Linksys wrt54g selectieve port forwarding

[garage]

Ik ben in het bezit van een Linksys WRT54G draadloos routertje. Tevens heb ik een Demon internet account met vast IP adres.

Voorheen had ik mijn linux server als mailserver en deze ontving de mail dmv de mailkick van Demon. De linux pc hing direct aan mijn ADSL modem.

In mijn firewall had ik een regel die de machine waar de mailkick van komt doorliet naar mijn lokale mailserver. Geen enkele andere machine kwam hierdoor vanaf extern bij mij op poort 25 binnen.

Dezelfde situatie wil ik met de WRT54G weer realiseren! Maar ik kom erachter dat ik weliswaar een port kan forwarden, maar dit is dan geldig voor al het externe verkeer. En dat wil ik niet.

Ik heb inmiddels een alternatieve firmware gevonden (Seasoft) waarbij dat vermoedelijk mogelijk is.

Zijn er mensen die deze alternatieve firmware hebben geupload naar de router en vervolgens selectieve poort forwarding hebben aangelegd?

Gaat dat middels de webinterface, of moet dat via telnet/ssh ?

Of heb ik helemaal geen alternatieve firmaware nodig, en lukt dit al met de meest recente firmware van linksys. Op de site van linksys kan ik i.i.g. niet vinden dat het toegevoegd is.

Met google word ik niet veel wijzer, als ook de search hier geeft me geen info.

Wie helpt mij uit de brand.

[Osiris]

Heeft je router geen firewall?

Volgens mij kan ik namelijk in mijn Draytek wel instellen dat hij alles blocked, behalve IP 1.2.3.4 ofzo. Dat dan door middel van 2 verschillende rules in de firewall (1 block, 1 allow)

edit:

Jep, zodra ik 1 IP (-range) allow en eronder geheel poort 25 block, dan komt die ene PC er nog wel doorheen, terwijl de rest eruit gefiltert wordt

[ Voor 28% gewijzigd door Osiris op 10-04-2004 20:58 ]

[Verwijderd]

Block Immediately IN !<ip-range> port 25

Zo kan het in een Draytek in één regel. Ik neem aan dat die LinkSys ook wel een soort filter heeft. Zie je niets dat er op lijkt in de setup?

[Osiris]

Verwijderd schreef op 10 april 2004 @ 22:00:
Block Immediately IN !<ip-range> port 25

Zo kan het in een Draytek in één regel. Ik neem aan dat die LinkSys ook wel een soort filter heeft. Zie je niets dat er op lijkt in de setup?

W00t, dat wist ik niet eens

Garage: Ook al staat het nergens, gewoon een ! proberen blijkbaar . Volgens mij staat die "feature" nergens gedocumenteerd, ook al is ie best logisch

Voorbeeldje bij de Draytek dus maar ff:


^(klikbaar)

edit:

Ik heb hierin het gehele /24-subnet van één van de mailkick-IP's (mailkick-20.mail.nl.demon.net / 194.159.73.24) ingevuld, aangezien ik niet wist of er wellicht meerdere IP's waren die mailkicken

[ Voor 17% gewijzigd door Osiris op 10-04-2004 22:19 ]

[garage]

Nou, ik heb nu (Met firmware 1.42.2) de volgende mogelijkheden:


<sup>(klikbaar)


(klikbaar)


(klikbaar)</sup>

Ik heb hierin het gehele /24-subnet van één van de mailkick-IP's (mailkick-20.mail.nl.demon.net / 194.159.73.24) ingevuld, aangezien ik niet wist of er wellicht meerdere IP's waren die mailkicken

Kijk en dat had ik en wil ik weer! Niet iedereen hoeft te pollen of ik een open relay heb.

Zijn er geen mensen die bepaalde rulesets aanmaken op deze linksys?

[Osiris]

Garage schreef op 10 april 2004 @ 22:49:
Kijk en dat had ik en wil ik weer! Niet iedereen hoeft te pollen of ik een open relay heb.

Euhm, don't worry hoor Ik neem aan dat Demon in zijn 194.159.73.0/24-range geen klanten heeft hoor

[garage]

Osiris schreef op 10 april 2004 @ 22:53:
[...]

Euhm, don't worry hoor Ik neem aan dat Demon in zijn 194.159.73.0/24-range geen klanten heeft hoor

Hmm ik bedoel feitelijk hetzelfde als jij .... Ik wil niet 'de hele wereld' laten pollen. 194.159.73.0/24 is genoeg, en daar verwacht ik geen schunnige klanten of schunnige servers ..

De vraag is dus hoe ik dat in de linksys krijg ingesteld...

[ Voor 10% gewijzigd door garage op 10-04-2004 22:57 ]

[Verwijderd]

Hmmm, als ik de handleiding even inkijk dank ik dat het gewoon niet mogelijk is. Het firewall knopje lijkt alleen ping-response uit te schakelen.

Als alternatief kan je de toegang wellicht in je linux server blokkeren. Ben helaas geen linux guru maar ik denk dat je het kan blokkeren door in de files "/etc/hosts.deny" en "/etc/hosts.allow" regels toe te voegen.

allow
smtp: 194.159.73.0/255.255.255.0
smtp: 192.168.1.0/255.255.255.0

deny
smtp: ALL

Maar als je het exact wilt weten kan je beter terecht in het non-windows forum.

[garage]

Verwijderd schreef op 11 april 2004 @ 14:07:
Als alternatief kan je de toegang wellicht in je linux server blokkeren. Ben helaas geen linux guru maar ik denk dat je het kan blokkeren door in de files "/etc/hosts.deny" en "/etc/hosts.allow" regels toe te voegen.

allow
smtp: 194.159.73.0/255.255.255.0
smtp: 192.168.1.0/255.255.255.0

deny
smtp: ALL

Hmmm, ik denk niet dat dit gaat werken, alle goede adviezen ten spijt. Immers bij een volledige forward van poort 25 naar de linux server, is het origine adres van alle forwards die van de router.

Er kan dan geen onderscheid meer worden gemaakt wat van het demon netwerk komt en wat extern komt.

Ik heb inmiddels een alternatieve firmware van Seasoft gedownload (WRT54G_2.00.8.1h.wfb_WW_wifi-box_15_01_04_code.bin) en deze firmware biedt mogelijkheden om iptables opdrachten via telnet/ssh in te geven.

Deze gaan echter verloren na een reboot, dus dat is een nadeel, maar verder lijkt het erop dat dit mijn oplossing wordt.

Ik heb deze firmware nog niet geladen, omdat ik nog niet weet of ik terug kan naar de originele firmware.

Ik hoop morgenavond mijn resultaten te kunnen posten.

[Verwijderd]

Garage schreef op 12 april 2004 @ 00:01:Hmmm, ik denk niet dat dit gaat werken, alle goede adviezen ten spijt. Immers bij een volledige forward van poort 25 naar de linux server, is het origine adres van alle forwards die van de router.

Source IP van inkomende packets wordt toch niet gewijzigd bij NAT? Of ben ik nu in de war?

[garage]

Verwijderd schreef op 12 april 2004 @ 02:08:
[...]
Source IP van inkomende packets wordt toch niet gewijzigd bij NAT? Of ben ik nu in de war?

Je kan zo maar gelijk hebben, maar mij lijkt het dat bij NAT .... wacht ff .... ff controleren .... nevermind.

Je hebt helemaal gelijk. Dan wil ik je bedanken voor je oplossing, deze is voor nu voldoende!