**gelöst** INPUT:DROP TCP Portforwarding auf http/https

1. offizieller Beitrag

    Hallo, ich bin mittlerweile komplett Ratlos.
    Ich habe Endian Community 2.5 auf einer virtual maschine auf esxi5.0 laufen.
    Die Endian Firewall soll nur Port 80 und 443 auf einen internen Webserver weiterleiten.
    Die Inter-Zone Firewall und die Ausgehende Firewall sind mittlerweile deaktiviert.
    Die einzigen Regel die ich gesetzt habe sehen so aus:

    Port forwarding / Destination NAT
    Uplink ANY TCP/443 WebserverIP : 443
    GESTATTEN von: Uplink ANY

    Uplink ANY TCP/80 WebserverIP : 80
    GESTATTEN von: Uplink ANY

    Eingehender gerouteter Datenverkehr
    1 <ALLE> WebserverIP TCP/443
    2 <ALLE> WebserverIP TCP/80

    Auszug aus den Firewall logs
    Firewall 2012-01-16 12:02:47 FORWARD:DROP TCP (br0) WebserverIP:443 -> xxx.xxx.xxx.xxx:55694 (eth1)
    Firewall 2012-01-16 12:02:47 FORWARD:DROP TCP (br0) WebserverIP:443 -> xxx.xxx.xxx.xxx:55694 (eth1)
    Firewall 2012-01-16 12:03:01 INPUT:DROP TCP (eth1) xxx.xxx.xxx.xxx:52953 -> UplinkMain:80
    Firewall 2012-01-16 12:03:17 INPUT:DROP TCP (eth1) xxx.xxx.xxx.xxx:1107 -> UplinkMain:443

    Die Firewall lässt 99% der Pakete korrekt durch. Ich kann mir einfach nicht erklären warum einige Pakete geblockt werden.
    Hat jemand ein ähnliches Problem?

    Einmal editiert, zuletzt von Knockahomer (23. Januar 2012 um 15:22)

    Erstmal danke für die Antworten :)
    Nein, ich weiß das Snort manchmal Probleme macht, darum habe ich das noch nicht aktiviert. Es ist ein Standard Installation. Ich habe nur die Regeln angepasst.
    Es laufen nur die Standard Dienste. Ich werde heute Nacht auf die Endian 2.2 umschalten und testen ob ich da auch diese INPUT:DROP und FORWARD:DROP Probleme habe.

    Moin,
    ich bekomme weiterhin INPUT:DROP und FORWARD:DROP Logs. Ich habe das Gefühl das es eine besondere Filterregel in iptables ist die manchen Paketen das Leben nimmt.
    In den Release News zur Endian 2.4 steht das man jetzt BADTCP deaktivieren kann. Ich habe aber dazu nichts in der Dokumentation oder über google gefunden. Kennt sich jemand damit aus?
    Ich denke mir wird nichts anderes übrig bleiben als mir direkt die iptables rules anzusehen.

    • Offizieller Beitrag

    BadTCP oder " NEW not SYN?:DROP " kann auch mal vorkommen wenn die Netzwerkkarte sich nicht mit dem Switch versteht
    oder meint er würde sich nicht mit der Gegenstelle verstehen.
    Habe ich hier manchmal auch . . . aber das sind nur ein paar Paket . . . die werden wohl neu Angefordert und fertig.

    Kannst du mal den Switch tauschen über den das ganze läuft ?

    Das wird etwas schwer bei virtueller Hardware auf esx5. Es sieht momentan jedoch so aus das die Endian 2.2 keine unerwünschten INPUT:DROP und FORWARD:DROP Logs mehr wirft. Ich habe eben die iptables von 2.2 und 2.5 verglichen und da gibt es schon einige Unterschiede in der INPUT und FORWARD Chain. Ich werde das heute noch beobachten und morgen ein update posten.

    Das Downgrade auf 2.2 hat keine Verbesserung gebracht. Es kommt auf Client Seite noch immer zu vereinzelten Fehlern. Ich werde mir mal die Chains einzeln vornehmen und schauen was ich noch anpassen kann.
    Weiß jemand wo die Konfiguration für iptables bei Endian gespeichert wird? Auch in /var/efw/ ?

    • Offizieller Beitrag

    Hallo,
    auf einem ESXi5 installiert.
    Anfragen auf ROT sollen intern über die FW an 80 und 443 weitergeleitet werden.
    Ist das korrekt? Ist der WebService im Grünen oder Orangen Bereich?

    Habe selbes Szenario hier bei mir kann das gleich mal austesten und gegenprüfen.

    gruß

    • Offizieller Beitrag

    Testaufbau

    GRÜNES NETZ ==> EFW 2.5C ==> ROT mit WINXP
    WinXP greift auf EFW per IP xx.xx.xx.xx zu Port 80 landet im Grünen Netz auf FREENAS mit HTTP GUI

    Hier die Logs:
    Habe zu erst per HTTP auf das Freenas GUI zugegriffen und dann per HTTPS

    Erstmal vielen Dank für eure Hilfe.
    Auf dem Webserver läuft ein soap service. Ein nagios check testen den soap service und meldet einen Fehler sobald es ein Verbindungsproblem gibt. Ich werde mir mal einen tieferen Überblick mit tcpdump besorgen.
    Das Problem ist ja auch das es nicht mit allen Paketen Probleme gibt. 99,9 % gehen perfekt durch. Ich schreibe ein Update sobald ich mehr habe.

    • Offizieller Beitrag

    Wenn die EFW Virtualisiert ist
    was hast du für Netzwerkkarten in der VM?
    VMXNET2/3 oder doch E1000?

    Solltest du die VMXNET haben ersetze die mal durch die E1000.!
    Gib laut wen du was hast :)

    Habe da die e1000 genommen da man für die vmxnet2/3 spezielle Treiber braucht die bei einer Firewall meistens nicht dabei sind.
    Ich melde mich sobald ich die tcpdumps habe. Wird wohl erst morgen sein.

    Das Angebot würde ich gerne annehmen. Die erste Auswertung mit Wireshark hat gezeigt das es zu duplizierten Paketen kommt. [TCP Dup ACK]
    Jetzt habe ich in einem älteren Post im Netz gefunden das es da ein Problem mit dem e1000 Treiber gab. (Ob das noch aktuell ist weiß ich nicht)
    Ich würde also die Endian mit vmxnet3 testen und schauen ob es da bei mir auch Probleme gibt.