Es geht: FBF ohne dsld aber mit DSL

[MReimer]

Für die FRITZ!Box Fon 5140 ist Firmware Version 43.04.59 aktuell. Ist da auch der Kernel dabei bei dem conntrack keine Abstürze verursacht? Wenn nein: Kann ich mit Freetz den Kernel der Box auf eine "stabile" Version anheben?

Gibt es eigentlich schon weitere Neuigkeiten? Bleiben die Boxen stabil?

 

[McNetic]

Für die FRITZ!Box Fon 5140 ist Firmware Version 43.04.59 aktuell. Ist da auch der Kernel dabei bei dem conntrack keine Abstürze verursacht? Wenn nein: Kann ich mit Freetz den Kernel der Box auf eine "stabile" Version anheben?

Soweit ich weiss, ist das conntrack-Problem bei allen Kernel-Versionen das gleiche. Du kannst die Kernel-Version auch nicht ändern (die AVM-Module sind ja closed source und müssen zum Kernel passen). Freetz unterstützt darüber hinaus üblicherweise immer nur die aktuelle Kernelversion der neuesten Firmware zum Zeitpunkt der Release.

 

[RalfFriedl]

Genauer gesagt ist die Kernel-Version bei allen neueren Firmware Versionen (seit .29) die gleiche: 2.6.13.1
Nur die 7270 hat einen deutlich neueren Kernel.

 

[MReimer]

Und via Freetz kann der "deutlich neuere Kernel" auch in die 5140 installiert werden?

 

[McNetic]

Nein. Wie gesagt, es kann nur der Kernel installiert werden, der in der verwendeten AVM-Firmware vorhanden ist.

 

[MReimer]

Gut, dann bin ich erstmal außen vor, denn jetzt besorge ich mir einen Router den ich mit OpenWRT betreiben kann.

 

[Silent-Tears]

Oh, da gibt es auch ansätze für die Fritz, so ist das mal nicht

 

[MReimer]

Gibt es die? Mein letzter Stand ist, dass ein ganzer Satz von Patches auf OpenWRT gefahren werden muss, dass da etwas möglich wird. OpenWRT ist so schon anspruchsvoll genug. Eine Hardware die noch nicht offiziell unterstützt wird macht das nicht einfacher.

 

[McNetic]

Ja, dazu kommt, dass natürlich alle AVM-Closed-Source-Sachen dann nicht mehr gehen...

Aber so wie ich es verstanden habe, gibt es doch Leute, die das ganze trotz des Conntrack-Problems betreiben, die also einen Workaround gefunden haben.

 

[MReimer]

So allmählig gebe ich das mit den Closed-Source-Sachen von AVM auf. Die Fritz!Box wird jetzt auf die "zweite Ebene" verbannt und kümmert sich dann nur noch um den VoIP-Kram. Davor muss irgendwas das richtig priorisieren kann.

 

[knox]

Gibt es die? Mein letzter Stand ist, dass ein ganzer Satz von Patches auf OpenWRT gefahren werden muss, dass da etwas möglich wird.

Der aktuelle OpenWrt Trunk enthält einen AR7 Port, der eigentlich prima auf meiner 7170 läuft. Nur ISDN funktioniert nicht, da bisher keine Treiber zur Verfügung stehen.

 

[olistudent]

*push*

@MaxMuster
Warum hast du nicht mal eine Integration deiner Bemühungen in Freetz angeregt. Wäre Schade, wenn das hier verkommt.

MfG Oliver

 

[MaxMuster]

Habe leider momentan nicht allzuviel Zeit für Freetz...
Ich werde aber demnächst den Patch mal auf den aktuellen SVN-Stand bringen, vielleicht kann dann tatsächlich mal der ein oder andere mehr das Ganze noch testen.


Jörg

 

[MaxMuster]

So, hier mal mein aktueller Stand eigentlich nur ans aktuelle SVN angepasst.

Momentan habe ich als Sicherheit immernoch ein Special drin:
Wenn man multid rausnimmt, werden ja die IPs nicht mehr zugewiesen, daher habe ich als "Sicherheit" mit drin, dass bei der Box USB vom LAN getrennt wird und fest die 192.168.178.1 zugewiesen bekommt...


Jörg

EDIT Ticket 333 ;-)

 

[1A1]

Schöne Sache gibt es das schon in Freetz

welcher Mehrwert liegt denn nun hier drin

kannst du dieses etwas erläutern
danke

1A1

 

[MaxMuster]

Hi,

Du kommst hauptsächlich von den closed-source Programmen von AVM weg. Ob der "Normaluser" das will/braucht würde ich eher bezweifeln. Für denjenigen der gerne alles unter Kontrolle hat, gibt es viele neue Möglichkeiten:
Damit kannst du z.B. Pakete ins Internet verschicken, ohne die "Zwangs-NAT" des dsld, z.B. nützlich bei Leuten mit "offiziellen IP's"

Größter Nachteil ist aus meiner Sicht, dass bei den meisten Boxen iptables mit dem ip_conntrack-Modul noch Probleme bereitet, aber bei den 7270 (und nach meiner Erfahrung bei Boxen ohne WLAN) sieht das wohl ganz gut aus...

Jörg

 

[MReimer]

Sehe ich richtig, dass deine aktuelle Version keine iptables-Basis-Firewall enthält? Wäre es nicht sinnvoll pauschal erstmal alles mit einem "Zwangs-IPTables-Script" zu sperren. Im zweiten Schritt vielleicht dann sogar die im Webinterface festgelegten Portforwardings entsprechend setzen.

 

[MaxMuster]

Ja, das siehst du richtig!
Iptables obligatorisch mit einbinden, ist sicher nicht verkehrt (zumindest so, dass man es explizit abwählen muss, wenn man es nicht will).
Dazu dann zumindest noch eine "Standardconfig", die den default der Box nachbildet und ggf. dann noch die vorhandenen anderen Regeln übernimmt ist sicher auch machbar.

Man müsste prüfen, ob das mit irgendwas kollidiert, aber ich denke, das sollte machbar sein.

Ein Fragezeichen bleibt durch das ip_conntrack Problem, das könnte gegen eine "Zwangsintegration" sprechen.

Mein Problem ist eher, dass ich momentan nur sehr wenig Zeit für das Ganze habe und da wohl nicht zu komme.

Jörg

 

[cando]

hallo maxmuster,

das thema conntrack hält sich hier im forum sehr hartnäckig - ich habe die 7270 und iptables seit mitte dezember erfolgreich im einsatz und nutze conntrack / conntrack_ftp intensiv ohne nebenwirkungen zu bemerken (keine reboots oder abstürze).

mein regelwerk ist recht restriktiv und ich verwende noch kein voip / vpn / tftp / nat per iptables (conntrack_h323 / conntrack_irc / conntrack_pptp / conntrack_tftp), dennoch für internet (http/https/ftp), mail (smtp/pop3/imap + ssl variationen) und basisdienste ntp, dns, icmp sind iptables stabil und belastbar.

ich habe auch erfolgreich eine dmz mit iptables / cpmaccfg mit der FB zum laufen gebracht.

ich nutze noch den AVM dsld + firewall für die nat funktion und als zusätzliche sicherheit, aber sicher kann man den irgendwann in die tonne treten...

 

[MaxMuster]

Hi cando,

die 7270 ist nach mehren Meldungen wohl von dem Problem nicht betroffen, da sie einen anderen Kernel nutzt.
Ich hatte bei meiner Box auch keine Probleme, von daher hatte ich schon ein Problem im Zusammenhang mit dem WLAN-Kartentreiber vermutet...

Jörg