WWW-Zugang von W2K über SuSEFW/MASQ schwierig...

[gutberle]

Hi,

ich nutze SuSE 7.1 mit allen verfügbaren Updates zur Zeit eigentlich nur als ISDN Gateway, mit SuSEfirewall/Masq. Ansonsten läuft schon ein DNS-Server mit einer installierten lokalen Zone für mein geplantes Mini-LAN. DNS läuft OK, das Routing auch, aber wenn ich von meinem Laptop (W2K) ins Netz will, funktioniert das immer erst nach mehreren Versuchen, resp. nach etwas Delay.

Die Firewall wird über AutoDial gestartet und sobald die Verbindung steht und die Firewall sich initialisiert hat (bis zu 12 Sekunden!!!), läuft alles bestens und sogar sicher ;-)

Die SDB sagt, die fehlgeschlagenen Zugriffe lägen vermutlich an Ports (z.B. DNS UDP), die vor dem FW-Init offen und dann für die Antwort wg. der FW plötzlich zu sind. Hab ich getestet, das ist es aber offensichtlich nicht, alle HighPorts sind erlaubt, DNS als TCP und UPD erlaubt, Routing wird nach Abbau der ippp0 Verbindung aufrechterhalten, etc.

Ich habe mit Ethereal geschaut und gesehen, daß die Anfragen (z.B. POP) VOR dem FW-Init unter meiner internen IP 192.268... ins Netz gehen, und NACH dem FW-Init trotz laufendem MASQ immer noch unter meiner internen IP rausgehen. Das hat natürlich keine Zukunft... - Unterbreche ich den POP-Zugriff und starte ihn erneut, gehen die Anfragen gemasqed ins Netz und alles läuft!

Kann mir jemand sagen, was da los ist, oder eine vernünftige Teststrategie nennen? Mir wäre es auch lieber, die Firewall beim Systemstart sofort zu aktivieren (mit den ippp0 Regeln), ich habe aber bei gesetzter statischer Adresse keinen Erfolg gehabt, weil offensichtlich der Wechsel auf die dyn IP nicht funktioniert (oder ich bin zu blöd dazu...). Ohne die statische Adresse fehlt der FW aber offensichtlich beim Boot das Device.

Ich wäre dankbar für jeden Hinweis,

Ingmar

[micha]

Hallole,

Hast Du dynamische IP's im Kernel aktiviert ?


cat /proc/sys/net/ipv4/ip_dynaddr

Gibt cat als Ausgabe 0, ist's nicht aktiviert.
Aktivieren kannstes entweder in Deinem Firewall-Script mit


echo "1" > /proc/sys/net/ipv4/ip_dynaddr

oder Du setzt in der /etc/rc.config die Variable "IP_DYNIP" auf "yes".

Gruß micha

[gutberle]

Hi Micha,
danke für Deine Antwort. Ich habe mir daraufhin noch einmal das ISDN-Howto angeschaut und die Symptome sehen tatsächlich nach dem bekannten Problem mit den ungültig offen bleibenden Sockets aus. DYN_IP hat aber bei mir schon den Wert 7, also den korrekten Wert für die RST-Provoking Methode, die dort als Abhilfe vorgeschlagen wird.
Ich habe in der Zwischenzeit noch weiter probiert und es sieht so aus, als ob man gegen die ungültigen Paketadressen zumindest VOR der Initialisierung der ISDN-Verbindung GAR NICHTS machen kann oder muß, weil diese Sockets NACH dem Init der FW von dem RST-Provoking Code geschlossen werden. Daß dies bei mir sichtbar erst etwa zeitgleich mit dem Init der FW zusammenfällt, kann dann auch Zufall sein.

Der Grund warum mir das aufgefallen ist, ist wohl NUR, daß meine SuSEfirewall trotz unkomplizierter Regeln (jetzt gemessene) 12-15 Sekunden für die Initialisierung braucht, d.h. die Verbindung steht und steht und steht, aber der Windows-Client kriegt keine gemasqte Verbindung zur Außenwelt. In 12-15 Sek. + etwa 3 Sek. für den ISDN-Aufbau kriegt aber jeder Client, egal ob unter Win2K als Masq-ClientPC oder direkt auf der Linux-Kiste mit www/pop/etc. sein TimeOut zurückgemeldet.

===> Die Frage ist also eigentlich: Warum braucht meine SuSEfirewall so UNGLAUBLICH lange (bis 15 Sek.), um sich zu initialisieren???????

Gruß,
Ingmar