Probleme mit Firewall via iptables

"Replace kernel" sollte nicht notwendig sein für Iptables, aber Probleme gibt es bei manchen Anwendern immer wieder, ob mit oder ohne Replace. Olistudent z.B. hat keine, die Box läuft sauber durch bei ihm.

Wo Du nach alten Firmware-Images fragen kannst, steht im Beitrag #1 des aktuellen Release-Threads zu 15.2 (in meiner Signatur einfach anklicken). Evtl. hast Du aber auch ein Konfigurationsproblem, weil Du Dich mit dem neuen Mod noch nicht so gut auskennst. Ich als Nicht-Iptables-Nutzer kann Dir da wenig helfen.

So einfach ist es dann doch nicht. Ich bin mir nicht sicher, aber für iptables braucht man replace kernel (glaube ich).
Die andere Sache war ip_conntrack. Sobald das Modul geladen ist stürtzt die Box nach 3h ab. Aber nur, wenn man sie nicht als ATA betreibt.
Und die Whitelist funktioniert seit 2.6.13.1 auch nicht mehr. Keiner weiß warum.

MfG Oliver

Hast Du Lust und bist Du technisch in der Lage, da zu debuggen? Die Probleme sind nämlich seit Ewigkeiten ungelöst, weil sich offenbar keiner damit auskennt, wie man das fixt. Hilfe und Bugfixes wären uns sehr willkommen, denn wir machen nichts daran. Iptables ist ein Problemkind seit 2.6 und somit auch seit ds26. An alle: Wer kann sonst helfen? Sonst wird da nichts passieren in nächster Zeit.

Ich glaube das Problem liegt bei AVM. Vieleicht sollte man denen mal eine Mail zukommen lassen, das der Kernel von AVM doch zumlich fehlerhaft ist.

Hat sich da schon mal jemand hingewandt?

Da iptables nicht zum Lieferumfang der Box gehört, werden sie es nicht als Fehler betrachten, wenn das nicht läuft.
Das kann ich auch nachvollziehen.

Es geht hört zwar nicht zum Lieferumfang, wohl aber ist es Standardfunktionalität im Kernel. Ich finde, es ist schon ein böser Bug (von vielen).

Es ist schon schlimm genug, dass teilweise Sourcecode fehlt, der released sein sollte.

Nur AVM schafft es, so ein instablen Kram zu releasen. Alle anderen (Linksys, Netgear, D-Link,...) arbeiten da wenigestens ordentlich (auf der gleichen Hardwareplattform). Soviele Kernelpanics hab ich vorher noch nie gesehn.

Ich denke, man sollte mit AVM doch mal reden, ob sie nicht:
- die Fehler im Kernel fixen (insbesondere iptables)
- den fehlenden Source releasen

Mfg

crissi99 schrieb:

Es ist schon schlimm genug, dass teilweise Sourcecode fehlt, der released sein sollte.

Zum Vergrößern anklicken....

Das ist meiner Meinung nach der gravierendere Punkt.

Ob iptables in Verbindung mit dem AVM-Kernel läuft, wenn es nicht zum Lieferumfang gehört, ist meiner Meinung nach kein Problem von AVM.
Aber den Kernel verwenden, ohne sich an die Lizenz zu halten, das schon.

Da AVM aber anscheinend nicht freiwillig die Source zur Verfügung stellen will, müßte sich einer der Kernel-Autoren finden, der dies durchsetzen möchte.

gpl-violations.org sind gute Ansprechpartner, denke ich.

Ja, aber erstens sind wir schon OT, aber um zum Thema zurückzukommen, hinter gpl-violations.org steht ein Autor von iptables, und die werden im AVM Binary nicht verwendet.
Das heißt, er hätte gar nicht die Möglichkeit, von AVM zu verlangen, die Verbreitung seiner Module zu unterlassen.
Und das ist im Prinzip das einzige Druckmittel: Der Urheber verlangt von AVM, sich entweder an die gültige Lizenz zu halten, also alle Quelltexte mitliefern, oder die Nutzung und Verbreitung ohne Lizenz zu unterlassen, was bedeuten würde, alle Fritzboxen aus dem Handel, bis AVM ein anderes Betriebssystem dafür hat.

RalfFriedl schrieb:

Ja, aber erstens sind wir schon OT, aber um zum Thema zurückzukommen, hinter gpl-violations.org steht ein Autor von iptables, und die werden im AVM Binary nicht verwendet.
Das heißt, er hätte gar nicht die Möglichkeit, von AVM zu verlangen, die Verbreitung seiner Module zu unterlassen.

Zum Vergrößern anklicken....

Richtig. In dem Fall müsste es jemand anders sein.

RalfFriedl schrieb:

Und das ist im Prinzip das einzige Druckmittel: Der Urheber verlangt von AVM, sich entweder an die gültige Lizenz zu halten, also alle Quelltexte mitliefern, oder die Nutzung und Verbreitung ohne Lizenz zu unterlassen, was bedeuten würde, alle Fritzboxen aus dem Handel, bis AVM ein anderes Betriebssystem dafür hat.

Zum Vergrößern anklicken....

Naja, ich glaube kaum, dass AVM das wollen würde. Die würden im letzten Moment klein bei geben und den Source rausrücken. Allerdings ist es bis jetzt nicht richtig geklärt, ob Treiber im Kernel geheim bleiben dürfen oder auch als abgeleitetes Werk im Sinne der GPL zu sehen sind, Linus hat es ja bislang toleriert.

Zurück zum Thema:
Ich habe mir den Sachen, die AVM so treibt schon mal genauer angeschaut (der Treiber für die Fritzcard DSL (ebenfalls ein SoftDSL-Modem) war genauso schauderig. Lange Zeit instabil (Linux und Windows).

Die Frage ist auch, warum sie überhaupt so einen Aufwand treiben, der Referenztreiber von TI funzt auf den AR7-basierten Geräten stabil. Wenn die AVM-Tools nicht in den Kernel eingreifen würden (die dann die Abstürze verursachen), würde ich den TI-Treiber nehmen (ja, auch der ist auch nicht offiziell GPL, obwohl er sollte).

Fakt ist, dass AVM es geschafft hat, instabile Kernel zu releasen, was nicht unbedingt von Qualität zeugt (ich erinnere nur an den Anfang der 30er-Firmwareserie). Auch dass der Kernel abstürzt, wenn man iptables aktiviert und bestimmte Module lädt, zeugt nicht von wirklich sauberer Programmierung. AVM muss sich (noch) nicht anstrengen, Qualität zu liefern, da ihre Boxen sich quasi allein verkaufen (Verträge mit den Providern).
Wenn die Horstbox von D-Link richtig in Fahrt kommt, wird AVM da einiges verbessern müssen.

Ich bin immer noch der Meinung, dass man AVM bitten sollte, die Fehler im Kernel zu beheben, so dass man einen eigenen stabil laufenden Kernel bekommt, solange man keine Optionen, die benutzt werden, abwählt. Dies müsste eigentlich im Sinne von AVM sein, da besserer Code immer von Vorteil ist. (Stabilität, Wartbarkeit, etc)

kriegaex schrieb:

Iptables ist ein Problemkind seit 2.6 und somit auch seit ds26. An alle: Wer kann sonst helfen?

Zum Vergrößern anklicken....

Inwiefern ich helfen kann, sei einmal dahingestellt, aber zumindest bei mir auf dem Speedport W900V laufen IPtables komplett stabil seit mehr als 3 Tagen. Auch die Whitelist funktioniert.



LG

Das Problem ist das ipconntrack-Modul. Bei mir tritt der Kernel-Panic nur auf, wenn der dsld geladen ist. Im ATA-Modus läuft meine Box ohne Reboots.

MfG Oliver

olistudent schrieb:

Das Problem ist das ipconntrack-Modul. Bei mir tritt der Kernel-Panic nur auf, wenn der dsld geladen ist. Im ATA-Modus läuft meine Box ohne Reboots.

Zum Vergrößern anklicken....

ipconntrack ist integriert, Box ist nicht im ATA-Modus. Dennoch läuft alles ohne Reboot.

Hallo Forum,

in der FB (oder bei mir im SP) sind ja per default firewall--rules gesetzt. Wie wird denn diese interne Fw der FB bedient - kann man da seine rules ergänzen?

Ich habe das schon mal falsch gepostet im ds26-15.2 Thread (#276):

Im aktuellen mod ist auch firewall als Paket enthalten. Ersetzt dies die original vorhandene firewall, ergänzt es diese (mit zusätzlichen Regeln) oder ist die vorhandene komplett weg und die FB /SP ist komplett offen?

Hintergrund der Frage: Ich will nur ein paar einfache Regeln zusätzlich als "Kindersicherung" einbauen, aber kein komplett neues ruleset erzeugen. Meine Regeln will ich dann per cronjob / shellscript ein-/ausschalten, ohne die Funktionalität in Gänze zu beeinflussen.
Ich nehme auch gerne ein RTFM - aber bitte mit Link/Beitrags-#!

Danke vorab! ...Ben

Es wurde Dir im anderen Thread bereits geantwortet. Man hat Dir auch nicht gesagt, daß Du falsch im Thema bist, sondern daß Du die Suchfunktion benutzen solltest zum Nachlesen. (Korrektur: Hat doch einer geschrieben, hatte ich nicht gleich bemerkt.) Aber nicht so schlimm, ich schreibe das hier nur, damit nicht auch noch angefangen wird, hier zu antworten, das geht durcheinander sonst.

olistudent schrieb:

...
Die andere Sache war ip_conntrack. Sobald das Modul geladen ist stürtzt die Box nach 3h ab.
...

Zum Vergrößern anklicken....

Was ist denn inzwischen der Stand beim aktuellen ds26-15-2?
Auf der Startseite steht noch ein Hinweis auf die Stabilitätsprobleme.
Irgendwo hatte ich aber gelesen, dass diese nicht mehr bestehen. :noidea:

Ich arbeite zur Zeit relativ intensiv mit netfilter/iptables (mit ip_conntrack).
Meine Box stürzt auch gelegentlich ab; ob das nach 3h ist, muss ich mal beobachten.
Das Ergebnis werd' ich dann als "Feedback" posten.