ctserver.org

Hallo allerseits,

(bin neu hier - seit also gnädig)

habe dieses Problem bei mir durch die Verwendung von virtuellen bridges gelöst. In meinem Fall habe ich orange und blue über eth2 des c't server laufen. Habe dazu in der /etc/network/interfaces folgendes eingetragen:

# bridge second nic with firewall DMZ and WLAN
iface br2 inet manual
bridge_ports eth2 tap2 tap3
bridge_fd 1
bridge_stp off
bridge_hello 1
down ifconfig br2 down

Wichtig ist hierbei der Eintrag "bridge_ports eth2 tap2 tap3" der die virtuelle bridge einrichtet.
Die Definition der "br3" sollte in /etc/network auskommentiert bleiben, da diese hier nicht benötigt wird.
Das tap2 (WLAN) muss natürlich konfiguriert werden.

Kann jemand was unter dem Gesichtspunkt "security" zu dieser Lösung sagen?

Nehmen wir mal an, ein DMZ Host wird geknackt. Dann kann man die IP des DMZ-Rechners in das Blaue IP-Netz umhängen (die NW-Karte bedient ja auch diesen IP-Bereich) und Du hast den Hacker im WLAN-Netz....oder?

Im Detail hängt das natürlich von der genauen Konstellation und IPCop-Konfiguration ab...

Hallo Neobiker,

da hast Du leider vollkommen Recht - hab's eben ausprobiert .
Zwei Netze an einem physikalischen Netz sind letztlich nur über VLANs abzusichern. Habe auch mal in der Doku zu den "virtuellen bridges" unter Linux/UML (http://user-mode-linux.sourceforge.net/ ... html#ss6.9) gestöbert... aber nix gefunden. Meine Vermutung ist, dass das nicht geht - zumindest bislang.
Als Notlösung könnte man auf dem IPcop Einträge in iptables machen, die alle MAC-Adressen aus der DMZ auf eth2 (ist bei mir WLAN) abweisen. Unter der Annahme, dass die Anzahl hosts in der DMZ eher konstant bleibt (im Gegensatz zum blauen Netz), sollte das vom administrativen Aufwand her im Home/SOHO Bereich vertretbar sein.

Hallöchen zusammen!

(bin nicht nur neu hier, sondern auch noch Einsteiger in die Materie, bitte um Rücksicht - danke)

Klingt oberspannend, was Ihr hier so macht. Wie aber sieht es aus, wenn ich statt einer dritten NW-Karte einen USB-WLAN-Stick nutzen möchte? Wie überrede ich den Server (oder den IPCop ???), diesen Stick als NW-"Karte" (meinetwegen eth2) zu betrachten?

Warum kein AP? (Berechtigte Frage.) Nun, ich habe einen Laptop mit integriertem WLAN-Modul und ein USB-WLAN-Stick geistert auch noch rum. Ich möchte mit diesen lediglich temporär ein Mini-ad-hoc-Netz aufbauen. (Keine gute Idee?)

melwood hat geschrieben:Nach der Standartinstallation wird die dritte Netzwerkkarte nicht automatisch hochgefahren und auch die entsprechenden Bridges nicht eingerichtet.
Um dies zu tun, muß die Datei /etc/network/interfaces bearbeitet werden. Folgende Zeilen sind zu ergänzen/abzuändern:

Code: Alles auswählen

auto tap0 tap1 tap2 tap3 eth0 eth1 eth2 br0 br1 br2 br3

Code: Alles auswählen

# optional eth2 (host ethernet to firewall wlan/br2)
# connect to bridge br2
iface eth2 inet manual
        up ifconfig eth2 0.0.0.0 promisc up


Code: Alles auswählen

# optional connect wlan ap on eth2 to firewall (ipcop blue)
iface tap2 inet manual
        pre-up tunctl -u ipcop -t tap2
        up ifconfig tap2 up
        down ifconfig tap2 down


Code: Alles auswählen

# bridge between additional umls and firewall wlan net
iface br2 inet manual
        up ifconfig br2 0.0.0.0 up
        bridge_ports eth2 tap2
        bridge_fd 1
        bridge_stp off
        bridge_hello 1
        down ifconfig br2 down


Bitte daran denken: Newbie!

Danke und Gruß.

t_l_u hat geschrieben:Klingt oberspannend, was Ihr hier so macht. Wie aber sieht es aus, wenn ich statt einer dritten NW-Karte einen USB-WLAN-Stick nutzen möchte?

Wie überrede ich den Server (oder den IPCop ???), diesen Stick als NW-"Karte" (meinetwegen eth2) zu betrachten?

Wenn Du ein wenig im Forum suchst, wirst Du feststellen, das sich schon einige User vor Dir mit der Materie USB und LAN/WLan beschäftigt haben.

Problem dabei ist, das des USB Bus zu spät aktiviert wird. So weit ich weis, hat bisher keiner eine Lösung für das Problem gefunden.

melwood

Hi melwood!

melwood hat geschrieben:

t_l_u hat geschrieben:Klingt oberspannend, was Ihr hier so macht. Wie aber sieht es aus, wenn ich statt einer dritten NW-Karte einen USB-WLAN-Stick nutzen möchte?

Wie überrede ich den Server (oder den IPCop ???), diesen Stick als NW-"Karte" (meinetwegen eth2) zu betrachten?

Wenn Du ein wenig im Forum suchst, wirst Du feststellen, das sich schon einige User vor Dir mit der Materie USB und LAN/WLan beschäftigt haben.

Ja, korrekt. Mir ging's nur um den Fakt als solchen. Darf ich einen USB-WLAN-Adapter (wir gehen an dieser Stelle bitte davon aus, daß er läuft ) als Netzwerk-Karte im Sinne von eth2 betrachten. Oder ist dazu ein anderes Gerät einzurichten? (Hoffentlich nicht )

melwood hat geschrieben:Problem dabei ist, das des USB Bus zu spät aktiviert wird. So weit ich weis, hat bisher keiner eine Lösung für das Problem gefunden.

Ja, würde mich das denn stören? So eine Schnittstelle, wenn sie denn erst einmal etabliert ist, läßt sich doch runter- und hochfahren. Da der Sinn und Zweck ohnehin nur ein ad hoc-Netz ist, würde ich eth2 (wenn's denn diese wäre) erst hochfahren, wenn ich sie brauche. Zugegeben, etwas umständlich, sollte aber funktionieren. (Natürlich immer unter der Maßgabe, das Ding läuft überhaupt.) Die Initialisierung des USB sollte bis dahin jedenfalls abgeschlossen sein.

Danke und Gruß
Marko

Hi Marko,

soll der Stick denn ein Netz aufbauen, dass über den Cop abgesichert werden soll?

Wenn nein: nimm einfach eth4 (die wird von Cop nicht angesprochen)
Wenn ja: probier' es einfach mal aus...

Im Prinzip sollte es gehen... Die Frage ist nur, ob Du evtl. noch die entsprechende Netzwerkkarte im Cop neu straten musst...

Gruß
Jens

Hi Jens,

endlich darf ich wieder "mitspielen". Krankheit, Umzug, Arbeit, Dienstreise und was es noch alles für schreckliche Dinge gibt ... alles überlebt

Jetzt endlich mal ein bißchen Zeit für den c't-server und? Natürlich neue Fragen, denn je weiter ich hinter die Kulissen zu schauen versuche, desto weniger will mir ein Licht aufgehen.

lucifer hat geschrieben: ... soll der Stick denn ein Netz aufbauen, dass über den Cop abgesichert werden soll?

Joh! Aber so weit bin ich noch laaaange nicht. Ich scheiter an viel banaleren Dingen. Kann nur auf Deine (Eure) Hilfe hoffen.

Wo liegt das Problem?

Ich habe die Sourcen für den ZyDAS 1211 runtergeladen und wollte diese übersetzen. Obwohl buchstabengetreu gehandelt, kein verwertbares Ergebnis.

Hier ein paar Hinweise, die hoffentlich hilfreich sind. Die Kernel-Header sind installiert, die Kernel-Sourcen installiert (und ausgepackt). Möglicherweise habe ich die Sache mit den Links schon nicht richtig verstanden?

So sieht's auf der Kiste aus:

server:/lib/modules/2.6.12-ct-1#
85609 lrwxrwxrwx 1 root root 34 2006-03-05 15:22 build -> /usr/src/kernel-source-2.6.12-ct-1
85516 drwxr-xr-x 11 root root 1024 2006-01-26 17:15 kernel
85607 -rw-r--r-- 1 root root 217499 2006-01-26 17:15 modules.alias
85599 -rw-r--r-- 1 root root 69 2006-01-26 17:15 modules.ccwmap
85605 -rw-r--r-- 1 root root 258423 2006-01-27 04:36 modules.dep
85596 -rw-r--r-- 1 root root 31 2005-06-18 17:02 modules.generic_string
85606 -rw-r--r-- 1 root root 813 2006-01-26 17:15 modules.ieee1394map
85598 -rw-r--r-- 1 root root 1141 2006-01-26 17:15 modules.inputmap
85601 -rw-r--r-- 1 root root 21003 2006-01-26 17:15 modules.isapnpmap
85600 -rw-r--r-- 1 root root 29 2005-06-18 17:02 modules.parportmap
85595 -rw-r--r-- 1 root root 207033 2006-01-26 17:15 modules.pcimap
85602 -rw-r--r-- 1 root root 24 2005-06-18 17:02 modules.pnpbiosmap
85608 -rw-r--r-- 1 root root 107594 2006-01-26 17:15 modules.symbols
85597 -rw-r--r-- 1 root root 267888 2006-01-26 17:15 modules.usbmap
85610 lrwxrwxrwx 1 root root 34 2006-03-05 15:22 source -> /usr/src/kernel-source-2.6.12-ct-1

server:/usr/src#
354984 drwxr-xr-x 4 root root 1024 2006-03-04 21:43 kernel-headers-2.6.12-ct-1
343345 drwxr-xr-x 18 root root 1024 2005-06-18 17:30 kernel-source-2.6.12-ct-1

server:/usr/src/kernel-source-2.6.12-ct-1#
343346 drwxr-xr-x 25 root root 1024 2005-06-17 21:48 arch
343395 -rw-r--r-- 1 root root 209 2005-06-18 17:11 conf.vars
343396 -rw-r--r-- 1 root root 18691 2005-06-17 21:48 COPYING
343397 -rw-r--r-- 1 root root 89131 2005-06-17 21:48 CREDITS
488649 drwxr-xr-x 2 root root 1024 2005-06-18 17:30 crypto
343525 -rw-r--r-- 1 root root 20633 2005-06-18 16:21 Debian.src.changelog
488685 drwxr-xr-x 49 root root 4096 2005-06-17 21:48 Documentation
343398 drwxr-xr-x 50 root root 1024 2005-06-18 17:30 drivers
497491 drwxr-xr-x 55 root root 2048 2005-06-18 17:30 fs
493361 drwxr-xr-x 37 root root 1024 2005-06-18 17:30 include
343446 drwxr-xr-x 2 root root 1024 2005-06-18 17:30 init
343459 drwxr-xr-x 2 root root 1024 2005-06-18 17:30 ipc
343470 drwxr-xr-x 4 root root 1024 2005-06-18 17:30 kernel
444507 drwxr-xr-x 5 root root 1024 2005-06-18 17:30 lib
343520 -rw-r--r-- 1 root root 57367 2005-06-17 21:48 MAINTAINERS
343521 -rw-r--r-- 1 root root 44185 2005-06-18 16:07 Makefile
452735 drwxr-xr-x 2 root root 1024 2005-06-18 17:30 mm
452775 drwxr-xr-x 32 root root 1024 2005-06-18 17:30 net
343523 -rw-r--r-- 1 root root 13970 2005-06-17 21:48 README
343522 -rw-r--r-- 1 root root 910 2005-06-18 17:30 README.Debian
343524 -rw-r--r-- 1 root root 3013 2005-06-17 21:48 REPORTING-BUGS
553903 drwxr-xr-x 9 root root 1024 2005-06-18 17:30 scripts
554006 drwxr-xr-x 4 root root 1024 2005-06-18 17:30 security
554072 drwxr-xr-x 16 root root 1024 2005-06-18 17:30 sound
554803 drwxr-xr-x 2 root root 1024 2005-06-18 17:30 usr

Fehlen noch die Modul-Quellen (download und auspacken).

server:/home/mc/ZyDAS/ZD1211LnxDrv_2_4_0_0#
897669 -rw-r--r-- 1 root root 8266 2005-11-25 09:04 apdbg.c
897666 -rw-r--r-- 1 root root 18334 2005-11-25 09:04 copying
897667 -rw-r--r-- 1 root root 5055 2006-03-04 22:05 Makefile
897670 drwxr-xr-x 2 root root 1024 2006-03-05 11:26 Menudbg
897604 drwxr-xr-x 2 root root 2048 2006-01-24 07:07 src
897668 -rw-r--r-- 1 root root 644 2005-11-25 09:04 sta
934420 drwxr-xr-x 2 root root 1024 2006-03-05 14:56 .tmp_versions

So ganz falsch kann ich's nicht gemacht haben, denn ein beherztes make debug zeigte keine Auffälligkeiten. Okay, zugegeben, erst nach dem dritten Versuch, denn mir mußte erst einmal klar werden, daß mir die ncurses-Bibliothek noch fehlte.

Hier das Ergebnis.

server:/home/mc/ZyDAS/ZD1211LnxDrv_2_4_0_0# make debug
gcc -o apdbg apdbg.c
chmod +x apdbg
cp ./apdbg /sbin/apdbg
make -C Menudbg
make[1]: Entering directory `/home/mc/ZyDAS/ZD1211LnxDrv_2_4_0_0/Menudbg'
cc menudbg.c TextForm.c ioctl_op.c WRITE_Handler.c READ_Handler.c utils.c TallyReg.c TallyCnt.c -lncurses -lform -o menudbg
make[1]: Leaving directory `/home/mc/ZyDAS/ZD1211LnxDrv_2_4_0_0/Menudbg'
mv Menudbg/menudbg .
chmod +x menudbg
cp ./menudbg /sbin

server:/home/mc/ZyDAS/ZD1211LnxDrv_2_4_0_0#
897699 -rwxr-xr-x 1 root root 16375 2006-03-05 15:47 apdbg
897669 -rw-r--r-- 1 root root 8266 2005-11-25 09:04 apdbg.c
897666 -rw-r--r-- 1 root root 18334 2005-11-25 09:04 copying
897667 -rw-r--r-- 1 root root 5055 2006-03-04 22:05 Makefile
897700 -rwxr-xr-x 1 root root 23825 2006-03-05 15:47 menudbg
897670 drwxr-xr-x 2 root root 1024 2006-03-05 15:47 Menudbg
897604 drwxr-xr-x 2 root root 2048 2006-01-24 07:07 src
897668 -rw-r--r-- 1 root root 644 2005-11-25 09:04 sta
934420 drwxr-xr-x 2 root root 1024 2006-03-05 14:56 .tmp_versions

Makefile habe ich natürlich angepaßt.

#
# .zd1211 - USB2.0 802.11b/g driver for Zydas ZD1211 chipsets
#
#
#

CC=gcc
CPP=g++
LD=ld
rM=rm -f -r

# if the kernel is 2.6.x, trun on this
KERN_26=y
#KERNEL_SOURCE=/usr/src/linux-2.6.9
KERNEL_SOURCE=/usr/src/kernel-source-2.6.12-ct-1

# if the kernel is 2.4.x, trun on this
#KERN_24=y
#KERNEL_SOURCE=/usr/src/linux-2.4.26

SRC_DIR=src
DEFINES=-D__KERNEL__ -DMODULE=1


KERNRELEASE := $(shell uname -r; )
MODPATH := /lib/modules/$(KERNRELEASE)


ifeq ($(KERN_26), y)

Super, da sind apdbg und menudbg neu erstellt. Gut, dachte ich, jetzt geht's an das eigentliche Modul und da die dicke Überraschung. Unzählige Warnungen und Fehler (Details siehe error.txt)

Es fiel auf, daß auf ein Verzeichnis linux abgestellt wurde. Hm! Fehlt ein Link?

Und an dieser Stelle nur noch: HILFE!

Danke und Gruß
Marko

Hallo Jens,

soll der Stick denn ein Netz aufbauen, dass über den Cop abgesichert werden soll?

Wenn nein: nimm einfach eth4 (die wird von Cop nicht angesprochen)
Wenn ja: probier' es einfach mal aus... Wink

Hab ich gemacht (das letztere).
Mein Asus WL-167g USB WLAN Adapter (wurde in einer c't letztes Jahr als einigermassen Linux-tauglich empfohlen) funktioniert auch mit dem selbstkompilierten rt2570.ko - Kernelmodul, wenn ich das rausb0-Interface an z.B. br0 kopple. Nur dann hab ich das WLAN im gruenen Netz, was ich ja eigentlich nicht will.

Ich wuerde gerne das WLAN ueber das blaue Interface des IPCop laufen lassen und habe Folgendes versucht:
"ifconfig rausb0 0.0.0.0" und mit iwconfig die WLAN-Parameter fuer das rausb0-Device eingestellt (auf dem Server). In der /etc/init.d/ipcop natuerlich vorher das Device "freigeschaltet" (eth2=tuntap,tap2). tap2 und br2 werden ja in der interfaces-Datei schon standardmaessig konfiguriert. Dann noch das rausb0-Device an br2 gekoppelt: "brctl addif br2 rausb0"

Der IPCop zeigt auch brav die blaue Netzwerkkarte eth2 auf der Netzwerkstatus-Seite des Web-Frontends an. Ein "iwlist rausb0 scan" zeigt die WLAN-Clients an, ein Ping auf die IP-Adresse des WLAN-Clients zeigt auch Reaktion: Beim Client (Webcam) blinkt die WLAN-Aktivitaets-LED und der IPCop zeigt auf der Netzwerkstatus-Webseite unter "ARP-Tabelle" die IP-Adresse, allerdings ohne HW-Adresse. Auch von Seiten Client kann ich den IPCop "sehen", allerdings zeigt ein Ping auf dessen IP-Adresse keine Wirkung (keine Reaktion, kein Eintrag in den IPCop-Logfiles). WLAN-Verschluesselung hab ich mal ausgeschaltet, um es nicht noch zu verkomplizieren.

Fuer mich sieht es so aus, als ob der Netzwerkverkehr nicht richtig beim IPCop ankommt.
Meine Annahme war, dass alles, was an rausb0 ankommt, ueber die tun-tap-Devices an den IPCop weitergeleitet wird, wobei der Netzwerkverkehr so "entschluesselt" wird, dass ueber die tun-tap-Devices IP-Pakete laufen. Ist diese Annahme falsch?

Weiss jemand, wo der Fehler in meiner Konfiguration liegt?
Weiss jemand Rat, was ich noch versuchen koennte?

Im Prinzip sollte es gehen... Die Frage ist nur, ob Du evtl. noch die entsprechende Netzwerkkarte im Cop neu straten musst...

Ich hab mir ja einige Zeit den Kopf darueber zerbrochen, was denn nun "neu straten" bedeutet...
Ich hab einfach den kompletten IPCop neu gestartet ("/etc/init.d/ipcop stop", dann "/etc/init.d/ipcop start"). Hat aber auch nichts geholfen, leider.

Viele Gruesse,
Michael

Hi Michael,

bin mir da jetzt nicht bei allem ganz sicher:
1. USB mit dem Cop macht Probleme... (findest Du hier schon an mehreren Stellen)
2. Du musst dem Cop beibringen wieviele Netzwerkkarten er hat und dann die passend im Server auf dir brX's verteilen...

Ich habe das erst einmal gemacht (und das ist schon einiges her): Du musst im Cop per ssh setup aufrufen und dort die Grundkonfig anpassen (r-g-b, o.ä.).
Vorher solltest Du die /etc/network/interfaces auf dem Server anpassen, so dass der Stick geladen wird. Ggf. kannst Du bei Problemen versuchen entweder den Cop später, oder USB früher starten zu lassen...

Gruß
Jens

@Bluestorm: evtl. Probleme mit dem Routing?

Ich habe damit auch 'ne Weile gekämpft:

http://www.ctserver.org/viewtopic.php?t=501