pakketten met protocol icmp worden dus geweigerd. Verder is het zinvol eens te kijken naar ipfilter met de optie keep-state, bijvoorbeeld

code:

block out  on dc0 all
block in  log on dc0 all

pass out quick on dc0 proto  tcp from any to any flags S/SA keep state
pass out quick on dc0 proto  tcp from any to any keep state
pass out quick on dc0 proto  udp from any to any keep state
pass out quick on dc0 proto icmp from any to any keep state

Dit zorgt ervoor, dat gecontroleerd wordt bij ieder terugkerend pakket of het afkomstig is van jouw machine. Dit heet 'statefull' firewalling. In het voorbeeldje wordt het uitgaand verkeer met de protocollen TCP, UDP en ICMP voorzien van een 'keep state' zodat dit verkeer herkent kan worden als de pakketten terugkomen. Zo kun je bijvoorbeeld een antwoord krijgen van alle ping aanvragen die je doet, maar als er naar jouw machine een ping vraag wordt gestuurd dan zal deze geen antwoord krijgen.

[ Voor 3% gewijzigd door miniBSD op 17-03-2003 21:31 ]

[Bestiole]

Hmmm miniBSD (what's in a name ) ik begrijp niet waarom je zegt dat pakketten met protocol icmp geweigerd worden.

code:

pass in log all
pass out log all

Zorgt er toch voor dat alles doorkan, of heb ik het mis ?

Die keep state is inderdaad interessant en die gebruikte ik voorheen dus ook, maar om zeker te zijn dat mijn firewall niets blokkeerde heb ik hem helemaal open gegooit.

Als er iets niet juist is ofzo in ipf.rules zeg het gerust maar volgens mij blokkeert ie niets.

Het probleem zit hem dat ik in de logs zie dat mijn computer de adressen niet nat en gewoon doodleuk met de privé adressen het internet op wil, wat natuurlijk niet werkt.

[miniBSD]

Dat klopt inderdaad, de twee laatste regels zorgen ervoor dat je verkeer wordt doorgelaten. Omdat er expliciet de vermeldingen met het protocol UDP er in stonden had ik dat niet gezien.

Ipnat werkt twee kanten op. Dus het terugkomend verkeer wordt naar je client toe vertaald.
Als je controleert zul je zien dat het verkeer wel degelijk van jouw server afkomt en niet van de client.

offtopic:
Oh ja, de naam zegt inderdaad niets. Na de installatie van een BSD router op een flashcard is die blijven hangen.

[ Voor 15% gewijzigd door miniBSD op 17-03-2003 22:08 ]

[Bestiole]

Oh over die naam, het was een kompliment hoor, niets ironisch of sarkastisch te bespeuren.

Maar ik begrijp niet wat je juist wil zeggen met dat het verkeer wel degelijk van mijn server afkomt

Tja ik zie in mijn log wel dat de server op zijn uitgaande poort dc0, een pakketje stuurt maar het source adres blijft dat van een client op het intern netwerk.
Terwijl als ik bijvoorbeeld ping vanop de server, je duidelijk het externe adres op de dc0 interface naar buiten gestuurd wordt. ...ben ik hier wel duidelijk

[miniBSD]

Een pakket moet altijd terug kunnen komen bij de afzender. Daarom zit dat ip adres in de header.

Wat je dus bedoelt is je verwacht dat ipnat voor ipfilter moet komt, zodat in de header het adres van je server moet komen, vertaald door ipnat dus. Als dat zo zou zijn, dan zou je server niet weten welk pakket afkomstig van de server zelf is en wat van de clients ? Dat is toch wat je bedoelt ?

Trafshow en tcpdump geven wellicht een beter beeld.

[ Voor 7% gewijzigd door miniBSD op 17-03-2003 22:24 ]

[Bestiole]

Euh... ik druk me verkeerd uit denk ik. Ik praat over de log die gemaakt wordt door IPFILTER.
Dus volgens jou is het logisch dat in de log van de firewall staat dat een intern client adres gebruikt wordt om naar buiten te gaan ? (Zie openingspost)
Nou als dat zo is, daar gaat dan mijn enigste clue. Waarom werkt het dan niet ?
Er gaan zat pakketjes naar buiten als ik www,ping of mail. Maar in de logs zie ik dat er nooit iets terugkomt, behalve als ik het vanop de server doe.

miniBSD heb jij nog ergens een Freebsd met ipfilter ipnat staan ? Kun je dan eens zien wat de log geeft als een client langs de server het internet op gaat ?

[miniBSD]

Ik heb mijn router overgezet op OpenBSD vanwege problemen met ipfilter.
Maar pf is enigzins vergelijkbaar met ipfilter dus hier het volgende.
Ik laat tcpdump monitoren op de interne netwerkkaart (lan dus):

22:26:24.780679 d001.client.2439 > delivery2.ads.telegraaf.nl.www: S 4132932703:4132932703(0) win 64240 <mss 1460,nop,nop,sackOK> (DF)

22:26:24.877813 delivery2.ads.telegraaf.nl.www > d001.client.2439: P 1:743(742) ack 499 win 6432 (DF)

Je ziet dat rechtstreeks een pakket gestuurd wordt naar delivery2.ads.telegraaf.nl en dat deze rechtstreeks naar de client teruggestuurd wordt.

Heb je wel ip forwarding aan staan in de kernel ?

'sysctl -a net.inet.ip.forwarding' moet als resultaat 1 geven.

[ Voor 16% gewijzigd door miniBSD op 17-03-2003 22:50 ]

[Bestiole]

Bedankt voor het voorbeeld miniBSD, ik heb bij mij ook een tcpdump gedaan maar ik krijg jammer genoeg geen pakketjes terug

Nu zit ik met een ander probleem, ik heb mijn kernel opnieuw gecompiled, om er zeker van te zijn dat ie in orde was. Maar ik heb ook tegelijkertijd options IPDIVERT en options IPFIREWALL erbij gezet. Met in het achterhoofd, een overstap naar natd en ipfw.

Maar nu begint het pas raar te worden. Pingen naar de gateway werkt pas wanneer daarop tcpdump gestart wordt. Een ping vanop de gateway naar buiten toe geeft een cannot resolve www.yahoo.com : Host name lookup failure

rc.conf wordt dus

code:

gateway_enable="YES"
network_interfaces="dc0 ed0 lo0"
ifconfig_ed0="inet 192.168.97.2 netmask 255.255.255.0"
ifconfig_dc0="DHCP"
ifconfig_lo0="inet 127.0.0.1"
firewall_enable="NO"
natd_enable="NO"
firewall_type="open"
ipfilter_enable="YES"
ipfilter_flags=""
ipfilter_rules="/etc/ipf.rules"
ipmon_enable="YES"
ipmon_flags="-Dsvn"
ipnat_rules="/etc/ipnat.rules"
icmp_drop_redirects="YES"

En als ik op het intern netwerk ping dan geeft ie ping: sendto: Permission denied

Ik heb niets veranderd aan ipnat.rules, ipf.rules en de veranderingen aan rc.conf heb ik pas gemaakt toen ik merkte dat er iets mis was... Ik word er helemaal gek van ...

edit : sysctl -a net.inet.ip.forwarding geeft net.inet.ip.forwarding: 1

edit2: foutje opgemerkt door Polichism

[ Voor 32% gewijzigd door Bestiole op 18-03-2003 15:42 ]

[Verwijderd]

Hmm raar,

Krijgt de machine wel een ip adres op internet

[ Voor 74% gewijzigd door Verwijderd op 17-03-2003 23:22 ]

[miniBSD]

Als het zo is dat ipfw de oorzaak is, dan moet 'ipfw add allow ip from any to any' alles doorlaten.

Je moet je regels kunnen zien met 'ipfw show'. Ik ben wel benieuwd naar de laatste regel hiervan.

Naar aanleiding van de opmerking semx: is 'named' wel actief op de server ?

[ Voor 74% gewijzigd door miniBSD op 17-03-2003 23:24 . Reden: drie maal de forwarding ]

[Bestiole]

Hmmm miniBSD je hebt gelijk over die ipfw. Ik had die IPFIREWALL en IPDIVERT niet moeten meebakken in de kernel GRRR...

ipfw show gaf een of andere "deny ip from any to any" als enige regel, ik had er niet aan gedacht dat er geen mogelijkheid was om IPFIREWALL uit te zetten in rc.conf

edit: Sorry dat ik niet altijd snel reageer, maar ik moet elke keer de cat5 kabels in en uit pluggen en de kabelmodem resetten om iets nieuws uit te testen.

Ik heb in rc.conf firewall_enable op YES gezet en het type op OPEN, om van ipfw zijn gezeur af te zijn

Maar het initiële probleem blijft niks dat naar buiten gaat vanop de clients, en natuurlijk niks naar binnen...

Een volgende stap zal het gebruiken van natd zijn vrees ik, alhoewel ik liever ipfilter en ipnat gebruik GRRRRRR

[ Voor 50% gewijzigd door Bestiole op 17-03-2003 23:48 ]

[miniBSD]

Ik vermoed dat ipfilter je interne verkeer blokkeert.
Kun je wel naar je clients en localhost een ping sturen en reply krijgen ?

Probeer anders eens de 'pass all' regels eens als eerste zetten.

[ Voor 94% gewijzigd door miniBSD op 17-03-2003 23:51 ]

[Bestiole]

Bon het "werkt" nu MAAR met ipfw en natd... En ik zou het natuurlijk graag met ipnat en ipfilter willen laten werken...
yep miniBSD pings tussen clients en localhost geen probleem. ik ga even testen door de pass all regels te verplaatsen

de regels verplaatsen heeft geen zin werkt niet, mijn volgende stap zal denk ik zijn om de kernel opnieuw te bakken , zonder IPFIREWALL en IPDIVERT. Om te zien of er iets veranderd.

[ Voor 35% gewijzigd door Bestiole op 18-03-2003 15:43 ]

[Infern0]

Probeer eens IP's op te geven in je ipnat.rules en niet 0/32.
Ik heb hier exact dezelfde setup als jouw, dus ik past mijn werkende conf hier onder even.
Wat handige commando's voor het laden en herlanden van je rules:

code:

#Nat regels herladen
ipnat -CF -f /etc/ipnat.rules
#firewall
ipf -Fa -f /etc/ipf.rules
#nieuwe netwerk instellingen 
/etc/netstart

Mijn simpele ipnat.rules

code:

map ed0 192.168.1.0/24 -> 212.120.XX.XX/32 portmap tcp/udp 10000:60000
map ed0 192.168.1.0/24 -> 212.120.XX.XX/32

Mijn firewall regels staan hier: http://www.defcon1.org/~g...-STABLE_and_IPFILTER.html
deze zijn ook gebasseerd op IPFILTER_DEFAULT_BLOCK
mijn rc.conf

code:

ifconfig_ed0="DHCP"
ifconfig_ed1="inet 192.168.1.1 netmask 255.255.255.0"
ipfilter_enable="YES"
ipnat_enable="YES"
gateway_enable="YES"

Verder is het handig om eens naar ipfstat te kijken of je er misschien achter kunt komen welke regel voor het probleem zorgt

[ Voor 5% gewijzigd door Infern0 op 18-03-2003 10:12 ]

[Bestiole]

Dat IP's opgeven had ik al getest maar ik zal het nog eens proberen, de firewall regels zullen bijna dezelfde zijn, ik heb die howto van defcon ook gebruikt maar dan de laatste versie voor FreeBSD 4.6.
Ik post later binnen een uurtje of zo de results.

edit: ik heb een beetje zitten rommelen met tcpdump en als ik bv met opera naar www.tweakers wil gaan geeft tcpdump op de uitgaande interface een heleboel van dit soort pakketten, maar geen een dat terugkomt naar mij.

code:

12:45:37.829885 192.168.97.63 4354 > www.tweakers.net.http: S 
[tcp sum ok] 3667197278:3667197278(0) win 64240 
<mss 1460,nop,nop,sackOK>
 (DF) (ttl 127;, id 1542, len 48)

rlensen : het probleem zit hem niet in ipfilter, die staat gewoon helemaal open, zie openingspost.

Ik blijf proberen

[ Voor 56% gewijzigd door Bestiole op 18-03-2003 13:00 ]

[Infern0]

ipfirewall en ipfilter kunnen perfect samen werken, dus daar zou het niet aan moeten liggen.

Even voor de duidelijkheid:
- interne pc's kunnen de router pingen
- router kan interne pc's pingen
- router kan localhost pingen
- router kan www.tweakers.net pingen
- zo nee, kan router 213.239.154.35 pingen

Post je output van
#ipnat -s
en
#ipnat -l

En kijk eens naar ipmon, dit werkt wat handiger dan tcpdump
#ipmon
of direct op de interface ipmon -f xl0

Dus eerst akkes werkend op de router en dan naar de interne pc's
en op de interne pc's gewoon een ping uitvoeren, dan vind je hem ook eenvoudiger op de router.

[ Voor 16% gewijzigd door Infern0 op 18-03-2003 13:56 ]

[Bestiole]

interne pc's kunnen de router pingen : JA
router kan interne pc's pingen : JA
router kan localhost pingen : JA
router kan www.tweakers.net pingen : JA

ipnat -s geeft

code:

mapped in 0  out 0
added 0  expired 0
no memory  0 bad nat 0
inuse 0
rules 2
wilds 0

Ik heb hem nooit iets anders zien geven, dus altijd van die nullen behalve bij het aantal regels...

ipnat -l (hangt af of ik het IP adres of 0/32 zet in ipnat.rules)

code:

List of active MAP/Redirect filters:
map dc0 192.168.97.0/24 -> 0.0.0.0/32 portmap tcp/udp 20000:30000
map dc0 192.168.97.0/24 -> 0.0.0.0/32

List of active sessions:

of

code:

List of active MAP/Redirect filters:
map dc0 192.168.97.0/24 -> 81.220.xxx.xxx/32 portmap tcp/udp 
20000:30000
map dc0 192.168.97.0/24 -> 81.220.xxx.xxx/32

List of active sessions:

IPmon gebruik ik al om te loggen.

Dat geeft zo'n soort resultaten:
Wat gebeurt er nu als ik ping naar bv www.yahoo.com, vanop de winbak ?
Er komt een ICMP pakketje binnen bij de router (dit zie ik in de logs gemaakt door ipmon)

code:

timestamp ed0 @0:3 p 192.168.97.63 -> w18.www.dcn.yahoo.com
[216.109.125.71] PR icmp len 20 60 icmp echo/0 IN

en er volgt

code:

timestamp dc0 @0:3 p 192.168.97.63 -> w18.www.dcn.yahoo.com
[216.109.125.71] PR icmp len 20 60 icmp echo/0 OUT

rlensen misschien weet jij meer of wat ipmon daar aangeeft juist is of niet ?
ipmon werkt ook met natd enzo, dus heb ik gemerkt dat voorzover wat ipmon aangeeft juist is.

[ Voor 8% gewijzigd door Bestiole op 18-03-2003 15:39 ]

[Polichism]

Bestiole schreef op 17 March 2003 @ 12:06:

Om mijn internet-verbinding te delen gebruikte ik een FreeBSD 4.7 bak met ipfw + natd.

De kernel is gebakken met de opties

options IPFILTER
options IPFILTER_LOG
options IPFILTER_DEFAULT_BLOCK


ipf.rules

code:

# Eerste 4 regels enkel om zeker te zijn dat de up pakketjes 
# mijn logs niet te groot maken.
pass in quick on dc0 proto udp from any to any
pass out quick on dc0 proto udp from any to any
pass in quick proto udp all
pass out quick proto udp all
# Loggen om uit te zoeken waarom het niet werkt
pass in log all 
pass out log all

Even voor alle duidelijkheid:
ipfw is geen ipf ;-)
ipfw = ipfirewall
ipf = ipfilter

Want jij zegt dat je het probeert met ipfw +natd
Maar de config is ipf.rules
En voor ipfw moet je in je kernel hebben staan:

options IPFIREWALL

[Bestiole]

Polichism je hebt het denk ik verkeerd gelezen, maar maakt niks uit hoor, heb dankzij jou wel ergens een typfoutje gevonden

Ik gebruikte vroeger natd + ipfw, maar wil nu over op ipnat + ipfilter.

[miniBSD]

Bestiole,

Ik heb een nieuwe installatie van FreeBSD uitgevoerd en ipfilter geladen. Met jouw configuratie werkt het prima, alleen logt die natuurlijk behoorlijk wat. Zeker omdat ipfw wél werkt moet er een kleinigheid over hoofd gezien zijn.

Probeer eens op te starten met de originele GENERIC kernel, met de vermeldingen in /etc/rc.conf zal ipfilter en ipnat worden geladen.

[Bestiole]

Hmmm ok ga ik zo meteen proberen bendankt

edit: GRRRRR het werkt niet, heb gewoon opgestart en dan bij boot time
unload en dan boot kernel.GENERIC gedaan.
Maar het blijft steeds hetzelfde, ik vraag me echt af wat ik uitgespookt heb...

offtopic: Zeg miniBSD hoe komt het dat IPFILTER kan starten zonder dat in de kernel "options IPFILTER" staat ? Of zit die bij de GENERIC kernel wel ?

[ Voor 81% gewijzigd door Bestiole op 18-03-2003 16:31 ]

[MadCow*]

kernel module laden, leest de man page van kldload eens door.

[Bestiole]

UPDATE :

Ik had de laatste dagen weinig tijd om mij bezig te houden met ipnat, omdat mijn windowsbak het leuk vond om eens te crashen , oorzaak van het probleem bleek dat ik het nieuwe geheugen niet hard genoeg aangedrukt had, en tja... dan wordt je systeeem natuurlijk onstabiel.

En mijn vriendin haar compu had ik net opnieuw ingericht (ik kreeg haar oude harde schijf om in mijn freebsd server te zetten, is dat niet lief ) .

Enfin, dus 2 * maal Windows opnieuw ingesteld etc.. Kon ik eindelijk FreeBSD nog eens proberen met ipnat.

Heel de installatie er nog eens over, en het werkt nog altijd niet ... zucht ... maar wacht eens de configuratie is hetzelfde... ik had de mount points niet opnieuw gemaakt, en dus heeft ie voor het installeren niets gewist.

Bon, alles van de schijf, FreeBSD nogmaal eens, effe ipnat en ipfilter in de rc.conf, en YES !!! Het werkt !!! Waar de fout zat

Maar ik ben wel blij dat het werkt natuurlijk

Bedankt iedereen voor het meedenken (vooral miniBSD) , het maakte het hier in ieder geval minder stresserend.