shorewall router werkt niet

[superpeter]

hallo ik ben een router aan het bouwen gebaseerd op debian 9
shorewall en ISC DHCPd>
helaas kan ik vanuit het lokale netwerk geen verbinding maken naar internet.
ik snap echter niet waarom het niet werkt want voor mijn gevoel heb ik alles gewoon goed geconfigureerd.

men /etc/network/interfaces ziet er als volgt uit:

Code: Selecteer alles

source /etc/network/interfaces.d/*

auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
        address 192.168.178.253
        netmask 255.255.255.0
        gateway 192.168.178.1
iface eth0 inet6 auto

auto eth1
iface eth1 inet dhcp
iface eth1 inet6 auto

iface eth2 inet6 static
        address 2001:470:1f14:899::1
        netmask 64

auto hev6
iface hev6 inet6 v4tunnel
        address 2001:470:1f14:899::2
        netmask 64
        endpoint 216.66.84.46
        local 84.27.101.156
        ttl 255
        gateway 2001:470:1f14:899::1

in men dhcp.conf staat

Code: Selecteer alles

default-lease-time 600;
max-lease-time 7200;
ddns-update-style none;

# jenp
subnet 172.16.0.0 netmask 255.255.255.0 {
	option domain-name-servers 192.168.178.1, 8.8.8.8, 8.8.4.4;
	option domain-name "home.jenp.net";
	option subnet-mask 255.255.255.0;
	option routers 172.16.0.1;
	range 172.16.0.10 172.16.0.250;
	}

men shorewall bestanden bevatten de volgende onderdelen
zone

Code: Selecteer alles

fw firewall
net ipv4
dmz ipv4
loc ipv4

interface

Code: Selecteer alles

net eth0 detect dhcp,routefilter,tcpflags
dmz eth1 detect dhcp
loc eth2 detect dhcp

policy

Code: Selecteer alles

net	all	DROP
dmz	all	ACCEPT
loc	all	ACCEPT
fw all ACCEPT
all	all	CONTINUE

en men ruls heeft het volgende

Code: Selecteer alles

ACCEPT	all	fw	tcp	22
ACCEPT	all	fw	tcp	10000

hopelijk kan iemand me zeggen wat ik fout doe en waarom ik dus geen verbinding naar buiten kan maken

[vi coactus]

Ik heb er 0,0 verstand van, maar:
in je interface staat:

Code: Selecteer alles

net eth0 detect [b]dhcp[/b],routefilter,tcpflags
dmz eth1 detect dhcp
loc eth2 detect [b]dhcp[/b]

eth0 heb je statisch gedefinieerd. eth2 staat enkel geconfigureerd voor ipv6.
Heb je ook /etc/default/isc-dhcp-server aangepast zodat je dhcp server weet welke interface?
Dito voor de ip's, eth0 staat in 192.168.178.x maar in je dhcp config 172.16.0.y . Dat is toch ook niet correct?

[superpeter]

als eerste wat de ip adressen van 172.16.0 .1 deze hebben een hogere subnet dan dat de dhcp uit deelt.
met de gekozen subnet 255.255.0.0 kan ik in prinsiepe meerdere netwerken hebben waarvan 1 met adders reeks 172.16.0.1 tm 254 subnetmask 255.255.255.0
en een met reeks- 172.16.1.1 tm 254 met subnet 255.255.255.0
deze kunnen dan allebei de interface benaderen.
wat de interface config van shorewall betreft staan op eth0 inderdaad meer dingen aan dit omdat dat de externe kant is.
voor de interne kant hoeft dit niet allemaal aan te staan en staat het dus uit.
dus die configs zouden wel gewoon goed moeten zijn.
beetje uitleg over shorewall kun je hier vinden: https://shorewall.org/two-interface.htm

[jorim82]

Is de config zoals je beschrijft die van je "router" of die van je eigen pc/notebook?

Als het je shorewall router is mis ik de config van eth2.....

[superpeter]

ik zie nu ook dat eth2 er niet tussen staat.
ben beetje verbaasd dat hij er niet staat want het is die van de router.

de config van eth2 is:

Code: Selecteer alles

auto eth2
iface eth2 inet static
	address 172.16.0.1
	netmask 255.255.0.0
	

[jorim82]

Wat ik altijd als eerste wil weten met het troubleshooten bij dit soort problemen is "hoe ver je komt".

Zou je op je eigen pc/notebook eens een trace willen maken naar b.v. 8.8.8.8?

Dan kan je zien bij welke "hop" het verkeerd gaat.

[superpeter]

dat heb ik bij deze ge probeer
172.16.0.1 geeft reactie terug met een een tijt van <1ms
verder alles * * * request time out

met trace naar 8.8.8.8
als ook naar men kabelmodem 192.168.178.1

[superpeter]

HEHE heb het werkende
bij deze wil ik iedereen bedanken.
als men vraagt wat nu de oorzaak was moet ik zeggen.
pak de standaard voorbeeld configuratie voor 2interfaces en let goedop ip adressen en dergelijke dat die kloppen.

[jorim82]

Haha, mooi dat het werkt.