ST 546 und portforwarding?

[Schiwi]

ich meine hw-firewalls. und was waere daran schrecklich? wenn du eine kindersicherung willst, musst du eine kindersicherung nehmen.

wenn sich jedes program (egal ob gut oder böse) so einfach ins netz kann dann ist das bedenklich. Das hat ganz einfach mit sicherheit zu tun!

aber back to topic.

werde noch schaun ob ich aus dem log schlau werde und wo nun ntp hängen bleibt

[zid]

>"...ok. hab das noch net versucht aber wenn ich die Firewall auschalte sollte es ja gehen oder?..."
sollte in deinem fall keinen unterschied machen, denn
>"...rule add chain=forward_level_Standard index=1 name=FromLAN srcintf=lan log=disabled state=enabled action=accept..."
= alle packete mit srcint=lan gehen durch
>"...rule add chain=forward_level_Disabled index=1 name=AnyTraffic log=disabled state=enabled action=accept..."
= alle pakete aus allen zonen (lan, guest, dmz, wan) gehen durch.
aus deinen äußerungen schließe ich, daß du fw. level "Standard" eingestellt und deinen rechner im lan hängen hast, damit sind d. 2 regeln äquivalent und es wird sich hinsichtlich ntp nichts ändern, wenn du a. level "Disabled" gehst. oder hast du 2 rechner rennen und d. ntp-client rechner in e. dmz plaziert?
>"...wenn sich jedes program (egal ob gut oder böse) so einfach ins netz kann dann ist das bedenklich. Das hat ganz einfach mit sicherheit zu tun!..."
damit mußt du leben, stellt sich d. frage, wie d. böse programm a. deinen rechner kommt, wenn wan -> lan geblockt ist. wenn's rauftkommt, dann spielt sich das auf e. höheren schicht ab und da hilft dir auch ein "blockall" nicht unbedingt, da du dann trotzdem löcher aufmachen wirst, um ins inet zu kommen.

>"...werde noch schaun ob ich aus dem log schlau werde und wo nun ntp hängen bleibt..."
gute idee, dann gibt's endlich fakten.

ach, ja
>"...Habe ich das richtig verstandnen? Alle ausgehenden request bauchen kein Forwarding? nur FW Freigabe? wäre mir aber neu..."
du surfst im internet, wirst gelegentlich auch dateien m. ftp herunterladen usw. hast d. http, ftp, https ports weitergeleitet oder die forward chains d. fw. modifiziert? und trotzdem funkts.

[Schiwi]

>"...ok. hab das noch net versucht aber wenn ich die Firewall auschalte sollte es ja gehen oder?..."
sollte in deinem fall keinen unterschied machen, denn
>"...rule add chain=forward_level_Standard index=1 name=FromLAN srcintf=lan log=disabled state=enabled action=accept..."
= alle packete mit srcint=lan gehen durch
>"...rule add chain=forward_level_Disabled index=1 name=AnyTraffic log=disabled state=enabled action=accept..."
= alle pakete aus allen zonen (lan, guest, dmz, wan) gehen durch.
aus deinen äußerungen schließe ich, daß du fw. level "Standard" eingestellt und deinen rechner im lan hängen hast, damit sind d. 2 regeln äquivalent und es wird sich hinsichtlich ntp nichts ändern, wenn du a. level "Disabled" gehst. oder hast du 2 rechner rennen und d. ntp-client rechner in e. dmz plaziert?
>"...wenn sich jedes program (egal ob gut oder böse) so einfach ins netz kann dann ist das bedenklich. Das hat ganz einfach mit sicherheit zu tun!..."
damit mußt du leben, stellt sich d. frage, wie d. böse programm a. deinen rechner kommt, wenn wan -> lan geblockt ist. wenn's rauftkommt, dann spielt sich das auf e. höheren schicht ab und da hilft dir auch ein "blockall" nicht unbedingt, da du dann trotzdem löcher aufmachen wirst, um ins inet zu kommen.

>"...werde noch schaun ob ich aus dem log schlau werde und wo nun ntp hängen bleibt..."
gute idee, dann gibt's endlich fakten.

ach, ja
>"...Habe ich das richtig verstandnen? Alle ausgehenden request bauchen kein Forwarding? nur FW Freigabe? wäre mir aber neu..."
du surfst im internet, wirst gelegentlich auch dateien m. ftp herunterladen usw. hast d. http, ftp, https ports weitergeleitet oder die forward chains d. fw. modifiziert? und trotzdem funkts.

danke für die Erklärungen.
schön langsam kenne ich mich aus.

Nur wozu gibts die Einstellunge für die Anwendungen (wie hier http://www.diskette.at/faq/dyndns.htmbeschrieben wenn standardmässig eh alles zugelassen wird?

Wie schon gesagt Ich habe die config von diskette.at dort kannst dir die user ini runterladen und anschauen!

Ich hab nur einen pc der am 546 hängt.
Nur wie gesagt: Seit umstellunge auf multiuser (st 546 wählt ein) geht die Zeitaktualisierung von Windows nicht mehr. das windows schuld ist glaub ich auch nicht da ich das system erst frisch aufgesezt habe!

[diskette]

wenn an den router passiv eine anfrage am port 5800 ankommt,
weiss er ja nicht an welchen pc er das senden soll.
schalte ich das port an den pc durch, weden alle anfragen für das port 5800
dort hin geschickt.
der router weiss ja nicht, ob bei dir dzt nur einer hängt .
auch dann musst du ihm das sagen.

[Schiwi]

wenn an den router passiv eine anfrage am port 5800 ankommt,
weiss er ja nicht an welchen pc er das senden soll.
schalte ich das port an den pc durch, weden alle anfragen für das port 5800
dort hin geschickt.
der router weiss ja nicht, ob bei dir dzt nur einer hängt .
auch dann musst du ihm das sagen.

das heist das ist alles für eingehende Anfrage (vom internet ins lan)?
Das heist dann wohl das die Anfrage raus geht aber nicht reinkommt!
Habe auch ntp regel dort aktiviert aber geht trotzdem nicht

[jutta]

http://de.wikipedia.org/wiki/Network_Ad ... ranslation

[Schiwi]

:lookhere: http://de.wikipedia.org/wiki/Network_Ad ... ranslation

schäm, ich weis das ich manchmal das einfachste durch zu kompliziertes denken unerklärbar mache aber ich danke euch das ihr noch immer helft!

(auch wenn ich nun bei euch vermutlich schon als dau gelte was net so ist aber mit routern habe ich mich noch nicht so genau beschäftigt)

[Schiwi]

@zid

so, hab das mal gemacht!
Hier der log

[IN]Shared-> : 213.33.14.91 213.33.3.61 0048 TCP 1374->445 [S.....]
seq 3006566583 win 16384
[DR]Shared->Shared : 213.33.14.91 213.33.3.61 0048 TCP 1374->445 [S.....]
seq 3006566583 win 16384 : error caused by NAT-INPUT
[IN] loop-> : 213.33.3.61 213.33.14.91 0072 ICMP Destination Unrea
chable (Port Unreacheable)
[FW] loop->Shared : 213.33.3.61 213.33.14.91 0072 ICMP Destination Unrea
chable (Port Unreacheable)
No reference stream found
[DR] loop->Shared : 213.33.3.61 213.33.14.91 0072 ICMP Destination Unrea
chable (Port Unreacheable) : error caused by NAT-FORW
[Shared_Internet] T - LCP : EchoReq id=0x28 magic=0x47420b3e
[Shared_Internet] R - LCP : EchoRep id=0x28 magic=0xb83de3d

[IN]Shared-> : 213.33.8.1 213.33.3.61 0048 TCP 4740->445 [S.....]
seq 345800778 win 16384
[DR]Shared->Shared : 213.33.8.1 213.33.3.61 0048 TCP 4740->445 [S.....]
seq 345800778 win 16384 : error caused by NAT-INPUT
[IN] loop-> : 213.33.3.61 213.33.8.1 0072 ICMP Destination Unrea
chable (Port Unreacheable)
[FW] loop->Shared : 213.33.3.61 213.33.8.1 0072 ICMP Destination Unrea
chable (Port Unreacheable)
No reference stream found
[DR] loop->Shared : 213.33.3.61 213.33.8.1 0072 ICMP Destination Unrea
chable (Port Unreacheable) : error caused by NAT-FORW
[Shared_Internet] T - LCP : EchoReq id=0x29 magic=0x47420b3e
[Shared_Internet] R - LCP : EchoRep id=0x29 magic=0xb83de3d
[Shared_Internet] T - LCP : EchoReq id=0x2a magic=0x47420b3e
[Shared_Internet] R - LCP : EchoRep id=0x2a magic=0xb83de3d
[Shared_Internet] T - LCP : EchoReq id=0x2b magic=0x47420b3e
[Shared_Internet] R - LCP : EchoRep id=0x2b magic=0xb83de3d

[IN]LocalN-> : 192.168.0.100 192.168.0.1 0062 UDP 1027->53
[FW]LocalN->loop : 192.168.0.100 192.168.0.1 0062 UDP 1027->53
[UT]LocalN->loop : 192.168.0.100 192.168.0.1 0062 UDP 1027->53
[IN] loop-> : 213.33.3.61 195.3.96.67 0062 UDP 1045->53
[FW] loop->Shared : 213.33.3.61 195.3.96.67 0062 UDP 1045->53
[UT] loop->Shared : 213.33.3.61 195.3.96.67 0062 UDP 49196->53
[dnss] E - query "time.windows.com" from [client=192.168.0.100:1027, id=0xa3d8]
forwarded to [server=195.3.96.67:53, id=0xc5a5].
[IN] loop-> : 213.33.3.61 195.3.96.68 0062 UDP 1045->53
[FW] loop->Shared : 213.33.3.61 195.3.96.68 0062 UDP 1045->53
[UT] loop->Shared : 213.33.3.61 195.3.96.68 0062 UDP 49197->53
[dnss] E - query "time.windows.com" from [client=192.168.0.100:1027, id=0xa3d8]
forwarded to [server=195.3.96.68:53, id=0xc5a5].
[IN]Shared-> : 195.3.96.67 213.33.3.61 0272 UDP 53->49196
[FW]Shared->loop : 195.3.96.67 213.33.3.61 0272 UDP 53->1045
[UT]Shared->loop : 195.3.96.67 213.33.3.61 0272 UDP 53->1045
[dnss] E - response from [server=195.3.96.67:53, id=0xc5a5] forwarded to [client
=192.168.0.100:1027, id=0xa3d8].
[IN] loop-> : 192.168.0.1 192.168.0.100 0272 UDP 53->1027
[FW] loop->LocalN : 192.168.0.1 192.168.0.100 0272 UDP 53->1027
[UT] loop->LocalN : 192.168.0.1 192.168.0.100 0272 UDP 53->1027
[IN]Shared-> : 195.3.96.68 213.33.3.61 0272 UDP 53->49197
[FW]Shared->loop : 195.3.96.68 213.33.3.61 0272 UDP 53->1045
[UT]Shared->loop : 195.3.96.68 213.33.3.61 0272 UDP 53->1045
[IN]LocalN-> : 192.168.0.100 207.46.130.100 0076 UDP 123->123
[FW]LocalN->Shared : 192.168.0.100 207.46.130.100 0076 UDP 123->123
[UT]LocalN->Shared : 213.33.3.61 207.46.130.100 0076 UDP 49198->123
[IN]LocalN-> : 192.168.0.100 207.46.232.189 0076 UDP 123->123
[FW]LocalN->Shared : 192.168.0.100 207.46.232.189 0076 UDP 123->123
[UT]LocalN->Shared : 213.33.3.61 207.46.232.189 0076 UDP 49199->123
[IN] loop-> : 213.33.3.61 195.3.96.68 0072 ICMP Destination Unrea
chable (Port Unreacheable)
[FW] loop->Shared : 213.33.3.61 195.3.96.68 0072 ICMP Destination Unrea
chable (Port Unreacheable)
No reference stream found
[DR] loop->Shared : 213.33.3.61 195.3.96.68 0072 ICMP Destination Unrea
chable (Port Unreacheable) : error caused by NAT-FORW
[IN]Shared-> : 207.46.130.100 213.33.3.61 0076 UDP 123->49198
[FW]Shared->LocalN : 207.46.130.100 192.168.0.100 0076 UDP 123->123
[UT]Shared->LocalN : 207.46.130.100 192.168.0.100 0076 UDP 123->123
[IN]Shared-> : 207.46.232.189 213.33.3.61 0076 UDP 123->49199
[FW]Shared->LocalN : 207.46.232.189 192.168.0.100 0076 UDP 123->123
[UT]Shared->LocalN : 207.46.232.189 192.168.0.100 0076 UDP 123->123
[Shared_Internet] T - LCP : EchoReq id=0x2c magic=0x47420b3e
[Shared_Internet] R - LCP : EchoRep id=0x2c magic=0xb83de3d
[Shared_Internet] T - LCP : EchoReq id=0x2d magic=0x47420b3e
[Shared_Internet] R - LCP : EchoRep id=0x2d magic=0xb83de3d

[IN]LocalN-> : 192.168.0.100 192.168.0.255 0235 UDP 138->138
[DR]LocalN->LocalN : 192.168.0.100 192.168.0.255 0235 UDP 138->138 : silent
discard caused by IP destination is a net directed broadcast
[Shared_Internet] T - LCP : EchoReq id=0x2e magic=0x47420b3e
[Shared_Internet] R - LCP : EchoRep id=0x2e magic=0xb83de3d

Bitte erleuchte mich

[zid]

komme heim u. denke mir, d. abschluß e. gelungenen abends wär'n netter tcpdump v. schiwi. u. siehe da- er liegt vor. sry, für meine verspätete reaktion.

>"...Bitte erleuchte mich lächeln ..."
na, ich glaub', das krieg ich i. meinem jetzigen zustand glatt noch hin...
zur sache:
du startest d. reigen mit e. anfrage f. namensauflösung v. "time.windows.com" a. aon dns-server1 (hast d. ganzen christbaum rennen):
>"...[IN]LocalN-> : 192.168.0.100 192.168.0.1 0062 UDP 1027->53
[FW]LocalN->loop : 192.168.0.100 192.168.0.1 0062 UDP 1027->53
[UT]LocalN->loop : 192.168.0.100 192.168.0.1 0062 UDP 1027->53
[IN] loop-> : 213.33.3.61 195.3.96.67 0062 UDP 1045->53
[FW] loop->Shared : 213.33.3.61 195.3.96.67 0062 UDP 1045->53
[UT] loop->Shared : 213.33.3.61 195.3.96.67 0062 UDP 49196->53
[dnss] E - query "time.windows.com" from [client=192.168.0.100:1027, id=0xa3d8]
forwarded to [server=195.3.96.67:53, id=0xc5a5]..."

st schiebt nach mit e. 2. anfrage a. d. 2. aon dns-server nach:
[IN] loop-> : 213.33.3.61 195.3.96.68 0062 UDP 1045->53
[FW] loop->Shared : 213.33.3.61 195.3.96.68 0062 UDP 1045->53
[UT] loop->Shared : 213.33.3.61 195.3.96.68 0062 UDP 49197->53
[dnss] E - query "time.windows.com" from [client=192.168.0.100:1027, id=0xa3d8]
forwarded to [server=195.3.96.68:53, id=0xc5a5]...bla, bla...

es geht schließlich weiter mit e.anfrage b. timeserver 207.46.130.100 :
[IN]LocalN-> : 192.168.0.100 207.46.130.100 0076 UDP 123->123
[FW]LocalN->Shared : 192.168.0.100 207.46.130.100 0076 UDP 123->123
[UT]LocalN->Shared : 213.33.3.61 207.46.130.100 0076 UDP 49198->123

auch e. 2. ts hast a. lager: 207.46.232.189:
[IN]LocalN-> : 192.168.0.100 207.46.232.189 0076 UDP 123->123
[FW]LocalN->Shared : 192.168.0.100 207.46.232.189 0076 UDP 123->123
[UT]LocalN->Shared : 213.33.3.61 207.46.232.189 0076 UDP 49199->123

irgendetwas kommt v. 207.46.130.100 zurück:
[IN]Shared-> : 207.46.130.100 213.33.3.61 0076 UDP 123->49198
[FW]Shared->LocalN : 207.46.130.100 192.168.0.100 0076 UDP 123->123
[UT]Shared->LocalN : 207.46.130.100 192.168.0.100 0076 UDP 123->123

auch v. 2. ts (207.46.232.189) kommt was zurück:
[IN]Shared-> : 207.46.232.189 213.33.3.61 0076 UDP 123->49199
[FW]Shared->LocalN : 207.46.232.189 192.168.0.100 0076 UDP 123->123
[UT]Shared->LocalN : 207.46.232.189 192.168.0.100 0076 UDP 123->123

dein ntp client scheint damit nicht zurecht zu kommen, würdest ja sonst nicht posten..., bin planlos

hab' kurz d. sntp client a. meinem st angeworfen mit ts "time.windows.com", d. zeitsync ist korrekt:
...
strg-q
SNTP Lookup needed!! for time.windows.com (max retry = 3 : try: 1)
SNTP CLient enabled
...
bla, bla...
...
namensauflösung:
[IN] loop-> : 127.0.0.1 127.0.0.1 0062 UDP 2649->53
[FW] loop->loop : 127.0.0.1 127.0.0.1 0062 UDP 2649->53
[UT] loop->loop : 127.0.0.1 127.0.0.1 0062 UDP 2649->53
[dnss] E - query "time.windows.com" from [client=127.0.0.1:2649, id=0x6a] forwarded to [server=195.3.96.67:53, id=0x82d].
[dnss] E - query "time.windows.com" from [client=127.0.0.1:2649, id=0x6a] forwarded to [server=195.3.96.68:53, id=0x82d].
...
u. gsd
SNTP address resolved!! time.windows.com
SNTP: DNS LOOKUP DONE (time.windows.com): now sent request!!
Request sent to 207.46.232.189... <- dein ts. 2...
..., sys_time= 505382(s) 993195(us), orig_time=3369207280(s) fraction=3793830586
[IN] loop-> : 80.123.46.64 207.46.232.189 0076 UDP 123->123
[FW] loop->Shared : 80.123.46.64 207.46.232.189 0076 UDP 123->123
[UT] loop->Shared : 80.123.46.64 207.46.232.189 0076 UDP 61966->123
...
es geht weiter mit d. reply:
...
[IN]Shared-> : 207.46.232.189 80.123.46.64 0076 UDP 123->61966
[FW]Shared->loop : 207.46.232.189 80.123.46.64 0076 UDP 123->123
[UT]Shared->loop : 207.46.232.189 80.123.46.64 0076 UDP 123->123
Reply rcvd, xmit_time= 3369207280(s), fraction=4238941165
Synchronised to server 207.46.232.189 <-- dein 2. ts.
<102> Oct 7 12:54:41 SNTP Synchronised to server: 207.46.232.189

also :
d. sync mit win ts scheint zu klappen, d.h. du hast kein prob. m. st., sondern mit deinem ntp client. da ich v. win genausoviel ahnung hab' wie e. lokomotive v. schwimmen, werd' ich jetzt d. geschätzten win experten um hilfe bitten:
HIILLFEEE!
liebe win experts,
könnt ihr bitte m. dubiosen post durchgehen, d. ntp client v. schiwi scheint nicht z. funken, kenn' mich b. win nicht aus... DANKE

ach ja, da war'n ja noch'n paar rülpser :
@ wicked_one & ANOther:
honi soit, qui mal y pense...

@ schiwi
muß jetzt m. meinen 2 kröten i. d. hundeschule, erwarte keine antwort v. späteren abend, schau dir d. konfig. deines ntp client an, server time. win... is up u. funkt, st auch o.k.

>EDIT: überflüssige bem. entfernt

[Schiwi]

danke mal vorerst.

WErde mich da nun bei google schlau machen.

Sollte mich der Eintrag beunruhigen

IN] loop-> : 213.33.3.61 195.3.96.68 0072 ICMP Destination Unrea
chable (Port Unreacheable)
[FW] loop->Shared : 213.33.3.61 195.3.96.68 0072 ICMP Destination Unrea
chable (Port Unreacheable)
No reference stream found
[DR] loop->Shared : 213.33.3.61 195.3.96.68 0072 ICMP Destination Unrea
chable (Port Unreacheable) : error caused by NAT-FORW

[zid]

diese meldungen sind mir auch aufgefallen, hab' sie auch manchmal u. kann sie nicht so recht einordnen. möglicherweise schickt d. 2. dns-server mehrere antworten, d. v. conn. trackmodul nicht zugeornet werden können u. mit e. icmp meldung, die dann letztendlich nicht raus geht "[DR]", verworfen werden.
ähnlich ist es mit d. drops d. nat-moduls, z.b.:
>"...[IN]Shared-> : 213.33.14.91 213.33.3.61 0048 TCP 1374->445 [S.....] seq 3006566583 win 16384
[DR]Shared->Shared : 213.33.14.91 213.33.3.61 0048 TCP 1374->445 [S.....] seq 3006566583 win 16384 : error caused by NAT-INPUT..."

das ist o.k. es wird aber eine icmp msg. generiert, d. nicht 'rausgehen dürfte ("[DR]" u. nicht "[UT]"):

>"...[IN] loop-> : 213.33.3.61 213.33.14.91 0072 ICMP Destination Unreachable (Port Unreacheable)
[FW] loop->Shared : 213.33.3.61 213.33.14.91 0072 ICMP Destination Unreachable (Port Unreacheable)
No reference stream found
[DR] loop->Shared : 213.33.3.61 213.33.14.91 0072 ICMP Destination Unreachable (Port Unreacheable) : error caused by NAT-FORW..."

wozu? bug/feature?
insgesamt sieht das alles zumindest mal häßich aus, scheint aber keine neg. auswirkungen a. d. funktionaltät d. st zu haben. falls du dahinter kommst, was da los ist, bitte posten.

zu deinem ntp prob:
hast du schon versucht, die zeitserver zu ändern?
mach's gut
zid

[Schiwi]

google hat nichts gebracht doch nachdem das 546 nicht schuld ist habe ich mal in die Ereignisanzeige von Windows geschaut. Konnte hier aber auch nichts entdecken. Habe dann halt mal routinemässig den gesamten Ereignislog gelöscht und jetz haltet euch fest:

Seither gehts wieder

Fragt mich nicht nach dem Zusammenhang! Ich verspreche hoch und heilig das ich sonst nichts gemacht habe aber egal ist es mir auch, hautpsache es funktioniert wieder!