Im Sommer 2018 hatte ich schon mal mit einer zweiten LAN Schnittstelle rumgespielt.
https://forum.frank-mankel.org/topic/201/rockpro64-firewall-mit-zwei-lan-schnittstellen
Da ich aktuell mal wieder ein Projekt im Kopf habe, habe ich das mal mit Kamils aktuellem Debian Minimal Image nachgebaut. Aber, auch Stunden später bekam ich das Forwarding nicht zum Funktionieren. Warum? Das weiß ich nicht, ich hatte keine vernünftigen Fehlermeldungen gefunden. Für mich sieht es so aus, als wenn das Kernelmodul nicht korrekt, bzw. gar nicht, arbeitet.
Dann heute Morgen beim Kaffee der Lichtblitz! Damals hatte ich ein Ubuntu Image benutzt, also mache ich das jetzt auch mal. Und ich fange mal hinten an, es funktioniert einwandfrei, wie erwartet 
Dann mal von vorne.
Hardware
- ROCKPro64
- USB-c -> LAN Adapter
Software
Schnittstellen
-
WAN (eingebaute LAN-Schnittstelle) eth0
-
LAN (USB-c to LAN Adapter) enx00e04c68026f
-
WLAN nicht benutzt!
rock64@rock64:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UNKNOWN group default qlen 1000
link/ether 62:03:b0:d6:dc:b3 brd ff:ff:ff:ff:ff:ff
inet 192.168.3.10/24 brd 192.168.3.255 scope global dynamic eth0
valid_lft 7054sec preferred_lft 7054sec
inet6 2a02:908:1266:9690:6003:b0ff:fed6:dcb3/64 scope global dynamic mngtmpaddr noprefixroute
valid_lft 7173sec preferred_lft 573sec
inet6 fe80::6003:b0ff:fed6:dcb3/64 scope link
valid_lft forever preferred_lft forever
3: enx00e04c68026f: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default qlen 1000
link/ether 00:e0:4c:68:02:6f brd ff:ff:ff:ff:ff:ff
4: wlan0: <NO-CARRIER,BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state DORMANT group default qlen 1000
link/ether ac:83:f3:e6:1f:b2 brd ff:ff:ff:ff:ff:ff
Wie man die Namen der Schnittstellen vernünftig hinbekommt, hatte ich hier schon mal erklärt. Für diesen Test hier, lasse ich sie wie sie sind.
Als erstes müssen wir jetzt mal die zweite Schnittstelle konfigurieren.
Schnittstellen konfigurieren
eth0
DHCP
192.168.3.x
enx00e04c68026f
192.168.0.0/24
Gut, eth0 soll sich per DHCP einen Netzwerkadresse besorgen. Die enx.. bekommt eine private IP-Adresse verpasst. Da Ubuntu das mit Netplan macht, müssen wir jetzt das folgende File bearbeiten.
/etc/netplan/eth0.yaml
Das Ergebnis
network:
version: 2
renderer: networkd
ethernets:
eth0:
dhcp4: true
enx00e04c68026f:
dhcp4: no
addresses: [192.168.0.1/24]
Netzwerk neustarten
Direkt mit
netplan apply
oder mit
netplan try
Danach sollte das Netzwerk so aussehen.
rock64@rock64:~$ ip a
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UNKNOWN group default qlen 1000
link/ether 62:03:b0:d6:dc:b3 brd ff:ff:ff:ff:ff:ff
inet 192.168.3.10/24 brd 192.168.3.255 scope global dynamic eth0
valid_lft 6501sec preferred_lft 6501sec
inet6 2a02:908:1266:9690:6003:b0ff:fed6:dcb3/64 scope global dynamic mngtmpaddr noprefixroute
valid_lft 7161sec preferred_lft 561sec
inet6 fe80::6003:b0ff:fed6:dcb3/64 scope link
valid_lft forever preferred_lft forever
3: enx00e04c68026f: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 00:e0:4c:68:02:6f brd ff:ff:ff:ff:ff:ff
inet 192.168.0.1/24 brd 192.168.0.255 scope global enx00e04c68026f
valid_lft forever preferred_lft forever
inet6 fe80::2e0:4cff:fe68:26f/64 scope link
valid_lft forever preferred_lft forever
4: wlan0: <NO-CARRIER,BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state DORMANT group default qlen 1000
link/ether ac:83:f3:e6:1f:b2 brd ff:ff:ff:ff:ff:ff
Konfiguration iptables
Damit ein Paket jetzt von der Schnittstelle enx.. nach eth0 kommt, brauchen wir ein paar Regeln, die das erledigen. Dazu benutzen wir iptables. Das ist im Ubuntu Image nicht enthalten, also installieren wir das eben.
apt install iptables
Danach erstellen wir ein Script /etc/firewall.sh
#!/bin/sh
# This is a more complex setup, for a home firewall:
# * One interface plug to the ISP conection (eth0). Using DHCP.
# * One interface plug to the local LAN switch (eth1). Using 192.168.0.0/24.
# * Traffic open from the LAN to the SSH in the firewall.
# * Traffic open and translated, from the local LAN to internet.
# * Traffic open from internet, to a local web server.
# * Logging of dropped traffic, using a specific ''log level'' to configure a separate file in syslog/rsyslog.
PATH='/sbin'
## Network
INNET="192.168.0.0/24"
OUTNET="192.168.3.0/24"
INIF="enx00e04c68026f"
OUTIF="eth0"
## INIT
# Flush previous rules, delete chains and reset counters
iptables -F
iptables -X
iptables -Z
iptables -t nat -F
# Default policies
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
echo -n '1' > /proc/sys/net/ipv4/ip_forward
echo -n '0' > /proc/sys/net/ipv4/conf/all/accept_source_route
echo -n '0' > /proc/sys/net/ipv4/conf/all/accept_redirects
echo -n '1' > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
echo -n '1' > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
# Enable loopback traffic
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT
# Enable statefull rules (after that, only need to allow NEW conections)
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
# Drop invalid state packets
iptables -A INPUT -m conntrack --ctstate INVALID -j DROP
iptables -A OUTPUT -m conntrack --ctstate INVALID -j DROP
iptables -A FORWARD -m conntrack --ctstate INVALID -j DROP
## INPUT
# Incoming ssh from the LAN
iptables -A INPUT -i $INIF -s ${INNET} -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT
# TEST Please remove!!
iptables -A INPUT -i $OUTIF -s ${OUTNET} -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT
# Allow any connection from this host.
iptables -A INPUT -i lo -j ACCEPT
# Allow any connection from the local network.
iptables -A INPUT -s ${INNET} -j ACCEPT
# Allow all broadcast traffic.
iptables -A INPUT -m pkttype --pkt-type broadcast -j ACCEPT
## OUTPUT
# Enable al outgoing traffic to internet
iptables -A OUTPUT -o $OUTIF -d ${OUTNET} -j ACCEPT
# Enable access traffic, from the firewall to the LAN network
iptables -A OUTPUT -o $INIF -d ${INNET} -j ACCEPT
Das starten wir nun mal zum Testen.
sudo chmod +x firewall.sh
sudo ./firewall.sh
Es geht. Der Traffic an der Schnittstelle enx.. wird nach eth0 geroutet und maskiert.
IPTables Rules permanent machen
Nun kann man testen ob alles so funktioniert, wie es soll. Sollte dies nun alles problemlos funktionieren schreiben wir ein Script, so das das Firewall-Script automatisch beim Starten des ROCKPro64 ausgeführt wird.
Unter /etc/rc.local folgendes Script erstellen.
#!/bin/sh
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will "exit 0" on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.
set -e
# Launch my netfilter rules
if [ -e '/etc/firewall.sh' ]
then
/bin/sh '/etc/firewall.sh'
fi
exit 0
Rechte entsprechend anpassen.
sudo chmod +x rc.local
Danach den Rechner neu starten. Macht dies bitte ganz zum Schluss, wenn alles klappt.
DHCP-Server
Damit wir den PCs an der enx.. Schnittstellen, die Adressen nicht von Hand vergeben müssen, benötigen wir einen DHCP-Server.
sudo apt install isc-dhcp-server
Danach müssen wir den DHCP-Server konfigurieren.
/etc/dhcp/dhcpd.conf
Das hier der Datei hinzufügen.
# On what interfaces should the DHCP server (dhcpd) serve DHCP requests?
# Separate multiple interfaces with spaces, e.g. "eth0 eth1".
INTERFACESv4="enx00e04c68026f";
INTERFACESv6="";
#authoritative;
# Sample /etc/dhcpd.conf
# (add your comments here)
option subnet-mask 255.255.255.0;
option broadcast-address 192.168.0.255;
option routers 192.168.0.1;
option domain-name-servers 192.168.3.1, 1.1.1.1;
subnet 192.168.0.0 netmask 255.255.255.0 {
range 192.168.0.10 192.168.0.100;
#range 192.168.1.10 192.168.1.20;
}
Ich hatte ein paar Probleme mit der Konfig, weil da ; fehlten. Mit folgendem Befehl kann man die Konfig testen.
dhcpd -t -cf /etc/dhcp/dhcpd.conf
Starten
sudo service isc-dhcp-server start
Status
sudo service isc-dhcp-server status
Am Ende klappt alles so, wie ich es mir vorgestellt habe.
Speedtest
frank@debian:~$ iperf3 -s
-----------------------------------------------------------
Server listening on 5201
-----------------------------------------------------------
Accepted connection from 192.168.3.10, port 41128
[ 5] local 192.168.3.213 port 5201 connected to 192.168.3.10 port 41130
[ ID] Interval Transfer Bitrate
[ 5] 0.00-1.00 sec 61.9 MBytes 519 Mbits/sec
[ 5] 1.00-2.00 sec 73.2 MBytes 614 Mbits/sec
[ 5] 2.00-3.00 sec 73.1 MBytes 613 Mbits/sec
[ 5] 3.00-4.00 sec 73.4 MBytes 615 Mbits/sec
[ 5] 4.00-5.00 sec 73.2 MBytes 614 Mbits/sec
[ 5] 5.00-6.00 sec 73.0 MBytes 613 Mbits/sec
[ 5] 6.00-7.00 sec 73.3 MBytes 615 Mbits/sec
[ 5] 7.00-8.00 sec 73.3 MBytes 615 Mbits/sec
[ 5] 8.00-9.00 sec 73.7 MBytes 619 Mbits/sec
[ 5] 9.00-10.00 sec 73.7 MBytes 618 Mbits/sec
[ 5] 10.00-10.07 sec 5.82 MBytes 679 Mbits/sec
- - - - - - - - - - - - - - - - - - - - - - - - -
[ ID] Interval Transfer Bitrate
[ 5] 0.00-10.07 sec 728 MBytes 606 Mbits/sec receiver
-----------------------------------------------------------
Server listening on 5201
-----------------------------------------------------------
Accepted connection from 192.168.3.10, port 41132
[ 5] local 192.168.3.213 port 5201 connected to 192.168.3.10 port 41134
[ ID] Interval Transfer Bitrate Retr Cwnd
[ 5] 0.00-1.00 sec 94.7 MBytes 794 Mbits/sec 0 3.05 MBytes
[ 5] 1.00-2.00 sec 97.5 MBytes 818 Mbits/sec 0 3.05 MBytes
[ 5] 2.00-3.00 sec 97.5 MBytes 818 Mbits/sec 0 3.05 MBytes
[ 5] 3.00-4.00 sec 96.2 MBytes 808 Mbits/sec 0 3.05 MBytes
[ 5] 4.00-5.00 sec 96.2 MBytes 807 Mbits/sec 0 3.05 MBytes
[ 5] 5.00-6.00 sec 97.5 MBytes 818 Mbits/sec 0 3.05 MBytes
[ 5] 6.00-7.00 sec 96.2 MBytes 807 Mbits/sec 0 3.05 MBytes
[ 5] 7.00-8.00 sec 96.2 MBytes 807 Mbits/sec 0 3.05 MBytes
[ 5] 8.00-9.00 sec 97.5 MBytes 818 Mbits/sec 0 3.05 MBytes
[ 5] 9.00-10.00 sec 97.5 MBytes 818 Mbits/sec 0 3.05 MBytes
[ 5] 10.00-10.04 sec 3.75 MBytes 803 Mbits/sec 0 3.05 MBytes
- - - - - - - - - - - - - - - - - - - - - - - - -
[ ID] Interval Transfer Bitrate Retr
[ 5] 0.00-10.04 sec 971 MBytes 811 Mbits/sec 0 sender
-----------------------------------------------------------
Server listening on 5201
-----------------------------------------------------------
Es ist nicht voll die Bandbreite der Gigabit Schnittstelle. Ob das jetzt normal ist, kann ich nicht sagen, ich mache dazu aber noch ein paar Tests.
Die Quelle des Scriptes habe ich nicht mehr vorliegen. Möchte mich aber hier dafür bedanken! Ich habe es etwas angepasst, damit es einfacher ist es zu administrieren. Bitte auf diese zwei Zeilen achten!
# TEST Please remove!!
iptables -A INPUT -i $OUTIF -s ${OUTNET} -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT
Das habe ich mir eingebaut, um über das WAN auf den ROCKPro64 zu kommen. Das ist, je nach Anwendung, nicht unbedingt sinnvoll. Also aufpassen und ggf. auskommentieren!
Direkt im Kernel vorhanden? Über Aufklärung würde ich mich freuen.