Suse 8.2 als Firewall/Gateway mit XDSL home (Inode)

[lupo@graz]

Hallo,

ich hab von inode das Paket xds home und einen
Server mit Suse 8.2 laufen.
Im Server sind 2 Netzwerkkarten.
Auf der einen hängt das Modem - Ip wird mir
über DHCP zugewiesen und liegt im 172 er Netz.
Darauf hab ich keinen Einfluss. Diese NIC ist als
eth1 konfiguriert.
Das locale Netz liegt im 192 er Adressbereich und
ist als eth0 konfiguriert.
Das Modem hat die fixe IP 10.0.0.138.

Ich hab PPtP und PPPD konfiguriert und mit der
nachgetragenen Route:
route add -host 10.0.0.138 eth1
komm ich ins Internet.

Ich stelle bei den Firewall settings als external
Interface eth1 und als internal eth0 ein. Sobald
aber die Firewall aktiviert ist, kann ich den Tunnel
nicht mehr aufbauen - zumindest hängt er nach der
Meldung:ppp0 <--> /dev/pts/0
und es fehlt LCP: Rcvd ... etc.

Kann mich da jemand bitte aufklären was ich da
falsch mache oder auf was ich vergessen habe?
Ist für mich leider alles Neuland.

Danke und liebe Grüße
Wolfgang

[Klemens]

externes Interface wird wohl ppp0 sein
interne eth0 eth1

Schau einmal ob bei bestehender Internetverbindung und dem Befehl
'ifconfig'

nicht ein device ppp0 mit Deiner Internetadresse aufscheint.

[lupo@graz]

Hallo Klemens,

externes Interface wird wohl ppp0 sein
interne eth0 eth1

Schau einmal ob bei bestehender Internetverbindung und dem Befehl
'ifconfig'

nicht ein device ppp0 mit Deiner Internetadresse aufscheint.

natürlich hab ich ein ppp0 interface und es scheint auch bei
ifconfig auf. Mit der der hinzugefügten route wird dann der
traffic von eth1 auf ppp0 umgeleitet. Der VPN channel akzeptiert
ja nur pakete von der ip die er per dhcp vergeben hat - also
vom eth1. Daher meine Ãœberlegung den traffic von eth0 mittels
nat auf eth1 zu übersetzen. Ich hoffe daß ich mit meinen
Ãœberlegungen nicht komplett daneben liege.

LG Wolfgang
zu

[Klemens]

Klingt für mich komisch ..

kannst vielleicht einmal die Ausgabe von ipconf und route -n posten (bei bestehender Internetverbindung) - Deine Internetadresse kannst ja mit xxx.xxx.xxx.xxx angeben - willst ja vielleicht nicht hier im Forum veröffentlichen

[lupo@graz]

Hallo Klemens,
du hattest recht - ich unrecht.
Ich muss das masquerading auf ppp0 machen und
nicht auf eth1. Das war ein Denkfehler von mir.

Habs zwar immer noch nicht mit der Suse firewall
hinbekommen aber wenn ich folgendes händisch
eingebe dann routet er mich mit NAT ins Internet.

# route zum Modem
/sbin/route del default
/sbin/route add -host 10.0.0.138 eth1

# NAT
iptables --table nat --append POSTROUTING --out-interface ppp0 -j MASQUERADE
iptables --append FORWARD --in-interface eth0 -j ACCEPT

Muss jetzt nur noch die Firewall bzw. einen Paketfilter
mit iptables einrichten. Vielleicht hat ja jemand schon ein
brauchbares Script oder zumindes ein paar Ideen was ich
nicht vergessen sollte?

Danke und lG Wolfgang [/b]

[Klemens]

Mach es über Yast - ging bei mir problemlos

externes Interface: ppp0
internes Interface: eth0 eth1 (ohne Beistrich nur Leerzeichen)

masquerading aktivieren.
vor internem Netz schützen würd ich ausschalten.

[erdie]

Hallo Klemens,
iptables --append FORWARD --in-interface eth0 -j ACCEPT

ist die policy default mässig nicht auf ACCEPT?
d.h. solltest da nicht lieber ein
iptables -A FORWARD -i ppp0 -o ppp0 -j REJECT

anhängen?

[lupo@graz]

Mach es über Yast - ging bei mir problemlos

externes Interface: ppp0
internes Interface: eth0 eth1 (ohne Beistrich nur Leerzeichen)

Hallo, habs jezt so probiert und es funzt auch mit
der Firewall - auf die Idee beide eth devices reinzu-
schreiben bin ich nicht gekommen.

Herzlichen Dank für die Hilfe und lG Wolfgang

[lupo@graz]

Hallo Klemens,
iptables --append FORWARD --in-interface eth0 -j ACCEPT

ist die policy default mässig nicht auf ACCEPT?
d.h. solltest da nicht lieber ein
iptables -A FORWARD -i ppp0 -o ppp0 -j REJECT

anhängen?

Hallo erdie,
ich habs jetzt nicht probiert aber ich glaube man muss
das Forwarding für die eingehenden NAT Pakete
expliziet erlauben.

LG Wolfgang

[Klemens]

auf die Idee beide eth devices reinzu-
schreiben bin ich nicht gekommen.

Ja, sonst wird der pptp zwischen Modem und Rechner blockiert ...


@erdie
das sollte dann die SuSE-Firewall erledigen ..