iptables/Firewall

[electronicm]

Wenn ich ein Image für die 7490 mit der aktuellsten FW erstellen möchte, steht weder AVM-Firewall noch iptables zur Verfügung.
Gibt es hierfür einen bestimmten Grund?

Leider kann ich auch nirgendwo Infos finden, welche Voraussetzungen für iptables notwendig sind.

Hat jmd einen hilfreichen Tipp?

[fda77]

Die meisten haben nicht kapiert dass manche Teile von iptables nicht funktionieren solang AVMs PA-Gebastel aktiv ist. Daher ist es im menuconfig etwas versteckt.

[fda77]

Ja, gibts. Dort wo es seit Jahren steht

[twretro]

Und wo steht das seit Jahren? finde es nicht... oder hat jemand ne kleine Anleitung dafür wie man das von AVM deaktiviert + iptables aktiviert?

[electronicm]

Und wo steht das seit Jahren? finde es nicht... oder hat jemand ne kleine Anleitung dafür wie man das von AVM deaktiviert + iptables aktiviert?

Ich finde die ausführlichere auflistung gerade nicht mehr, aber im Wiki zu iptables steht

Current state (largely broken)
For the 7390 and later, but also for the 7270 with releases from the last years, iptables doesn’t work with ‘connection tracking’ and ‘state matching’. Without these two options a lot of configuration scenarios are not possible.

AVM has its own connection tracking solution, which uses the same symbol names, causing a conflict with the iptables modules. Secondly the behavior of Packet Acceleration (PA) causes packets not to be handled by the kernel, but by the PA kernel module (Avm_pa.ko). Packet Acceleration is a feature that AVM introduced years back (end 2011).

[fda77]

Vielleicht hatte jemand die irre idee wiederkehrende Fragen zu sammeln

[karstengit]

Die meisten haben nicht kapiert dass manche Teile von iptables nicht funktionieren solang AVMs PA-Gebastel aktiv ist. Daher ist es im menuconfig etwas versteckt.

Ist es zuviel verlangt diesen Punkt etwas näher zu erläutern, da dieser in der Anleitung nicht erscheint?
Warum schafft hier eine ältere Firmware-Version nicht Abhilfe?
Wo ist es versteckt?

[karstengit]

Hier ist exakt das gleiche Problem vorhanden und der Bug https://github.com/Freetz-NG/freetz-ng/issues/653 wurde einfach mit RTFM geschlossen.

Damit kann Freetz-NG offensichtlich weniger als das nicht mehr gepflegte alte Freetz. Das ist wirklich Schade!

[fda77]

Was machst du dann noch hier?

[karstengit]

Feststellen das Freetz-NG keinen Support hat und die verschwendete Zeit damit bejammern.

[fda77]

Ist ne Sauerei, zuerst bezahlst du nix und dann bekommst auch auch genau so viel!
Wir ändern dies ab jetzt. Ab sofort bist du für Support zuständig

[karstengit]

Erkläre doch bitte einfach Mal das Konzept.

Es gibt die Möglichkeit Bugs und Fragen zu hinterlassen, aber wenn das jemand nutzt wird er dumm angemacht?
Nun wird Bezahlung für Support gefordert, aber es wird keine Preisliste oder AGB mitgegeben?
Gleichzeitig soll jemand Support leisten der nicht ohne Grund Fragen gestellt hat?
(Es wurde bereits dokumentiert was unter Debian 11 geleistet werden muß um die Umgebung immerhin startfähig zu bekommen)

Bitte schließt doch einfach die Möglichkeit Bugs und Diskussionen zu posten und schreibt bitte in die Anleitung;
"Die Software wird so wie sie ist ohne Support zur Verfügung gestellt."
Dann weiß jeder woran er ist und solche Diskussionen erübrigen sich.

Hilfreich wäre noch ein Hinweis das die Packages im Verfahren mit Trial and Error hinzugefügt werden.

Darüber hinaus vielen Dank dafür das Freetz-NG zur Verfügung gestellt wird!

[aus-sua]

Ich würde ja gerne etwas dazu schreiben, ich weiß aber nicht, wozu:

• debian?
• freetz-NG unter debian?
• freetz-NG unter Ubuntu?
• iptables/Firewall?
• RTFM?
• FAQ?
• PREREQUISITES?
• Fehlermeldung und das Lesen derselben?

Und noch viel schlimmer, wohin denn nun überhaupt:

• iptables/Firewall #624
• #655
• #654
• #653
• Paket AVM-firewall ist und bleibt verschollen #657
• Image für 7430 nicht kompilierbar #658
  ...

Also was ist Dein Problem und immer schön eines nach dem anderen und
nichts vermischen und dann 100 Probleme auf einmal "reinrotzen"...

[karstengit]

Danke für Deine Antwort.

Die Punkte wurden bereits aktualisiert.
Das verbleibende Problem ist:
Paket AVM-firewall ist und bleibt verschollen https://github.com/Freetz-NG/freetz-ng/issues/654

Hier bleibt einfach undurchsichtig warum der Menüpunkt in der Konfiguration nicht (mehr) vorhanden ist?

[karstengit]

Support nun selber durchgeführt und dokumentiert.
It's a bug and not a feature!

[fda77]

Tiptop, so erwarte ich das vom Suppeort-Hauptverantwortlichen. Fehlt noch ein PR damit andere auch was davon haben

[switch-gott]

Hallo zusammen,
wie schaut es denn bei diesem Thema aus?
Leider kann man irgendwie nicht erfolgreich die IPtables Module bauen.
Gibt es hierzu eine Lösung wie man zu mindest IPtables ohne conntrack aktivieren kann?
Ich möchte einfach nur IP Verbindungen von LAN to WAN blockieren können.

Hier das Freetz-NG log:
[42438.934961] x_tables: disagrees about version of symbol seq_open_net
[42438.935019] x_tables: Unknown symbol seq_open_net (err -22)
[42438.935149] x_tables: disagrees about version of symbol register_pernet_subsy s
[42438.935172] x_tables: Unknown symbol register_pernet_subsys (err -22)
[42438.935285] x_tables: disagrees about version of symbol init_net
[42438.935304] x_tables: Unknown symbol init_net (err -22)
[42438.935342] x_tables: disagrees about version of symbol seq_release_net
[42438.935361] x_tables: Unknown symbol seq_release_net (err -22)
[42438.935496] x_tables: disagrees about version of symbol unregister_pernet_sub sys
[42438.935516] x_tables: Unknown symbol unregister_pernet_subsys (err -22)
[42438.935643] x_tables: disagrees about version of symbol audit_log_start
[42438.935663] x_tables: Unknown symbol audit_log_start (err -22)

[fda77]

Ich vermute dass du was falsch gemacht hast

[switch-gott]

Habe jetzt alles probiert. von Anfang an den Kernel neu bauen lassen.
Oder ich mache was falsch.
Wenn man auf Export geht, unter Pakets kann man iptables auswählen. Im make kernelmenuconfig muss man dann noch iptables auch aktivieren. Habe sie extra nicht als Modul gebaut.
Wo ist mein Denkfehler? :-(

[fda77]

Modul ist besser

[switch-gott]

Aber nochmal kurz für die Erklärung, die Schritte sind schon richtig gewesen oder?
Ich kann ja alles aktivieren, bis auf im Kernel Itables Conntrack

[switch-gott]

Dachte es gibt Probleme wenn man CT im Kernel aktiviert mit der Box?
Mit Schritten meinte ich, erst muss man im Build Menü iptables unter Pakets alles aktivieren mit Modules oder build in?
Danach aktiviert man im Kernel Menü auch alles für Iptables.
Genau so habe ich es gemacht. Aber ich bekomme immer wieder das Symbol Problem.

[fda77]

Wie gesagt, irgend wo hast du einen Fehler gemacht. Der Kernel der gebaut wird ist auch kein "normaler" sondern von AVM "optimierter"! Da kann man nicht mehr alles wie gewohnt bauen. Wenn der Fehler durch AVM kommt musst du es wieder mit patch reparieren - oder (teilweise) weglassen

mit Modules oder build in?

Ist das ein Test? Erwartest du eine andere Antwort als schon oben?

Dachte es gibt Probleme wenn man CT im Kernel aktiviert mit der Box?

Wie und womit "aktivierst" du denn was genau?

[switch-gott]

Sorry das ist kein Test.
Ich dachte iptables in Verbindung mit den Conntrack Modul lässt die Boxen abschmieren, da AVM selbst so ein Modul für die Boxen gehabt hat.
Und nein ich erwarte keine andere Antwort als oben. Habe deine Botschaft verstanden mit den Modul bauen.
Ich hole mir jetzt die Sourcen komplett neu und probiere es noch einmal.

[fda77]

conntrack kann eine Box crashen lassen. Ob das durch "aktivieren" passiert weiss ich nicht, deshlab fragte ich was "aktivieren" für dich ist

[fda77]

Du musst den von avm gepanschten kernel verwenden, sonst geht manches wie PA,dect,isdn etc nicht mehr (ein alternative wäre openwrt, da geht das alles grundsätzlich nicht, dafür ist es aber ein normaler kernel))

[switch-gott]

Sorry meinte eine als Modul im Kernel laden.
Ob man dann aber noch eine IPtable Regel erstellen muss weiß ich leider nicht.
Ich würde den ja auch nehmen, wenn ich dafür die IPtables zum laufen bekomme, um einfach nur ein paar IPs zu blocken.
Mehr möchte ich gar nicht machen mit Iptables

[fda77]

Ja, beim laden von CT crashen manche Boxen (im kernel=crasht immer). Und die die es nicht tun, bei denen "sieht" CT keine Pakete. -> AVM-PA
Dh INPUT für auf die Box eingehende Verbindungen geht bei mir ohne Problem (nutze nur LOG und DROP)

root@FRITZ:~# iptables -nvL
Chain INPUT (policy ACCEPT 335 packets, 47375 bytes)
 pkts bytes target     prot opt in     out     source               destination
   14   736 LOG        tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22 limit: avg 1/sec burst 5 LOG flags 0 level 4 prefix "SSH= "

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 334 packets, 66935 bytes)
 pkts bytes target     prot opt in     out     source               destination


root@FRITZ:~# lsmod
Module                  Size  Used by
nf_log_ipv4            16384  1
nf_log_common          16384  1 nf_log_ipv4
xt_LOG                 16384  1
xt_limit               16384  1
xt_tcpudp              16384  1
iptable_filter         16384  1
ip_tables              24576  1 iptable_filter
x_tables               20480  5 ip_tables,xt_tcpudp,xt_limit,xt_LOG,iptable_filter
...

SSH= IN=lan OUT= PHYSIN=eth0 MAC=x SRC=192.168.178.2 DST=192.168.178.1 LEN=40 TOS=0x00 PREC=0x00 TTL=127 ID=4369 DF PROTO=TCP SPT=63978 DPT=22 WINDOW=1023 RES=0x00 ACK FIN URGP=0

[switch-gott]

Oh man. Genau das möchte ich auch haben.
Verstehe nicht warum der Kernel mit den Modulen ein Problem hat. Baue gerade neu.
Was genau hast du alles aktiviert im build Menü und Kernel Menü?

[fda77]

Ich hab keine lokalen Veränderungen. Falls module fehlen sollte angezeigt werden welche (was nicht korrekt sein muss).
Wenn du deine kernel-config änderst siehst du ja in welchem Verzeichnis (make/kernel/...) die configs liegen und du kannst vergleichen. Die Module haben je kernelversion mal andere Namen

[switch-gott]

Das Problem ist nur,das ich es irgendwie noch nicht so richtig kapiert habe.
Ich baue das System und den Kernel seperat.
Warum hat der Kernel dann ein Problem, die Module zu laden?
Oder muss ich die Module direkt im Kernel bauen, aber im System nicht mit nehmen?
Kann es auch an der Firmware liegen? Nutze die Box 7590 mit 7.50.
Neu gebaut. Wieder das gleiche Problem:

root@Fritzbox:/var/mod/root# iptables -L
modprobe: ERROR: could not insert 'ip_tables': Invalid argument
iptables v1.6.2: can't initialize iptables table `filter': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.

[ 146.523811] x_tables: disagrees about version of symbol seq_open_net
[ 146.523864] x_tables: Unknown symbol seq_open_net (err -22)
[ 146.523984] x_tables: disagrees about version of symbol register_pernet_subsys
[ 146.524007] x_tables: Unknown symbol register_pernet_subsys (err -22)
[ 146.524114] x_tables: disagrees about version of symbol init_net
[ 146.524133] x_tables: Unknown symbol init_net (err -22)
[ 146.524167] x_tables: disagrees about version of symbol seq_release_net
[ 146.524184] x_tables: Unknown symbol seq_release_net (err -22)
[ 146.524307] x_tables: disagrees about version of symbol unregister_pernet_subsys
[ 146.524325] x_tables: Unknown symbol unregister_pernet_subsys (err -22)
[ 146.524446] x_tables: disagrees about version of symbol audit_log_start
[ 146.524464] x_tables: Unknown symbol audit_log_start (err -22)

[fda77]

Steht doch da:

iptables v1.6.2: can't initialize iptables table `filter': Table does not exist (do you need to insmod?)

Du hast die kernelmodule nicht geladen. Mach das und dann gibt es die Tabellen.
Vergleich deine mit meiner Ausgabe oben

[switch-gott]

In kann sie ja leider nicht laden.
Bekomme die Symbol errors.
Warum auch immer.

[fda77]

Dann passen die Module nicht zu dem Kernel. Vielleicht hat avm vergessen da was zu aktualisieren?

[switch-gott]

Ist das nicht default aktiviert?
Habe es nochmal mit Versipn 7.5 probiert, mit allen Modulen an.
Kurz zum Verständnis, wir bauen aus den AVM Kernel Sourcen die Module und packen sie dann zum Stock Kernel in das Image mit rein.
D.h. wir nutzten nicht den von uns kompilierten Kernel sondern den vom Stock AVM Image.
Richtig?

[fda77]

Jap.
Für Kernel v4 hat noch niemand bislang replace kernel in freetz eingebaut. Da muss auch etwas AVM-Magic rein (PeterPawn schrieb mal dass das mittlerweile sogar in den Sourcen sein soll)
Daher kannst du die Module zum testen auch einfach auf die box kopieren und mit insmod laden

[switch-gott]

Das habe ich auch schon probiert.
Selber Fehler.
Wie als wäre der AVM Kernel ein anderer.
Im Kernel selber ist auch nicht das Laden der Module untersagt.

[fda77]

Im Kernel selber ist auch nicht das Laden der Module untersagt.

Glaube nicht, wäre mir neu dass es das gibt.
Es kann schon sein dass AVM falsche oder alte Sourcen verteilt. Die .config passt oft auch nicht ganz zu den sourcen, und die unpassenden Symbole werden dann von mir gewürfelt. Mal stimmts, mal nicht<2

Das ist bei labor/inhaus auch ständig ein Problem. Da kommen neue (von avm gebackene) Symbole in den kernel und dann gibts Problem mit den modulen.
Und laut avm selbst brauchen sie für "labor" keine sourcen herauszurücken :) Das ist natürlich erstunken und erlogen und eine Verletzung der GPL

Ich bin wegen dieser nie enden wollenden Scheisse übrigend auf Openwrt Geräte umgestiegen. Sind billiger und können mehr

[fda77]

Viele bedauerliche Einzelfälle: 4876600 4477a97 7dc4c1d

[switch-gott]

Sagt mal gibt es hier keinen der Zufällig auch eine 7590 am Start hat, der gerne IPtables nutzen möchte und es auch gerne mal mit den Sourcen testen möchte? Bekanntlich sitzt das Problem ja vor dem Computer :-)
Oder könnte jemand von euch mal die Kernel Module bauen und zu verfügung stellen? Dann könnte ich diese mal testen.

[switch-gott]

Nochmal untersuchen...

[aus-sua]

Ich habe z.Z. nur Zugriff auf eine FRITZ!Box 7490 (Annex A) mit FOS 07.12.
Für die habe ich 'mal eine freetz-NG-Firmware (FOS 07.12) mit iptables erstellt,
damit funktioniert (...nur laden getestet, keinen Funktionstest durchgeführt!)
das wohl so, so wie ja oben vom Chefe :-) beschrieben:

7490/FOS 07.12 ist Kernel v.3.10.107 - wie ja schon vorgeschlagen,
teste es (...prinzipiell) bei Deiner 7590 doch erst einmal mit FOS 07.12...

[aus-sua]

Zur Erläuterung:
Diese Module habe ich dazu in der Kernel-config "M"-odulisiert

[fda77]

Es gibt ~80 Kernel und ~300 Images in Freetz. Bei manchen hat jemand die Module aktiviert, bei anderen nicht. Es wird immer mit der avm-grundconfig gestartet. Da ich früher selbst ne 7590 hatte kannes gut sein dass da iptables aktiviert war. Jetzt hab ich nur noch ne 7490 ;-)

[SaMMy-lacht]

7590

auf der 5590 getestet gestern aben noch

[fda77]

Hast du fein gemacht.
Mit den neuesten koon-Änderungen sollte das für 95% der Geräte ohne Probleme gehen
Bei den restlichen müsste man die Module deaktivieren die avm durch ihre basteleien uncompilierbar gemacht hat

[SaMMy-lacht]

7530AX geht nicht, habe das gestern auch schon öfters versucht. Da muss noch was angemacht werden nur ich weiß nicht was
make[4]: *** [GNUmakefile:127: libxt_TOS.o] Fehler 1
make[4]: *** [GNUmakefile:127: libxt_tos.o] Fehler 1
make[3]: *** [Makefile:507: all-recursive] Fehler 1
make[2]: *** [Makefile:414: all] Fehler 2
make[1]: *** [make/pkgs/iptables/iptables.mk:90: source/target-arm_gcc-13.1.0_uClibc-1.0.43-nptl_kernel-4.1/iptables-1.6.2/iptables/xtables-multi] Beendet
make: *** [Makefile:46: envira] Beendet

[fda77]

Da steht nur dass ein fehler mit TOS/tos auftrat. Welcher ist weiter oben.
Oder

die Module deaktivieren die avm durch ihre basteleien uncompilierbar gemacht hat

[fda77]

siehe https://github.com/Freetz-NG/freetz-ng/blob/master/config/ui/modules.in#L13

[SaMMy-lacht]

Bis dato keine Chance bei der 7530AX. Mehr kann ich nicht ausmache oder anmachen ;-). Die Box ist so oder so komisch HiHi

[fda77]

Das ist die einzige mit gcc9 von avm. Dadurch dass avm PA in den kernel gebastelt hat (die ADv1 Dateien) klappt halt das eine oder andere nicht mehr

[SaMMy-lacht]

Das weiß ich selber. Darum sagte ich ja sie ist Komisch

[fda77]

Falls ich mir irgend wann mal wieder was von AVM kaufen sollte, wäre das so eine. Da hat man auch gleich FIT mit

[SaMMy-lacht]

Dann kauf dir lieber die 4060

[fda77]

Ich mag die Backstein Form nicht, ausserdem hat die kein Modem. Absolut unintressant

[SaMMy-lacht]

Deine Leitung ist doch nicht grade die beste da, sollte man sich ein Modem kaufen was wirklich gut ist. Denn die von AVM sind in den letzten Jahren nicht grade besser geworden. Alleine schon von der 7590 zur AX ist das Modem noch mal schlechter geworden.

[fda77]

Der Mist ist 700m lang und massenhaft Störungen, da ist nichts zu machen. Telekom "Spezialisten" haben daran auch schon herumgefummelt aber haben nichts auf die Reihe bekommen. Hab nun Dauerrabatt weil die Leitung Scheisse ist ^^

[SaMMy-lacht]

Meine war früher, 841 Meter lang ;-)
nun habe ich nur noch das

[fda77]

Aber bestimmt nicht NACHDEM die Telekom die 100-mbit Födergelder eingesackt und "ausgebaut" hat

[fda77]

Die DG Kasper sind hier auch schon 3 Jahre am "ausbauen", kam wohl bislang niemand auf die Idee ne Schaufel in die Hand zu nehmen -.-

[SaMMy-lacht]

bis 2018 war ich mit ca 1 MB unterwegs

Weißer fleck wo ich wohne ;-)
daher nun FTTH als AON Anschluss als meine eigene Leitung. Denn bei GPON teilt man sich ja die Leitung ;-)
FTTH habe ich nun ca 2 Monate auch erst

[fda77]

Es hilft nur umziehen und darauf zu achten dass man was besseres als diesen Telekom-Dreck bereits im Boden hat .. dazu hab ich aktuell keine Lust. Danach gibts wieder Docsis, das lief jahrelang problemlos