>"...und nicht hier noch quantenphysik erlernen..."
was hast gegen die quantenphysik? es gibt nix geileres...

hallo dirty dozi,
deinen 8924er kenn ich leider nicht. hab mich nur mit den 2812ern rumgespielt, und dort konnte man die iptables-einstellungen auch nicht in irgendeiner form speichern, weil die dinger gar kein beschreibbares dateisystem gemountet haben. der 8929 scheint da einen tick flexibler angelegt zu sein, weils lt. tjworld.net immerhin das gibt:
- Code: Alles auswählen
~ # cat /proc/mounts
...
mtd:data /data jffs2 rw,relatime 0 0
...
stellt sich jetzt nur noch die frage, wie man ein script, das unter /data liegt, automatisiert beim startup zum laufen bringt...
doch der reihe nach:
1. du hast juttas hinweis offensichtlich beachtet, weil du schreibst:
>"...Hab auch denn tr-069 Client in der WebGUI deaktiviert also ist auf Inform Disable und sonst kann man anders nix machen...hast du jetzt mit:
- Code: Alles auswählen
~ # netstat -tulpen
nachgeschaut, ob dein zyx überhaupt noch auf dem tcp/30005 lauscht?
- wenn nein:
in dem fall relativiert sich die bedeutung der input chain, weil dein zyx alle verbindungsversuche auf dem tcp/30005 resettet.
- wenn ja:
das is dann ein bug, und du solltest einen case bei zyxel öffnen, hilft auch andren...
2. der vorschlag vom LZ is sehr elegant und läuft de facto auf ein black hole routing raus:
frage is halt, wohin man das black hole legt. man könnte auch eine ip aus einem andren privaten netz versuchen.
also angenommen du bist lanseitig mit 192.168.1.0/24 unterwegs, dann leitest du den tcp/30005 auf die 192.168.2.1 z.b. weiter.
wenn das funkt, gibts 2 möglichkeiten:
- die forward chain deines zyx enthält sehr früh einen dropper für wan -> wan, also irgendwas in der preisklasse:
- Code: Alles auswählen
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i ppp+ -o ppp+ -j DROP
...
bla-bla
in dem fall macht dir deine eigene forward chain unerwünschte verbindungsversuche auf dem tcp/30005 platt.
- falls es den oben erwähnten dropper nicht gibt oder die forward chain leer ist (kann man bei genatteten zugängen ohne weiters machen btw.), dann wird die route wan -> wan wirklich gefahren, und der unerwüschte verbindungsversuch wird vom ersten öffentlichen router still verworfen, weil private src- oder dst-ips nicht in öffentlichen netzen geroutet werden.
motto der aktion:"...wenn mei firewall wos net erledigt, daun mochns hoit aundre..."
"distributed firewalls" sozusagen...

schwäche dieses ansetzes sollte auch klar sein: die belastest deinen uplink.
derartige ansätze funken fast immer, eine ausnahme gibts aber: wenn die lokalen dienste des zyx sehr früh in der prerouting chain auf lo (=127.0.0.1) umgeleitet werden, dann kannst du solche spielchen vergessen.
es wär deshalb nicht schlecht, wenn du gelegentlich den output von...:
- Code: Alles auswählen
~ # iptables -nvL --line-numbers
~ # iptables -t nat -nvL --line-numbers
...posten würdest.
3. das beschreibbare verzeichnis /data...
da /data beschreibbar is, sollte es kein prob sein, irgendein firewall script da reinzupempern. frage is jetzt nur, ob es eine möglichkeit gibt, das graffl beim startup zu zünden. poste mal den output von.
- Code: Alles auswählen
~ # ls -l /etc
~ # ls -l /data
vielleicht finden wir eine möglichkeit.
4. der support von zyxel...
... ist imo sehr gut, gehört zu den besten, die ich kenne. die leute sind sehr aufgeschlossen für anregungen, verbesserungsvorschläge und feature requests. d.h. wenn #1-#3 scheitern, kann man noch immer auf die leute zugehen. aus meiner sicht würde eine einzige zeile in der rcS genügen, um dein prob zu beheben ->
0 aufwand + sehr große wirkung = sehr sexy...

lg
zid