AVM-Firewall package für Freetz

han-solo · 12 Feb 2008

Hallo,

nach langen Diskussionen und Entwicklungsarbeiten steht die AVM-Firewall endlich für euch bereit.

An dieser Stelle möchte ich mich erstmal bei MaxMuster bedanken, der sehr viel Entwicklungsarbeit hier reingesteckt hat und das package so schön interaktiv aufbereitet hat. Weiterhin trug Darkyputz mit vielen testings zu neuen Erkenntnissen und Ideen bei.

Wer Firewall-Richtinien einsetzen will, muss also jetzt nicht mehr unbedingt mit iptabels arbeiten, denn die AVM-Firewall bietet zumindest was (incoming und outgoing) für das dsl interface angeht alles was man benötigt. Und zudem ist es winzig klein, weil es keinerlei binarys aufweist. Es ist ja alles schon per default in der AVM-Firmware enthalten.

Leider greifen die Regeln nur für das dsl interface.
Somit lassen sich diese also nicht auf andere Interfaces z.B. zwischen OpenVPN Tunneln (tun0, tun1,...) anwenden. Wer das benötigt, muss doch auf iptabels zurückgreifen.

So, los gehts....

Das package 2.0.3c ist bereits im Subversion Repository eingechecked.

Um manuell (ohne svn up) vorzugehen:
=============================
Ihr müsst das beigefügte File im root-Verzeichnis von freetz entpacken und "make menuconfig" aufrufen.
Es ist dann unter Testing zu finden.

Code:

tar -xvf avm-firewall-2.0.3c.tgz

So, dann viel Spaß mit dem package und berichtet bitte mal über eure Tests und Erfahrungen.

ACHTUNG: Damit das Regelwerk aktiviert wird, muss ein Häkchen bei "Check to activate rules when saving" gesetzt werden.

EDIT: 12.02.2008 - 16:22 Uhr - V.2.0.3a - Mehr als 50 Rules nutzbar
EDIT: 17.02.2008 - 22:19 Uhr - V.2.0.3c - Multilanguage plus Bugfixes

Gruß
Han-Solo

knox · 12 Feb 2008

Vielen Dank für die große Mühe, die Ihr Euch gemacht habt! :groesste:

Ich werde es gleich heute abend mal antesten...

Xerolux · 12 Feb 2008

Super Danke

Danke, hat alles super ( sogar beim 1 mal ) funktioniert.

Macht weiter so. *Jubel*

Basti

Signatur wurde Leider nicht angezeitgt

---------------------------
Speedport W900V mit Freetz rev. 1823 ( Alienware 7170) + T-com Beta
Pakete:
downloader-0.2, callmonitor-1.10.2, avm-firewall-2.0.3, dnsmasq-2.40, privoxy-3.0.6, rrdtool-1.2.23, tor-0.1.2.19, collectd-4.0.7, fstyp-0.1, haserl-0.9.21, inadyn-1.96.2, modcgi-0.2, ntfs-1.2129, syslogd-cgi-0.2.3

DSL = T-com Beta Tester im Rate Adaptive Mode (Ram)mit 6000/700

MaxMuster · 12 Feb 2008

... tut mir ja leid, aber für "große" Benutzer muss ich gleich noch ein Update nachschieben :-(. Ab 50 Regeln wird diese Version nicht mehr funktionieren. Sorry, ist mir erst jetzt ein-/aufgefallen...

Ein kleines "Zusatzbonbon": Man kann mit dem "Standard"-Button die AVM-Defaultregeln zurückladen (gibt zwar einmal "Mecker" vom rc, dass es nicht aus der GUI aufgerufen wurde, aber es funktioniert.)

Jörg

hermann72pb · 12 Feb 2008

wäre vermutlich sowieso keinem hier aufgefallen....
Danke, dass ihr es so ausgiebig testet. Checkt doch es in svn ein! Ich glaube, Beta-Satatus hat euer Werk auf jeden Fall erreicht.

MfG

kriegaex · 12 Feb 2008

Na, ist doch schön, daß mein Aufruf per Sticky Thread nach einiger Zeit Früchte getragen hat. Herzlichen Dank an alle, die mitgemacht haben (ich komme ja nicht mehr groß dazu, was zu machen). Hatte ich mir doch gedacht, daß da was gehen müßte mit der AVM-Firewall.

meiser79 · 12 Feb 2008

Könnt Ihr mal kurz erklären, was der Unterschied zur AVM-Weboberfläche ist? Wo ist der "Mehrwert"?

Beste Grüße,
Whoopie

MaxMuster · 12 Feb 2008

... es gibt gar keine Oberfläche zur Firewall von AVM ;-)...

Jörg

RalfFriedl · 12 Feb 2008

Das Einzige, was man mit der Oberfläche einstellen kann, sind die Port-Weiterleitungen.

meiser79 · 12 Feb 2008

ups, hatte das mit dem Portforwarding verwechselt.

greifswalder · 13 Feb 2008

2 Anmerkungen

a)
das Zurueckladen der Standardregeln ist eine schoene Idee, aber bei mir hat es auch die Internet-Zugangsregeln und die geaenderten LAN Netzwerksettings und die Portfreigaben gecleared. Eklig.

b)
Ich wuerde gerne das Webinterface :80-81 nur vom lan-a aus zugaenglich haben.
Ich versuchte (in Pseudonotation, das neue avm-fw gui fuehrte zu einem Reset der Box)
permit net lana tcp :80-81 host lana-fritzbox-ip
deny net wlan tcp :80-81 host lana-fritzbox-ip
deny net wlan tcp :80-81 host wlan-fritzbox-ip

mit dem Ergebnis:
multid[1067]: /var/flash/ar7.cfg:212: member "permit tcp 10.1.1.0 255.255.255.0 host 10.1.1.1 range 80 81" not found in ST_struct DPCFG_ipfw_set
multid[1067]: /var/flash/ar7.cfg:212: missing "=" or "{" after unknown member "permit tcp 10.1.1.0 255.255.255.0 host 10.1.1.1 range 80 81"
multid[1067]: /var/flash/ar7.cfg:213: missing "}" after members of struct DPCFG_ipfw_set
multid[1067]: /var/flash/ar7.cfg:213: missing "}" after members of struct DPCFG_config
multid[1067]: /var/flash/ar7.cfg:214: missing "}" after members of struct dslifaceconfig
multid[1067]: /var/flash/ar7.cfg:214: missing "}" after members of struct ar7cfg
multid[1067]: FactoryDefault=/etc/default/avm/ar7.cfg (ar7)
multid[1067]: load_config(ar7): factory default loaded

MaxMuster · 13 Feb 2008

Moin,

dass es dein Rules und Einstellungen gekillt hat ist blöd, so soll es natürlich nicht sein! Ich denke aber, das liegt vermutlich nicht an den defaults, sondern an einem anderen generellen Problem (deine Box sieht in der erzeugten ar7.cfg Fehler und lädt die Default ar7.cfg, deshalb sind auch die anderen Einstellungen weg.).

Könntest du uns ein wenig Unterstützen (benötigt Shell-Zugang)? Dann würde ich dich um folgendes bitten (damit erstellst du Regeln, aber in einer Kopie, nicht in der Original-Datei):

Code:

cat /var/flash/ar7.cfg > /var/tmp/ar7.cfg
sed 's%/var/flash/ar7.cfg%/var/tmp/ar7.cfg%'  /etc/init.d/rc.avm-firewall > /var/tmp/rc.avm-firewall
mount -o bind /var/tmp/rc.avm-firewall /etc/init.d/rc.avm-firewall
chmod +x /var/tmp/rc.avm-firewall

Vorsichtshalber mal in "/var/tmp/rc.avm-firewall" prüfen, ob oben bei "REAL" nun die Datei in /var/tmp/ar7.cfg steht, und dann nochmal versuchen, die Änderung einzugeben (nur Übernehmen, ohne "Apply").

Wenn du die dann erzeugten Regeln posten könntest???

Code:

sed -n '/dslifaces/,/forward/p' /var/tmp/ar7.cfg

Danke!

EDIT: Korrigiert, das rc-File muss verändert werden!!!
EDIT2: Dass die "erwünschte" Regel so nicht greifen wird, sei auch noch erwähnt (wirkt nur auf "DSL-Verbindungen")!

Jörg

greifswalder · 13 Feb 2008

der Output wie gewuenscht haengt unten dran.
Sieht doch ganz gut aus?

Das Zugriffsproblem loese ich nun erstmal durch Stoppen der beiden webserver Prozesse.

wengi · 13 Feb 2008

Hallo allerseits,

ich habe soeben ein svn up auf trunk 1829 gemacht, da ich Euer Firewall-Paket testen wollte.
Nach einem make wurde iptables heruntergeladen und compiliert obwohl iptables nicht ausgewählt ist.
Normales Verhalten oder Fehler?

wengi

MaxMuster · 13 Feb 2008

greifswalder schrieb:
Sieht doch ganz gut aus?

... leider nicht. Die Zeile "accesslist = " fehlt bei dir zwischen policy = "permit"; und den Rules...

EDIT: könntest du die gleiche (sed) Ausgabe mal von deiner /var/flash/ar7.cfg machen?

Jörg

greifswalder · 13 Feb 2008

ok, da ist sie drin:

dsldpconfig {
security = dpsec_firewall;
lowinput {
policy = "permit";
accesslist =
"deny ip any 242.0.0.0 255.0.0.0", /*AVM*/

MaxMuster · 13 Feb 2008

... ich würde das gerne weiter eingrenzen, wenn du noch etwas "Puste hast" ;-)

Die Zeilen die den entsprechenden Eintrag generieren sind :

Code:

REAL=/var/flash/ar7.cfg
DSLIFACES="`cat $REAL | sed   -n '/dslifaces/,/} {/p' `";
LOWINPUT=`echo "$DSLIFACES" | sed -n '/lowinput/,/}/p' `
SPACES="`echo "$LOWINPUT" | sed -n 's/\(^[ ]*\)"\(permit\|deny\|reject\).*;.*/\1/p'`";
# Der "accesslit" String (leere Rulestabelle ist ohne accesslist-Eintrag!)
ACCL=`echo "$DSLIFACES" | grep -m1 accesslist`

echo "$ACCL"

Könntest du das bitte mal in deine Box "pasten"?

Danke!

Jörg

EDIT und wenn du besonders viel Zeit hast: Wenn bei dem "echo" oben die Zeilemit "accesslist" kommt, dann könntest du vielleicht noch folgendes testen:

Code:

echo "`cat /var/tmp/rc.avm-firewall | sed 's/="$ACCL$RET"/="${ACCL}${RET}"/' `" > /var/tmp/rc.avm-firewall

Und dann nochmal eine Regel in der GUI eintragen (solange du nach dem oben genannten Versuch mit der /tmp/ar7.cfg nicht rebootet hast oder das rc-File wieder ungemountet hast)

olistudent · 13 Feb 2008

@wengi
Normal. Ich hab da was geändert. So dass iptables jetzt immer mitkompiliert wird.

MfG Oliver

matze1985 · 13 Feb 2008

warum soll iptables immer mitkompiliert werden?

poruid · 13 Feb 2008

Leider greifen die Regeln nur für das dsl interface.

When running in ata mode (behind a modem connected to LAN1 port), can the packet filter then be manipulated, or exludes dsl interface this WAN interface?

AVM-Firewall package für Freetz

Mitglied

Anhänge

Mitglied

Neuer User

IPPF-Promi

IPPF-Promi

Aktives Mitglied

Aktives Mitglied

IPPF-Promi

IPPF-Urgestein

Aktives Mitglied

Neuer User

IPPF-Promi

Neuer User

Anhänge

Mitglied

IPPF-Promi

Neuer User

IPPF-Promi

IPPF-Urgestein

Aktives Mitglied

Neuer User

Statistik des Forums