[NEU] schnelles iptables / ip6tables interface für die 7270 (v.0.8.3a) + 7390 etc...

[cando]

VORAUSSETZUNGEN:

- iptables müssen vorhanden sein und laufen.

Mindestens folgende Module sollten im Freetz-Image sein (wer Platz hat, lieber alle, dann kann das Interface sein Potential voll entfalten):

ip_tables, ip_conntrack, ip_conntrack_ftp, ip_conntrack_tftp, ipt_LOG, ipt_REJECT
ipt_iprange, x_tables, xt_state, xt_conntrack, xt_multiport, xt_tcpudp, iptable_filter​

!!! NICHT VERGESSEN, AUCH DIE ZUGEHÖRIGEN SHARED LIBRARIES IN DAS IMAGE AUFZUNEHMEN !!!

Ideal ist ein Build mit Replace Kernel und Einschalten der Autoload modules Funktion des Kernels (make kernel-menuconfig -> Loadable modules support -> Automatic kernel module loading).

ES STEHEN 3 PAKETE ZUR AUSWAHL:

1.) nhipt.cgi.(version).tar.gz
Das ist das reine GUI, es läuft direkt vom Stick ohne Integration in freetz.

Installation:

- Datei nhipt.cgi z.B. im Verzeichnis (z.B.: /var/media/ftp/uStor01/ipt/cgi-bin auf dem stick auspacken
- execute Rechte darauf setzen.
- einen httpd-Dienst auf das übergeordnete Verzeichnis /ipt und einem freien port (z.B. 83) einrichten.

chmod +x /var/media/ftp/uStor01/ipt/cgi-bin/nhipt.cgi
httpd -P /var/run/nhipt.pid -p 83 -h /var/media/ftp/uStor01/ipt

Aufgerufen wird das Interface mit http://fritz.box:83/cgi-bin/nhipt.cgi

2.) ipt.(version).tar.gz
Das ist das Advanced-Comfort Paket mit dynamischer Freetz Integration.

Installation:

- auf /var/media/ftp/uStor01/ entpacken.
- Datei register.sh mit execute rechten versehen
- Das Script register.sh ausführen

chmod +x /var/media/ftp/uStor01/ipt/register.sh
. /var/media/ftp/uStor01/ipt/register.sh

Im Freetz ist nun ein neues Paket zu sehen. Dort kann man den Rest konfigurieren und das Interface starten.

3.) root.(version).tar.gz
Das ist das Paket zum Integrieren des GUI in den ROM, alternativ auch als Patch für den trunk: nhipt.patch(ver).tar.gz.

Installation: (unter Nutzung von root.tar.gz)

Die Dateien / Verzechnisse auspacken. Einfach Inhalt in ~/root einfügen und noch ein mal make ausführen, damit sie in das Image wandern. (Bis das Paket mal im make menuconfig zur Auswahl steht) - Fertig.

Installation aus Trunk (integriert ab svn:3913)
trunk auschecken oder mit svn up auf neueste Version aktualisieren,
make menuconfig, im Bereich Package Selection ---> Web Interface ---> die Option NHIPT Iptables CGI anwählen. Nun werden alle iptables Module als Untermenu sichtbar und können zusammengestellt werden.
Halt die übliche Vorgehensweise beim Firmware Bauen ....

ARBEITSWEISE:

Wiki zu iptables für Einsteiger
Von Windows verwendete Ports & Services
Es werden alle aktiven Regeln aufgelistet und können wie üblich sofort bearbeitet werden.

Reboot-Fest werden die Regeln durch die Speicherfunktion [Persist rules]. Das erzeugte Start-Script kann entweder im Flash der Box oder extern abgelegt werden [BOOT FROM FLASH / USB] + [SET BOOT DIRECTORY]. Beim Start wird es von der debug.cfg automatisch zum Leben erweckt.

Die Kommentare in der nhipt.cfg und der debug.cfg sind Bestandteil des Programms (Suchmarken). Bitte die Scripte nicht manuell editieren, falsche Eingaben bei einer Firewall können zum Aussperren führen.​

Wer vor dem 31.10. getestet hat, hat möglicherweise die gesamte Config noch in der /var/flash/debug.cfg stehen. Es ist anzuraten, die Datei zu löschen ( ECHO "" > /var/flash/debug.cfg) und dann die Regeln neu zu speichern. In der aktuellen Version wird nur noch ein Vierzeiler in die debug.cfg eingetragen für den Startvorgang.​

Die Regeln können sowohl per Masken-Auswahl (die passenden Module werden für die meisten Regeln an Hand der Parameter automatisch ermittelt), als auch im Expert Mode (Kommandozeile mit iptables syntax) eingegeben werden, sie wirken stets sofort.

Alle Tabellen, sowie die wichtigsten Erweiterungen von conntrack und nat kann man im User Interface anwählen, sie werden automatisch geladen oder beim Abwählen - wenn möglich - entladen.

Wenn man eine Admin Adresse oder Subnetz im Feld [CHANGE ADMIN IP] einträgt, kann man die Konfiguration nur noch von dieser IP aus ausführen, die Sperre bleibt auch über eine Reboot hinaus wirksam.

Zusätzlich besitzt das CGI eine eigene Log-Funktion für die DECT Boxen. Das cgi übernimmt auf Wunsch hierfür alle nötigen Einstellungen, das Log-Verzeichnis ist frei wählbar.

(Es gab in der Vergangenheit oft Probleme mit DECT-Boxen und dem system Log. Seit der aktuellen trunk Version scheint es dafür einen Patch zu geben, der das Problem beheben soll. Bitte Posten, falls Probleme mit DECT Mobilteilen auftreten. Die Log Funktion lässt sich im UI abschalten).​

Die Integration in freetz-trunk ist in Vorbereitung. Bis dahin gibt es hier immer die aktuelle Version zum Testen, sie ist ohne Firmware-flashen sofort nutzbar, sofern die iptables module installiert sind.

Die Fehlermeldungen, Systemmeldungen etc. von iptables und dem UI werden in die Status - Zeilen unterhalb des Regelwerkes ausgegeben, Status 0 ist immer OK.

GUT GEMEINTE RATSCHLÄGE:

Noch eins zum Thema Aussperren, für alle, die noch nie eine Firewall installiert haben.

Firewalls schützen Systeme vor unbefugtem Zugriff auf der Basis von Regeln, diese werden stur und kosequent ausgeführt.
Das kann dazu führen, dass jemand, der sich vorher nicht ausreichend Gedanken über seine Regeln gemacht hat, sich vom System selbst aussperrt. Das passiert Laien oft, und auch Profis sind nicht immer davor sicher.

Damit die Konsequenzen nicht zu drastisch sind, hier ein paar Empfehlungen / Regeln für den Anfänger:

1. Schauen ist OK, manuelles Ändern an Scripten ist tabu , wenn man nicht vorzeitig graue Haare bekommen will.
2. Regelwerke erst dauerhaft speichern [Persist rules], wenn alles funktioniert, wie es soll. Ein Reboot lädt das letzte gespeicherte Regelwerk, und alles ist wieder OK, ältere Versionen werden als Backup mit Zeitstempel im [SET BACKUP DIRECTORY] Verzeichnis abgelegt.
3. Am Anfang lieber den Stick zum Speichern verwenden. Im Notfall kann man den vor dem Booten abziehen und die Box startet ohne iptables Firewall.
4. Das UI hat eine GreenHorn [safe] und eine Profi-Betriebsart [advanced], Umschaltbar über [Admin Level]. Im Safe - Modus wehrt sich die Firewall sehr erfolgreich gegen alle Aussperrversuche des Administrators. Er bewirkt, dass in allen für den Adminzugang wichtigen Chains eine ACCEPT Regel für diese spezielle IP Adresse eingetragen wird. Nach Umschalten in [advanced] kann man wie gewohnt alle Regeln editieren oder Löschen.
5. Ein [Boot-Delay] , (wählbar von [Aus] bis [10 Min]) kann auch gegen Aussperren eingestellt werden. Während dieser Zeit ist nach einem Kaltstart der Box ungehinderter Zugriff möglich. Zur Sicherheit kann der Internetzugang während dieser Zeit automatisch verhindert werden [stop dsld on delay]
6. Ausgesperrt aus der Admin Oberfläche durch Eingabe einer falschen IP Adresse: Datei: /var/tmp/nhipt.par enthällt die falsche Eingabe. Zeile ADMINIP=... löschen und GUI neu aufrufen. Tipp: Man kann auch ein Subnetz für die AdminIP eintragen - z.B. 192.168.0.10/30 - das erlaubt den Zugriff von den Adressen 192.168.0.8..192.168.0.11 Online IP Rechner.
7. Wenn man das alles ignoriert und wider besseren Wissens sich trotzdem aussperrt, hilft nur noch ein erneutes Flashen der Firmware.

Viel Spass beim Ausprobieren und viele Grüße

cando

...

NEU : Version v.0.8.3a :

[EDIT 10.11.09-11:22] Unterstützung ip6tables, Module müssen beim ersten Mal von Hand mit modprobe geladen werden (ipv6, ip6_tables, ip6table_filter...) wenn im Kernel kein Autoload der Module konfiguriert ist.
[EDIT 11.11.09-22:30] Unterstützung Kernel-Autoload von Modulen (entspr. Kernel Schalter vorher setzen mit make kernel-menuconfig)
[EDIT 12.11.09-15:00] Automatische Erkennung von ipv6 und Freischaltung der ip6tables - Unterstützung im UI.
[EDIT 14.11.09-00:50] Paket zum Einbau in die Firmware (alpha version).
[EDIT 14.11.09-11:12] BugFix root-Verzeichnis für CGI war nicht änderbar.
[EDIT 14.11.09-23:55] BugFix server Port für CGI war nicht änderbar.
[EDIT 14.11.09-23:55] Auswahl Urlader eingebaut (debug.cfg/freetz service)
[EDIT 15.11.09-18:55] Backup der Config abschaltbar (Verzeichniseintrag Löschen)
[EDIT 15.11.09-18:55] Voreinstellungen überarbeitet
[EDIT 15.11.09-18:55] Fix freetz UI (debug code entfernt)
[EDIT 18.11.09-18:00] Fix UI für Internet Explorer (Style Sheet)

[EDIT 20.11.09-00:00] Integration in trunk, (ab svn 3913)
[EDIT 21.11.09-11:00] Fix (Beim aller ersten Start... Siehe BUGS), Patch für Trunk

[EDIT 23.11.09-15:00] Trunk ab ver. 3943
[EDIT 23.11.09-15:00] CR Laden der Iptables Module beim ersten Speichern der Config - damit entfällt vorheriges iptables -S bzw. modprobe
[EDIT 23.11.09-15:00] Feature "Keine Speicherknöpfe wenn keine Regeln eingegeben" entfernt, Admin Knöpfe sind nun immer sichtbar.
[EDIT 23.11.09-15:00] Einige kosmetische Änderungen ohne Auswirkung auf die Funktion nach Anregungen aus dem Forum...

[EDIT 27.11.09-13:00] Trunk ab ver. 3979
[EDIT 27.11.09-13:00] FIX - Admin IP lässt sich aus freetz nicht ändern
[EDIT 27.11.09-13:00] FIX - Web-Interface: im IE wurden die Gitternetzlinien für leere Zellen in der Regeln Tabelle nicht angezeigt.

[EDIT 29.07.10-12:40] Patch für 7390 und andere Boxen, Erweiterung für Auswertung von syslogd Files (Syslog ohne DECT, Firewall-Log Filter, diverse Verbesserungen)

 

[Silent-Tears]

Coll. Aber kannst du bitte oben den von dir angegebenen Port ändern? Per Default läuft das wol.cgi auf eben dem Port 82 und wird sonst evtl Leute zu Fragen animieren, wenn was nicht funktioniert.

Edit: Danke für die Änderung

 

[starmagoo]

Ziemlich geil. Ich bewundre euch immer wieder! *klasse* :nemma:

Ich persönlich fände es noch schick wenn bei "ANY" Regeln (source, destination, port, ...) auch "ANY" dasteht.

 

[cando]

Hi,

habe ich bewußt so gemacht.

So eine any - Tabelle ist sehr unübersichtlich, so stechen die tatsächlichen Regeln direkt ins Auge, was leer ist ist any. Aber ich kann ja mal einen Config Schalter für den any-key einbauen

 

[starmagoo]

Ok kein Ding. Ich bin es nur von Hardware-Firewalls wie Netscreen, Juniper, Sonicwall und Co so gewöhnt deshalb mein Hinweis. Aber als Auswahl für die, die es haben wollen wäre es natürlich noch idealer..!

 

[SaschaBr]

Wow... Das sieht ja mal aus, wie eine richtige "Männer"-Firewall!!
Nicht so 'n Kinderding wie die von AVM (bei der ich "Freetz - avm-firewall" mittlerweile nicht mehr missen möchte).
Ich glaube, ich muss mich doch mal mit iptables auseinander setzen. Eine vernünftige Firewall zu haben kann ja nicht schaden.

 

[colonia27]

Moin cando, der screenshot lässt schon mal auf ein tolles "easy-to-use"-Paket schliessen. Denke das werd ich die Tage auch mal antesten, bisher läuft bei nur das AVM-Firewall-Paket.
Könnte es eigentlch zu Problemen kommen beide im Image zu haben? Damit meine ich natürlich nicht den gleichen port einmal zu schliessen und einmal zu öffnen

[EDIT] Version aktualisiert, port auf 83 geändert. Danke für den Hinweis!

Auf der Suche nach dem richtigen Port, muß ich dir wohl auch einen Dämpfer verpassen.
Auf 83 laufen die hp-utils standardmäßig. Auch wenn es vermutlich nicht allzusehr verbreitet ist, sollten wir einmal vergebene ports imho beibehalten.
Übrigens, Port 86 ist mit rrdstats belegt.

 

[starmagoo]

@colonia27

Ich hab beide Firewalls im System laufen und das ohne Probleme. Wichtig an dieser stelle ist nur das die AVM Firewall sowieso als erstes Zieht. Gibst du Ports per Iptables von außen frei müssen die auch erst per AVM Firewall freigegeben sein damit von außen was reinkommt. Selbes gillt für NAT. Alles was innen passiert bzw. nach außen geht, kannst du ohne Probs mit Iptables steuern.

Ich verweise hier auch mal auf den Eintrag von Cando im Freetz wiki.

 

[Silent-Tears]

Könnte es eigentlch zu Problemen kommen beide im Image zu haben? Damit meine ich natürlich nicht den gleichen port einmal zu schliessen und einmal zu öffnen

Nein, die AVM-Lösung ist ja immer da, da sie im dsld implementiert ist. Ergo musst du nur aufpassen, dass du nicht 'Ports irgendwo freigibst, und auf ner anderen Seite wieder schliesst

 

[cando]

Ich habe beide Lösungen seit langem auf meiner Box im Produktivbetrieb, kein Problem. (Siehe Wiki) Im Moment habe ich alle 3 cgi's drauf, zum Vergleichen und Testen. beim freetz iptables-cgi ist das Ganze ja recht gut im System integriert, nur mich stört halt der sehr eingeschränkte Funktionsumfang (meine Regeln werden nicht vollständig gelistet, der Befehlssatz ist auf die Basics beschränkt), das sehr langsame interface und die schlechte Übersichtlichkeit.

Ich habe ja bislang meine iptables über die debug.cfg mit ssh und nano editiert und von der Console geladen.

Ich werde mir die freetz Lösung genauer ansehen und überlegen, was für das Persistieren der Rules besser ist. Die Firewall zu stoppen und zu Starten fand ich bisher überflüssig, die iptables laufen immer, wenn man sie abschalten will, kann man ja die default regeln per Mausklick öffnen und die 1-3 Ketten purgen (genau in der Reihenfolge, sonst sperrt man sich aus!). Sollte man sich mal ausgesperrt haben, ein Reboot hilft, da die funktionierenden Regeln ja benötigt werden, um Persist zu drücken, es wird nicht automatisch bei jeder Regeländerung im Flash gespeichert!

Ich baue auch ein Interface ein, um komplette Regelsätze zu laden und zu speichern, so dass man nicht alles neu eingeben muss oder per shell laden muss. Beim Persistieren wird immer ein Backup der alten Config mit Zeitstempel auf dem Stick erstellt, so dass ein Fall-Back leicht möglich ist.

Wenn es was neues gibt (Paket, Funktionen), werde ich das immer im ersten Beitrag aktualisieren, damit man nicht lange suchen muss.

Falls jemand das Ding mal testet, freue ich mich über Hinweise, Bugreports und Tipps.

 

[colonia27]

Hast du dich denn schon für nen neuen/anderen Port entschieden. siehe #7
Wenns nach mir ginge, könntest du das lassen. Such ich mir für hp-utils eben nen Anderen.
Aber du weißt ja wie es ist ..... :-Ö

 

[cando]

Das Port kann jeder selbst festlegen (siehe 1.Beitrag für das Einrichten des httpd), momentan wird port 83 beim Persist in die debug.cfg eingetragen (steht im aktuellen Script auf Zeile 102, oder mit grep httpd suchen), kann man dort nach belieben patchen.

Ich baue aber vielleicht noch eine Eingabe Maske für das Port ein, damit man es von der Oberfläche her konfigurieren kann.

Ich habe, glaube ich, noch eine bessere Lösung gefunden. Ich werde die Parameter dynamisch setzen, indem ich die aktuelle Konfig aus dem Environment auslese (Eingestelltes Server Port und aktueller Pfad). Dann legt der Benutzer bei der Erst-Installation alles fest und das script weisse bescheid ;-)...

 

[Silent-Tears]

Du könntest ein Freetz-CGI für die Einstellungen vorsehen. So etwas in der Art braucht man fast nur kopieren, denn das gibt es zumindest für WOL und rrdstats schon einmal. Ebenso eigentlich für die Freetz-Oberfläche. Dort kann man dann gleich die htpasswd-authentifizierung mit festlegen, um das Interface ein Stück weit zu schützen.

 

[cando]

Kommt ganz zum Schluss dran, wenn alle Funktionen getestet sind.

Ich bin mir noch nicht so ganz sicher, ob eine Integration im Freetz Formular so gut ist, da der Bildschirmbereich durch die Navigation und das drum-rum von freetz eingeschränkt wird. Ich denke da eher an eine wechselseitige Verlinkung, mit der Nutzung des gleichen htpd ports, damit man nicht ein extra Port spendieren muss.

Die Authentifizierung werde ich mir noch ansehen und integrieren (single sign-on).

Ich überlege auch noch, eine Funktion für Dummies einzubauen, damit man sich nicht selbst ausspert (1.Rule in der chain INPUT soll immer automatisch gesetzt werden auf die tcp Ports 22 (SSH), 80 ,81, FirewallPort ACCEPT und in der OUTPUT CHAIN state RELATED,ESTABLISHED für die gespeicherte Admin-IP), wenn diese beiden Chains mit purge gelöscht werden und die default rules für die Chains auf DROP stehen. Sonst müsste man die Box rebooten um den letzten gespeicherten Zustand zu erhalten.

Ich habe die Config jetzt dynamisch gemacht, das Script zieht sich alle Angaben für den Pfad und das Port aus der laufenden Installation.
und im ersten Beitrag aktualisiert.

 

[Silent-Tears]

Nee, so war das nicht gemeint. Ich meine ein Formular zum Festlegen der Startoptionen des zusätzlichen Webinterfaces, und am bestne die Möglichkeit, den Dienst nach eigenem Gusto zu starten oder zu beenden (Also den zusätzlichen Webserver).

 

[cando]

Habe ein neues Update oben eingespielt.

Neue Funktionen:

Die gesamte Konfiguration des Systems wird beim persistieren in die debug.cfg gepackt.

Beim Kaltstart erzeugt diese dann alle benötigten temporären Dateien:
in /var/tmp:

logfw.sh - Script für cron job, dass die firewall und system logs in das Ziel- Logverzeichnis in die Dateien system.log und fw.log jede Minute schreibt und die temporäre /var/tmp/system.log leert.

logtm.sh - Script für cron job, dass stündlich Zeitstempel in die Logfies schreibt

nhipt.par - Pfade und Einstellungen für das System

var/flash/adminip - ipadresse des Admin PC

iptlogger.sh - log Deamon, der die /dev/debug wegschreibt nach /var/tmp/system.log

Die crontab wird analysiert und notfalls um die beiden jobs ergänzt.

Der crond wird gestoppt und neu gestartet.
Der log deamon wird gestartet
Die iptables module werden geladen
Die die Berechtigungen für die scripte gesetzt
Das Admin Interface httpd wie konfiguriert gestartet

Die gespeicherten Policies der Firewall werden geladen.

Das System ist nach einem Reboot automatisch wieder gesichert und der Log eingeschaltet.

Das Logging kann man im Admin Interface per Knopf an und ausschalten, es wird nur der log deamon gestoppt, der crond läuft weiter.

Viel Spass beim Testen!

 

[Silent-Tears]

Es gibt im freetz schönere Methoden, als denn die debug.cfg vollschreiben, und auch Möglichkeiten, entsprechend Variablen persistent zu speichern. Eigentlich sogar ein sehr einfacher Mechanismus. Ich fände es glaube ich schöner, würdest du dahingehend ein wenig weiter agieren, damit das einigermassen einhellig passiert im gesamten Freetz-Umfeld.

Auf jeden Fall aber Danke für den Einsatz, denn so wird iptables um einiges Benutzerfreundlicher auf der Box. (Ob das wirklich gut ist, ist noch etwas anderes, wer weiss, wer sich alles aussperrt? )

 

[cando]

Hallo Silent-Tiers,

Hast Du da irgendwo eine Beschreibung, wie Variable und scripte elegant und schnell persistiert werden können? Ich werde mal in der Wiki suchen, ob ich was zu den freetz cgi design-pattern finde. Falls Du eine Stelle weisst, wo das knackig beschrieben ist, würde ich mich über einen Link freuen.

Ich habe mir schon überlegt eine eigene "debug.cfg" in der tffs im flash zu erzeugen in der ich das alles für den boot hineinpacken kann, und die dann von der debug.cfg oder so aufzurufen, bin aber wieder davon abgekommen, weil ein normaler user die nicht wieder ohne weiteres los wird.

Irgendwie muss ich meine Scripte ja erstellen und beim booten starten. Ich wollte im Paket eigentlich nur die eine einzige cgi-bin Datei haben, die dann alles Nötige installiert und veranlasst. Wenn man die löscht, soll das System wieder sauber sein.

Außerdem sollen die Regeln und Einstellungen auch nach entfernen der cgi weiter funktionieren (z.B. mit dem cgi die Box konfigurieren und dann wegen der Sicherheit das cgi + httpd Eintrag entfernen. iptables und logging laufen dann unabhängig davon, wie eingestellt, auch nach diversen reboots weiter)

Um das System "clean" zu verlassen (kein logging, keine iptables config) muss man nur die debug.cfg löschen und booten. Für Beides wollte ich im Interface noch je einen Knopf "uninstall cgi only" "uninstall all" vorsehen.

Ziel war es zu vermeiden, verteilt an verschiedenen Stellen settings etc. zu hinterlegen, damit man es händisch ohne Aufwand entfernen kann. Allerdings brauche ich ja auch irgend was, um den Autostart der iptables, des httpd deamons, des crond und des Logging Hintergrund Prozesses zu bewirken, ohne vorher die cgi aufzurufen. Mir ist bislan nichts besseres, als die debug.cfg eingefallen.


Viele Grüße

cando

 

[olistudent]

Hi cando,
auch von mir ein Lob für deinen Einsatz. Aber du musst dich entscheiden was du machen willst. Entweder mit der debug.cfg wie du das beschrieben hast. Dann bist du aber hier falsch, weil das nichts mit Freetz zu tun hat. Außer, dass Freetz die benötigten Kernelmodule usw. baut. Oder du passt dein Package an die Freetz-Strukturen an (wie z.B. wol-cgi). Es spricht ja auch nichts dagegen, dass deine Seite kein Freetz-Design hat...

MfG Oliver

 

[Silent-Tears]

Ich halte eben 2 Interfaces für sinnvoll. Das eine im Freetz eingebaute - für die Einstellungen des 2. Webinterfaces, und dann eben das eigentlich Webinterface dazu. Dazu dann die Variablen und Einstellungen in einem rc-Script einlesen und fertig ist die Möhre.

Wenn du Howtos suchst, muss ich ebenso rumsuchen. Im Wiki ist schon was, aber nicht wirklich viel, und hier im Unterforum gab es da auch schon einige Diskussionen zu, wie man am besten ein Paket für Fretz schnürt incl. CGI.