Firewall verhindert Posts

[Sandal]

Hallo!

Hat jemand Ahnung, was netzwerkmäßig genau passiert, wenn man in einem Webformular auf den Submit-Button klickt?

Ich habe eine Linux-Firewall aufgesetzt, die als Einwahlrechner funktioniert. Ich kann auf meinem Windows Client alles machen: Mail,. IRC und Browsen. Wenn ich allerdings in Foren oder Webmailern auf den Submit-Button klicke, tut sich nix. (Mit drei verschiedenen Browsern getestet.)

Auf dem Firewallrechner selbst funktionierts (so wie jetzt)....

Sandal

[Sandal]

Habe noch ein paar Details rausgefunden:

Mit tcpdump kann ich erkennen, daß bei den Posts ein ICMP unreachable - frag needed erscheint. Allerdings vom Router zum Client. Merkwürdig ist das, da in meiner Firewall das TCPMSS Modul aktiviert ist....

Sandal

[geronet]

Aha.. das Hilft ja ungemein weiter ;)

Nun, wenn der Router meldet dass er keine Pakete grösser dem Wert x senden kann solltest du deine MTU (vom Client) auf den Wert x stellen. Bei DSL wäre das 1492:

ifconfig eth0 mtu 1492 (für Linux)
und für Windows gibts ein Tool namens DFÜ-Speed.

Grüsse, Stefan

[DirtyDoc]

komische sache... der submit button macht nichts anderes als einen http transfer... also alles auf port 80... sollte durch deine firewall durchkommen, wenn surfen generell geht...

dumme frage.. sicher, daß du keinen proxy verwendest?? foren haben da nämlich im allgemeinen ein problem damit... ansonsten hab ich auch keine ahnung worans liegt...

[Sandal]

@geronet: Danke für die Antwort, aber das Problem ist etwas komplizierter. Das MTU Problem habe ich ja durch die Firewallregel:
iptables -A FORWARD -p tcp -o $extif --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
eigentlich gelöst. Nach dem, was ich gehört habe, ermittelt das Modul die MTU (MSS?) Werte automatisch. Funktioniert ja auch, da Seiten wie Kinopolis o.ä. nur mit dieser Regel laufen.

@DirtyDoc: Das mit dem Submit-Button alleine kann's auch nicht sein. Wenn ich bei Google z.B. auf den Button klicke, geht's ja auch. Nach HTML ist das ja auch nur ein Submit. Vielleicht liegts am zusätzlichen Code bei manchen Buttons, der in der Webseite noch drin ist, oder am Webserver...

Ich habe jetzt das Problem umgangen, indem ich Squid installiert habe und den als transparenten Proxy konfiguriert habe. Aber ungelöste Probleme hinterlassen bei mir immer so ein Magendrücken... :confused:

Sandal

[geronet]

Dieses Modul wird auf jeden Fall die Pakete fragmentieren, das heisst sie werden in kleinere Teile zerlegt. Das fordert erstens ein bisschen mehr Rechenzeit und ist insofern auch nicht so zuverlässig.

Grüsse, Stefan

[Sandal]

Soweit ich weiß, hat das Modul zwei Konfigurationsmöglichkeiten: --set-mss für eine fix eingestellte Fragmentierung und dieses --clamp-mss-to-pmtu
Mein 400er K6 kommt damit eigentlich ganz gut zurecht und im DL bekomme ich auch noch 90 kB/s, was für DSL ok ist.
Hast Du irgendwo nähere Infos wegen der Zuverlässigkeit?

Sandal

[geronet]

Wieso brauchst du da mehr Info? Das ist doch ganz logisch.. wenn ich für diesen Satz hier 1 Paket schick ist das normal, schick ich aber 20 Pakete über die Leitung kann schonmal eins verschwinden.. ausserdem wenn mit TCP gesendet wird und eins verloren geht muss es erneut angefordert werden usw.. Ausserdem wird die Bandbreite stark reduziert je mehr Pakete pro Datenmenge übermittelt wird, für jedes Paket brauchst du nen Header.
Wenn du das CSMA/CD (Carrier Sense Multiple Access / Collision Detection) Verfahren kennst dann kannst du dir das ebenfalls denken.



Da ist es doch gleich schlauer vom Client aus schon die MTU richtig einzustellen.



Grüsse, Stefan

[bernie]

@geronet

naja, wennst die MTU von std: 1500 auf 1492 setzt brauchst nicht allzuviele Pakete mehr, wegen den 8Byte :-)

@Sandal
ähhm, eigentlich sollt das TCPMMS modul das alles schon machen. hast du vielleicht irgendwo OCMP oder so gesperrt. (ich nehms mal nicht aber, aber ich frag halt mal)

Ciao,
Bernie

[Sandal]

Du meinst ICMP, oder? Da sind nur sinnlose oder "gefährliche" Sachen gesperr: address-mask-request, timestamp-request, redirect usw.

Sandal