Hi!

Wie gesagt, keine Ahnung wie die shorewall funktioniert.
Wenn Du ihm in der shorewall.conf am Anfang:
"run_iptables -N icmpdef"
einfügst, legt er die chain icmpdef an (vielleicht ;)), und es sollte funktionieren.
Obwohl ich nicht weiß, ob diese chain nicht eine spezielle, durch ein spezielles Modul vorhandene, chain ist.

mal googlen

Manx

Wenn ich mir http://www.shorewall.net/Documentation.htm#Conf anschau, dann steht dort:
aber keiner der Parameter ist was mit run_iptables.
Hingegen
Ich würd mal die run_iptables Zeilen auskommentieren und es noch mal probieren.

Teilerfolg: er kommt beim Starten jetzt 15 statt bisher 3 Zeilen weit.

Jetzt hängt's hier - die letzten Zeilen:
----------------------------------------
.....
Validating host files...
Determining Hosts in Zones...
Net Zone: eth0:0.0.0.0/0
Local Zone: eth1:0.0.0.0/0
/etc/shorewall/firewall: ip: command not found
/etc/shorewall/firewall: ip: command not found
Terminated
----------------------------------------

Wieso IP-Nummern 0.0.0.0 - die sollten doch bekannt sein - oder? Welcher 'command not found'?

Thx
Quintus


P.S.: 'shorewall clear' bingt auch: "Clearing shorewall ... /etc/shorewall/firewall: ip: command not found" - aber der Befehl nutzt endlich was!!!;)

apt-get install iproute

Grüße

Manx

Was steht bei dir in
/etc/shorewall/zones und
etc/shorewall/hosts ?

/etc/shorewall/zones:
-------------------------------------
#ZONE DISPLAY COMMENTS
net Net Internet
loc Local Local Networks
-------------------------------------


etc/shorewall/hosts: da steht gar nichts drinnen - alles ausgekreuzelt.

=====================================


Der Durchbruch ist geschafft:

• Der Shorewall-Start lief bis zum Ende fehlerlos durch :) :) :).
• Die Firewall funzt mal grundsätzlich - ich schreib gegenständliches Posting bereits über den Server bzw. über die Firewall :) :) :).
• FTP-Übertragung funzt auch :) :) :).
• Drucken über den Server geht auch :) :) :).
• Webmin und die CUPS-Webadministration gehen (fast erwartungsgemäß) noch nicht :( - ich denke, da fehlen noch irgendwo ein bis zwei Einträge. Welche/wo?

Ganz dickes "Danke" einmal zwischendurch :lol:.

MfG
Quintus


P.S.: Ich wäre geneigt, jenem gut halben Dutzend Linux-Gurus, die mir in den letzten Wochen so hilfreich zur Seite standen, einmal zu ein paar Runden Getränke im GH Prilisauer (Endstation 49er) einzuladen. Was hält Ihr davon?

NACHTRAG:

• 'Shorewall restart' funktioniert nicht: "iptables: Chain already exists / Terminated". Ich muss bei Konfigurationsänderungen ein 'shorewall stop' und ein 'shorewall start' machen. Irgendwas funzt da mit den iptables nicht ganz astrein.
• Was tun, damit Webmin per http://meinserver:10000 und das Cups-Webadmin via http://meinserver:631 wieder funktioniert?
• Ist die Firewall jetzt "dicht" - oder muss ich mich da noch um offene/geschlossene Ports etc. kümmern?

Thx
Quintus

Grats. :)

Mir ist aufgefallen:
in der Doku ist von Version 1.4. die Rede.
Gibts für Debian nicht die neueste Version zum Download oder ist das die iptables Version (check mit '/sbin/iptables --version')?

zu icmpdef:
Wie hast das jetzt gelöst?
Steht das in der shorewall.conf (mit dem Befehl von Manx ?) oder in icmpdef?
Hab dazu noch http://www.shorewall.net/ping.html gefunden.

In der /etc/shorewall/rules :
ACCEPT loc fw tcp 10000
ACCEPT loc fw tcp 631
hinzufügen und firewall restarten. Beim testen bzw. hinzufügen von neuen Regeln würd ich nach dem vorgeschlagenen Prinzip vorgehen:
IMHO kommt drauf an was in /etc/shorewall/rules resp. /etc/shorewall/policy drinnensteht.

Ergibt v1.2.6a
'/sbin/shorewall version' ergibt 1.2.12
Ja, Befehl von MANX - aber auf diese Methode funktioniert 'restart' nicht.

Die shorewall.conf sieht jetzt so aus:

------------------------------------
run_iptables -N icmpdef
run_iptables -A icmpdef -p ICMP --icmp-type echo-reply -j ACCEPT
run_iptables -A icmpdef -p ICMP --icmp-type source-quench -j ACCEPT
run_iptables -A icmpdef -p ICMP --icmp-type destination-unreachable -j ACCEPT
run_iptables -A icmpdef -p ICMP --icmp-type time-exceeded -j ACCEPT
run_iptables -A icmpdef -p ICMP --icmp-type parameter-problem -j ACCEPT
NAT_ENABLED=Yes
IP_FORWARDING=On
--------------------------------------
Danke, funzt :lol: .
Den Inhalt dieser beiden Dateien hab' ich heute schon gepostet - Seite 2 dieses Threads.



Noch was ist mir (unangenehm) aufgefallen: wenn ich einen Windows-Client boote, dauert das "Wiederherstellen der Netzwerkverbindung (zum Server)" viel länger als früher. Ich bin da netzwerkmäßig nicht so sattelfest - aber es dürfte was mit nicht vorhandenem DNS zu tun haben. Kann/soll ich dem Debian-Server irgendwie beibringen, dass er sich um DNS kümmert?

Zur Info: ich hab' allen Rechnern und Printerservern und auch dem Router fixe IP-Nummern gegeben, beim Router, der jetzt auf der externen Seite hängt, ist DHCP ausgeschaltet. Weiters hab' ich in dieser Richtung nichts unternommen - fehlt da noch was?

Thx
Quintus :zzz:

Wär da eine neuere Version nicht sinnvoller? In den neueren Versionen werden sicher einige Probleme behoben sein.
Versuch die run_iptables Zeilen alle auskommentieren.
Ev. solltest auch /etc/shorewall/icmpdef und /etc/shorewall/icmp.def umbenennen.
Schau dir dazu auch den Link mit der ping-Behandlung an. Für Shorewall Versionen < 1.3.14 schaut das offensichtlich etwas anders aus, als in der Doku.

Ok, aber an der /etc/shorewall/rules hast aber sicher einiges geändert.

Könnte auch an Samba liegen. Aber ich würde vorschlagen, erst die Firewall fertig zu konfigurieren und dann das nächste. ;)