iptables auf alter FritzBox

[knorr]

Hi,

ich bin gerade dabei die iptables mit der trunk Version von freetz zu installieren. Dabei gab es aber leider mehrere Probleme und wie ich bei der Wiki aufmerksam geworden bin, scheinen die iptables erst ab der 7-Version der FritzBoxen zu funktionieren.
Da meine Taschen aber momentan Klamm sind und ich auch u.a. die Multi-Media Erweiterungen nicht brauche, nur ein paar neue Protokolle wären schön, wollte ich meine alte FritzBox gern behalten.
Bei der trunk-Version möchte nhipt u.a. in Verzeichnisse wie etwa ftp, die es überhaupt nicht gibt.
Dehalb wollte ich Euch fragen wie ich bei meiner alten FritzBox iptables am besten installiere?

Vielen Dank.

 

[colonia27]

Moin,
ich kann die mit iptables zwar nicht helfen, aber denen die es können hilft es sicher wenn sie wissen um welche FB es bei dir geht

 

[knorr]

Eine stoltze Fritz!Box Fon 5140!
Mit 4-Lan Ausgängen, 2 analog u. 1 isdn Telefonausgang und keinem USB-Stick Steckplatz.
Ich bin eigentlich wirklich glücklich mit der Box.

 

[Silent-Tears]

Nur dass auf der Box die selben Schwierigkeiten zu erwarten sind wie auf den anderen Boxen mit 2.6.13er Kernel, nämlich ständige Reboots, solband man conntrack-Module benötigt (Wie für eigentlich das meiste, was normales Internet so hergibt)

 

[RalfFriedl]

Zunächst einmal solltest Du nicht Trunk und nicht Trunk Sachen mischen. Zum anderen kann es sowieso passieren, daß mit dem Trunk mal gar nichts funktioniert.

Was genau hast Du gelesen, daß nur auf der 7-Version (was auch immer das ist) funktionieren soll, und was sind "leider mehrere Probleme"?

 

[knorr]

gelesen habe ich es unter:
http://trac.freetz.org/wiki/packages/nhipt
Im Abschnitt Vorraussetzungen.
Trunk und nicht Trunk habe ich nicht gemischt. Bei Trunk gibt es unter Webinterface die Rubrik [NHIPT iptabels], die ich angewählt habe. Doch scheint sie nur auf den 72xx FritzBox Versionen zu laufen.

 

[Silent-Tears]

Tja, und dir ist dabei entfallen, dass es auch 71xx-Boxen gibt. Lies doch bitte meinen Beitrag in #4, und suche mal nach conntrack und iptables, wenn du die Suchfunktion gefunden hast und stelle fast, dass deine Box wahrscheinlich nach ~3h rebootet, sofenr du das conntrack-modul nutzt.
iptables funktioniert mit conntrack nur sinnig auf den x2xx-Boxen

 

[knorr]

Dein Kommentar habe ich gelesen, doch glaube ich nicht das es einfach nur an conntrack liegt.
Beim starten nhipt erhalte ich die Fehlermeldung:
/tmp/flash/nhiptboot.cfg: : No such file or directory

Hinzu verweiste die nhipt.cfg auf:
export NHIPT_BACK='/var/media/ftp/uStor01/backup'
export NHIPT_LOGD='/var/media/ftp/uStor01/log'
auf das Verzeichnis ftp, das nicht existiert.

Daraus schließe ich das das Paket nhipt nicht für diese Version der FritzBox entwickelt wurde.

 

[RalfFriedl]

Es ist richtig, daß es nicht für diese Box entwickelt wurde. Die Konfigurationsdatei wirst Du sicher leicht ändern können. Das wird aber nicht das Problem lösen, das Silent-Tears oben abgesprochen hat.

 

[sf3978]

[...]
Daraus schließe ich das das Paket nhipt nicht für diese Version der FritzBox entwickelt wurde.

Sollte aber kein Problem sein. iptables kannst Du trotzdem benutzen und zwar mit einem Skript.

 

[knorr]

Jo, dachte auch schon daran es über den patch zu versuchen, doch wollte ich erst einmal Eure Meinungen zu der Problematik hören, bevor ich wieder vielleicht endlos am rumfrickel sitze.
Gruß und Dank.

 

[sf3978]

... es über den patch zu versuchen, ....

Welchen Patch meinst Du?

 

[knorr]

http://trac.freetz.org/wiki/packages/nhipt#DOWNLOAD
Welches Skript meintest du?

 

[sf3978]

Ich meine ein Skript zum setzen der iptables-Regeln & Co., das Du dir für deine Box + clients bzw. für dein LAN (d. h. für deine Konstellation) schreibst, installierst und anwendest.

 

[knorr]

So fleißig habe ich noch gar nicht gedacht.
:boxer:

 

[alpha1974]

stelle fast, dass deine Box wahrscheinlich nach ~3h rebootet, sofenr du das conntrack-modul nutzt.
iptables funktioniert mit conntrack nur sinnig auf den x2xx-Boxen

So pauschal kann man das nicht sagen. Die Reboots hängen von der individuellen Konfiguration und Nutzungsweise ab. wlan und iptables mit conntrack KANN eine kritische Kombination sein, siehe hier. Andererseits läuft hier eine 7170 mit ip_conntrack und zahlreichen state-Rules seit deutlich mehr als 3 Stunden, auch mit regelmäßiger WLAN-Nutzung (wobei letzteres durchaus geeignet wäre, die Box rebooten zu lassen...).

/var/mod/root # uptime
 18:57:44 up 40 days,  2:34, load average: 0.20, 0.08, 0.02
/var/mod/root # lsmod|grep ip
iptable_filter          2112  1 
ipt_state               1312  4 
ipt_multiport           2176  3 
ipt_comment             1184  0 
ipt_REJECT              4800  0 
ipt_REDIRECT            1536  0 
ipt_LOG                 7328  3 
ip_nat_ftp              2816  0 
iptable_nat            22096  2 ipt_REDIRECT,ip_nat_ftp
ip_tables              21088  8 iptable_filter,ipt_state,ipt_multiport,ipt_comment,ipt_REJECT,ipt_REDIRECT,ipt_LOG,iptable_nat
ip_conntrack_ftp       71552  1 ip_nat_ftp
ip_conntrack           42288  4 ipt_state,ip_nat_ftp,iptable_nat,ip_conntrack_ftp
/var/mod/root #

 

[Silent-Tears]

Und exakt deswegen steht in meinem posting das "~" was dann "ungefähr" heisst. Auf jeden Fall aber bringt man damit die Box in einen Status, der ziemlich unsicher ist, und imho nicht empfehlenswert.

 

[cando]

Hinzu verweiste die nhipt.cfg auf:
export NHIPT_BACK='/var/media/ftp/uStor01/backup'
export NHIPT_LOGD='/var/media/ftp/uStor01/log'
auf das Verzeichnis ftp, das nicht existiert.

Diese Verzeichnisse sind in dieser Konfiguration auf dem USB-Stick ausgelagert. Man kann sie auch im Speicher der Box ablegen, wenn kein externer Speicher vorhanden ist.

Versuch doch erst mal iptables stabil ohne dem Web-Interface zum Laufen zu bringen. In den alten Boxen zählt jedes Byte, vielleicht solltest Du ganz auf die Web-Oberfläche verzichten und erreichst damit am Ende eine bessere Stabilität.

 

[mikazoid]

da hier die Resonanz größer auf meine Frage sein dürfte, möchte ich dennoch Crossposting vermeiden und verweise auf mein Posting

unter der Rubrik Firewall

http://www.ip-phone-forum.de/showthread.php?p=1578932#post1578932

ich möchte nur HTTP/S DNS Zugang von meiner Box ermöglichen, verzichte gerne auf das Iptables.CGI wenn man mir sagt welche Pakete ich unbedingt benötige ohne das Webinterface.

 

[sf3978]

..., verzichte gerne auf das Iptables.CGI wenn man mir sagt welche Pakete ich unbedingt benötige ohne das Webinterface.

Wenn Du den trunk hast, dann benötigst Du nur das Paket iptables (mit den erforderlichen und gewünschten Modulen, die Du evtl. auch automatisch laden lassen kannst). Siehe hier: klick