1. Уважаемые посетители форума! Прежде чем помещать в форум новое сообщение о возникшей у Вас проблеме, пожалуйста, поищите ее решение в ответах на часто задаваемые вопросы FAQ, или воспользуйтесь поиском по форуму.
  2. Форум не является системой моментального ответа на вопросы. Если Вам необходимо получить ответ на ваш вопрос в кратчайшие сроки - пожалуйста, позвоните в ближайший к Вам региональный офис D-Link.
faq обучение настройка
Текущее время: Сб сен 20, 2025 00:16

Сообщения без ответов | Активные темы


Список форумов » ADSL и последняя миля

Часовой пояс: UTC + 3 часа




Начать новую тему Ответить на тему  Страница 1 из 1
  [ Сообщений: 12 ] 
  Предыдущая тема | Следующая тема 
Автор Сообщение
HighTower
 Заголовок сообщения: 500T, adsl2 прошивка, проблемы с firewall
СообщениеДобавлено: Пн авг 01, 2005 11:12 
Не в сети

Зарегистрирован: Пт фев 18, 2005 15:51
Сообщений: 152
Откуда: PutinsBurg
Собственно повторяю вопросы:

поствил прошивку, ничего не настраивал (только нат и фаер проверил что включены), смотрю на правила:

Код:
# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
CFG        tcp  --  192.168.1.5          anywhere           tcp dpt:www Records Packet's Source Interface

ACCEPT     all  --  anywhere             anywhere           state RELATED,ESTABLISHED
[color=red]ACCEPT     tcp  --  anywhere             anywhere           tcp dpt:ftp
ACCEPT     tcp  --  anywhere             anywhere           tcp dpt:ftp-data
ACCEPT     udp  --  anywhere             anywhere           udp spt:10290
ACCEPT     tcp  --  anywhere             anywhere           tcp spt:10290
ACCEPT     udp  --  anywhere             anywhere           udp dpt:10290
ACCEPT     tcp  --  anywhere             anywhere           tcp dpt:10290
ACCEPT     tcp  --  anywhere             anywhere           tcp dpt:domain
ACCEPT     udp  --  anywhere             anywhere           udp dpt:domain[/color]
ACCEPT     icmp --  anywhere             anywhere           icmp echo-request state NEW
ACCEPT     igmp --  anywhere             anywhere
[color=red]ACCEPT     udp  --  anywhere             anywhere           udp dpt:161[/color]
ACCEPT     all  --  anywhere             anywhere
DROP       all  --  anywhere             anywhere

Chain FORWARD (policy ACCEPT)target     prot opt source               destination
TCPMSS     tcp  --  anywhere             anywhere           tcp flags:SYN,RST/SYN TCPMSS set 1360
ACCEPT     all  --  anywhere             anywhere           state RELATED,ESTABLISHED
Chain FORWARD (policy ACCEPT)
DROP       tcp  --  anywhere             anywhere           tcp dpt:telnet
[color=red]ACCEPT     tcp  --  anywhere             anywhere           tcp dpt:ftp
ACCEPT     tcp  --  anywhere             anywhere           tcp dpt:ftp-data[/color]
DROP       udp  --  anywhere             anywhere           udp dpt:500
[color=red]ACCEPT     udp  --  anywhere             anywhere           udp dpt:domain
ACCEPT     tcp  --  anywhere             anywhere           tcp dpt:domain
DROP       udp  --  anywhere             anywhere           udp dpt:route[/color]
ACCEPT     icmp --  anywhere             anywhere           icmp echo-request state NEW
ACCEPT     igmp --  anywhere             anywhere
DROP       all  --  anywhere             anywhere

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
DROP       icmp --  anywhere             anywhere           state INVALID


собственно интересует, что за красные правила, в старых прошивках такого не было.

и второе:

при трейсе (по icmp или udp) модет в маршруте отсутсвует...
делаю трейс с freebsd с ip 192.168.1.5, подключённой напрямую к модему с 192.168.1.1
настройки фри и её фаера не менялись и всё работало с предыдущими прошивками.
делаю трейс до www.wplus.ru (собственно первый хоп должен быть модем):

по udp
Код:
# traceroute www.wplus.ru
traceroute to www.wplus.net (195.131.52.140), 64 hops max, 40 byte packets
 1  * * *
 2  10.36.71.1 (10.36.71.1)  50.847 ms  51.313 ms  49.524 ms
 3  nstyx-gw.wplus.net (195.131.84.232)  50.501 ms  49.952 ms  49.551 ms
 4  www.wplus.net (195.131.52.140)  49.630 ms  50.948 ms  51.318 ms


и смотрим на интерфейсе, в который воткрут шнурок в модем:
Код:
b# tcpdump -ni rl0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on rl0, link-type EN10MB (Ethernet), capture size 96 bytes
12:04:53.126840 IP 192.168.1.5.50442 > 195.131.52.140.33435: UDP, length: 12
12:04:58.130897 IP 192.168.1.5.50442 > 195.131.52.140.33436: UDP, length: 12
12:05:03.140830 IP 192.168.1.5.50442 > 195.131.52.140.33437: UDP, length: 12
12:05:08.150870 IP 192.168.1.5.50442 > 195.131.52.140.33438: UDP, length: 12
12:05:08.252730 IP 10.36.71.1 > 192.168.1.5: icmp 36: time exceeded in-transit
12:05:08.259323 IP 192.168.1.5.50442 > 195.131.52.140.33439: UDP, length: 12
12:05:08.307188 IP 10.36.71.1 > 192.168.1.5: icmp 36: time exceeded in-transit
12:05:08.309423 IP 192.168.1.5.50442 > 195.131.52.140.33440: UDP, length: 12
12:05:08.403269 IP 10.36.71.1 > 192.168.1.5: icmp 36: time exceeded in-transit
12:05:08.404652 IP 192.168.1.5.50442 > 195.131.52.140.33441: UDP, length: 12
12:05:08.453048 IP 195.131.84.232 > 192.168.1.5: icmp 36: time exceeded in-transit
12:05:08.459327 IP 192.168.1.5.50442 > 195.131.52.140.33442: UDP, length: 12
12:05:08.506739 IP 195.131.84.232 > 192.168.1.5: icmp 36: time exceeded in-transit
12:05:08.508942 IP 192.168.1.5.50442 > 195.131.52.140.33443: UDP, length: 12
12:05:08.557503 IP 195.131.84.232 > 192.168.1.5: icmp 36: time exceeded in-transit
12:05:08.559263 IP 192.168.1.5.50442 > 195.131.52.140.33444: UDP, length: 12
12:05:08.606984 IP 195.131.52.140 > 192.168.1.5: icmp 36: 195.131.52.140 udp port 33444 unreachable
12:05:08.613597 IP 192.168.1.5.50442 > 195.131.52.140.33445: UDP, length: 12
12:05:08.662408 IP 195.131.52.140 > 192.168.1.5: icmp 36: 195.131.52.140 udp port 33445 unreachable
12:05:08.664552 IP 192.168.1.5.50442 > 195.131.52.140.33446: UDP, length: 12
12:05:08.711484 IP 195.131.52.140 > 192.168.1.5: icmp 36: 195.131.52.140 udp port 33446 unreachable


делаем трейс по icmp: traceroute -I www.wplus.ru
Код:
12:07:32.666887 IP 192.168.1.5 > 195.131.52.140: icmp 40: echo request seq 1
12:07:37.670992 IP 192.168.1.5 > 195.131.52.140: icmp 40: echo request seq 2
12:07:42.681174 IP 192.168.1.5 > 195.131.52.140: icmp 40: echo request seq 3
12:07:47.691230 IP 192.168.1.5 > 195.131.52.140: icmp 40: echo request seq 4
12:07:47.752298 IP 10.36.71.1 > 192.168.1.5: icmp 36: time exceeded in-transit
12:07:47.759375 IP 192.168.1.5 > 195.131.52.140: icmp 40: echo request seq 5
12:07:47.809447 IP 10.36.71.1 > 192.168.1.5: icmp 36: time exceeded in-transit
12:07:47.811980 IP 192.168.1.5 > 195.131.52.140: icmp 40: echo request seq 6
12:07:47.859212 IP 10.36.71.1 > 192.168.1.5: icmp 36: time exceeded in-transit
12:07:47.860758 IP 192.168.1.5 > 195.131.52.140: icmp 40: echo request seq 7
12:07:47.906974 IP 195.131.84.232 > 192.168.1.5: icmp 36: time exceeded in-transit
12:07:47.913112 IP 192.168.1.5 > 195.131.52.140: icmp 40: echo request seq 8
12:07:47.960969 IP 195.131.84.232 > 192.168.1.5: icmp 36: time exceeded in-transit
12:07:47.962420 IP 192.168.1.5 > 195.131.52.140: icmp 40: echo request seq 9
12:07:48.010526 IP 195.131.84.232 > 192.168.1.5: icmp 36: time exceeded in-transit
12:07:48.012442 IP 192.168.1.5 > 195.131.52.140: icmp 40: echo request seq 10
12:07:48.060995 IP 195.131.52.140 > 192.168.1.5: icmp 40: echo reply seq 10
12:07:48.066811 IP 192.168.1.5 > 195.131.52.140: icmp 40: echo request seq 11
12:07:48.115931 IP 195.131.52.140 > 192.168.1.5: icmp 40: echo reply seq 11
12:07:48.117379 IP 192.168.1.5 > 195.131.52.140: icmp 40: echo request seq 12
12:07:48.164743 IP 195.131.52.140 > 192.168.1.5: icmp 40: echo reply seq 12


и опять модем не хочет ответить!

однако он пингуется:
Код:
# ping -c 5 192.168.1.1
PING 192.168.1.1 (192.168.1.1): 56 data bytes
64 bytes from 192.168.1.1: icmp_seq=0 ttl=255 time=2.533 ms
64 bytes from 192.168.1.1: icmp_seq=1 ttl=255 time=1.642 ms
64 bytes from 192.168.1.1: icmp_seq=2 ttl=255 time=1.687 ms
64 bytes from 192.168.1.1: icmp_seq=3 ttl=255 time=1.605 ms
64 bytes from 192.168.1.1: icmp_seq=4 ttl=255 time=1.630 ms

--- 192.168.1.1 ping statistics ---
5 packets transmitted, 5 packets received, 0% packet loss
round-trip min/avg/max/stddev = 1.605/1.819/2.533/0.358 ms


тут меня в очередной раз интересует, почему пинг до модема, подключённого напряму более 1 мс???

дальше интересней, делаю трейс только до модема:
Код:
# traceroute -n 192.168.1.1
traceroute to 192.168.1.1 (192.168.1.1), 64 hops max, 40 byte packets
 1  192.168.1.1  2.966 ms  2.817 ms  2.726 ms

опа, есть.
теперь по icmp:
Код:
# traceroute -nI 192.168.1.1
traceroute to 192.168.1.1 (192.168.1.1), 64 hops max, 60 byte packets
 1  192.168.1.1  2.947 ms  3.158 ms  2.668 ms


и снова обращаем внимание на задержки!

вообщем и целом всё.
Вернуться наверх
 Профиль  
 
HighTower
 Заголовок сообщения:
СообщениеДобавлено: Пн авг 01, 2005 15:44 
Не в сети

Зарегистрирован: Пт фев 18, 2005 15:51
Сообщений: 152
Откуда: PutinsBurg
а хотя бы из тех кто прошил, может подтвердить или опровергнуть такое поведение, если длинк молчит???
Вернуться наверх
 Профиль  
 
Гость
 Заголовок сообщения:
СообщениеДобавлено: Вт авг 02, 2005 09:34 
1. Что такое "красные правила"?
2. Действительно, при traceroute устройство не отвечает.
Вернуться наверх
  
 
HighTower
 Заголовок сообщения:
СообщениеДобавлено: Вт авг 02, 2005 09:46 
Не в сети

Зарегистрирован: Пт фев 18, 2005 15:51
Сообщений: 152
Откуда: PutinsBurg
Viktor Platov писал(а):
1. Что такое "красные правила"?

да в первом "коде" выделил некоторые правила тегом color=red, а оно не отработало во сложении - недоработки движка форума...
вот эти правила ещё раз:
Код:
Chain INPUT (policy ACCEPT)
...
ACCEPT     tcp  --  anywhere             anywhere           tcp dpt:ftp
ACCEPT     tcp  --  anywhere             anywhere           tcp dpt:ftp-data
ACCEPT     udp  --  anywhere             anywhere           udp spt:10290
ACCEPT     tcp  --  anywhere             anywhere           tcp spt:10290
ACCEPT     udp  --  anywhere             anywhere           udp dpt:10290
ACCEPT     tcp  --  anywhere             anywhere           tcp dpt:10290
ACCEPT     tcp  --  anywhere             anywhere           tcp dpt:domain
ACCEPT     udp  --  anywhere             anywhere           udp dpt:domain
...
Chain FORWARD (policy ACCEPT)target     prot opt source               destination
...
ACCEPT     tcp  --  anywhere             anywhere           tcp dpt:ftp
ACCEPT     tcp  --  anywhere             anywhere           tcp dpt:ftp-data
...
ACCEPT     udp  --  anywhere             anywhere           udp dpt:domain
ACCEPT     tcp  --  anywhere             anywhere           tcp dpt:domain
DROP       udp  --  anywhere             anywhere           udp dpt:route
...


последний дроп, меня смущает, если честно... как и ассепты тоже.

Viktor Platov писал(а):
2. Действительно, при traceroute устройство не отвечает.


когда ожидать поправленной прошивки? или файл конфигурации можно сохранить, попаравить и загрузить обратно?


и что с задержками до модема напрямую? почему они всё таки более 1 мс?
Вернуться наверх
 Профиль  
 
HighTower
 Заголовок сообщения:
СообщениеДобавлено: Вт авг 02, 2005 19:37 
Не в сети

Зарегистрирован: Пт фев 18, 2005 15:51
Сообщений: 152
Откуда: PutinsBurg
и ещё болт или фича, но факт:
Advanced->Virtual Server
говорим User, Add

и - можно ли по одним именем (правилом) создать проброс нескольких диапазонов портов?

получается что нет, делаю:

Rule Name: test
Protocol: tcp
Port Start: 7384
Port End: 7384
Port Map: 7384

давлю Apply - открывается таже форма, где внизу в таблице появляется моё правило и оно также появляется в списше User правил.
далее, ввожу новые параметры, опять жму Apply - и получаю, что предыдущее правило заменилось новым. Это нормальное поведение?



ищё интересно, почему, когда добавляю правила для виртуального сервера, то "You must save settings and reboot to take effect."
а когда менять галки в Advanced->Firewall, то они сразу применяются...
хотя и то и другое вызывает ipchains... опять странно.

далее, там же, в Firewall Configuration -> Service Filtering есть чекбокс "ICMP from LAN", т.е. блочить icmp из локалки...
но реакции нет, т.е. стоит ли галка, не стоит, модем доступен из локалки как по локальному, так и по внешнему ip!
а вот "Ping from External Network" - работает...

и предпоследнее
Firewall Configuration -> DoS Protection (Enabled) -> ICMP Redirection checking (on)
тоже забавно работает...
вот пример:
Код:
# traceroute -n www.dlink.ru
traceroute to www.dlink.ru (213.234.241.211), 64 hops max, 40 byte packets
 1  * * *
 2  10.36.71.1  47.969 ms  47.861 ms  48.599 ms
 3  195.131.84.254  55.438 ms  48.223 ms 192.168.1.1  2.545 ms

т.е. встали тут, видать не понравилось что то фаеру, за DoS атаку принял...

и последнее: раньше в старой прошивке можно было менять hostname и domain... сейчас же это нигде не видно, по модем рапортует что:
host: mygateway1
doman: ar7

ждём-с ответа 8) [/i]
Вернуться наверх
 Профиль  
 
Fedika
 Заголовок сообщения:
СообщениеДобавлено: Ср авг 03, 2005 03:38 
Не в сети

Зарегистрирован: Пт июл 02, 2004 09:18
Сообщений: 73
HighTower писал(а):
и последнее: раньше в старой прошивке можно было менять hostname и domain... сейчас же это нигде не видно, по модем рапортует что:
host: mygateway1
doman: ar7

ждём-с ответа 8) [/i]


Можно поправить в файле настроек.
Вернуться наверх
 Профиль  
 
HighTower
 Заголовок сообщения:
СообщениеДобавлено: Ср авг 03, 2005 13:13 
Не в сети

Зарегистрирован: Пт фев 18, 2005 15:51
Сообщений: 152
Откуда: PutinsBurg
Fedika писал(а):
Можно поправить в файле настроек.

сейчас так и сделал, благодаря тузле от McMCC, но хотелось бы меньше использовать "сторонних" тузл...
Вернуться наверх
 Профиль  
 
HighTower
 Заголовок сообщения:
СообщениеДобавлено: Ср авг 10, 2005 18:27 
Не в сети

Зарегистрирован: Пт фев 18, 2005 15:51
Сообщений: 152
Откуда: PutinsBurg
уж осень близится, а ни ответа ни чего...

может все в отпусках?

когда ждать исправления всех глюков что заявлены и разъяснений по вовпросам что я написал?
Вернуться наверх
 Профиль  
 
Гость
 Заголовок сообщения:
СообщениеДобавлено: Чт авг 11, 2005 10:21 
HighTower писал(а):
и - можно ли по одним именем (правилом) создать проброс нескольких диапазонов портов?

Нельзя


HighTower писал(а):
ищё интересно, почему, когда добавляю правила для виртуального сервера, то "You must save settings and reboot to take effect."
а когда менять галки в Advanced->Firewall, то они сразу применяются...
хотя и то и другое вызывает ipchains... опять странно.

Честно говоря, непонятно чего тут обсуждать?

HighTower писал(а):
далее, там же, в Firewall Configuration -> Service Filtering есть чекбокс "ICMP from LAN", т.е. блочить icmp из локалки...
но реакции нет, т.е. стоит ли галка, не стоит, модем доступен из локалки как по локальному, так и по внешнему ip!
а вот "Ping from External Network" - работает...

Это запрет прохождения протокола ICMP через раутер, а не запрет пинга изнутри
Вернуться наверх
  
 
HighTower
 Заголовок сообщения:
СообщениеДобавлено: Чт авг 11, 2005 10:33 
Не в сети

Зарегистрирован: Пт фев 18, 2005 15:51
Сообщений: 152
Откуда: PutinsBurg
Viktor Platov писал(а):
Честно говоря, непонятно чего тут обсуждать?

ну наверное то, каков глубокий смысл такой операции? в старой прошивке было правильно 2 пунка: один применить и сохранить настройки, а другой - перегрузиться...
сейчас же есть только одни!
и то, часть настроек применяется тут же, и не требует перегрузки девайса, а другая часть - требует! при этом эти настройки используют одну и туже улитилу ipchains

Viktor Platov писал(а):
Это запрет прохождения протокола ICMP через раутер, а не запрет пинга изнутри

а звучит громко как "ICMP from LAN"... дописали бы что ICMP from LAN to External Network!


понятно, пойдём длинным путём... :arrow: ибо отвечаете вы на не на всё, а как то выборочно, вроде и не спрашивали ничего.... :evil:


а как мои вопросы по поводу стрыннх правил в ipchains, которые я в одном из последних своих постов отдельно запостил?

так же по поводу задержек.

и о сроках выхода новой прошивки?
Вернуться наверх
 Профиль  
 
Гость
 Заголовок сообщения:
СообщениеДобавлено: Чт авг 11, 2005 11:07 
Правила фильтра обсуждать не будем, как и не будем обсуждать, почему в одном случае нужна перезагрузка, а в другом - нет.
Если у Вас есть какие-то проблемы с firewall на DSL-504T напишите. Абстрактные рассуждения о внутренней логике работы того или иного устройства выходят за рамки данного форума.
Дата выхода новой прошивки пока неопределена.
Вернуться наверх
  
 
HighTower
 Заголовок сообщения:
СообщениеДобавлено: Чт авг 11, 2005 12:57 
Не в сети

Зарегистрирован: Пт фев 18, 2005 15:51
Сообщений: 152
Откуда: PutinsBurg
Viktor Platov писал(а):
Абстрактные рассуждения о внутренней логике работы того или иного устройства выходят за рамки данного форума.


тогда два вопроса - где можно обсуждать логику вопроса устройства д-линк если не на форуме д-линк для получения компетентного ответа?

и что абстракного в вопросе "что за ерунда", при учёте что эта ерунда приведена???
или лично для вас это абстракция? тогда переадресуйте вопрос тому, кто понимает и для кого это конкретика!!!!!!!

как дети малые, чес слово...
Вернуться наверх
 Профиль  
 
Показать сообщения за:  Сортировать по:  
Начать новую тему Ответить на тему  Страница 1 из 1
  [ Сообщений: 12 ] 

Список форумов » ADSL и последняя миля

Часовой пояс: UTC + 3 часа


Кто сейчас на форуме

Сейчас этот форум просматривают: нет зарегистрированных пользователей и гости: 39

Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете добавлять вложения

Найти:
Перейти:  
Создано на основе phpBB® Forum Software © phpBB Group
Русская поддержка phpBB