SuSEFirewall2 und squid

[dukester]

volgendes problem

hab mit folgender dis SuSE 7.3 einen router aufgesetzt.

er soll für ein netzwerk internet über ISDN bereitstellen. ich hab squid auch in die FW2 config eingetrager und 3128 für intern tcp freigeschaltet. nach der initialisirung der dritten stufe der firewall bekomme ich die meldung das kein laufender squid zufinden sei???.

könnt ihr mir helfen??

gruss Duke

[dr.disk]

Wurde squid auch gestartet? Ist in der '/etc/rc.config' der Eintrag START_SQUID auf yes gesetzt?

[dukester]

kannst mir glauben ich surve ja die ganze zeit schon über squid.

und immer wenn ich meine mails abholen will muss ich die FW2 starten weil ich das masquerading brauche.

danke für deine antwort wa nett gemeint.

[dr.disk]

Naja, weißt Du, bei vielen Leuten ist das wirklich bereits die Lösung. Bei Dir in diesem Falle nicht...

[dukester]

ne die antwort is schon noch ein bischen schwiriger ich sitze immerhin schon seit drei tagen und probiere es zu lösen. hab auch schon überlegt die iptables von hand zu schreiben aber das is mir dann doch einbischen umständlich (alleine das konzept von iptables zu verstehen). obwohl das system fetzt.

die einzige funktion die ich von der firewall brauch ist das masquerading und das nach aussen nicht alle ports offen sind.

gruss Dukester

[DanielB]

Original geschrieben von dukester

ne die antwort is schon noch ein bischen schwiriger ich sitze immerhin schon seit drei tagen und probiere es zu lösen.

Hmmm... no offense aber, ist es nicht etwas überheblich zu behaupten ein Problemlösung wäre schwierig nur weil Du 3 Tage dafür brauchst ?

Dr.Disk hat Recht, in 90% aller Fälle ist die Problemlösung ein einfacher Eintrag wie z.B. START_SQUID=yes.

Wenn Du die SuSEfirewall2 manuell nach dem Systemboot mittels "SuSEfirewall2 stop" und "SuSEfirewall2 start" startest dürfte die Fehlermeldung nicht auftauchen. Falls dem so ist, dürfte dein Problem sein, das Squid noch nicht vollständig gestartet ist, wenn SuSEfirewall2 startet. Füge einfach ein "sleep 5" ans Ende des Start Skriptes für Squid ein und es sollte funktionieren.

[dukester]

die antwort war gut.

damit ist zumindest ein problem gelöst.

übrigens IT-newbie wie in meinen daten zusehen ist bin ich nicht. aber wenn ich so eine frage gestellt bekomme hätte ich auch als erstes nach der start variable gefragt . nichts für ungut.

die zweite sache ist, muss ich noch weitere ports freigeben,

als intern tcp/udp 3128 feigeben und extern udp 53 weil wenn die FW2 gestartet ist bekomme ich erstens keinen zugriff auf den squid bzw. zweitens (ich benutze eine DoD (Dial on Dement) verbindung) die automatische einwahl funktionirt nicht mehr.(wie funktionirt die automatische einwahl gibt squid den befehl isdnctrl dial ippp0, oder macht das linux unter einem anderen benutzer,programm).

gruss Duke

[DanielB]

Die Konfigurationsdatei der SuSEfirewall2 enthält folgenden Eintrag :

FW_STOP_KEEP_ROUTING_STATE="no"

Du solltest diesen Eintrag auf "yes" setzen, dann werden die Regeln für Masquerading nach Verbindungsabbau nicht gelöscht. Für ISDN DoD, übrigens Dial On Demand, benötigst du eine Defaultroute auf das entsprechende Interface. z.B.

 route add default ippp0

Um o.g. permanent zu machen solltest Du in der Datei /etc/route.conf folgenden Eintrag hinzufügen : (Angenommen dein Internet Interface ist ippp0)

default ippp0

Nein, Squid sendet kein 'isdnctrl dial ippp'. Wie oben bereits erwähnt ist es eine Frage des Routings. Die sogenannte Defaultroute bestimmt über welches Interface deine Daten gesendet werden. In deinem Fall ist das ein ISDN Interface, welches auf SyncPPP konfiguriert ist und über den ipppd kontrolliert wird. Die ISDN Software übernimmt das Wählen, wenn Daten für eben dieses Interface anfallen.

[MFBASSIST]

Warum benutzt du überhaupt den Squid wenn du Masquerading einsetzen tust? Iptables sind garnicht so schwer. Man muss nur das richtige How To finden. Ich hab auch ne Ewigkeit dafür gebraucht bis ich welche gefunden habe.

Z.B.

http://www.smaximum.de/smaximum/vpn/doc/netfilter.htm

http://www.pl-berichte.de/t_netzwerk/firewall-eigenbau.html

Ich denke einfacher gehts nicht

[dukester]

ich bedanke mich recht herzlich. :OD

leider kann ich es erst ausprobiren wenn ich vorm heimischen rechner sitze. ich werd mich melden wenn alles funktionirt oder ich noch fragen habe. bis dann

gruss Dukester

[dukester]

das kann ich dir sagen MFBASSIST

bei masquerading habe ich nicht die möklichkeiten die ein proxy leisten kann (logisch oder ). zugrifskontrolle, benutzerrechte, protokolirung, Caching, porno seiten filtern, zeitlich kontrolle etc...

und das masquerading werde ich soweit beschneiden das nur noch pop3,smtp und ftp möklich sind.

mit kurzen worten mehr sicherheit.

gruss Duke

[dr.disk]

Wobei dann würde ich ftp über squid laufen lassen, funktioniert wunderbar.

Und für Email bietet sich fetchmail und sendmail (oder ein anderer MTA ) an.

Das noch kombiniert mit Amavis ergibt eine wunderhübsche, kleine schnuckelige Firewall.

[MFBASSIST]

Sorry ich sag ja nix. Ich finde Masquerading nur besser weil es mehrere Möglichkeiten als beim Squid gibt. Natürlich würde ich bei einem Firmennetzwerk auch den Squid benutzen da man mit den ACL's sehr gut arbeiten kann. Aber war nicht bös gemeint ok?:WD