Hallo Can-Carlo, Can-Carlo Doertbudak wrote:

Hallo Michael,

...

192.168.x.x ist ein privates Netz. Der Eintrag muss bei FW_FORWARD_MASQ stehen. FW_FORWARD ist für nicht-private IP's. Ok, das klingt logisch. Aber auch hier bringt der Eintrag 0/0,192.168.0.240,tcp,80 nicht den gewünschten Erfolg. Ist das 0/0 falsch für jeden Zugriff?

Ich habe noch mal nachgesehen: Bei mir steht FW_FORWARD_MASQ="0.0.0.0/0,192.168.x.x,tcp,80,80" Eigentlich könnte man sich, laut den auskommentierten Beispielen, das letzte 80 sparen.

Gruß Can

--

____________________________________________________________________________

Registered Linux User No. 314644

____________________________________________________________________________ Best regards, Michael

Hi Ich will ebenfalls u.a. einen im priv. Netz liegenden Webserver ansprechen - auf Port 83. Ich habe folgendes mit Yast in die FW bei fw_forward_masq eingetragen : 0/0,192.168.1.10,tcp,83,83 Aber funktionieren tut's einfach nicht - habe auch andere Ports ohne Erfolg getestet. Im Rechner sind 3 Netzwerkkarten : Eth0 : Internet Eth1 : 192.168.1.20 Eth2 : 10.1.1.20 Mit "tcpdump -i eth1 port 83" sehe ich zwar die korrekten SYN-Pakete aber es kommen keine ACK-Pakete zurück. So sehen diese Pakete aus : 22:18:19.977617 AUS.DEM.INTERNET.wsicopy > BUERO.LOKALES.NETZ.mit-ml-dev: S 4154819359:4154819359(0) win 5840 (DF) Kann jemand helfen ? Gruss Walter

Hallo Walter, also bei mir geht’s z.B. für Terminalserver (Port 3389) über das Scriptfile in /etc/sysconfig/script/SuSEfirewall2-custom im Bereich fw_custom_before_denyall() mit den Zeilen iptables -t nat -I PREROUTING -p tcp --dport 3389 -j DNAT --to IPADRESSE iptables -I INPUT -p tcp --dport 3389 -j ACCEPT iptables -I OUTPUT -p tcp --dport 3389 -j ACCEPT iptables -I FORWARD -p tcp --dport 3389 -j ACCEPT Hab ich aber auch schon für httpd, pop, usw. gemacht. Maximilian Steinbauer

Schade, die manuellen IPTABLES-Einträge in der SuSEfirewall2-custom haben auch kein besseres Ergebnis ... Woran kann es noch liegen ? Habe ich in dem Kaffeesatz, den mir tcpdump ausgibt vielleicht etwas übersehen ? Gruss Walter

Hi

Ich will ebenfalls u.a. einen im priv. Netz liegenden Webserver ansprechen - auf Port 83.

Ich habe folgendes mit Yast in die FW bei fw_forward_masq eingetragen

...

0/0,192.168.1.10,tcp,83,83

BUERO.LOKALES.NETZ.mit-ml-dev: S 864697658:864697658(0) win 5840 (DF) Keine ACKs :-( Vom FW-Rechner direkt mit "lynx http://192.168.1.10:83" funzt's dagegen prima ... Hier kommen auch die ACKs Das sieht dann so aus : 10:50:32.473571 FW-RECHNER.3m-image-lm > BUERO.LOKALES.NETZ.mit-ml-dev: S 3709702558:3709702558(0) win 5840 (DF) 10:50:32.473691 BUERO.LOKALES.NETZ.mit-ml-dev > FW-RECHNER.3m-image-lm: S 3123895538:3123895538(0) ack 3709702559 win 65535 (DF) 10:50:32.473739 FW-RECHNER.3m-image-lm > BUERO.LOKALES.NETZ.mit-ml-dev: . ack 1 win 5840 (DF) U.s.w. Ich werde jetzt mal die sehr plausibel klinglenden IPTABLES-Einträge in der Custom.conf testen.... Danke für Deine Mühen Walter

Aber funktionieren tut's einfach nicht - habe auch andere Ports ohne Erfolg getestet.

Im Rechner sind 3 Netzwerkkarten :

Eth0 : Internet Eth1 : 192.168.1.20 Eth2 : 10.1.1.20

Mit "tcpdump -i eth1 port 83" sehe ich zwar die korrekten SYN-Pakete aber es kommen keine ACK-Pakete zurück.

So sehen diese Pakete aus :

22:18:19.977617 AUS.DEM.INTERNET.wsicopy > BUERO.LOKALES.NETZ.mit-ml-dev: S 4154819359:4154819359(0) win 5840 (DF)

Kann jemand helfen ?

Gruss Walter

Best regards, Michael -- Um die Liste abzubestellen, schicken Sie eine Mail an: suse-linux-unsubscribe@suse.com Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: suse-linux-help@suse.com -- Um die Liste abzubestellen, schicken Sie eine Mail an: suse-linux-unsubscribe@suse.com Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: suse-linux-help@suse.com

-----Ursprüngliche Nachricht----- Von: Eric Scheen [mailto:Dr-Frank-N-Furter@gmx.de] Gesendet: Dienstag, 22. März 2005 12:13 An: SuSE Linux ML Betreff: Re: Portforwarding mit FW2 will nicht funktionieren office schrieb:

-----Ursprüngliche Nachricht----- Von: Heinrich Michael Schmitz [mailto:darthbach@gmx.de] Gesendet: Dienstag, 22. März 2005 07:21 An: suse-linux@suse.com Betreff: Re: Portforwarding mit FW2 will nicht funktionieren

Hallo.

office wrote:

...

Hi

Ich will ebenfalls u.a. einen im priv. Netz liegenden Webserver ansprechen - auf Port 83.

Ich habe folgendes mit Yast in die FW bei fw_forward_masq eingetragen

0/0,192.168.1.10,tcp,83,83

Hallo Michael,

Das hatte ich schon probiert - leider ohne Erfolg.

Man möge mich verbessern wenn folgendes falsch ist... Hast Du den Quickmode der Firewall eingeschaltet? In dem Fall sind die Einträge an den obigen Stellen vermutlich wirkungslos, ich meine es gibt eine eigene Sektion für entsprechende Einträge wenn Quickmode an - bzw. der Quickmode müsste evt. deaktiviert werden. Gruß Eric ... Nein, Quickmode ist nicht eingestellt. Die Pakete kommen ja laut tcpdump bis zum korrekten internen Interface eth1 - nur dann geht wohl nix mehr weiter. Auf der Zielmaschine kommt kein Paket an. Rufe ich die Zielmaschine direkt von der FW auf, funzt's dagegen prima über eth1. Wo kann nur das Problem liegen ??

Hallo Maximilian, Yep, die Masquerading-Zeile hat's gemacht :-)) Aber warum funzt es nicht mit den recht genauen Beschreibungen von Suse selber, wo entsprechende Einträge simple mit Yast gemacht werden sollen ... Mir gefällt diese Mixtur aus IPTABLES Alias SuseFirewall2 und "echten" IPTABLE-Anweisungen nicht sonderlich. Da Problem des Zugriffs auf das externe Interface von innen konnte ja auch nur so vollständig gelöst werden .... Ist nur schade, das hier niemand von Suse selber dazu gepostet hat .... Aber vemutlich wissen die selber, dass ihre eigenen YAST-Konfigurationsvorschläge nicht funktionieren. Ich nutze übrigens Suse 9.0 .... Und da gab's tatsächlich ein Yast-Update zur Umsetzung der FW2-Parameter in IPTABLES, da Yast wohl manchmal bei der Umsetzung Fehler gemacht hat, genauer : es wurden konfigurierte Regeln einfach "vergessen". - Dieses Update scheint wohl das Problem noch nicht gelöst zu haben. Besten Dank und Gruss Walter -----Ursprüngliche Nachricht----- Von: Maximilian Steinbauer [mailto:steinbauer@cenis.de] Gesendet: Dienstag, 22. März 2005 14:47 An: suse-linux@suse.com Betreff: AW: Portforwarding mit FW2 will nicht funktionieren Hallo Office, ich hab z.T. in SuSEfirewall2-custom noch masquerading mit drin iptables -t nat -I POSTROUTING -p tcp --dport 83 -j MASQUERADE und habe natürlich auf DEV_INT und DEV_EXT in SuSEfirewall2 die entsprechenden Ports auch frei gegeben. Maximilian Steinbauer -- Um die Liste abzubestellen, schicken Sie eine Mail an: suse-linux-unsubscribe@suse.com Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: suse-linux-help@suse.com