Date: Wed, 18 Apr 2001 21:58:42 +0200 From: Bjarne Wichmann Petersen <none@mekanix--vip.cybercity.dk.lh.bsd-dk.dk> To: BSD-DK <none@bsd-dk--bsd-dk.dk.lh.bsd-dk.dk> Subject: ... going slightly mad... tun0, ppp, ipfw, life and everything...
Nu har jeg brugt det meste af dagen på læse en zillion
guides/handbooks/howtos/etc om ppp, ipfw osv. osv. og er nu meget mere
forvirret end da jeg startede. Og det hele startede bare fordi at nu ville
jeg ha en firewall (tilføjet til slut) op og køre (på FreeBSD) ... og som
så ikke rigtig virkede... (kunne ikke få traceroute til at du). Så nu vil
jeg tillade mig at bruge jer som mur til at kaste et par bolde op ad.
Min opsætning er ret simpel:
Min maskine <-> modem <-> udbyder
Hvilket skulle være det samme som:
MyHost <-> tun0 <-> ppp0 <-> ISP
Så lang så godt, ingen hovedpine der. Problemet begynder at opstå nåh der
så skal tildeles IP'er...
MyHost er 127.0.0.1 ... og så falder jeg fra. I min ppp.conf har jeg:
set ifaddr 10.0.0.1/0 10.0.0.2/0 255.255.255.0 0.0.0.0
10.0.0.1 skulle så være et alias for MyHost/tun0 (begge? ... kun den ene?
Eller...) og 10.0.0.2 skulle så være et alias for ISP'en (... eller er
10.0.0.1-2 kun en "intern" forbindelse mellem tun0 og ISP?)... hvad de
255.255.255.0 skal gøre... aner jeg ikke.
Nåh... det var så ppp.conf... i rc.conf fortsætter forvirringen.
network_interfaces="auto" eller "lo0 tun0" eller "lo0 tun0 ppp0"? "auto"
synes at hindre at noget som helst virker. Skulle det ikke, vel?
ifconfig_lo0="inet 127.0.0.1" Det skulle vist være nok?
ifconfig_tun0="" eller "inet 10.0.0.1 netmask 255.0.0.0" eller noget helt
3.?
ifconfig_ppp0= Skal den sættes... og i så fald til hvad?
Jeg har prøvet stort set alle kombinationer af ovenstående jeg kan komme
på, uden det store held. Mit problem med min firewall er der stadig. Får
konstant følgende hits på den:
Apr 18 21:05:26 mekanix /kernel: ipfw: 65435 Deny P:2 212.242.169.254
224.0.0.1 in via tun0
212.242.169.254 er svjv ISP/opkoblingspunktets IP. Hvad er "P:2" for
noget? 224.0.0.1 eksisterer ikke, den er åbenbart mig selv:
PING 224.0.0.1 (224.0.0.1): 56 data bytes
64 bytes from 212.242.169.142: icmp_seq=0 ttl=255 time=3.433 ms
64 bytes from 212.242.169.142: icmp_seq=0 ttl=255 time=4.015 ms (DUP!)
Hvor i alverden kommer 224.0.0.1 fra? 212.242.169.142 er så min IP på
internettet. Og hvad er det der gøre at jeg ikke kan lave nogen traceroute
(men godt pinge)?
Til sidst, hvor kan jeg læse noget ret basalt om IP, IPFW osv. (bog, URL)?
#Nakket fra freebsd.org
# Firewall rules
# Written by Marc Silver (marcs@draenor.org)
# http://draenor.org/ipfw
# Freely distributable
# Define the firewall command (as in /etc/rc.firewall) for easy
# reference. Helps to make it easier to read.
fwcmd="/sbin/ipfw"
# Force a flushing of the current rules before we reload.
$fwcmd -f flush
# Divert all packets through the tunnel interface.
$fwcmd add divert natd all from any to any via tun0
# Allow all data from my network card and localhost. Make sure you
# change your network card (mine was fxp0) before you reboot. :)
$fwcmd add allow ip from any to any via lo0
#$fwcmd add allow ip from any to any via xl0
# Allow all connections that I initiate.
$fwcmd add allow tcp from any to any out xmit tun0 setup
# Once connections are made, allow them to stay open.
$fwcmd add allow tcp from any to any via tun0 established
# Everyone on the internet is allowed to connect to the following
# services on the machine. This example shows that people may connect
# to ssh and apache.
$fwcmd add allow tcp from any to any 80 setup
$fwcmd add allow tcp from any to any 22 setup
# This sends a RESET to all ident packets.
$fwcmd add reset log tcp from any to any 113 in recv tun0
# Allow outgoing DNS queries ONLY to the specified servers.
$fwcmd add allow udp from any to 212.242.40.3 53 out xmit tun0
$fwcmd add allow udp from any to 212.242.40.51 53 out xmit tun0
# Allow them back in with the answers... :)
$fwcmd add allow udp from 212.242.40.3 53 to any in recv tun0
$fwcmd add allow udp from 212.242.40.51 53 to any in recv tun0
# Allow ICMP (for ping and traceroute to work). You may wish to
# disallow this, but I feel it suits my needs to keep them in.
$fwcmd add allow icmp from any to any
#ICQ stuff - vist ikke særlig elegant gjort...
$fwcmd add allow udp from any to any 4000 out xmit tun0
$fwcmd add allow udp from any 4000 to any in recv tun0
# Deny all the rest.
$fwcmd add 65435 deny log ip from any to any
Bjarne
This archive was generated by hypermail 2b30 : Wed 15 Nov 2006 - 18:24:06 CET