iptables adresse von eth1 wird als localhost interpretiert
Thomas
ich hoffe mal, das kann hier rein.
Ich habe einen Rechner mit 3 Netzwerkschnittstellen (ubuntu). Aktiviert
und konfiguriert habe ich hierbei eth0 mit 192.160.0.10 und eth1 mit
192.168.23.5. eth2 ist erst mal aussen vor. Die IPs spielen aber
eigentlich keine Rolle, denn es ist egal, wie ich das Netz konfiguriere.
Das eigentliche Problem ist, dass wenn ich eine iptables-Regel hinzufüge
und dabei die Adresse oder das Netzwerk von eth1 angebe ich im Regelwerk
anschliessend localhost statt dessen stehen habe.
z.B. iptables -A FORWARD -s 192.168.23.0/24 -d ! 192.168.23.5 -j ACCEPT
führt zu
ACCEPT tcp -- localhost/24 !localhost anywhere
In der /etc/hosts habe ich auch schon nachgeschaut. Dort ist auch kein
Eintrag, der mir diese IP mit localhost verknüpfen könnte. Dort ist
lediglich der Standarteintag, der auf 127.0.0.1 verweist.
Gerade beim schreiben habe ich noch ein nslookup auf 192.168.23.5
ausgeführt und siehe da, als Antwort kommt localhost .... sehr
merkwürdig ....
Als Nameserver habe ich meinen Router (Netgear WGR614v5) eingetragen,
aber der macht doch nichts weiter als die Anfragen an den Provider
weiter zu leiten.
...
Hab noch ein bischen weiter probiert ...
also jede beliebiege IP aus den "privaten Netzen" liefert localhost als
Antwort, egal, ob ich von diesem Rechner anfrage, oder von meinem
Desktop (debian testing). Nehme ich eine bekannte Adresse aus dem
Internet, so ist die Auflösung OK.
Woran kann das liegen? Das ist mir bisher noch nicht aufgefallen.
Möglich, dass das ja auch OK ist.
Was aber auf keinen Fall ok ist, ist die Tatsache, dass in der iptables
Regel der "falsch" interpretierte Name auftaucht und somit die Regel
falsch ist.
nochmal kurz:
nslookup 192.168.23.5 liefert name = localhost
nslookup localhost liefert ip = 127.0.0.1
Ich hoffe, hier weiß jemand Rat, denn ich hänge irgendwie fest ....
Gibt es evtl. eine Möglichkeit, die Namensauflösung beim Einstellen des
Regelwerkes abzuschalten?
Gruß,
Thomas
Thomas
nichts passendes.
Also es scheint so zu sein, das das ganze ein reines DNS Problem ist.
Warum werden beliebige Adressen aus den Subnetzen 10.xxx, 172.xxx und
192.168.xxx nach localhost hin aufgelöst?
Dabei ist es egal, ob ich meinen Router oder die Nameserver von Arcor in
der /etc/resolv.conf habe.
Wie sieht das denn bei euch aus? Welche Antworten kommen von den
Nameservern?
Sonst funktioniert hier alles wunderbar.
Das blöde ist nur, die Ubuntu Kiste fungiert als
Authentifikationsgateway und da die IPs ja fälschlicherweise mit
localhost eingetragen werden wird der Verkehr der an dem Gateway
angemeldeten Clients nicht geforwardet.
Kann man den lookup für die Filterregeln abschalten?
Ich fall hier noch vom Glauben ab ....
Gruß,
Thomas
Stefan Haensch
Hallo Thomas!
03 May 08 22:34, Thomas schrieb an All:
T> Also es scheint so zu sein, das das ganze ein reines DNS Problem ist.
Sieht so aus.
T> Ich fall hier noch vom Glauben ab ....
Schau mal in die nsswitch
Ich bin nicht Fit auf Iptables, aber da kann man(n) schon ne Menge "falsch"
machen.
Also normalerweise sollte ein nslookup auf die private Ip-Adresse einen
"Fehler" liefern - wegen fehlender Rückwärtsauflösung.
schnulli:/etc# nslookup 192.168.7.77
Server: 213.191.74.11
Address: 213.191.74.11#53
** server can't find 77.7.168.192.in-addr.arpa: NXDOMAIN
Fragt man dagegen den Router (hier 177)
schnulli:/etc# nslookup 192.168.7.77 192.168.7.177
Server: 192.168.1.177
Address: 192.168.1.177#53
77.7.168.192.in-addr.arpa name = schnulli.charon.
Bye/lnx Stefan
... Systemuptime is over 8 days,
Thomas
Ich habe jetzt mal einen anderen Nameserver probiert, und siehe da, die
Antworten sind richtig, es kommt kein localhost mehr.
Es scheint, als hätte Arcor momentan ein Konfigurationsproblem ihrer
DNS-Server ...
Was mich allerdings auch noch verwunderte war, dass die Ausgabe von
iptables -L recht schnell durchgelaufen ist.
Ich meine, nachdem ich den Befehl abgesetzt habe, kam sofort die gesamte
Ausgabe. Normalerweise dauert der Output "relativ" lange.
Gruß,
Thomas
Tobias Crefeld
> Ich habe jetzt mal einen anderen Nameserver probiert, und siehe da, die
> Antworten sind richtig, es kommt kein localhost mehr.
> Es scheint, als hätte Arcor momentan ein Konfigurationsproblem ihrer
> DNS-Server ...
Nein, das ist schon recht lange so bei denen und wahrscheinlich Absicht.
Wenn Du eine spezielle Aufloesung Deiner RFC-Adressen benoetigst, dann
musst Du einen eigenen Nameservice einrichten. Bei einem einzelnen Rechner
mag es ausreichen, dem Resolver beizubringen, zuerst in die /etc/hosts zu
schauen und dort alle lokal verwendeten Adressen zu hinterlegen. Ansonsten
richtet man einen eigenen, kleinen Nameserver ein, der authoritative fuer
die von Dir verwendeten RFC-Adressen ist und ansonsten DNS-forwarding zum
Einwahlrouter macht - sofern mit DNS-proxy ausgestattet.
Die Arcor-DNS wuerde ich nicht fest eintragen, weil sie nach meiner
Erfahrung gelegentlich nicht erreichbar sind oder ihre Adresse wechseln.
Dann lieber einen caching-Nameserver, der alle Adressen selbst ab root-DNS
aufloest.
Diese Variante sollte man auch waehlen, wenn der Einwahlrouter als DHCP-
Server im LAN fungiert. Dann sollte im Einwahlrouter der lokale Nameserver
eingetragen werden, damit dieser Eintrag per DHCP an die uebrigen Hosts im
LAN verteilt wird.
Gruss,
Tobias.