staging.inyokaproject.org

Hi,

meine Situation: Hab meinen Raspberry Pi als WLAN-Router konfiguriert, er strahlt sein eigenes WLAN "test" aus. Logge ich mich ins WLAN "test" ein, hab ich auch Internetzugang, da ich auf meinem Raspberry NAT konfiguriert habe - der Verkehr von wlan0 ("test" WLAN) über eth0 (an meinen Router angeschlossen) weitergeleitet wird.

Soweit, so gut. Jetzt möchte ich noch die Firewall am Raspberry konfigurieren, meine Clients sollen weiterhin im Internet surfen können. Aber ansonstne möchte ich alles abdrehen. Was ich gemacht habe:

sudo ufw default deny incoming
sudo ufw default allow outgoing

Also alle eingehenden Verbindungen verweigern, alle ausgehenden Verbindungen zulassen.

Damit meine Clients weiterhin Internetzugriff haben, habe ich für UFW auch NAT konfiguriert:

/etc/default/ufw ⇒ Parameter DEFAULT_FORWARD_POLICY auf "ACCEPT" ändern /etc/ufw/sysctl.conf ⇒ net.ipv4.ip_forward=1 ⇒ nicht mehr auskommentieren /etc/ufw/before.rules ⇒ folgendes einfügen:

# NAT table rules
*nat
:POSTROUTING ACCEPT [0:0]

# Forward traffic through eth0 - Change to match you out-interface
-A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE

# don't delete the 'COMMIT' line or these nat table rules won't
# be processed
COMMIT

Nachdem das erledigt war und ich die Firewall aktiviert habe mit (

sudo ufw enable

) hatten meine Clients im WLAN "test" noch immer keinen Internetzugang.

Daher habe ich noch die 80 (http), 443 (https) und 53 (dns) mit

sudo ufw allow 80

und

sudo ufw allow 443

und

sudo ufw allow 53

erlaubt.

Jetzt habe ich Internetzugang. War meine Vorgehensweise korrekt? Oder habe ich etwas falsch gemacht bzw. gäbe es einen einfacheren/sicheren Weg?

Kann ich z.B. auch den Port für ssh (22) erlauben, aber nur für eine bestimmte MAC-Adresse?

LG

Ufw kann meines Wissens nicht mit Mac-Adressen umgehen. Das müsstest Du wohl direkt mit iptables (bzw. bei neueren Distros mit nftables?) machen, kenne mich da aber auch nicht so richtig mit aus. Eine iptables-Regel würde wohl so aussehen:

sudo iptables -A INPUT -p tcp --destination-port 22 -m mac --mac-source <Mac_address> -j ACCEPT

Ist aber vielleicht auch nicht so gut, sowohl mit ufw als auch direkt mit iptables zu arbeiten.

Doc_Symbiosis schrieb:

Eine iptables-Regel würde wohl so aussehen:

sudo iptables -A INPUT -p tcp --destination-port 22 -m mac --mac-source <Mac_address> -j ACCEPT

Ich denke dem TE geht es um ausgehende Verbindungen zum TCP-Port 22, an eine IP-Adresse im Internet. Z. B.:

$ nc -zv 87.79.26.37 22    
Connection to 87.79.26.37 22 port [tcp/ssh] succeeded!

Denn er schreibt ja, dass vor Freigabe von ausgehenden Verbindungen zu den Ports 53, 80, 443, seine Clients kein Internetzugang hatten.

Das Wiki erklärt es: ufw

MAC-Adressen haben mit IP-Filtern nichts zu tun.

BTW: Mac-Adressen kann man eh nur im W/LAN (Subnetz des Routers oder gleichwertig) als Filter "benutzen". Via Internet geht das nur mit tapX-Interfaces (oder gleichwertig). Dafür kann man auch arptables benutzen oder nftables (... denn das "neue" arptables ist in nftables "integriert") benutzen.

arptables - ARP table administration (nft-based)