Probleme Firewall Portweiterleiting 0.3.3

[Anonymous]

Hallo Zusammen,

ich krebs jetzt nun schon so lange an diesen Portweiterleitungen das mich nun endlich entschlossen habe hier mal zu fragen.
Vorab aber schonmal grosses Lob an die Firmware. Macht gleich viel mehr Spass mit dem Router :-D

Ich versuche verzweifelt Ports weiterzuleiten und es funktioniert einfach nicht. Laut nvram habe ich Konfigurationen die will ich nicht und die glaube werden auch nicht geladen und andere die funktionieren nicht.

laut nvram show habe ich zum Beispiel :
...
w_prot_forwarding=;;
w_port_forwarding=WEB#80#tcp#192.168.2.33#80#1;RemoteDesktop#5900#both#192.168.2.5#5900#1;
...

Mache ich aber ein saveconfig gibt es diese Einträge nicht. Dafür habe ich sowas im File :
...
<vrtSrvEntry id="1" srvName="Torrent" pcName="PC006" protocol="TCP" pubPort="26229" priPort="26229" type="srvOne" isActived="1" index="2"/>
...

Davon habe ich 5 Stück und keine davon wird im Frontend angezeigt.

Ich glaube ich habe schon alle probiert. Nvram reset und dann aus dem File neugeladen und commit. Ich habe mittlerweile sogar die Ports geschlossen selbst wenn ich die Firewall aus habe etc. Irgendwie bin ich zu blöd oder da liegt was im argen.
Und dieses w_prot_forwarding... kommt mir schon recht spanisch vor :-D

Vielleicht hat ja jemand ne Idee und kann mir helfen. Ich würde so gerne, nachdem es nun mit WOL so schön klappt auch gerne den RemoteDesktop Port weiterleiten etc.

Achja und nebenbei, ist das korrekt das der Callmonitor keine Nummer übermittelt !? Ich habe jetzt nachdem es kein Tool anzgezeigt hat mal selbst auf den Port gelauscht und da wird auch wirklich keine Nummer gesendet. Nur mal am Rande falls jemand auch dafür eine Einstellung parat hat :-D

System information vom Router. Falls das jemanden nen Hinweis gibt.
BS Version:    0.3.3
Kernel:    Linux BS 2.6.8.1 #52 Mon Nov 10 18:33:12 CET 2008 mips unknown
BusyBox:    v1.9.2 (2008-10-22 11:44:43 CEST)
System time:    Tue Dec 9 20:01:32 UTC 2008
Uptime:    20:01:32 up 48 min
Hostname:    BS
System type:    96348GW
CPU model:    BCM6348 V0.7
BogoMIPS:    253.95

[Patrick Schmidt]

Also eigentlich funktioniert die Weiterleitung ohne Probleme, deshalb wundern mich auch deine Angaben:

1.
"w_port_forwarding" müsste eigentlich "fw_port_forwarding" heißen. Weiß ja nicht ob das nur ein Kopierfehler
von dir war oder obs wirklich so im NVRAM steht.

2.
Die xml-Einträge "<vrtSrvEntry id="1"...." sind eigentlich seit 0.3 veraltet da noch vom 'cfm' (der alte Broadcom-Manager) stammen. Also entweder das ist ein Überbleibsel oder du hast eine alte falsche Konfiguration geladen.

Um das Problem zu lösen könntest du einfach den NVRAM mal resetten. Dann musst du halt alles
neu einstellen. Wenn du das nicht willst, dann poste bitte folgende Angaben:

Betrieb am DSL ja/nein
WLAN an/aus, Modus Bridge/seperate
FW an/aus, WAN-Interface

Zusätzlich setze bitte folgenden NVRAM Parameter:

nvram set fw_debug=1
nvram commit

Starte dann bitte das Gerät neu und poste den Inhalt der Datei '/var/firewall.log'.

Wegen dem 'Call_monitor', da ist tatsächlich ein Fehler aufgetaucht der wurde behoben und wird
mit der nächsten Version gefixt.

[Anonymous]

Vielen Dank für die rasche Antwort.

was das w_prot_forward angeht, so stand das wirklich so in vram. Und das war nicht das einzige was mit komisch vorkam und ich dann halt mal rausgenommen habe.

NVram reset habe ich probiert. In folgender Reihenfolge. Abspeichern der Config. -> nvram reste -> nvram load config und dann comit. Wie gesagt nvram show zeigt mir keine <vrtSrvEntry id="1".... Einträge. Muss ich für nen Reset noch mehr machen ?

Betrieb am DSL ja
WLAN an, Modus Bridge/seperate wäre mir egal :-D
FW an , WAN-Interface an

Kann es möglich sein das Einstellungen trotz Firmwareupdate erhalten geblieben sind oder wäre dann das Gerät frisch !?

Mit dem CallMonitor ist super wenn dann die Nummer mit übertragen wird. Kann man dem Internen Log auch beibringen die Anrufe zu speichern in Logfiles,damit sie nicht nach nem Boot immer weg sind :-D

Mein Firewall log :

setup_kernel_params()
echo 1 > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/ip_dynaddr
firewall should be started...now set up filter table
setup_kernel_params()
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
echo 1 > /proc/sys/net/ipv4/conf/all/log_martians
echo 0 > /proc/sys/net/ipv4/tcp_timestamps
echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects
echo 0 > /proc/sys/net/ipv4/conf/all/send_redirects
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
echo 30 > /proc/sys/net/ipv4/tcp_fin_timeout
echo 1800 > /proc/sys/net/ipv4/tcp_keepalive_time
get_external_interface()
get_external_interface() external interface is ppp_1_32_1
echo 1 > /proc/sys/net/ipv4/conf/ppp_1_32_1/rp_filter
/bin/sh: cannot create /proc/sys/net/ipv4/conf/ppp_1_32_1/rp_filter: nonexistent directory
setup_filter_table()
iptables -F
iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
get_external_interface()
get_external_interface() external interface is ppp_1_32_1
iptables -A INPUT -i ppp_1_32_1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i br0 -j ACCEPT
iptables -A INPUT -i wl0 -j ACCEPT
setup_services_input()
iptables -N SERVICES_INPUT
iptables -F SERVICES_INPUT
iptables -A SERVICES_INPUT -j RETURN
setup_portfw_input()
iptables -N PORTFW_INPUT
iptables -F PORTFW_INPUT
get_external_interface()
get_external_interface() external interface is ppp_1_32_1
iptables -A PORTFW_INPUT -j RETURN
iptables -A INPUT -i ppp_1_32_1 -j SERVICES_INPUT
iptables -A INPUT -i ppp_1_32_1 -j PORTFW_INPUT
iptables -A INPUT -i ppp_1_32_1 -p icmp -j ACCEPT
setup_portfw_forward()
iptables -P FORWARD ACCEPT
get_external_interface()
get_external_interface() external interface is ppp_1_32_1
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A FORWARD -i br0 -o br0 -j ACCEPT
iptables -A FORWARD -i br0 -o ppp_1_32_1 -m state --state NEW -j ACCEPT
iptables -A FORWARD -i wl0 -o wl0 -j ACCEPT
iptables -A FORWARD -i wl0 -o ppp_1_32_1 -m state --state NEW -j ACCEPT
iptables -A FORWARD -i br0 -o wl0 -j ACCEPT
iptables -A FORWARD -i wl0 -o br0 -j ACCEPT
iptables -A FORWARD -d 192.168.2.33 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -d 192.168.2.33 -p tcp --dport 3389 -j ACCEPT
iptables -A FORWARD -d 192.168.2.33 -p udp --dport 3389 -j ACCEPT
iptables -A FORWARD -d 192.168.2.33 -p tcp --dport 26229 -j ACCEPT
iptables -P FORWARD DROP
iptables -A OUTPUT -o ppp_1_32_1 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
iptables -A OUTPUT -o br0 -j ACCEPT
iptables -A OUTPUT -o wl0 -j ACCEPT
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
setup_nat_table()
iptables -t nat -F
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
get_external_interface()
get_external_interface() external interface is ppp_1_32_1
iptables -t nat -A POSTROUTING -o ppp_1_32_1 -j MASQUERADE
iptables -t nat -A PREROUTING -i ppp_1_32_1 -p tcp --dport 8080 -j DNAT --to-destination 192.168.2.33:80
iptables -t nat -A PREROUTING -i ppp_1_32_1 -p tcp --dport 3389 -j DNAT --to-destination 192.168.2.33:3389
iptables -t nat -A PREROUTING -i ppp_1_32_1 -p udp --dport 3389 -j DNAT --to-destination 192.168.2.33:3389
iptables -t nat -A PREROUTING -i ppp_1_32_1 -p tcp --dport 26229 -j DNAT --to-destination 192.168.2.33:26229
echo 4000 >/proc/sys/net/ipv4/netfilter/ip_conntrack_max
echo 4096 >/proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_established
echo 120 >/proc/sys/net/ipv4/netfilter/ip_conntrack_udp_timeout_stream
setup_custom_rules()
setup_nat_table()
iptables -t nat -F
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
get_external_interface()
get_external_interface() external interface is ppp_1_32_1
iptables -t nat -A POSTROUTING -o ppp_1_32_1 -j MASQUERADE
iptables -t nat -A PREROUTING -i ppp_1_32_1 -p tcp --dport 8080 -j DNAT --to-destination 192.168.2.33:80
iptables -t nat -A PREROUTING -i ppp_1_32_1 -p tcp --dport 3389 -j DNAT --to-destination 192.168.2.33:3389
iptables -t nat -A PREROUTING -i ppp_1_32_1 -p udp --dport 3389 -j DNAT --to-destination 192.168.2.33:3389
iptables -t nat -A PREROUTING -i ppp_1_32_1 -p tcp --dport 26229 -j DNAT --to-destination 192.168.2.33:26229
setup_custom_rules()

[Patrick Schmidt]

Na wenn du nach nem Reset gleich wieder "loadconfig" machst bringt der Reset natürlich rein gar nichts, da das "loadconfig" ja den NVRAM wieder mit den alten Settings überschreibt.

Du hast außerdem nicht gesagt ob du DSL nutzt oder nicht. Aus dem Log kann man vier Port-Weiterleitungen erkennen:

iptables -t nat -A PREROUTING -i ppp_1_32_1 -p tcp --dport 8080 -j DNAT --to-destination 192.168.2.33:80
iptables -t nat -A PREROUTING -i ppp_1_32_1 -p tcp --dport 3389 -j DNAT --to-destination 192.168.2.33:3389
iptables -t nat -A PREROUTING -i ppp_1_32_1 -p udp --dport 3389 -j DNAT --to-destination 192.168.2.33:3389
iptables -t nat -A PREROUTING -i ppp_1_32_1 -p tcp --dport 26229 -j DNAT --to-destination 192.168.2.33:26229

Die Frage ist ob dein externes Device wirklich "ppp_1_32_1" ist?! Wenn du nämlich DSL nicht nutzt haut das nicht hin. Ansonsten vermiss ich auch deine "Remotedesktop Regel". Die steht offensichtlich nicht korrekt im NVRAM. Am Besten du machst:

nvram reset
nvram commit

Und stellst dann neu ein oder du löschst die betreffenden Einträge:

nvram del w_protforwarding
nvram del w_portforwarding
nvram del fw_portforwarding
nvram del fw_portforwarding
nvram commit

Danach sollte das Konfigurieren per Webinterface ja wieder gehen.

[Anonymous]

Ja DSL Nutze ich.
Ich habe nun nochmal das ganze nvram gelöscht und neu angelegt. Zumindest ein paar der Weiterleitungen funktionieren nun. Auch wenn mir ein paar Einträge im firewall.log noch komisch vorkommen. Auch warum ich den Router über das Internet ansprechen kann obwohl ich Port 80 ins Nirvana umgeleitet habe und Port 88 auf den Router. Und ein Online Portscan mir auch bestätigt das ich den Port 80 dicht habe und Port 88 Frei ist. Ich lass es nun erstmal alles so und warte einfach mal auf den nächsten release.

Vielen Dank aber für die Hilfe.

[Patrick Schmidt]

"Auch warum ich den Router über das Internet ansprechen kann obwohl ich Port 80 ins Nirvana umgeleitet habe"

Den brauchst du erstens nicht umzuleiten, weil er sowieso standardmässig nicht frei gegeben ist und zweitens hast du das sicher getestet indem du vom internen LAN die öffentliche IP gescannt hast. Das ist aber grundlegend falsch, da die Pakete in diesem Fall nicht vom externen DSL-Interface kommen und daher nicht gefiltert werden. Auch die Weiterleitung zieht in diesem Fall nicht.

Deshalb wird auch das nächste Release nicht anders sein, da das Verhalten vollkommen korrekt ist.

[Anonymous]

Nein ich habe mit einem Online Scanner ausserhalb meines LANS gescannt. Ich habe Port 88 auf den Router Port 80 gehangen in der Hoffnung dann aus dem Internet an den Router zu kommen. Ist es denn Prinzipiell nun ummöglich mit der Firmware auch auf den Router vom Internet zu kommen ? Dann wäre ja meine schönes Vorhaben ich log mich via Internet auf den Router WOL  meinen PC und verbinde mich dann via Remotedesktop auf den PC !? Soweit ich mich erinnere war das zumindest mal bei irgendeiner Version einer Firmware so. Da konnte ich Problemlos auf den Router von der Arbeit aus.

Wo ich schon mal jemand mit soviel Background dran habe, gibt es ein Problem mit PSTN/VOIP Leitungsauswahl !? Ich kann sowohl über VOIP als auch über Telekom raus telefonieren und angerufen werden. Aber ich kann nicht mehr manuell die Leitung über 2# auswählen. Da kommt nur noch tuten. Stelle ich die Leitung als Standard leitung ein kann ich wieder rauswählen über diese Leitung.

[Patrick Schmidt]

Also die Portweiterleitung funktioniert bei mir ohne Probleme, gehe also davon aus wenn du immer noch Probleme damit liegts an deiner Konfiguration.
Wegen VOIP hat sich eigentlich seit 0.2 nix geändert, da Leitungsauswahl etc. alles vom Programm 'vodsl'
gehandhabt wird. Das ist wie schon oft gesagt von Broadcom und damit closed-source.
Ich würde an deiner Stelle mal die '0.3.3_TARGA' aufspielen bzw. wenn du die nutzt mal die
Normale versuchen. Da sind verschiedene Versionen der VOIP-Treiber/-Binaries drin und da könnte deine Leitungsauswahl vielleicht funktionieren.

[Anonymous]

Weiterleitungen funktionieren nun. Leider weiss ich aber immer noch nicht wie ich aus dem Internet auf den Router zugreifen kann.

Auswahl der Leitung klappt immer noch nicht. Hatte wirklich dummerweise das falsche Image drauf. Habe nun 0.3.3._TARGA genommen. Leider kommt immer noch nur ein schnelles "tuten" wenn ich die andere Leitung manuell mit 2# wähle. Anscheinend behält der Router die Einstellungen nach einem Firmwareupdate. sollte ich das NVRAM nochmal löschen. Kann das  eventuell was bringen ?

[Patrick Schmidt]

Nee das hat mit dem NVRAM eigentlich nix zu tun.
Ich denke du hast einfach die Einstellung:

Phone->Phone Options->choose manually second connection

auf 'off' gestellt. Prüf das mal, daran liegts bestimmt.
Ansonsten muss weiterhin natürlich ne Primärleitung festgelegt und PSTN aktiviert sein, sonst
wirds auch nicht gehen.

[Anonymous]

Nein daran lag es nicht. War ON. Im Moment funktioniert es nun auch. Ich habe wohl nur zu langsam gewählt. Wenn ich die Nummer vorher ins Telefon tippe und dann auf einen Rutsch wählen lasse funktioniert es nun. Gott sei Dank :-D

Aber danke für die Tips. Das ich Vogel das falsche Image genommen habe, da wäre ich so schnell nicht drauf gekommen :-D

Vielleicht hast Du ja auch noch einen Tip wie ich auf den Router aus dem Internet zugreifen kann. Ich würde diesen gerne aus dem Internet heraus konfigurieren um zum Beispiel vial WOL nen anderen PC aufzuwecken. Bisher blockt der Router einen Zugriff von aussen.

[Patrick Schmidt]

Kann dein Zugriffsproblem leider immer noch nicht nachvollziehen. Du wolltest doch anfangs Port 88 auf Port 80 umleiten.
Bei mir funktioniert das ohne Probleme, hier meine NVRAM-settings (Router-IP ist natürlich 192.168.10.1):

root@Targa:~ #nvram show|grep fw
fw_port_forwarding=web_test#88#tcp#192.168.10.1#80#1;
fw_debug=1
fw_custom_start=0
fw_udp_timeout=120
fw_tcp_timeout=4096
fw_max_conntrack=4096
fw_wan_ping=1
fw_wan_if=ppp
fw_start=1
fw_services_tcp=23 22 443

Ich verstehe sowieso nicht warum du unbedingt den Web-Server von aussen erreichen willst?! Erstens ist
das gefährlich, weil da jeder lustig Passwörter ausprobieren kann und zweitens nimmt man für sowas ssh.
Wenn du also die Weiterleitung nicht hinbekommst dann versuch es so:

Öffne den SSH-Port (Webinterface: SSH->Firewall="open") und geh dann mit putty (nehme an du bist ein Microsofti :) )
auf den Router.
Dann auf der Konsole: etherwake <MAC_OF_COMPUTER_TO_WAKE_UP>, also z.B. etherwake 00:17:29:E3:C0:E5

PS. Könnte übrigens auch sein das dein Provider bestimmte Ports filtert bzw. du von deinem Arbeitsplatz o.ä. nicht
auf Zielport 88 darfst.