DialIn - Ping geht, aber keine Daten...

[sdh]

Hallo,
ichhabe folgendes Problem. Ein Suse 9.2 Server mit DSL Einwahl und entsprechnder verteilung im Lokalen Netz(192.168.1.0/24). Alles wunderbar (SuseFirewall2).

VPN Einwahl per OpenVPN2(10.10.0.0/24), auch wunderbar, es werden auch die Netze geroutet (also VPN Client kann 192.168.1. Netz anpingen und umgekehrt).

Jetzt habe ich aber auch noch eine ISDN Einwahl (192.168.5.0/24 - angenommen wird mit Asterisk und der app_pppd - http://www.voip-info.org/wiki-Asterisk+cmd+PPPD). Im Grude funktioniert die Einwahl ohne Probleme, der Client bekommt die 192.168.5.105 zugewiesen.
Ich kann vom Client ein Ping an das 192.168.1.0/24 Netz absetzen, auch an das Internet geht. Ein ping aus dem 192.168.1.0/24 Netz auf den Einwahlrechner geht ebenfalls.
Auch wenn ich mit dem Einwahlrechner ein Ping z.B. auf www.focus.de schicke kommt die Internetip zurück und ich habe eintsprechende Antwortzeiten zwischen 30 und 50 ms.
Wenn ich nun aber z.B. mit dem Internetexplorer www.focus.de aufrufen will, bekomme ich in der Statuszeile Seite wird geladen... das war es dann auch, es kommen keine Daten. Auch andere Datenzugriffe funktionieren nicht. Weder vom noch zum Einwahlrechner. Nur PING!

Und in der Windows Netzwerkumgebung erscheint der Einwählende Rechner ebenfalls (Samba ist auf dem Linux, auf dem Client ist als WINS 192.168.1.1 eingetragen). Ich kann aber nicht auf den Rechner zugreifen.

Zur Info ein paar Configs und weiteres:
Das DSL0 Device heißt DSL0, tun0 ist die VPN Einwahl, ppp1 das Device welches bei der ISDN Einwahl erzeugt wird (nicht ippp0).

SuSeFirewall (relativ verhurt ein wenig vom vielen testen):

FW_QUICKMODE="no"
FW_DEV_EXT="dsl0"
FW_DEV_INT="eth-id-00:0e:0c:65:29:1e tun0 tun1 ppp1"
FW_DEV_DMZ=""
FW_ROUTE="yes"
FW_MASQ_DEV
FW_MASQUERADE="yes"
FW_MASQ_DEV="$FW_DEV_EXT"
FW_MASQ_NETS="0/0"
FW_PROTECT_FROM_INTERNAL="no"
FW_AUTOPROTECT_SERVICES="no"
FW_SERVICES_EXT_TCP="10000 110 1352 15567 15690 15828 1723 21 22 23 25 2550 3760 443 4899 5711 8000 8080 8888 domain http smtp"
FW_SERVICES_EXT_UDP="15567 15690 1194 4569 5000 5711 domain isakmp"
FW_SERVICES_EXT_IP=""
FW_SERVICES_EXT_RPC=""
FW_SERVICES_DMZ_TCP=""
FW_SERVICES_DMZ_UDP=""
FW_SERVICES_DMZ_IP=""
FW_SERVICES_DMZ_RPC=""
FW_SERVICES_INT_TCP=""
FW_SERVICES_INT_UDP=""
FW_SERVICES_INT_IP="esp"
FW_SERVICES_INT_RPC=""
FW_SERVICES_DROP_EXT=""
FW_SERVICES_REJECT_EXT="0/0,tcp,113"
FW_SERVICES_QUICK_TCP, and
FW_SERVICES_QUICK_UDP.
FW_SERVICES_QUICK_TCP=""
FW_SERVICES_QUICK_UDP=""
FW_SERVICES_QUICK_IP=""
FW_TRUSTED_NETS=""
FW_ALLOW_INCOMING_HIGHPORTS_TCP=""
FW_ALLOW_INCOMING_HIGHPORTS_UDP="1194"
FW_FORWARD="192.168.1.0/24,10.20.0.0/24 10.20.0.0/24,192.168.1.0/24 192.168.1.0/24,192.168.5.0/24 192.168.5.0/24,192.168.1.0/24"
FW_FORWARD_MASQ=""
FW_REDIRECT=""
FW_LOG_DROP_CRIT="yes"
FW_LOG_DROP_ALL="yes"
FW_LOG_ACCEPT_CRIT="no"
FW_LOG_ACCEPT_ALL="no"
FW_LOG_LIMIT=""
FW_LOG=""
FW_KERNEL_SECURITY="yes"
FW_ANTISPOOF="no"
FW_STOP_KEEP_ROUTING_STATE="no"
FW_ALLOW_PING_FW="yes"
FW_ALLOW_PING_DMZ="no"
FW_ALLOW_PING_EXT="no"
FW_ALLOW_FW_TRACEROUTE="yes"
FW_ALLOW_FW_SOURCEQUENCH="yes"
FW_ALLOW_FW_BROADCAST="int"
FW_IGNORE_FW_BROADCAST="no"
FW_ALLOW_CLASS_ROUTING="yes"
FW_CUSTOMRULES="/etc/sysconfig/scripts/SuSEfirewall2-custom"
FW_REJECT="no"
FW_IPv6=""
FW_IPv6_REJECT_OUTGOING="yes"
FW_HTB_TUNE_DEV="dsl0,620"

SuSeFirewall custom

fw_custom_before_antispoofing() {
   true
}

fw_custom_after_antispoofing() { 
    true
}

fw_custom_before_port_handling() { 
    true
}

fw_custom_before_masq() { 
    true
}

fw_custom_before_denyall() {
    iptables -A INPUT -i tun+ -j ACCEPT
    iptables -A OUTPUT -o tun+ -j ACCEPT
    iptables -A FORWARD -i tun+ -j ACCEPT
    iptables -A FORWARD -o tun+ -j ACCEPT
}

Die ppp config

lock
sync
192.168.5.1:192.168.5.105
-vj 
-vjccomp 
-ac 
-pc 
-bsdcomp 
noccp 
+pap
+chap
noauth 
ms-dns 192.168.1.1 
domain home
netmask 255.255.255.255

Ich bin mit meinem Wissen am Ende. Habe ich was übersehen? Falsch verstanden?

Danke für jeden Tip.

Gruß
Sascha

 

[sdh]

kleine Ergänzung:

Ich habe die Server-Firewall abgeschaltet, mich eingewählt und versucht auf dem Server (192.168.5.1) den Webserver anzusprechen. Ebenso Fehlanzeige. Ping von 192.168.1.105 an die 192.168.5.1 geht, aber ein Aufruf des Webservers schlägt fehl. Keine Daten.

Und ein weiteres mit iperf:

Ich habe auf meinem Linuxrouter iperf -s laufen lassen, auf dem Client dann iperf -c 192.... -t 20 -i 5 -r
Es kommen ganz normal Daten zurück, aber der zweite durchgang (in die andere Richtung, Flag -r) bleibt stehen und nix geht mehr.

Starte ich den iperf -s (im Servermode) auf dem Win Client und auf dem Router dann per iperf -c 192.... dann zeigen beide rechner an, das iperf connected, aber mehr passiert nicht.

Bei UDP gehts Grundsätzlich soweit in beide Richtungen, aber er bricht zwischendurch ab mit der Meldung WARNING: did not receive ack of last datagram after 10 tries.

 

[sdh]

Und nun das letzte Erkenntniss:

Da UDP ja einigermaßen ging, habe ich mal versucht UDP Traffic sinnvoll zu nutzen... Und siehe da, Firefly (IAX2 VoIP Client) meldet sich sauber vom DialIn Client per UDP an den Server an).

Auf dem Router OpenVPN installiert und auch das VPN läuft. Das 192.168.1.34 Netz ist Pingbar. Nun im Internetexplorer einen Server im .1'er Netz aufgerufen, die User und PW Abfrage kommt... Aber dann war es das auch schon wieder. In der Statuszeile wie gehabt... Seite wird geladen...
Das VPN auf TCP umgestellt, wird ebenfalls aufgebaut. Aber es läßt sich nichts anpingen. Es steht die VPN aber mehr auch nicht.

Als letztes nun ein Versuch einen FTP aufzumachen... Username und PW werden abgefragt im Status erscheint Inhalte und Ordner werden abgefragt... das war es dann auch schon wieder:-(

Kann es sein das vom Server keine TCP Packete an den Client gesendet(->geblockt) werden? Aber wo muß ich dann suchen?


P.S. Wie kann ich das erste Post kleiner machen? z.B. die Configs nur 5 Zeilig mit Scrollbalken darstellen?

Gruß
Sascha

 

[Martin Breidenbach]

P.S. Wie kann ich das erste Post kleiner machen? z.B. die Configs nur 5 Zeilig mit Scrollbalken darstellen?

Wenn Du das mächste mal die SuSEFirewall2 postet laß doch BITTE die ganzen Kommentarzeilen weg... die hat jeder der SuSE hat auf der Platte und kann bei Bedarf nachschauen. Und wer kein SuSE hat den interessiert das ja eh nicht.

Nebeneffekt: je kürzer das Posting desto höher die Chance daß das auch jemand liest ! :mrgreen: