Selbstverständlich kannst du einen Parameter auf no stellen und den anderen auf yes nur damit hast du noch nichts konfiguriert.
In der Konfigurationsdatei steht zu FW_ROUTE:
Code:
# You need only set this to yes, if you either want to masquerade internal
# machines or allow access to the dmz (or internal machines, but this is not
# a good idea). This option supersedes IP_FORWARD from
# /etc/sysconfig/network/options
#
# Setting this option one alone doesn't do anything. Either activate
# massquerading with FW_MASQUERADE below if you want to masquerade your
# internal network to the internet, or configure FW_FORWARD to define
# what is allowed to be forwarded!
Du kannst das also einstellen, nur bewirkt das eben....nichts, solange du keine FW_FORWARD -Regeln aufgestellt hast.
Hier helfen die Kommentare in der Konfigurationsdatei der SuSE-Firewall. Dort findet sich zu FW_FORWARD u.a. dieser Text:
Code:
# Which services accessed from the internet should be allowed to the
# dmz (or internal network - if it is not masqueraded)?
# REQUIRES: FW_ROUTE
Allerdings erkennen wir schon an den Kommentaren und dem Fragezeichen, dass die SuSE-Firewall nicht dazu gedacht ist als interne Firewall zu dienen. Sie bietet diese Möglichkeit nicht ausdrücklich an, aber es ist durchaus möglich, nur eben umständlich. Wenn du deine Firewall einschaltest und keine FW-FORWARD-Regeln in der SuSE-Firewall-Syntax besitzt geschieht mit dem Setzen des FW_ROUTES auf yes und des FW_MASQUERADE auf no allerdings erst einmal nichts, was das Testen zu diesem Zeitpunkt unmöglich macht.
Insbesondere wird allein durch diese Anweisung nicht geroutet, was eigentlich auch nicht die Aufgabe einer Firewall ist. Vor allem kann die SuSE-Firewall nicht erkennen welche Netze jemand besitzt und wie diese zu routen sind. Sie "denkt" in Kategorien internes Netz, DMZ und Internet. Wenn es dir gelingt deine Situation auf diese SuSE-Firewall-Welt zu mappen, also dein WAN als Internet zu betrachten und mit FW_FORWARD Regeln alles zu definieren was rein und raus darf sollte das auch funktionieren. Ob das sinnvoll ist ist eine andere Frage, wie dir schon mehrfach nahegelegt wurde, macht es mehr Sinn es mit iptables direkt zu versuchen. Zurück zur SuSEFirewall: Ohne Regeln passiert nichts, was wie gesagt aus Sicht einer Firewall auch vernünftig ist. Warum sollte die Firewall auch Regeln einleiten die weder einer Standardsituation Rechnung trägt noch die ihr explizit mitgeteilt worden ist? Die Reaktion der SuSEFirewall ist also logisch, ohne ausrückliche Anweisungen erst einmal nichts durchzulassen.
Da deine Firewall ein Router ist, solltest du auch routen. Am einfachsten du definierst zwei Netze:
LAN..............................Firewall......................layer3-switch
192.168.22.0/24-----192.168.22.19/10.0.0.3--------10.0.0.5
In deinem LAN wirst du in diesem Beispiel auf den Clients als Gateway 192.168.22.19 eintragen müssen. Auf der Firewall sollten u.a. auch folgende Routen existieren:
Netz/Netzmaske/Interface (oder IP)
192.168.22.0 255.255.255.0 ethx(192.168.22.19)
10.0.0.0 255.255.255.0 ethy(10.0.0.3)
default * 10.0.0.5
Da das
masquerading nicht aktiv ist, spielt es keine Rolle ob deine Adressen privat sind oder nicht. Damit sind deine Fragen mehr als hinreichend beantwortet worden und du solltest *** als alter Netzwerker mit einer Oldtimer-Netz-IP *** schon in der Lage sein dein Routen selbst zu konfigurieren. oder etwa nicht?
Wenn du soweit bist, dann hast du die Qual der Wahl, entweder FW_Forward Regeln in /etc/sysconfig/SuSEfirewall2 definieren - was die SuSE-Autoren selbst für keine gute Idee halten (siehe Kommentar), oder besser es mit iptables direkt zu versuchen. Ich würde zweiteres empfehlen. Apropos empfehlen hier findest du ein gutes Buch über TCP/IP, in dem die Basics zum Routen erklärt werden:
http://www.oreilly.de/catalog/tcp3ger/ und wo wir gerade dabei sind:
http://www.oreilly.de/catalog/linuxfireger/
http://www.millin.de/linux_firewall_buch.html
Beide Bücher in deutscher Sprache enthalten gute Anleitungen über den Aufbau und Konfiguration einer Firewall insbesondere mit iptables.
mfg
gaw
