AVM-Firewall package für Freetz

[Darkyputz]

also eigentlich habe wir da nen schalter loggin an oder aus...oder seh ich das falsch?oder meisnt du was anderes?

 

[kriegaex]

Wenn der dsld nach einer Regeländerung neu gestartet wird, geschieht dies ohne den Parameter -n (do not show packets dropped). Dies führt dazu, dass der Syslog mit Drop-Meldungen der Firewall vollgeschrieben wird.

Wäre schön, wenn der Parameter beim Neustart entsprechend wieder mitgesetzt wird oder, sofern es nicht zu viel Aufwand bereitet, über die GUI ein- und ausgeschaltet werden könnte (Default:an?).

Tip: Sowas am besten in ein Ticket auf freetz.org schreiben. Bugs und Feature Requests können im IPPF untergehen, da die Entwickler sich verstärkt auf die Tickets konzentrieren.

 

[Sysop99]

@Darkyputz:

Der Schalter Logging bezieht sich meines Wissens nach auf den Parameter -D (switch debug logs on). Ich hätte gerne eine zusätzliche Checkbox für -n. Dieser bezieht sich nicht direkt aufs Debuglog, sondern ausschliesslich auf die Ausgaben der AVM Firewall (speziell die gedroppten Pakete).

@kriegaex:

Danke für den Tip. Ich habe meinen Wunsch nun auch als Ticket eingestellt.

 

[MaxMuster]

Als "erste Hilfe" kannst du die Startdatei für dich selbst editieren. In packages/avm-firewall-x.y/root/etc/init.d/rc.avm-firewall ergänzt du die fetten Einträge bei start()

[...]
                cat $REALCOPY > $REAL
                if [ "$AVM_FIREWALL_DO_ACTIVATE" == "yes" ]; then
                	echo "Requested activation of rule set. Restarting dsld ..."
                	eval dsld -s
			eval ctlmgr -s
                	sleep 1  
                	killall -9 dsld 2> /dev/null
			killall -9 ctlmgr 2> /dev/null
			ctlmgr
                	if [ "$AVM_FIREWALL_LOG" == "yes" ]; then
                		dsld [B]-n [/B]-D AVM_FW 
                	else 
                		dsld [B]-n[/B]
                	fi
                	echo "done";
                fi
[...]

und baust dann ein neues Image.
Solange du das Firewall-Paket nicht neu auspackst bleibt das, (ansonsten die gleiche Datei in make/avm-firewall-xy/files/root... ändern und in packages den avm-firewall Ordner und die .avm-firewall Datei löschen...)

Jörg

 

[Sysop99]

Hallo MaxMuster,

danke für deinen Tip. Diese Stellen hatte ich auch schon gesehen, aber ich denke, dass das "Problem" nicht nur mich betrifft und in den kommenden Releases gefixt/erweitert werden sollte.

Nochmals vielen Dank.

 

[MaxMuster]

Version 2.04_beta

Hier mal eine Version mit "dsld -n" wie beim Original. Es scheint ansonsten ja zu gehen, daher nenne ich es mal "Beta-Version" ;-)

Jörg

 

[Sysop99]

@MaxMuster:

Ich habe mal deinen Patch für das WebIF probiert. Sieht sehr gut aus.
Somit kann die neue Version 2.0.4 ja bald "produktiv gehen"
Danke nochmal für deine Mühe.

 

[smileyman]

Alle Achtung - das habt ihr super hinbekommen! - Danke!

Auch das Problem, was bei mir immer hin und wieder aufgetreten ist, sodass alle Regel weg waren, scheint nicht mehr zu exisiteren. - Auch nach mehrmaligen Test funktioniert es nun problemlos.

Einzig die Forward-Regeln machen mir noch Probleme: Sobald ich da eine zum Löschen anklicke, wird grundsätzlich die oberste Regel entfernt. Irgendetwas scheint da noch zu haken?!

Danke und Grüße
smileyman

 

[chres]

Einzig die Forward-Regeln machen mir noch Probleme: Sobald ich da eine zum Löschen anklicke, wird grundsätzlich die oberste Regel entfernt. Irgendetwas scheint da noch zu haken?!

Selbes Problem bei mir.
Wäre da noch mal jemand so net und würde drüber gucken, woran das liegt?

tia
chres

 

[MaxMuster]

Bin momentan unterwegs (ohne Box ;-)) Hoffe, spätestens am Wochenende mal drüberzuschauen...
Zur Not kann man die entsprechende Zeile im "Debugging Fenster" löschen und dann speichern. Äußerst vorsichtig natürlich, weil das direkt in die ar7.cfg geht und fehlerhafte ar7.cfg heißt Zurücksichern der default-Config mit dem Verlust aller Einstellungen...

Jörg

 

[conila]

Kann es sein das AVM-Firewall mit dem aktuellen Entwicklermod nicht mehr funktioniert?

Gruß

 

[Silent-Tears]

Woran machst du das fest? Logs? Screenshots? Fehlerbeschreibung? Consolenausgabe? Irgendwas?

 

[chres]

Bin momentan unterwegs (ohne Box ;-)) Hoffe, spätestens am Wochenende mal drüberzuschauen...

Das wär sehr net.
Danke schon mal

 

[conila]

Woran machst du das fest? Logs? Screenshots? Fehlerbeschreibung? Consolenausgabe? Irgendwas?

29.04.59 freetz-devel-2585M

Status-LOG:

/etc/init.d/rc.avm-firewall: line 109: syntax error: redirection unexpected

 

[Silent-Tears]

Steht bei mir nicht.

Was tust du vorher? Was nachher? Was hast du an deinem Freetz modifiziert? Welche Rules sind da bei dir untergebracht? Infos?

 

[MaxMuster]

@smileyman, chres:

testet ihr bitte mal diesen Patch?
(Im freetz-Ordner: patch -p0 < avm_firewall.diff.txt )

Jörg

 

[conila]

Ich hab zu meinem vorigen Image keinerlei Veränderungen vorgenommen. Auch nicht per AVM-Firwall CGI. Hab einfach das neue Image drüber geflasht, danach hatte ich diesen Fehler.

 

[MaxMuster]

Ist tatsächlich etwas merkwürdig. Im Zeile 109 steht:killall -9 ctlmgr 2> /dev/null. Diese Zeile sollte (unabhängig davon, was daran denn "falsch ist") eigentlich nur aufgerufen werden, wenn du auf "Übernehmen" klickst und vorher den Haken gesetzt hast bei "Regeln aktivieren"...

Und das kommt bei dir beim normalen Start der Box?


Jörg

EDIT Glaube den "Fehler" gefunden zu haben. Testest du auch mal bitte einen Patch? (Das "do_activate" aus dem .diff-File bleibt nach einem Reboot erhalten, und wird dann ausgeführt). Sollte zwar nicht wirklich ein Problem sein, aber ist auch nicht schön...

 

[chres]

@smileyman, chres:

testet ihr bitte mal diesen Patch?

Hallo Jörg,

ich versuch's heute Abend einzuschieben.

Danke schon mal für deinen Einsatz
chres

 

[MaxMuster]

ich versuch's heute Abend einzuschieben.

Wenn du nicht gleich ein neues Image bauen willst, kannst du das auch erstmal so direkt auf der Box testen:

sed  '/id="id_table_forwardrules"/,/\/table/ s/allfwdrules.splice(this.parentNode./allfwdrules.splice(this.parentNode.parentNode./' /usr/lib/cgi-bin/avm-firewall.cgi >  /var/tmp/avm-firewall.cgi
mount --bind /var/tmp/avm-firewall.cgi /usr/lib/cgi-bin/avm-firewall.cgi

Damit wird im RAM eine korrigierte Version der Webseite angelegt und die wird dann der fehlerhaften Seite überlagert.

Jörg