das schaut eh schon ganz schnucklig her...
hallo franz josef,
sry die verzögerte antwort, es hat aber gestern einen lustigen vorfall gegeben, der meinen beschäftigungsgrad deutlich erhöht hat. einem user in .nl is ein tikerl (rb850) abgraucht, der junge hat improvisiert mit dem ergebnis, daß 2 seiner 3 inet-zugänge gleich mal platt waren. bin fast weggebrochen vor lauter lachen...
zu deiner sache:
0. kleine eichung unsres jargons, da es bei deinen outputs ein paar hoppalas gegeben hat:
- wenn ich in einem code-abschnitt z.b. "> in pptp-c p" schreibe, dann ist mit "> " die eingabeauforderung gemeint, die nicht eingegeben werden darf. d.h. du machst net einfach copy&paste von "> in pptp-c p", sondern gibst am cli nur "in pptp-c p" ein.
- in dem folgenden text wirds code-abschnitte geben, die zeilen enthalten, die mit "# ***" beginnen. diese zeilen sind nur meine kommentare,
nicht ins cli pempern!
1. da deine config eh schon nett herschaut, solltest du vor den weiteren änderungen backups machen und diese backups auf einen lokalen rechner runterziehen. ein sog. "backup" besteht besteht bei den tikerls aus 3 teilen:
1.1 binäres backup
nicht human readable, aber nach einem reset problemlos einspielbar, sodaß der ausgangszustand *sauber* restauriert wird.
- Code: Alles auswählen
> sy b s n fjTikr6335s_ta_pptp_not_perfect_160623
# *** restauration des ausgangszustands nach einem reset mit:
> sy b l n fjTikr6335s_ta_pptp_not_perfect_160623
1.2 human readable exports
da gibts 2 typen: compact und verbose. der compact export is nix andres all diff der defaults, bei der verbose version hast du alles dabei. re-import der exports ist, freundlich formuliert, a bizzi schwindlig, du kannst aber in den exports wenigstens nachlesen, was du so bei der konfiguration getrieben hast.
- Code: Alles auswählen
# *** compact export, ab r6 der default export
> exp f fjTikr6335s_ta_pptp_not_perfect_160623
# *** verbose export muss ab r6 explizit angegeben werden, beachte das "v" im dateinamen
> exp f fjTikr6335s_ta_pptp_not_perfect_v160623 ver
# *** danach nachschauen, ob die 3 backups auch wirklich da sind mit
> fil p
optisch schaut das ganze so aus:
- tikerl_backups.png (61.64 KiB) 46880-mal betrachtet
wenn alles paßt, dann ziehst du die 3 backups mit scp oder ftp (im lan durchaus zulässig) auf deinen wartungsrechner, und danach steht dem vergnügen auf der blumenwiese nix mehr im weg...
2. die default route is falsch
das 2210er pire is im su-mode ein modem und weiß gar net, wo das inet überhaupt angesiedelt is, womit diese default route mit gate 10.0.0.138 fürn hugo is:
- Code: Alles auswählen
> ip route print
Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, B - blackhole, U - unreachable, P - prohibit
# DST-ADDRESS PREF-SRC GATEWAY DISTANCE
0 A S 0.0.0.0/0 10.0.0.138 1
du mußt diese route löschen und eine neue, richtige anlegen. bei dieser transaktion hast du 2 möglichkeiten:
2.1 statische default route:
- Code: Alles auswählen
# *** falsche route entfernen mit:
> ip r rem 0
# *** danach interface route setzen (ist zulaessig bei p-z-p-links) mit:
> ip r ad gate pptp-out1 distance 1 comment "default route via ppp-link"
2.2 dynamische default route (entspricht der ppp-option "defaultroute" unter linux):
- Code: Alles auswählen
# *** pptp-client stoppen mit:
> in pptp-c d pptp-out1
# *** dyn. routing aktivieren mit:
> in pptp-c set pptp-out1 add-default-route=y default-route-distance=1
# *** pptp-c reaktivieren mit:
> in pptp-c en pptp-out1
danach kontrolle mit "ip r p".
welche variante du jetzt nimmst, is eher eine frage des persönlichen geschmacks. ich hab die statische variante lieber, wenn nur 1 inetzugang vorliegt und deshalb keine fallback-spielchen aufgezogen werden können.
3. das masquerading is unklar,...
...weil du das produziert hast:
- Code: Alles auswählen
>> ip firewall nat add p
richtig heißt's, s.a. weiter oben, "ip f na p". wir gehen deshalb auf nummer sicher, machen die srcnat chain der nat table komplett platt und setzen danach das maquerading am out-intf pptp-out1 neu.
- Code: Alles auswählen
# *** srcnat chain planieren:
> foreach c=r in=[ip f na find chain="srcnat"] do={ip f na rem $r}
# *** wan-traffic maskieren
> ip f na ad ch srcnat out-int pptp-out1 action masquerade comment "masquerade outbound traffic via ppp-link"
4. die input chain is komplett offen, weil du die defaults net angepaßt hast...
im default sind die tikerls für kabelzugänge ausgelegt:
wan-intf: ether1, am ether1 werkelt ein dhcp-client, der sich via kabelmodem vom provider eine ip reinzieht.
und deshalb gibts konsequenterweise in der input chain diesen enddropper:
- Code: Alles auswählen
> 8 chain=input action=drop in-interface=ether1 log=no log-prefix=""
das is völlig korrekt für ein kabelzugangsszenario, das bei dir aber nicht vorliegt. dein in-intf lautet net "ether1", sondern "pptp-out1", i.e. der enddropper greift genau ins leere.
du änderst das ganze, und das wirklich pronto, mit:
- Code: Alles auswählen
> ip f f p
> ip f f set 8 in-int pptp-out1
das wär mal das wichtigste. falls es fragen oder unklarheiten geben sollte, dann einfach melden.
lg
zid
das ding röchelt noch...