iptables/NAT auf FritzBox 3370

[ColaCheater]

Hallo zusammen,


ich habe im Moment vor einen (bereits laufenden und korrekt konfigurierten) Squid Proxy in einer FritzBox 3370 als transparenten Proxy einzutragen. Dabei läuft die FritzBox auf der IP 192.168.42.2 und der Squid-Server auf 192.168.42.1. Der Squid Server gibt die Anfragen wenn er sie nicht aus seinem Cache beantworten kann wieder über die FritzBox als Gateway ins Internet weiter.

Der "normale" Ansatz bzw. scheinbar auch einziger Ansatz wäre das über die iptables und deren NAT einzurichten, wie ich es bei einem Linuxserver auch schon einmal getan hatte. Auf diesem Weg wird es auch in den ein, zwei verteilten Infos zu man dazu findet für Freetz erklärt.
In der Konfiguration von Freetz (make menuconfig) wird mir unter den Experimentellen Paketen auch das iptables-Paket angezeigt wenn ich die 3370 auswähle als Box, daher dachte ich dass es wohl gehen würde. (Freetz 2.0 in revision 10734 und FRITZ!OS 5.50)

Problem ist jedoch dass in dem mit ausgewählten NAT-Modulen gebauten Image sie dennoch nicht vorhanden sind. Versuche ich sie per modprobe zu laden oder über "iptables -t nat" zu nutzen kommt leidglich die Fehlermeldung, dass das Modul nicht vorhanden sei. (Letzte von mir getestete .config ist diese)

root@Router42:/var/mod/root# iptables -t nat -L
iptables v1.4.11.1: can't initialize iptables table `nat': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
root@Router42:/var/mod/root# modprobe ip_tables
root@Router42:/var/mod/root# modprobe iptable_filter
root@Router42:/var/mod/root# modprobe x_tables
root@Router42:/var/mod/root# modprobe xt_tcpudp
root@Router42:/var/mod/root# modprobe ipt_REDIRECT
modprobe: module ipt_REDIRECT not found in modules.dep
root@Router42:/var/mod/root# modprobe ip_nat
modprobe: module ip_nat not found in modules.dep
root@Router42:/var/mod/root# modprobe iptable_nat
modprobe: module iptable_nat not found in modules.dep

Geplant war den Proxy auf folgende Weise in die iptables einzutragen:

iptables -t nat -A PREROUTING -i lan -p tcp ! -s 192.168.42.1 --dport 80 -j DNAT --to-destination 192.168.42.1:3129

Ich habe mittlerweile auch verstreut Aussagen gefunden das iptables nicht mehr richtig funktionieren würden, dass die sich teilweise mit AVM-Paketen in die Quere kommen u.s.w. jedoch keinerleit konkrete Infos ob das jetzt überhaupt nicht mehr geht oder nur in manchen Kombinationen nicht oder wie auch immer.


Weiß einer einen grund warum das nicht geht, ob ich einen Fehler gemacht habe oder irgend einen anderen Weg einen transparenten Proxy einzurichten?
An sich bin ich überrascht wie viel die FritzBoxen mittlerweile auch von Haus aus können und wenn das noch gehen würde könnte ich damit noch ein paar Linux-Server die zur Zeit am laufen sind ablösen.


Danke schon einmal für die Antworten,
ColaCheater

 

[MaxMuster]

Ja, ich weiß warum es nicht geht ;-)
In allen neueren Firmwares (XX.05.YY) ist eine wichtige iptables Komponente (conntrack) nicht mehr mögliche (weil AVM selbst iptables nutzt und daran Äanderungen vorgenommen hat).

Iptables in der von dir gewünschten Form wäre nur mit älteren Firmwares möglich.

 

[ColaCheater]

Ab welcher Firmware ist es denn nicht mehr möglich?

Ich glaube es gibt auch noch eine 05.2x Firmware als Option für die 3370. Ist das alt genug (da du xx.05.yy meintest) oder bedeutet das dass es bei der 3370 gar nicht geht?
Wäre schade wenn das gar nicht möglich wäre.

 

[MaxMuster]

Meine, dass es keine 05.-er FW sein dürfte, sondern wirklich eine 04.-er...

 

[ColaCheater]

Okay, schade. Dann muss ich mir wohl etwas anderes überlegen oder auf den Proxy verzichten.

Danke für die Antwort!

PS: Es ist aber wohl auch ein Fehler in der Umgebung um Freetz zu bauen. Die alte Firmware wird angezeigt und lässt sich auswählen, der Download im make schlägt aber fehl da in der URL ein /deutsch/ fehlt.

 

[olistudent]

Problem mit dem Download sollte behoben sein.

Gruß
Oliver

 

[ColaCheater]

Problem mit dem Download sollte behoben sein.

Gruß
Oliver

Konnte es gerade erst testen aber klappt jetzt auch bei mir, Danke

 

[koyaanisqatsi]

Tagchen

Ich hatte mal iptables mit allen Modulen auf einer 7113 am laufen.
Ich bekam die Module auch nicht mit modprobe geladen, so wie es die Skripte gemacht haben.
Aber insmod ging von Hand und dann gings auch.
Bis aufs NAT Modul, dafür waren sie wohl zu alt.

Also kannst ja nächstemal insmod probieren.

 

[ColaCheater]

Das Problem an dem insmod ist dass die Module gar nicht kompiliert/eingebaut werden und ich damit sie auch nicht nachträglich einbinden kann.
Wie ich die von Hand mit in den Kernel kompilieren kann weiß ich nicht und ich denke wenn es eh nicht funktioniert muss man das jetzt auch nicht nochmal ausprobieren

Werde mich wohl einfach damit abfinden müssen dass es auf die Weise nicht geht und entweder mir was anderes überlegen oder auf den Proxy verzichten.
Wenn einer noch nen genialen Einfall hat damit es funktioniert (gerne auch andere wege) wäre es natürlich prima, aber wie gesagt: die .ko Module sind auch nicht gebaut worden, heißt die müsste man dann erstmal i.wie bauen...