WCM Forum - WCM Familien Server

WCM Forum (http://www.wcm.at/forum/index.php)

- Linux, UNIX, Open Source (http://www.wcm.at/forum/forumdisplay.php?f=13)

- - WCM Familien Server - einige Fragen (http://www.wcm.at/forum/showthread.php?t=82226)

WCM Familien Server - einige Fragen

Zuerst möcht ich folgendes vorrausschicken:

ZU Heft 182: Hut ab! Genau auf sowas hab´ ich gewartet.. :)) Danke ans WCM!

Weiters: Ich bin ein absoluter Linux-Newbie, hab zwar schon mal mit einer SUSE Distribution herumgespielt aber mit YAST2 geht das aufsetzen ja wie unter Win..;) Bitte bei den Fragen darauf Rücksicht nehmen.. ;)

So, es geht los:

Hardware: Ein alter Pentium200MMX 32MB RAM, 1,6GB Harddisk
LAN und INET: Zwei digital Clones 10Mbit, 21041A und 21041PA falls das jemand was sagt. :)
Inet soll über chello realisiert werden. (Mac Adresse von der 21041A ist bei chello reigistriert, und es funkt sonst könnte ich das hier nicht schreiben.. ;)
Linux: Debian Woody, Kernelversion 2.4.18

Erste Frage:

Bei der Installation hat er mir eth0 und eth1 erkannt, eth1 ist die Internet Netzwerkkarte, eine Verbindung zu chello konnte auch sofort aufgebaut werden, und er hat sich diverse Updates geholt.

Nach einem Neustart (bei der Installation erforderlich) kannte er eth0 nicht mehr. Ein Blick in /network/interfaces zeigte keinen Eintrag für eth0. Ich habe dann probeweise eth0 genauso konfiguriert wie eth1. (iface eth0 inet dhcp)
Ein ifup eth0 hat zwar 2-3 Minuten gedauert, dann war er wieder da, und die Netzwerkkarte dürfte auch da gewesen sein, denn am Switch brannte das Lichterl... :)

Nachdem ich mir aber gedacht habe, daß zumindest der Router eine fixe Ip benötigt und keine Konfiguration über dhcp habe ich auch folgendes probiert:

iface eth0 inet static
address 192.168.123.1
netmask 255.255.255.0

Tja.. nach einem ifdown und ifup, kam nach ca. 10 min (man muß ja auch mal mas anders machen als Computern..) ein CTRL-C meinerseits.

Wie gehört das konfiguriert?

Zweite Frage:

Im Artikel "Netzwerk: alles von selber" von Christian Sudec sind einige Fragen offen.

Mir geht der Kasten für das forward-lookup db.private.net ab?
Was genau wird da konfiguriert?
Kann mir einer den Kasten mit der reverse-lookup db.192.168.123 erklären?
Was ist mit der Erhöhung der Seriennummer der Zonendatei gemeint? Was erhöhe ich da?

Dritte Frage: Betreffend der Firewall

Im WCM-Script steht # This is the location of the iptables command
IPTABLES="/usr/sbin/iptables"
Das hab ich bei mir nicht unter /usr/sbin/ sondern unter /sbin gefunden. Ist da was falsch, wenn ja bei wem? :) Ein Ausführen des Scripts führt natürlich zu einem Cannot find... eh schon wissen.

Ich hab auf /sbin/iptables ausgebessert. Dann führt er das Script aus, bis auf folgende Fehlermeldungen:
Creating user-chains: /sbin/wcmfirewall: --limit-burst : Command not found
Implementing firewall rules: /sbin/wcmfirewall: -a : Command not found
Dann schreibt er aber das Satzerl hin, daß alles in Ordnung war: --> IPTABLES firewall loaded/activated <--

Ein suchen in der Netzwerkumgebung des angehängten W2k rechners läßt ein paar UDP Meldungen am Linux Rechner aufscheinen. (Sorry, aber die 5 Zeilen pro Meldung kann ich mir nicht merken, gibts da ein log-file?) Der Linux Rechner ist natürlich nicht aufzufinden. Blockt die Firewall auch das interne Netzwerk???

Das führt mich gleich zur nächsten Frage: Gehört beim W2k Rechner NetBIOS übers TCP/IP deaktiviert? Oder soll er NETBIOS Einstellungen über DHCP beziehen? (Momentan ist es aktiviert)

Fragen über Fragen.. DANKE für die hoffentlich hilfreichen Antworten! :)

db.private.net gefunden

Hallo,
die erste Antwort auf eine meiner Fragen gleich von mir.

Die Datei db.private.net, die im Heft nicht abgedruckt ist, hab ich unter

http://www.wcm.at/downloads/wcm182/dns-dhcp.tgz

gefunden.:D

die ganze firewall meldungen kannst du vom bildschirm wegbekommen wenn du folgendes machst:

vi /etc/init.d/klogd

und dann in der zeile 13 ausbesserst auf:

KLOGD="-c 1"

ad dns seriennummer:

die seriennummer musst du jedesmal wenn du etwas im zonefile verändert erhöhen, so erkennt der dns server das sich etwas geändert hat. das ist vor allem wichtig für secondary nameserver, diese würden sonst die zone nicht neu übertragen wenn die seriennummer nicht erhöht werden würde...

ad netzwerkkarte:

installier dir mal folgende tools:

read-edid mdetect discover etherconf

die ersten 3 pakete sind hardware erkennung, etherconf is ein netzwerkkonfig script das du mittels

dpkg-reconfigure etherconf

aufrufst...

ad iptables --limit-burst

kann sein, das der kernel nicht alle iptables module hat, das heisst du musst vielleicht den kernel neu kompilieren...

Re: WCM Familien Server - einige Fragen

Zitat:

Original geschrieben von kashmir
Zuerst möcht ich folgendes vorrausschicken:

ZU Heft 182: Hut ab! Genau auf sowas hab´ ich gewartet.. :)) Danke ans WCM!

Danke, auch im Namen des Teams. So ein Lob freut immer :)

Zitat:

Nach einem Neustart (bei der Installation erforderlich) kannte er eth0 nicht mehr.

Falls dem nicht so ist. In der "Auto"-Zeite der "/etc/network/interface" auch die eth0 eintragen.

Zitat:

Kann mir einer den Kasten mit der reverse-lookup db.192.168.123 erklären?
Was ist mit der Erhöhung der Seriennummer der Zonendatei gemeint? Was erhöhe ich da?

DNS ist ja nicht nur für die Auflösung von Namen auf IP-Adressen (www.wcm.at => 80.78.228.21) sondern auch für die umgekehrte Richtung, also von IP-Adresse auf Namen zuständig. Genau dafür benötigt man die reverse-lookup db.192.168.123 - um von einer IP-Adresse auf den Namen zu kommen.

In der Zone-Datei db.private.net (die es als Download unter http://www.wcm.at/downloads/wcm182/dns-dhcp.tgz gibt) muss man die Zahl in der dritten Zeile (Kommentar Seriennummer) bei jeder Änderung an der Konfiguration um eines erhöhen, damit die Nameserver erkennen können, dass sich an der Konfiguration etwas geändert hat. Dies ist vor allem bei öffentlichen Nameservern wichtig.

Code:

$TTL 3h

private.net.                IN SOA        debian.private.net. root.localhost. (

          diese Zahl erhöhen => 1       ; Seriennummer  

                                3h      ; refresh

                                1h      ; retry

                                1w      ; expire

                                1h      ; minimum

                                )

...

Oft wird auch das Format YYYYMMTTcc verwendet, damit man nachvollziehen kann, wann das File zuletzt verändert wurde, wobei cc pro Tag und Änderung von 01 bis 99 hinaufggezählt wird. Ändert man zum Beispiel am 24.12.2002 die Konfig zwei mal, so hat der Zähler nach der ersten Änderung den Wert "2002122401" und nach der zweiten Änderung den Wert "2002122402". Ändert man am 25.12.2002 auch nochmal was an der Konfig, so hat der Zähler dann den Wert "2002122501". Dieses Konzept hat sich in der Welt eigentlich durchgesetzt, manche Länder wie etwa Frankreich verlangen sogar eine Nummerierung in diesem Format, sonst darf man keinen öffentlichen Nameserver betreiben.
Christian hat es in seinem Artikel etwas einfacher gemacht und erhöht den Zähler bei jeder Änderung einfach um eins.

Zitat:

Im WCM-Script steht # This is the location of the iptables command
IPTABLES="/usr/sbin/iptables"
Das hab ich bei mir nicht unter /usr/sbin/ sondern unter /sbin gefunden. Ist da was falsch, wenn ja bei wem? :) Ein Ausführen des Scripts führt natürlich zu einem Cannot find... eh schon wissen.

Ich hab auf /sbin/iptables ausgebessert. Dann führt er das Script aus, bis auf folgende Fehlermeldungen:
Creating user-chains: /sbin/wcmfirewall: --limit-burst : Command not found
Implementing firewall rules: /sbin/wcmfirewall: -a : Command not found
Dann schreibt er aber das Satzerl hin, daß alles in Ordnung war: --> IPTABLES firewall loaded/activated <--

Hmmm - da werd ich mal den Gerald Ander befragen müssen. Ich klär das noch.

Zitat:

Ein suchen in der Netzwerkumgebung des angehängten W2k rechners läßt ein paar UDP Meldungen am Linux Rechner aufscheinen. (Sorry, aber die 5 Zeilen pro Meldung kann ich mir nicht merken, gibts da ein log-file?).

Hmmm. Ich hab zwar grad keinen Familienserver bei der Hand, aber unter "/var/log/" solltest Du fündig werden. Ich tippe auf "/var/log/mesages".

Zitat:

Das führt mich gleich zur nächsten Frage: Gehört beim W2k Rechner NetBIOS übers TCP/IP deaktiviert? Oder soll er NETBIOS Einstellungen über DHCP beziehen? (Momentan ist es aktiviert)

Also NetBIOS übers TCP/IP würde ich IMHO nicht deaktivieren, sonst hast Du kein Windows-Netzwerk mehr ;)
die Firewall dropped aber alle SMB-Filesharing Pakete, die ins Internet wollen, ohne einer "Fehlermeldung":

Code:

#Inbound/Outbound SILENTDROPS/REJECTS (Things we don't want in our Logs)



                #SMB-Traffic

                $IPTABLES -N SMB

                

                $IPTABLES -A SMB -p tcp --dport 137 -j DROP

                $IPTABLES -A SMB -p tcp --dport 138 -j DROP

                $IPTABLES -A SMB -p tcp --dport 139 -j DROP

                $IPTABLES -A SMB -p tcp --dport 445 -j DROP

                $IPTABLES -A SMB -p udp --dport 137 -j DROP

                $IPTABLES -A SMB -p udp --dport 138 -j DROP

                $IPTABLES -A SMB -p udp --dport 139 -j DROP

                $IPTABLES -A SMB -p udp --dport 445 -j DROP

  

                $IPTABLES -A SMB -p tcp --sport 137 -j DROP

                $IPTABLES -A SMB -p tcp --sport 138 -j DROP

                $IPTABLES -A SMB -p tcp --sport 139 -j DROP

                $IPTABLES -A SMB -p tcp --sport 445 -j DROP

                $IPTABLES -A SMB -p udp --sport 137 -j DROP

                $IPTABLES -A SMB -p udp --sport 138 -j DROP

                $IPTABLES -A SMB -p udp --sport 139 -j DROP

                $IPTABLES -A SMB -p udp --sport 445 -j DROP

HTH

Schließ mich Valo an, Flowding/Spoofing ist im Kernel nicht unterstützt.
Die Zeilen kannst du aus kommentieren mit einer #

Alle Zeilen in der Section #----Flood Variables-----#
Und alle -A in #----Create logging chains-----#

Da geht es eigentlich nur darum das das
a, Spoofingpakets erkannt werden
b, das Logen aufhört bei so einer Art von Attacke.
IPTables konnte/kann man ja so wunderbar in die Knie zwingen, da er überläuft mit dem Schreiben der Logfiles.

Sloter

Danke für die Antworten..

Herzliches Dankeschön für die Antworten, ich werd´ das mal umsetzen.

Ad iptables und Kernel: Naja, das mit dem Kernel kompilieren laß´ ich momentan lieber noch.. :)

Zitat:

Original geschrieben von Sloter

IPTables konnte/kann man ja so wunderbar in die Knie zwingen, da er überläuft mit dem Schreiben der Logfiles.

Sloter

Meinte IPChains und nicht IPTables

Sloter

Hilfe! DHCP will nicht

Hallo.. nach studieren von x-Anleitungen, Foren, endlosen google Suchen, blabla hab ich noch immer zwei Probleme:

1. Der DHCP-Server scheint nicht zu funktionieren.
Ich kann von keinem der Windoof Rechner im Netz die IP des Linux Compis anpingen. :confused:
Ein ipconfig /renew unter w2k ergibt die Meldung: DHCP Server not found.

Einziger Untetrschied zu den Skripten des WCM`s: Betrifft den Arbeitsgruppennamen: "debian.private.net" hab ich durch meinen Namen also "pathfinder.ZOO" ersetzt. (pathfinder ist der Linux-Rechner, ZOO die Windoof Arbeitsgruppe)

Eth0 als LAN Netzwerkkarte empfängt allerdings Pakete was ifconfig zumindest behauptet.
Eth1 hat keine Probleme mit der Verbindung ins Inet (Natürlich nur vom Linux-Rechner.. :( )
Ich bin schön langsam am Verzweifeln. :confused: :heul:

2.l Also, das Problem der Firewall lag nicht am Kernel, nicht an fehlenden iptables sondern schlicht an der Konvertierung der DOS-Textdatei nach UNIX.
(Zeilenende ^M^J zu ^J)

Das geht so:
apt-get install sysutils

und dann:
dos2unix dosfile

oder:
dos2unix -f dosfile
dann "übersieht" er den Schreibschutz.

Damit hat dann die Firewall gefunkt.

Aber: Selbst mit einem klogd -c 1 läßt immer wieder Meldungen der Firewall aufscheinen. (Das bin ich von Windoof nicht gewohnt: Egal in welchen Programm: Auch im Editor, super wenn man gerade Systemdateien editiert.. :eek: ) :heul:

HILFE! Woran kann 1. bloß liegen? Defekte Netzwerkkarte kanns nicht sein, denn die funkt im Windoof-Rechner. Kabeln etc. bereits ausgetauscht. Windoof-Rechner können untereinander kommunizieren (Natürlich nur wenn ich das Netzwerk wieder herkömmlich konfiguriere.)
2. Wär´ mir ja egal.. ist halt während dem Konfigurieren ein Krampf.

ad 1) Wenn Du in dem DHCP-Konfig-Files die Domain (das hat nix mit der Windows-Arbeitsgruppe) von "debian.private.net" auf was anders änderst, musst du dies natürlich auch bei der DNS-Konfiguration überall nachziehen, sonst werden sich die Services nicht finden.
Die Windows-Arbeitsgruppe stellst Du in der smb.conf ein.

debian.private.net

Hm.. ich dachte das wäre der Computername gefolgt von der Arbeitsgruppe.

Ich hab´s in folgenden Files durchgezogen:

named.conf
dhcpd.conf
db192168.123
dbZOO (respektive dbprivate.net)
dhcp-dns.conf

Besonders letztere verlangt doch mit $DOMAIN="ZOO" respektive im Original $DOMAIN="private.net" Doch den Arbeitsgruppennamen oder hat das nix miteinander zu tun?

Woody gibt mir übrigens auch an der Console "pathfinder.zoo" aus.