Seiten geblockt durch iptables?

[etreu]

Ich lasse meinen Linuxrechner als Router laufen.

Demanch steht in meinem Script folgende Zeile:

iptables -A POSTROUTING -t nat -s 192.168.0.0/24 -j A MASQUERADE

Aber wie kommt es, dass ich einige Seiten nicht aufrufen kann? Auf dem Client hab ich meinen Router als DNS eingetragen. Dieser verwaltet meine lokale Domäne und als Forwarder ist noch mal der DNS von meinem Provider eingetragen (obwohl der automatisch von ppp0 genutzt werden müsste).

Setze ich den Client direkt ans Modem funzt alles.

Woran kann das liegen?

[readonly]

sofern du dsl nutzt, wird es wohl an der mtu liegen, zumindestens lassen sich ein großteil derart gelagerter probleme mit der anpassung der mtu lösen.

readonly

[nic_power]

Lass mich raten, es gibt beispielsweise Probleme mit "http://www.spiegel.de"? Bei DSL gibt es aufgrund des zusaetzlichen PPPoE-Headers mit verschiedenen Web-Seiten Probleme. Aus dem Grund musst Du die MTU-Size auf den Endsystemen entsprechend auf 1492 (Default ist 1500, der PPPoE Header benoetigt 8 Bytes) heruntersetzen.

Nic

[Terran Marine]

Originally posted by nic_power

Lass mich raten, es gibt beispielsweise Probleme mit "http://www.spiegel.de"? Bei DSL gibt es aufgrund des zusaetzlichen PPPoE-Headers mit verschiedenen Web-Seiten Probleme. Aus dem Grund musst Du die MTU-Size auf den Endsystemen entsprechend auf 1492 (Default ist 1500, der PPPoE Header benoetigt 8 Bytes) heruntersetzen.

Nic

Wie man die MTU unter Linux setzt, erfährst du hier :

http://sdb.suse.de/de/sdb/html/mtu80.html

(zumindest für SuSe)

Gruß

Terran Marine

[DownAnUp]

Dieser Link beschreibt dein Problem ziemlich gut denke ich.

Da wird auch erklärt warum es nur auf bestimmten Seiten (wie z.b. www.spiegel.de) auftritt: Viele Firewalladmins nutzen DROP als default Policy (REJECT wäre der bessere Weg) und droppen auch jede art von ICMP.

Achja: der Workaround die MTU größe herunterzusetzen funktioniert natürlich. Dazu haben nic_power und Terran Marine ja schon alles gesagt...

[etreu]

Habe jetzt zwei Files modifiziert und mein iptables-Script. Soweit ich das sehen kann funzen jetzt die vorher problematischen Seiten. Allerdings hab ich grad festgestellt, dass ich www.fachinformatiker-world.de nicht mehr erreichen kann (noch nicht mal mit ping o.ä.)

[nic_power]

Ohne, dass Du hier die Änderungen postest, dürfte es schwierig sein den Fehler zu finden.

Nic

[sheep]

Originally posted by DownAnUp

[...] Viele Firewalladmins nutzen DROP als default Policy (REJECT wäre der bessere Weg) und droppen auch jede art von ICMP. [...]

Kurze Infos dazu gibt es in der de.comp.security.firewall FAQ:

http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html#Deny

Auch sonst ist die FAQ sehr empfehlenswert.

[DownAnUp]

Originally posted by sheep

Kurze Infos dazu gibt es in der de.comp.security.firewall FAQ:

http://www.iks-jena.de/mitarb/lutz/usenet/Firewall.html#Deny

Auch sonst ist die FAQ sehr empfehlenswert.

ACK. Die FAQ sollte man kennen.

[etreu]

Änderungen in /etc/ppp/options:

Kommentar entfernen in den Zeilen

# mtu 1492 und

# mru 1492

Änderungen in /etc/ppp/peers/pppoe

einfügen folgender Zeilen

mtu 1492

mru 1492

Änderung im Routingscript:

iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

[etreu]

Hab was gefunden.

Was für ein OS läuft denn hier?

hier meine Entdeckung

[etreu]

ich habs jetzt endgültig satt.

Jetzt läuft nen Proxy und alles ist gut