LINUX.ORG.RU
Форум — Admin  

Настройка firewall на роутере с openwrt

 ,


0

1

Помогите разобраться с правилами. Сами правила я напишу, мне бы с принципом надо разобраться.

Пров дает доступ по pppoe. Пусть будет локальный интерфейс e1, интерфейс для интернета - в1, интерфейс pppoe - p1. Делаю правила

  1. Маскарадинг srcnat без каких-либо доп. опций, как в мане написано.

  2. Правила входящих (соблюдая последовательность): дропаю невалидные пакеты, разешаю любые входящие established и related, разрешаю любой доступ с интерфейса e1, разрешаю icmp с р1 и в1, запрещаю все остальное.

  3. Привила транзитных (соблюдая последовательность): разрешаю любые валидные транзиты с е1 на в1, с е1 на р1, разрешаю транзиты established и related с р1 на е1 и с в1 на е1, остальные транзиты дропаю.

  4. Исходящие не ограничиваю.

В итоге ситуация - pppoe на роутере в статусе подключено, пакеты с роутера уходят, транзитные пакеты в логе роутера отмечаются, но выхода в инет с клиента на е1 нет. ЧЯДНТ?

← Gentoo: libglvnd и nvidia-drivers-340.108-r1.ebuild
Куда делась документация по centos? →

Исходя из описания все вроде верно.
1. Что означает «но выхода в инет с клиента на е1 нет» например нет пинга? Вы пингуете по ip адресу или по имени? Возможно проблема с dns.
1.1 Если пинги идут, но не открываются странички. Это скорее всего проблема mss, поможет -t mangle -A POSTROUTING -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
2. На всякий случай cat /proc/sys/net/ipv4/ip_forward в выхлопе должна быть цифра 1 (один) Но это так, имхо в сабже должно быть по умолчанию включено.
3. Покажите выхлоп iptables-save. Повторюсь, по общему описанию у вас всё верно, возможно где-то в правилах допустили ошибку.

anc ★★★★★
()
Последнее исправление: anc (всего исправлений: 1)
Ответ на: комментарий от anc

  1. Под «нет выхода» имею ввиду доступна локалка, но нет соединения ни в каком виде с ресурсами за пределами локалки. Пинги не проходят (просто зависают без ответа). Пингую 8.8.8.8, 1.1.1.1, yandex.ru, linux.org.ru, google.com.

  2. Форвардинг включен и он виден в логах роутера. Допустим, пытаюсь я открыть yandex.ru в браузере клиента, который висит на e1, и в логах вижу форвардинг с e1 на p1.

  3. Я все почистил, сейчас заново на всякий перепишу и покажу.

Lileiny
() автор топика
Ответ на: комментарий от Lileiny

Еще забыл добавить, что роутер раздает с dhcp сервера dns 1.1.1.1 и на самом роутере тоже настроен dns 1.1.1.1. С роутера пинги и по адресам, и по именам проходят.

Lileiny
() автор топика
Ответ на: комментарий от Lileiny

Еще забыл добавить, что роутер раздает с dhcp сервера dns 1.1.1.1 и на самом роутере тоже настроен dns 1.1.1.1. С роутера пинги и по адресам, и по именам проходят.

Это совсем не про вашу проблему, выше вы уже описали. Просто имейте ввиду, dns прописанный локально у роутера != то что вы с него раздали клиентам по dncp.

anc ★★★★★
()

А вы все правила руками прописываете или используете штатную для openwrt обёртку fw3?

Если обёртку, то конфиг /etc/config/firewall в студию.
И выхлоп iptables-save тоже.

Nao ★★★★★
()
Последнее исправление: Nao (всего исправлений: 1)
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Gentoo: libglvnd и nvidia-drivers-340.108-r1.ebuild
Admin
Куда делась документация по centos? →