iptables auf der 7320 ???

[hhfreetz]

Hallo,
ich versuche seit einiger (langer) Zeit, iptables auf die 7320 zu kriegen.
Ich kann zwar mit dem trunk "freetz-devel-6338" eine entsprechende Firmware bauen, jedoch startet die Box nach einem Update nicht mehr!

Ist es bei "experimenteller" Unterstützung der 7320 überhaupt möglich, iptables auf der 7320 zu nutzen?

Wer hat es geschafft bzw. weiß wie es geht?

 

[sf3978]

Ja, der trunk (devel) kann mit iptables genutzt werden. Versuch es mal mit einem Minimal-Freetz-Image (d. h. ohne Pakete, ohne iptables, etc.).
Was meinst Du mit Update?

 

[hhfreetz]

Ein Minimal-Image ist nicht das Problem. Das "läuft"!
(Habe auch schon Transmission, Samba und Openvpn am Laufen. Für letztes will ich iptables zum Naten benutzen.)

Mit "Update" meine ich das Flashen der Box mit dem gebauten Image. Habe mich etwas blöd ausgedrückt.

Meine Vermutung geht dahin, dass es am "conntrack"-Modul liegt. Und nun suche ich hier Gewissheit oder ein paar Ratschläge, ob/wie iptables möglich wäre...

 

[sf3978]

...
Mit "Update" meine ich das Flashen der Box mit dem gebauten Image.
...

D. h., nur weil das Freetz-Image das iptables-Paket beinhaltet, startet sofort nach dem Flashen deine Box nicht mehr, obwohl iptables noch nicht benutzt/gestartet wird?

 

[hhfreetz]

Ja, so ist es... die Box bleibt zu Beginn des Bootvorgangs "stecken" und blinkt lustig "ROT" vor sich hin. Dann hilft nur noch das Recovern.

Jetzt etwas von meinen laienhaften Halbwissen: Die iptables-Module werden doch in den Kernel "geladen" (oder?). Ist dieser neue Kernel dann noch kompatible mit der 7320?

In wie weit wird die 7320 eigentlich schon unterstützt und bei der Freetz - Entwicklung beachtet?

 

[sf3978]

...
In wie weit wird die 7320 eigentlich schon unterstützt und bei der Freetz - Entwicklung beachtet?

Wenn Du für die 7320 eine Freetz-Image mit iptables kompilieren kannst, dann sollte iptables auch funktionieren, d. h. benutzt werden können. Im trunk kann es auch Probleme geben.

 

[hhfreetz]

iptables (an sich) scheint nicht das Problem zu sein, sondern die Module bzw. die entsprechenden libaries.

Welche Module sind für NAT (iptables -t nat -A POSTROUTING -s 192.168.x.0/24 -o tun0 -j MASQUERADE) eigentlich erforderlich?

Gehört das conntrack-Modul dazu? Es bereitet ja auch anderen Boxen Ärger.

 

[sf3978]

iptables (an sich) scheint nicht das Problem zu sein, sondern die Module bzw. die entsprechenden libaries.
...

Wie hast Du das festgestellt, dass die Module bzw. libraries das Problem sind, wenn die Box nach dem Flashen eines Freetz-Images mit dem iptables-Paket, nicht mehr startet?

 

[hhfreetz]

Habe einfach mal nur iptables - ohne Module - ausgewählt. Die Box startete, das Binary iptables ließ sich aufrufen, fand aber nicht die tables (modules).
"critical error - could not load ... weiß nicht mehr genau was... "

Ich durchschaue aber nicht die Zusammenhänge (Wie kommen die Tables dort hin, wo sie sollen? Sind da nicht schon welche vorhanden? Von AVM fest eingebunden? Was machen die Module eigentlich?)

So weiß ich auch nicht, an welchen Schrauben ich noch drehen kann.

Oder ließen sich vielleicht die internen AVM-Mechanismen (ar7.cfg?, ...?) zum Fremd-Naten überreden? Oder vielleicht ein (DSL- oder sonstiger) Daemon entsprechend beschwören?

 

[sf3978]

Habe einfach mal nur iptables - ohne Module - ausgewählt. Die Box startete, das Binary iptables ließ sich aufrufen, fand aber nicht die tables (modules).
"critical error - could not load ... weiß nicht mehr genau was... "
...

Was stimmt jetzt denn? In deinem 1. Beitrag schreibst Du, dass die Box mit iptables nicht mehr startet nach dem Flashen? Die Module und libraries für iptables, kannst Du mit "make menuconfig" aktivieren und über das Freetz-WEB-IF oder über die Datei "modules" laden. Mit "find" kannst Du schauen, ob sich die Module, in deinem Freetz-Image bzw. auf der Box befinden.

 

[hhfreetz]

Ich hab's einfach schon auf verschiedendste Art probiert: itables an sich ohne Module -> kein Bootproblem (aber auch kein Nutzen) und dann mal: iptables mit Modulen -> Bootproblem (so wie so kein Nutzen).

Wenn ich die Module ausgewählt habe, kann ich nicht mit "find" auf der Box nachschauen. Denn sie startet ja gar nicht.

 

[sf3978]

Evtl. hat die 7320 von AVM schon iptables. Versuch mal ohne das Paket iptables und schau mit "find / -iname '*.ko'" und "lsmod", auf der Box nach. Mit "modprobe" kannst Du Module laden.

 

[er13]

Oliver hat zwar eine 7320, nutzt aber vermute ich kein iptables - bis 6338 hat es sich nicht mal übersetzen lassen. Von daher alles, was 7320 und iptables anbetrifft, ist als sehr experimentell zu betrachten. Es kann sein, dass Module/Libraries fehlen, dass Abhängigkeiten zwischen diesen nicht stimmen, dass es sonst noch irgendwelche Fehler gibt usw. Außer Oliver hat meines Wissens keiner der Devs eine 7320, Oliver kann sich auch nicht um alle Themen kümmern - von daher wenn Du da Zeit investieren würdest, rausfindest, warum es nicht läuft, und uns ein Patch zur Verfügung stellst, wären wir Dir sehr dankbar ;-)

 

[hhfreetz]

Sie wird vermutlich so etwas (ähnliches ?) haben. Aber was bloß?

"find / -iname '*.ko'" oder "lsmod" - liefert aber nichts entsprechend "Namhaftes".

 

[hhfreetz]

Na, das ist ja mal eine Karriere:
vom ratsuchenden Laien - zum freetzigen Linux-Kernelbauer-Patch-Entwickler !
Ich würd's ja machen, wenn ich es könnte.

Vielleicht sagt mir mal einer, warum es nicht laufen könnte, dann leg' ich los! ;-)
Also - wo soll ich anfangen: bei den fehlenden Modulen/Libaries, den Abhängigkieten oder doch bei den irgendwelchen Fehlern? )

OLIVER - hilf mir!!!!

 

[sf3978]

Betr. iptables, stimmt die 7320 evtl. mit der 7390 überein. Siehe hier: >>> klick <<<

 

[olistudent]

Nein, in der 7320 ist im Gegensatz zur 7390 iptables nicht fest im Kernel. Wenn du mal deine .config anhängst, dann kann ich dein Image auf meine Box flashen.

Gruß
Oliver

 

[hhfreetz]

iptables auf der 7320

Hallo Oliver,
schön, mit dir mal "direkt" in Kontakt zu treten (wollte dir schon längst mal danken für dein Engagement).

Nein, in der 7320 ist im Gegensatz zur 7390 iptables nicht fest im Kernel. Wenn du mal deine .config anhängst, dann kann ich dein Image auf meine Box flashen.

Gruß
Oliver

so jetzt aber zur Problematik:
Ich bin's nochmal systematisch angegangen. Hier mein Vorgehen für iptables auf der 7320 (ohne ip_conntrack.ko und iptable_nat.ko):

1. trunk frisch ein- bzw. ausgecheckt: -> Revision 6351
2. make menuconfig mit nur den folgenden Einstellungen (config im Anhang):
   
   • 7320 ausgewählt
     [x] Iptables 1.4.1.1
     
   • [x] Iptables kernel modules
   • -> Select kernel modules (IPv4) --->
   • --> [ ] ip_conntrack.ko (NEW) ... [x] iptable_mangle.ko [ ] iptable_nat.ko (bedingt conntrack, deshalb nicht gewählt)
     [X] ip_tables.ko [x] ipt_iprange.ko [ ] ipt_layer7.ko (NEW)
     [x] ipt_LOG.ko [ ] ipt_comment.ko (NEW) [x] ipt_MASQUERADE.ko [ ] ipt_owner.ko (NEW) [x] ipt_REDIRECT.ko [x] ipt_REJECT.ko ...
     
   • [x] Iptables shared libraries
   • -> Select shared libraries (IPv4) --->
   • --> [x] libipt_DNAT.so ... [x] libipt_LOG.so [x] libipt_MASQUERADE.so [x] libipt_REDIRECT.so [x] libipt_REJECT.so ... [x] libipt_SNAT.so ...
3. make: -> Image wurde erstellt
4. Box recovert
5. neues Image eingespielt: -> Box startet
6. Telnet: -> iptables aufgerufen - Fehlermeldung:
   

   root@fritz:/var/mod/root# [B][COLOR="Red"]iptables -L[/COLOR][/B]
   modprobe: can't load module ip_tables (kernel/net/ipv4/netfilter/ip_tables.ko): unknown symbol in module, or unknown parameter
   iptables v1.4.1.1: can't initialize iptables table `filter': iptables who? (do you need to insmod?)
   Perhaps iptables or your kernel needs to be upgraded.

   root@fritz:/var/mod/root# [B][COLOR="Red"]modprobe ip_tables.ko[/COLOR][/B]
   modprobe: can't load module ip_tables.ko (kernel/net/ipv4/netfilter/ip_tables.ko): unknown symbol in module, or unknown parameter

   root@fritz:/var/mod/root# [B][COLOR="Red"]lsmod[/COLOR][/B]
   Module                  Size  Used by    Tainted: P
   sch_sfq                 6656  4
   sch_llq                 9376  1
   sch_tbf                 5632  1
   wlan_scan_ap           13152  1
   wlan_acl                5664  1
   wlan_wep                5920  0
   wlan_tkip              11840  3
   wlan_ccmp               8160  0
   wlan_xauth              1216  0
   ath_pci               179200  0
   ath_spectral           96320  1 ath_pci
   ath_rate_atheros       60976  1 ath_pci
   wlan                  269648  9 wlan_scan_ap,wlan_acl,wlan_wep,wlan_tkip,wlan_ccmp,wlan_xauth,ath_pci,ath_rate_atheros
   ath_dfs                39008  3 wlan_scan_ap,ath_pci,wlan
   ath_hal               327488  5 ath_pci,ath_spectral,ath_rate_atheros,ath_dfs
   avm_ath_extensions     41392  6 wlan_scan_ap,ath_pci,ath_rate_atheros,wlan,ath_dfs,ath_hal
   vfat                   10624  0
   fat                    52400  1 vfat
   kdsldmod             1075904  4
   usb_storage            35808  0
   dsl_ar9               300672  0
   sd_mod                 28672  0
   scsi_mod              134512  2 usb_storage,sd_mod
   ifxusb_host            89792  0
   usbcore               125552  3 usb_storage,ifxusb_host
   ramzswap               16448  1
   lzo_compress            2080  1 ramzswap
   lzo_decompress          2272  1 ramzswap
   dect_io                15232  0
   avm_dect              232784  1 dect_io
   capi_codec            322432  0
   isdn_fbox_fon5        752048  5
   pcmlink               241168  3 avm_dect,capi_codec,isdn_fbox_fon5
   Piglet_noemif          23264  0
   rtc_avm                 5520  2 pcmlink
   led_modul_Fritz_Box_7320    68368  6

   root@fritz:/var/mod/root# [B][COLOR="Red"]find / -iname '*.ko'[/COLOR][/B]
   ...
   /lib/modules/2.6.28.10/kernel/net/ipv4/netfilter/ip_tables.ko
   /lib/modules/2.6.28.10/kernel/net/ipv4/netfilter/ipt_LOG.ko
   /lib/modules/2.6.28.10/kernel/net/ipv4/netfilter/ipt_MASQUERADE.ko
   /lib/modules/2.6.28.10/kernel/net/ipv4/netfilter/ipt_REJECT.ko
   /lib/modules/2.6.28.10/kernel/net/ipv4/netfilter/iptable_mangle.ko
   ...

Soweit so gut/schlecht...
Wie es aussieht, kann das Modul "ip_tables.ko" nicht geladen werden.
Woran liegt das?

Bevor ich die 2. Variante ausrobiere (iptables auf der 7320 mit ip_conntrack.ko und iptable_nat.ko), möchte ich erstmal deine Meinung zu dem Obigen.
Mache ich das soweit richtig? (Ich möchte ja die Box nur zum "Naten" überreden.) Welche Moule sind dazu erforderlich?


PS:
In der .config fand ich folgendes: "FREETZ_AVM_VERSION_7320_04_86=y".
Sollte es nicht so heißen: "FREETZ_AVM_VERSION_7320_04_88" ???

 

[sf3978]

...
Soweit so gut/schlecht...
Wie es aussieht, kann das Modul "ip_tables.ko" nicht geladen werden.
Woran liegt das?
...

Versuch mal:

modprobe ip_tables

D. h. ohne ".ko".

 

[hhfreetz]

ohne ".ko" sieht's auch nicht anders aus...

root@fritz:/var/mod/root# modprobe ip_tables
modprobe: can't load module ip_tables (kernel/net/ipv4/netfilter/ip_tables.ko): unknown symbol in module, or unknown parameter