Besuchte Internetseiten anzeigen

[sf3978]

Mit iptraf (evtl. nur im trunk vorhanden) kann man auch den ganzen Internet-/Netzwerkverkehr auswerten/loggen/analysieren/speichern/etc.

 

[hans75]

Danke für die Antworten!
Ich werds mal ausprobieren.

 

[hans75]

Hallo sf3978,

ich will iptabels mit dnsmasq laufen lassen um die FB etwas sicherer zu machen. Ich hätte noch paar Fragen dazu.
Meine Konfiguration ist diese:

no-hosts
all-servers
filterwin2k
cache-size=250
interface=lan
listen-address=192.168.xxx.1
log-queries
log-facility=/var/tmp/dnsmasq.log

Obwohl ich nur das Interface "Lan" ausgewählt habe, komme ich auch mit WLAN ins internet??


Ist die "listen-address=192.168.xxx.1"
die IP-Adresse des Routers?

Folgendes brauche ich nicht, wenn ich kein DHCP laufen lasse, oder?
local=/zzz.168.192.in-addr.arpa/ (automatische Adressvergabe im Bereich 192.168.zzz.0 - 192.168.zzz.255 so wie ichs verstanden habe)
resolv-file=/var/tmp/resolv-dnsmasq.conf
addn-hosts=/var/tmp/banner_add_hosts

Komischerweise geht das Internet auch für LAN und WLAN, wenn iptabels überhaut keine Regel hat.
Ich hab aber trotzdem diese reine gemacht:

-A FORWARD -s 0.0.0.0/0 -d 0.0.0.0/0 -p udp --dport 53 -j DROP

Ist 0.0.0.0/0 die Adresse vom NAT?


iptraf ist wahrscheinlich nur in Freetz 1.04, in der 1.0.3 konnte ich es nicht finden. Die 1.0.4 muss ich mal suchen.

Vielen Dank!!

 

[Silent-Tears]

iptraf ist wahrscheinlich nur in Freetz 1.04, in der 1.0.3 konnte ich es nicht finden. Die 1.0.4 muss ich mal suchen.

Nein, ist im trunk und in keiner Revision

 

[sf3978]

Obwohl ich nur das Interface "Lan" ausgewählt habe, komme ich auch mit WLAN ins internet??

Ist die "listen-address=192.168.xxx.1"
die IP-Adresse des Routers?

Die Rechner im WLAN haben ja auch Zugang zum dnsmasq, der an der IP-Adresse 192.168.xxx.1 lauscht. Wenn die Rechner aus dem WLAN nicht ins Internet sollen, dann versuch es mal mit folgender iptables-Regel (ipt_REJECT erforderlich):

-A FORWARD -s <IP-Adresse des Rechners im WLAN> -d ! 192.168.xxx.0/24 -j REJECT

Folgendes brauche ich nicht, wenn ich kein DHCP laufen lasse, oder?
local=/zzz.168.192.in-addr.arpa/ (automatische Adressvergabe im Bereich 192.168.zzz.0 - 192.168.zzz.255 so wie ichs verstanden habe)

Oder die Anfragen werden aus der "/etc/hosts" beantwortet, wenn gewünscht bzw. so konfiguriert.

resolv-file=/var/tmp/resolv-dnsmasq.conf
addn-hosts=/var/tmp/banner_add_hosts

Sind zusätzliche Konfigurationsdateien, die Du nicht unbedingt brauchst.

Ich hab aber trotzdem diese reine gemacht:

-A FORWARD -s 0.0.0.0/0 -d 0.0.0.0/0 -p udp --dport 53 -j DROP

Damit kannst Du die PCs an der Box zwingen, den dnsmasq der Box zu benutzen.

Ist 0.0.0.0/0 die Adresse vom NAT?

Ist eine beliebige IP-Adresse oder Netzwerk. Man kann auch 0/0 schreiben.

 

[cuma]

Da es jede Source/Destination betrifft kann man es auch weglassen (und Fragen vorbeugen )

 

[hans75]

Vielen vielen Dank!!
Das macht es mir verständlich.
Eine Frage noch:
Momentan konfiguriere ich alles mit einem Skript nach einem Neustart der Box. Das geht zwar sehr schnell, aber gibt es nicht doch einen Bereich in der Box, wo ich dauerhaft Daten, Konfigurationsdateien, etc. ablegen kann, so das nach einem Neustart einfach schon alles läuft?
Wie macht ihr das?

 

[Silent-Tears]

Die rc.custom oder die debug.cfg wären sinnvolle Orte dafür

 

[hans75]

Vielen Dank nochmal. Echt geniales Forum!!!!

Ich hab alles in die "debug.cfg" gepackt. Klappt wunderbar.

 

[hans75]

Hallo,

brauche dringend eure Hilfe!! Ich komm nicht mehr auf die FB drauf, weil ich mich mit iptables ausgesperrt habe....
Ich habe "-A INPUT -j DROP" eingegeben :-(.

Was kann ich tun??
Ich hab leider kein Telefon das ich in die Box einstecken kann um mit: #991*15901590* auf Werkseinstellungen zurück zu stellen.

 

[sf3978]

Wenn Du dich mit dieser Regel:

iptables -A input -p tcp --syn -j DROP

ausgesperrt hast, dann hilft meines Wissens, nur ein recovery.
Das syn-Flag wird ja für die Anmeldung an den Servern der Box (WEB-IF, ssh, telnet, etc.) verwendet und bei dir geht das jetzt nicht mehr.
Aber vielleicht hat ein Forumteilnehmer eine andere Lösung. Warte mal noch ab, ob sich jemand mit einer Lösung meldet.

EDIT:
"-A INPUT -j DROP" ist gleichwertig mit "-A input -p tcp --syn -j DROP"

 

[hans75]

Hallo,

die recover.exe vom FTP von AVM
findet die FB nicht. Gibt es da noch was anderes?

 

[Silent-Tears]

Tja, da ist dann die Frage: Passt das Recover zu deiner Box? Wenn ja, ist AVM verantwortlich dafür, dass das nicht funktioniert.
Du könntest allerdings mal schauen, wie du per ADAM2 auf deine Box kommst um dann die entsprechendne Partitionen zu löschen.
Du hast den Kram ja in die debug.cfg geworfen, gehe ich mal von aus. Das ist Schade, denn das Ausführen der rc.custom hättest du verhindern können, in dem du die Verarbeitung von Freetz deaktivierst.

Ein Tipp allerdings: Schmeiss per toos/push_firmware ein Image ohne iptables auf die Box, dann sollte die Box trotz der Kommandos in der debug.cfg booten und du kannst entsprechend editieren.

 

[hans75]

Die Regeln von iptables habe ich in dem entsprechenden GUI von Freetz hinterlegt, in der Debug.cfg sind nur Sachen von dnsmasq.

Ich probier noch mit dem recover rum, denn die Box ist defenitiv ok, ich komm ja ganz kurz drauf beim Starten.

 

[Silent-Tears]

Dann kannst du per Commandline auch freetz deaktivieren und musst nicht recovern

 

[hans75]

Hallo,
wie geht das, ich hab bisher immer die Rudi-Shell verwendet. Telnet und SSH sind glaube ich deaktiviert, so wie es defaultmässig in Freetz eingestellt ist.

 

[Silent-Tears]

Ich weiss grad nicht genau, wo das steht. Ich glaube, die rc.mod wertet die Kernel-Commandline entsprechend aus. Aber: Du kannst auch per tools/push_firmware ein Image _ohne_ IPtables bauen, dann kommst du auch wieder auf die Box.
Danach per telnet/ssh die Einstellungen für das Paket löschen. Dann kannst du gern wieder von vorn anfangen.

 

[hans75]

Vielen Dank!!!!!
Es hat geklappt.
Wo kann ich die Einstellungen in Dateiform ändern?
Das nächste Mal werde ich iptables immer auf manuell starten stellen, wenn ich was ausprobiere.....

 

[Silent-Tears]

Dort, wo alle anderen Einstellungen von Freetz auch gespeichert werden. Du wirst sie nicht übersehen, wenn du danach suchst.