[NEU] schnelles iptables / ip6tables interface für die 7270 (v.0.8.3a) + 7390 etc...

VORAUSSETZUNGEN:

- iptables müssen vorhanden sein und laufen.

Mindestens folgende Module sollten im Freetz-Image sein (wer Platz hat, lieber alle, dann kann das Interface sein Potential voll entfalten):

ip_tables, ip_conntrack, ip_conntrack_ftp, ip_conntrack_tftp, ipt_LOG, ipt_REJECT
ipt_iprange, x_tables, xt_state, xt_conntrack, xt_multiport, xt_tcpudp, iptable_filter​

!!! NICHT VERGESSEN, AUCH DIE ZUGEHÖRIGEN SHARED LIBRARIES IN DAS IMAGE AUFZUNEHMEN !!!

Ideal ist ein Build mit Replace Kernel und Einschalten der Autoload modules Funktion des Kernels (make kernel-menuconfig -> Loadable modules support -> Automatic kernel module loading).

ES STEHEN 3 PAKETE ZUR AUSWAHL:

1.) nhipt.cgi.(version).tar.gz
Das ist das reine GUI, es läuft direkt vom Stick ohne Integration in freetz.

Installation:

- Datei nhipt.cgi z.B. im Verzeichnis (z.B.: /var/media/ftp/uStor01/ipt/cgi-bin auf dem stick auspacken
- execute Rechte darauf setzen.
- einen httpd-Dienst auf das übergeordnete Verzeichnis /ipt und einem freien port (z.B. 83) einrichten.
Aufgerufen wird das Interface mit http://fritz.box:83/cgi-bin/nhipt.cgi

2.) ipt.(version).tar.gz
Das ist das Advanced-Comfort Paket mit dynamischer Freetz Integration.

Installation:

- auf /var/media/ftp/uStor01/ entpacken.
- Datei register.sh mit execute rechten versehen
- Das Script register.sh ausführen
Im Freetz ist nun ein neues Paket zu sehen. Dort kann man den Rest konfigurieren und das Interface starten.

3.) root.(version).tar.gz
Das ist das Paket zum Integrieren des GUI in den ROM, alternativ auch als Patch für den trunk: nhipt.patch(ver).tar.gz.

Installation: (unter Nutzung von root.tar.gz)

Die Dateien / Verzechnisse auspacken. Einfach Inhalt in ~/root einfügen und noch ein mal make ausführen, damit sie in das Image wandern. (Bis das Paket mal im make menuconfig zur Auswahl steht) - Fertig.

Installation aus Trunk (integriert ab svn:3913)
trunk auschecken oder mit svn up auf neueste Version aktualisieren,
make menuconfig, im Bereich Package Selection ---> Web Interface ---> die Option NHIPT Iptables CGI anwählen. Nun werden alle iptables Module als Untermenu sichtbar und können zusammengestellt werden.
Halt die übliche Vorgehensweise beim Firmware Bauen ....

ARBEITSWEISE:

Wiki zu iptables für Einsteiger
Von Windows verwendete Ports & Services
Es werden alle aktiven Regeln aufgelistet und können wie üblich sofort bearbeitet werden.

Reboot-Fest werden die Regeln durch die Speicherfunktion [Persist rules]. Das erzeugte Start-Script kann entweder im Flash der Box oder extern abgelegt werden [BOOT FROM FLASH / USB] + [SET BOOT DIRECTORY]. Beim Start wird es von der debug.cfg automatisch zum Leben erweckt.Die Regeln können sowohl per Masken-Auswahl (die passenden Module werden für die meisten Regeln an Hand der Parameter automatisch ermittelt), als auch im Expert Mode (Kommandozeile mit iptables syntax) eingegeben werden, sie wirken stets sofort.

Alle Tabellen, sowie die wichtigsten Erweiterungen von conntrack und nat kann man im User Interface anwählen, sie werden automatisch geladen oder beim Abwählen - wenn möglich - entladen.

Wenn man eine Admin Adresse oder Subnetz im Feld [CHANGE ADMIN IP] einträgt, kann man die Konfiguration nur noch von dieser IP aus ausführen, die Sperre bleibt auch über eine Reboot hinaus wirksam.

Zusätzlich besitzt das CGI eine eigene Log-Funktion für die DECT Boxen. Das cgi übernimmt auf Wunsch hierfür alle nötigen Einstellungen, das Log-Verzeichnis ist frei wählbar.Die Integration in freetz-trunk ist in Vorbereitung. Bis dahin gibt es hier immer die aktuelle Version zum Testen, sie ist ohne Firmware-flashen sofort nutzbar, sofern die iptables module installiert sind.

Die Fehlermeldungen, Systemmeldungen etc. von iptables und dem UI werden in die Status - Zeilen unterhalb des Regelwerkes ausgegeben, Status 0 ist immer OK.

GUT GEMEINTE RATSCHLÄGE:

Noch eins zum Thema Aussperren, für alle, die noch nie eine Firewall installiert haben.

Firewalls schützen Systeme vor unbefugtem Zugriff auf der Basis von Regeln, diese werden stur und kosequent ausgeführt.
Das kann dazu führen, dass jemand, der sich vorher nicht ausreichend Gedanken über seine Regeln gemacht hat, sich vom System selbst aussperrt. Das passiert Laien oft, und auch Profis sind nicht immer davor sicher.

Damit die Konsequenzen nicht zu drastisch sind, hier ein paar Empfehlungen / Regeln für den Anfänger:

1. Schauen ist OK, manuelles Ändern an Scripten ist tabu , wenn man nicht vorzeitig graue Haare bekommen will.
2. Regelwerke erst dauerhaft speichern [Persist rules], wenn alles funktioniert, wie es soll. Ein Reboot lädt das letzte gespeicherte Regelwerk, und alles ist wieder OK, ältere Versionen werden als Backup mit Zeitstempel im [SET BACKUP DIRECTORY] Verzeichnis abgelegt.
3. Am Anfang lieber den Stick zum Speichern verwenden. Im Notfall kann man den vor dem Booten abziehen und die Box startet ohne iptables Firewall.
4. Das UI hat eine GreenHorn [safe] und eine Profi-Betriebsart [advanced], Umschaltbar über [Admin Level]. Im Safe - Modus wehrt sich die Firewall sehr erfolgreich gegen alle Aussperrversuche des Administrators. Er bewirkt, dass in allen für den Adminzugang wichtigen Chains eine ACCEPT Regel für diese spezielle IP Adresse eingetragen wird. Nach Umschalten in [advanced] kann man wie gewohnt alle Regeln editieren oder Löschen.
5. Ein [Boot-Delay] , (wählbar von [Aus] bis [10 Min]) kann auch gegen Aussperren eingestellt werden. Während dieser Zeit ist nach einem Kaltstart der Box ungehinderter Zugriff möglich. Zur Sicherheit kann der Internetzugang während dieser Zeit automatisch verhindert werden [stop dsld on delay]
6. Ausgesperrt aus der Admin Oberfläche durch Eingabe einer falschen IP Adresse: Datei: /var/tmp/nhipt.par enthällt die falsche Eingabe. Zeile ADMINIP=... löschen und GUI neu aufrufen. Tipp: Man kann auch ein Subnetz für die AdminIP eintragen - z.B. 192.168.0.10/30 - das erlaubt den Zugriff von den Adressen 192.168.0.8..192.168.0.11 Online IP Rechner.
7. Wenn man das alles ignoriert und wider besseren Wissens sich trotzdem aussperrt, hilft nur noch ein erneutes Flashen der Firmware.

Viel Spass beim Ausprobieren und viele Grüße

cando

...

NEU : Version v.0.8.3a :

[EDIT 10.11.09-11:22] Unterstützung ip6tables, Module müssen beim ersten Mal von Hand mit modprobe geladen werden (ipv6, ip6_tables, ip6table_filter...) wenn im Kernel kein Autoload der Module konfiguriert ist.
[EDIT 11.11.09-22:30] Unterstützung Kernel-Autoload von Modulen (entspr. Kernel Schalter vorher setzen mit make kernel-menuconfig)
[EDIT 12.11.09-15:00] Automatische Erkennung von ipv6 und Freischaltung der ip6tables - Unterstützung im UI.
[EDIT 14.11.09-00:50] Paket zum Einbau in die Firmware (alpha version).
[EDIT 14.11.09-11:12] BugFix root-Verzeichnis für CGI war nicht änderbar.
[EDIT 14.11.09-23:55] BugFix server Port für CGI war nicht änderbar.
[EDIT 14.11.09-23:55] Auswahl Urlader eingebaut (debug.cfg/freetz service)
[EDIT 15.11.09-18:55] Backup der Config abschaltbar (Verzeichniseintrag Löschen)
[EDIT 15.11.09-18:55] Voreinstellungen überarbeitet
[EDIT 15.11.09-18:55] Fix freetz UI (debug code entfernt)
[EDIT 18.11.09-18:00] Fix UI für Internet Explorer (Style Sheet)

[EDIT 20.11.09-00:00] Integration in trunk, (ab svn 3913)
[EDIT 21.11.09-11:00] Fix (Beim aller ersten Start... Siehe BUGS), Patch für Trunk

[EDIT 23.11.09-15:00] Trunk ab ver. 3943
[EDIT 23.11.09-15:00] CR Laden der Iptables Module beim ersten Speichern der Config - damit entfällt vorheriges iptables -S bzw. modprobe
[EDIT 23.11.09-15:00] Feature "Keine Speicherknöpfe wenn keine Regeln eingegeben" entfernt, Admin Knöpfe sind nun immer sichtbar.
[EDIT 23.11.09-15:00] Einige kosmetische Änderungen ohne Auswirkung auf die Funktion nach Anregungen aus dem Forum...

[EDIT 27.11.09-13:00] Trunk ab ver. 3979
[EDIT 27.11.09-13:00] FIX - Admin IP lässt sich aus freetz nicht ändern
[EDIT 27.11.09-13:00] FIX - Web-Interface: im IE wurden die Gitternetzlinien für leere Zellen in der Regeln Tabelle nicht angezeigt.

[EDIT 29.07.10-12:40] Patch für 7390 und andere Boxen, Erweiterung für Auswertung von syslogd Files (Syslog ohne DECT, Firewall-Log Filter, diverse Verbesserungen)

Hi,

habe ich bewußt so gemacht.

So eine any - Tabelle ist sehr unübersichtlich, so stechen die tatsächlichen Regeln direkt ins Auge, was leer ist ist any. Aber ich kann ja mal einen Config Schalter für den any-key einbauen

Ich habe beide Lösungen seit langem auf meiner Box im Produktivbetrieb, kein Problem. (Siehe Wiki) Im Moment habe ich alle 3 cgi's drauf, zum Vergleichen und Testen. beim freetz iptables-cgi ist das Ganze ja recht gut im System integriert, nur mich stört halt der sehr eingeschränkte Funktionsumfang (meine Regeln werden nicht vollständig gelistet, der Befehlssatz ist auf die Basics beschränkt), das sehr langsame interface und die schlechte Übersichtlichkeit.

Ich habe ja bislang meine iptables über die debug.cfg mit ssh und nano editiert und von der Console geladen.

Ich werde mir die freetz Lösung genauer ansehen und überlegen, was für das Persistieren der Rules besser ist. Die Firewall zu stoppen und zu Starten fand ich bisher überflüssig, die iptables laufen immer, wenn man sie abschalten will, kann man ja die default regeln per Mausklick öffnen und die 1-3 Ketten purgen (genau in der Reihenfolge, sonst sperrt man sich aus!). Sollte man sich mal ausgesperrt haben, ein Reboot hilft, da die funktionierenden Regeln ja benötigt werden, um Persist zu drücken, es wird nicht automatisch bei jeder Regeländerung im Flash gespeichert!

Ich baue auch ein Interface ein, um komplette Regelsätze zu laden und zu speichern, so dass man nicht alles neu eingeben muss oder per shell laden muss. Beim Persistieren wird immer ein Backup der alten Config mit Zeitstempel auf dem Stick erstellt, so dass ein Fall-Back leicht möglich ist.

Wenn es was neues gibt (Paket, Funktionen), werde ich das immer im ersten Beitrag aktualisieren, damit man nicht lange suchen muss.

Falls jemand das Ding mal testet, freue ich mich über Hinweise, Bugreports und Tipps.

Das Port kann jeder selbst festlegen (siehe 1.Beitrag für das Einrichten des httpd), momentan wird port 83 beim Persist in die debug.cfg eingetragen (steht im aktuellen Script auf Zeile 102, oder mit grep httpd suchen), kann man dort nach belieben patchen.

Ich baue aber vielleicht noch eine Eingabe Maske für das Port ein, damit man es von der Oberfläche her konfigurieren kann.

Ich habe, glaube ich, noch eine bessere Lösung gefunden. Ich werde die Parameter dynamisch setzen, indem ich die aktuelle Konfig aus dem Environment auslese (Eingestelltes Server Port und aktueller Pfad). Dann legt der Benutzer bei der Erst-Installation alles fest und das script weisse bescheid ;-)...

Kommt ganz zum Schluss dran, wenn alle Funktionen getestet sind.

Ich bin mir noch nicht so ganz sicher, ob eine Integration im Freetz Formular so gut ist, da der Bildschirmbereich durch die Navigation und das drum-rum von freetz eingeschränkt wird. Ich denke da eher an eine wechselseitige Verlinkung, mit der Nutzung des gleichen htpd ports, damit man nicht ein extra Port spendieren muss.

Die Authentifizierung werde ich mir noch ansehen und integrieren (single sign-on).

Ich überlege auch noch, eine Funktion für Dummies einzubauen, damit man sich nicht selbst ausspert (1.Rule in der chain INPUT soll immer automatisch gesetzt werden auf die tcp Ports 22 (SSH), 80 ,81, FirewallPort ACCEPT und in der OUTPUT CHAIN state RELATED,ESTABLISHED für die gespeicherte Admin-IP), wenn diese beiden Chains mit purge gelöscht werden und die default rules für die Chains auf DROP stehen. Sonst müsste man die Box rebooten um den letzten gespeicherten Zustand zu erhalten.

Ich habe die Config jetzt dynamisch gemacht, das Script zieht sich alle Angaben für den Pfad und das Port aus der laufenden Installation.
und im ersten Beitrag aktualisiert.

Habe ein neues Update oben eingespielt.

Neue Funktionen:

Die gesamte Konfiguration des Systems wird beim persistieren in die debug.cfg gepackt.

Beim Kaltstart erzeugt diese dann alle benötigten temporären Dateien:
in /var/tmp:

logfw.sh - Script für cron job, dass die firewall und system logs in das Ziel- Logverzeichnis in die Dateien system.log und fw.log jede Minute schreibt und die temporäre /var/tmp/system.log leert.

logtm.sh - Script für cron job, dass stündlich Zeitstempel in die Logfies schreibt

nhipt.par - Pfade und Einstellungen für das System

var/flash/adminip - ipadresse des Admin PC

iptlogger.sh - log Deamon, der die /dev/debug wegschreibt nach /var/tmp/system.log

Die crontab wird analysiert und notfalls um die beiden jobs ergänzt.

Der crond wird gestoppt und neu gestartet.
Der log deamon wird gestartet
Die iptables module werden geladen
Die die Berechtigungen für die scripte gesetzt
Das Admin Interface httpd wie konfiguriert gestartet

Die gespeicherten Policies der Firewall werden geladen.

Das System ist nach einem Reboot automatisch wieder gesichert und der Log eingeschaltet.

Das Logging kann man im Admin Interface per Knopf an und ausschalten, es wird nur der log deamon gestoppt, der crond läuft weiter.

Viel Spass beim Testen!

Hallo Silent-Tiers,

Hast Du da irgendwo eine Beschreibung, wie Variable und scripte elegant und schnell persistiert werden können? Ich werde mal in der Wiki suchen, ob ich was zu den freetz cgi design-pattern finde. Falls Du eine Stelle weisst, wo das knackig beschrieben ist, würde ich mich über einen Link freuen.

Ich habe mir schon überlegt eine eigene "debug.cfg" in der tffs im flash zu erzeugen in der ich das alles für den boot hineinpacken kann, und die dann von der debug.cfg oder so aufzurufen, bin aber wieder davon abgekommen, weil ein normaler user die nicht wieder ohne weiteres los wird.

Irgendwie muss ich meine Scripte ja erstellen und beim booten starten. Ich wollte im Paket eigentlich nur die eine einzige cgi-bin Datei haben, die dann alles Nötige installiert und veranlasst. Wenn man die löscht, soll das System wieder sauber sein.

Außerdem sollen die Regeln und Einstellungen auch nach entfernen der cgi weiter funktionieren (z.B. mit dem cgi die Box konfigurieren und dann wegen der Sicherheit das cgi + httpd Eintrag entfernen. iptables und logging laufen dann unabhängig davon, wie eingestellt, auch nach diversen reboots weiter)

Um das System "clean" zu verlassen (kein logging, keine iptables config) muss man nur die debug.cfg löschen und booten. Für Beides wollte ich im Interface noch je einen Knopf "uninstall cgi only" "uninstall all" vorsehen.

Ziel war es zu vermeiden, verteilt an verschiedenen Stellen settings etc. zu hinterlegen, damit man es händisch ohne Aufwand entfernen kann. Allerdings brauche ich ja auch irgend was, um den Autostart der iptables, des httpd deamons, des crond und des Logging Hintergrund Prozesses zu bewirken, ohne vorher die cgi aufzurufen. Mir ist bislan nichts besseres, als die debug.cfg eingefallen.


Viele Grüße

cando