Problem mit 1 Gbit Karte und Routing-Funktion FreeBSD 5.4

[CCdrom]

Guten Tag,

vor einigen Tagen versuchte ich vergebens einen Server (HP, I386, 1,7 Ghz Pentium 4, 1 GB Sdram) in ein Netzwerk zu integrieren. Dieser Server sollte, die dsl-verbindung herstellen, einen Proxy besitzen, per Samba Dateien freigeben, als Firewall fungieren und die Verbindung gleichmäßig aufteilen (traffic shaping). Habe mich auch schlau gemacht und fand, dass es einfach ist, theoretisch.

Gleich beim ersten Punkt scheiterte es:

1 .Trotz 2maliger Installation von FreeBSD und 2 facher Neukomplierung des Kernels, erhielt ich keine DSL-Verbindung. In der PPPoe.log erhilt ich auf das PADI keine PADO Antwort. Die Netzwerkkarten (2x Longshine 1 Gbit) sind einwandfrei in Ordnung, unter Linux bekam ich eine PPPoe Verbindung zu stande. Der Anbieter ist T-Online. Wenn ich in die Netzwerkkarte das normale Kabel zum Netzwerk einsteckte, erhielt ich Antwort auf Pings zu allen PCs - also wahrscheinlich korrekt installiert. Ich habe dann die Onboard 100 Mbit-Karte von Intel verwendet - keinerlei Probleme (ist ja egal, ob die Verbindung zum DSL-Modem mit 1000 Mbit oder 100Mbit aufgebaut wird, ist ja eh nur 10Mbit effektiv) Woran liegt das ???

2. Dann konnte ich eine DSL-Verbindung aufbauen, allerdings blockierte gleich die Firewall ipfw meine Anfragen ins Inet, obwohl ich in die rc.conf den Eintrag "FIREWALL_TYPE=OPEN"geschrieben habe. Wie kann ich die Firewall am Anfang komplett ausschalten zum Testen ? habe eingegeben "ipfw disable firewall", dann ging der Browser Lynx.

3. Ich habe es nicht hinbekommen, dass andere Rechner den Server als Gateway nutzen können. Ich habe die Eintragungen "NETWORK_GATEWAY=YES" gemacht und auch das Kernel Attribut des IP forwarding eingeschaltet, allerdings ging nichts. Muss ich dafür die Firewall konfigurieren oder noch zusätzlich etwas anderes machen ?

Leider weis ich nicht mehr alle Wortelaute der genauen Fehlermeldungen, da auf dem Rechner nun als Betriebssystem Windows XP installiert ist. Ich würde aber gerne FreeBSD draufmachen, der geringe Systemressourcen-Verbrauch (8MB waren es glaube ich Arbeitsspeicher) hat mich überzeugt. Wäre auch dankbar für weitere Anleitungen/FAQs/Tutorials zu dem Thema. Habe zwar sehr viel gefunden, aber es hat mir nicht geholfen

Viele Grüße,
Dirk

 

[Yamagi]

Für Routing und PPPoE fragst du besser andere, mein Wissen ist dort begrenzt. Daher gibt es nur Hilfe bei der Firewall:

Entscheident ist, ob IPFW als Modul geladen wird (Standart) oder du sie in den Kernel integriert hast. Im ersten Fall könntest du sie mittels "ipfw_enable="NO"" in der rc.conf komplett abschalten.
Im zweiten Fall ist es komplizierter, da die Firewall in der Standarteinbstellung alles blockt und rc.conf Einträge ingoriert werden. Entweder du baust einen neuen Kernel oder baust dir ein minimales Ruleskript, das alles durchlässt.

 

[CCdrom]

Guten Tag,

Entscheident ist, ob IPFW als Modul geladen wird (Standart) oder du sie in den Kernel integriert hast. Im ersten Fall könntest du sie mittels "ipfw_enable="NO"" in der rc.conf komplett abschalten.
Im zweiten Fall ist es komplizierter, da die Firewall in der Standarteinbstellung alles blockt und rc.conf Einträge ingoriert werden. Entweder du baust einen neuen Kernel oder baust dir ein minimales Ruleskript, das alles durchlässt.

danke erstmal für die Aufklärung, dass man die Firewall nicht einfach so abschalten kann, wenn sie in den Kernel "eingebaut" ist. Das beseitigt schon einige Missverständnisse. Aber ich muss ipfw in den Kernel einbauen, damit ich später 1. überhaupt eine Firewall habe und 2. ich traffic shaping verwenden kann oder ? Wie sähe ein solch minimales Ruleset aus einfach nur eine regel "ipfw add ip from any to any" (oder so ähnlich) ? Vorallem, wie speichere ich diese Regel, beim neustart war sie immer einfach so weg (habe nicht wirklich etwas zur Konfiguration von ipfw gefunden). Was bewirkt dann der Befehl "ipfw disable firewall" ?

Viele Grüße,
Dirk

 

[Yamagi]

Also, um die Firewall zu nutzen, muss sie nicht im Kernel sein. Sie wird dann als Modul geladen und eingehängt. Möchtest du allerdings Dummynet nutzen, musst du sie afaik in den Kernel kompilieren. Als grundsätzliche Alternative könntest du pf und AltQ nutzen, was sich zunehmend auch unter FreeBSD einer großen Beliebtheit erfreut.

Kommen wir nun zum Ruleset. Das Ruleset ist ein sh-Skript, welches während das Systemstarts durch rc geladen wird. Welches dies ist, sagst du ihm durch "firewall_script="/path/to/script"" in der rc.conf.
Der Bau eines guten Rulesets ist recht kompliziert und erfordert ein klein wenig Erfahrung und vor allem ein gutes Testing. Ein sehr einfaches ist hingegen auch mit einer Zeile zu realisieren:

ipfw add 0100 allow all from any to any

ipfw add - Das Kommando zum Setzten der Befehle
0100 - Nummer der Regel
allow - Eigentlich logisch, erlaubt den Ein-/Ausgang von Paketen
all - Alle Protokolle (ICMP, TCP, UDP, Pamps)
from any to any - Von jedem zu jedem.
--> Lasse alles von jedem zu jedem durch.

ipfw disable firewall setzt ein Sysctl von 1 auf 0 und schaltet die Firewall so ab. Du hast dann keine mehr und bist dem bösen Internet ungechützt ausgeliefert . Ich habe keine Ahnung welches es ist, ich bin gerade an einer Windowsbox. Mache mal ein "sysctl -a | grep -i ipfw" um alles Sysctls für IPFW zu sehen.

 

[CCdrom]

Guten Tag,

danke für deine Antwort, jetzt herrscht wieder teilweise Kalrheit in meinem Kopf. Allerdings habe sind immernoch 2 Fragen offen, weis da keiner weiter ? Das gibts doch nicht.

Du hast dann keine Firewall und bist dem bösen Internet ungechützt ausgeliefert

Wäre mir zum Einrichten erstmal egal. funktioniert das routing eigentlich ohne die firewall ? Wie ist das eigentlich ?

Windows XP ohne Firewall, SP2 und Antivirus 30 Minuten im Internet : Tot !
FreeBSD 30 Minuten im Inet ohne Firewall : ???

FreeBSD ist doch eigentlich sehr sicher, so müsste es doch einige Zeit auch ohne Firewall im Inet "überleben" können, oder ?

Viele Grüße,
Dirk

 

[cheasy]

Wäre mir zum Einrichten erstmal egal. funktioniert das routing eigentlich ohne die firewall ? Wie ist das eigentlich ?

Ja.
sysctl -w net.inet.ip.forwarding=1 zum sofortigen aktivieren,
echo gateway_enable=\"YES\" >> /etc/rc.conf zum aktivieren beim Neustart.

Windows XP ohne Firewall, SP2 und Antivirus 30 Minuten im Internet : Tot !
FreeBSD 30 Minuten im Inet ohne Firewall : ???

FreeBSD 6: ziemlich lange. Per default sind nämlich fast keine Ports geöffnet.

FreeBSD ist doch eigentlich sehr sicher, so müsste es doch einige Zeit auch ohne Firewall im Inet "überleben" können, oder ?

Sicherheitshalber ergänzt man rc.conf noch um

firewall_enable="YES"
firewall_type="simple"

uind hat schonmal eine einfachst-Firewall für das lokale Netz.

 

[CCdrom]

Guten Tag,

danke auch cheasy für deine Antwort. Also kann ich FreeBSD ohne Sorge auch kurzzeitig ohne Firewall betreiben. Allerdings vertstehe ich es immer noch nicht, warum die DSL-Einwahl mit der 1 Gbit Karte nicht funktioniert (kein PADO). Wichtiger noch ist mir, warum es nicht mit dem Gateway funktioniert hat. Ich denke es lag an der Namensauflösung der Clients. Kann mir bitte nochmal jemand ein Tutorial posten, wo das alles sehr gut erklärt ist ?

P.S. : Ist das immer noch so, dass es Probleme bei T-Online mit der MTU gibt, wenn die Clients im Netzwerk versuchen, aufs Inet zurückzugreifen ? (Las ich hier : http://www.ruhr.de/home/nathan/FreeBSD/tdsl-freebsd.html ) Bzw. sind auch alle Probleme bis heute behoben bei T-online ?

Viele Grüße,
Dirk