FLI als Interner Router & mehr.

[Kay Martinen]

Hallo

Seit November kein Traffic hier? Ich hoffe es liest noch jemand mit.

Ich habe folgendes vor (Idee).

Hier habe ich einen Futro S200 Thin Client (Transmeta 700MHz, ca 256MB
RAM, Boot per interner CF) den ich zu ISDN & DSL-Zeiten schon als
Internet Router eingesetzt hatte.

Jetzt möchte ich den für folgendes Konfigurieren und hoffe das jemand
ähnliches schon machte und ggf. Tips geben kann.

1. LAN-LAN Router zwischen meinem Normalen LAN und 1-2 Abgetrennten
LAN-Segmenten, ggf. ohne Masquerading aber mit Firewall wg. OAC plus
dhcp für diese beiden Segmente.

2. In den PCI-Slot des S200 soll eine ISDN Karte die via Telmond anrufe
signalisieren und evtl. Faxe und AB annehmen/Senden soll. Ein
ISDN-Anschluß am vorgelagerten Router ist vorhanden.

3. Wg. obige Belegung VLAN Nötig. Mein LAN soll dabei untagged sein, die
anderen beiden (Retro PCs und ggf. getrennte Management-LAN) sollen
Tagged sein. Ob die via-rhine NIC des Futro das kann weiß ich noch
nicht. Ein Managed-Switch ist vorhanden.

4. Imond/telmond sollen sowohl zum Normalen LAN als auch zum Retro-LAN
hin erreichbar sein. Sollte per FW-Regel gehen oder?

5. Per OAC will ich ein generelles Deny All für die getaggten Internen
LAN-Segmente machen und in der WebUI des FLI dann nur manuell und bei
bedarf einen Host frei geben können.

6. Der FLI soll im Normalen LAN mit einer Festen IP stehen und ggf. auch
Gateway zu den beiden anderen LANs sein. Antwortpakete sollen natürlich
dann auch zurück kommen können in das Quellnetz. Kollidiert das mit OAC?

Als Beispiel mal skizziert:

LAN: 192.168.1.5/24
Defaultroute auf WAN-GW (Ein OPN das Masquerading zum WAN-Router macht)
WebUI, ssh, telmond u.a. (updates) erreichbar

Retro-VLAN:
192.168.5.x/24
dhcp vergabe an alte Windows, DOS, OS/2 Clients.
telmond/imonc ssh u.a. erreichbar auch von imonc.
kein masq, nur FW
OAC Deny all mit umschaltmöglichkeit via WebUI
routing von LAN->Retro und Netzroute von Retro->LAN (an OAC vorbei?)

Management-VLAN:
192.168.10.x/24
dhcp vergabe oder Static Leases an ILO o.a. Interfaces.
rest wie bei Retro.

Ich überlege auch ob ich die beiden VLANs nicht in einem zusammen führe
um es zu vereinfachen. So viele IP's sind es ja nicht.

Aktuell habe ich nur; wo ich dies hier aufschreibe; zweifel ob OAC mir
da nicht auch den Rückweg verbaut. Denn ich vermute das wird die Hosts
per FW-regel blocken und ob das nur in richtung LAN und Default-route
wirkt oder auch auf den Rückweg von Verbindungen von LAN zu Retro ist
mir nicht ganz klar.

Theoretisch könnte ich im LAN die Defaultroute ja auch ungültig machen
aber dann kommt überhaupt kein Host auf Kommando raus ins Internet und
OAC wäre komplett sinnlos.

Mal wieder so eine "Eierlegende Wollmilchsau" Idee oder? ;)

Bye/
/Kay

[Hans Bachner]

Hallo Kay,

Post by Kay Martinen
Hallo
Seit November kein Traffic hier? Ich hoffe es liest noch jemand mit.
Ich habe folgendes vor (Idee).
Hier habe ich einen Futro S200 Thin Client (Transmeta 700MHz, ca 256MB
RAM, Boot per interner CF) den ich zu ISDN & DSL-Zeiten schon als
Internet Router eingesetzt hatte.
Jetzt möchte ich den für folgendes Konfigurieren und hoffe das jemand
ähnliches schon machte und ggf. Tips geben kann.
1. LAN-LAN Router zwischen meinem Normalen LAN und 1-2 Abgetrennten
LAN-Segmenten, ggf. ohne Masquerading aber mit Firewall wg. OAC plus
dhcp für diese beiden Segmente.
2. In den PCI-Slot des S200 soll eine ISDN Karte die via Telmond anrufe
signalisieren und evtl. Faxe und AB annehmen/Senden soll. Ein
ISDN-Anschluß am vorgelagerten Router ist vorhanden.
3. Wg. obige Belegung VLAN Nötig. Mein LAN soll dabei untagged sein, die
anderen beiden (Retro PCs und ggf. getrennte Management-LAN) sollen
Tagged sein. Ob die via-rhine NIC des Futro das kann weiß ich noch
nicht. Ein Managed-Switch ist vorhanden.
4. Imond/telmond sollen sowohl zum Normalen LAN als auch zum Retro-LAN
hin erreichbar sein. Sollte per FW-Regel gehen oder?
5. Per OAC will ich ein generelles Deny All für die getaggten Internen
LAN-Segmente machen und in der WebUI des FLI dann nur manuell und bei
bedarf einen Host frei geben können.
6. Der FLI soll im Normalen LAN mit einer Festen IP stehen und ggf. auch
Gateway zu den beiden anderen LANs sein. Antwortpakete sollen natürlich
dann auch zurück kommen können in das Quellnetz. Kollidiert das mit OAC?
LAN: 192.168.1.5/24
Defaultroute auf WAN-GW (Ein OPN das Masquerading zum WAN-Router macht)
WebUI, ssh, telmond u.a. (updates) erreichbar
192.168.5.x/24
dhcp vergabe an alte Windows, DOS, OS/2 Clients.
telmond/imonc ssh u.a. erreichbar auch von imonc.
kein masq, nur FW
OAC Deny all mit umschaltmöglichkeit via WebUI
routing von LAN->Retro und Netzroute von Retro->LAN (an OAC vorbei?)
192.168.10.x/24
dhcp vergabe oder Static Leases an ILO o.a. Interfaces.
rest wie bei Retro.
Ich überlege auch ob ich die beiden VLANs nicht in einem zusammen führe
um es zu vereinfachen. So viele IP's sind es ja nicht.
Aktuell habe ich nur; wo ich dies hier aufschreibe; zweifel ob OAC mir
da nicht auch den Rückweg verbaut. Denn ich vermute das wird die Hosts
per FW-regel blocken und ob das nur in richtung LAN und Default-route
wirkt oder auch auf den Rückweg von Verbindungen von LAN zu Retro ist
mir nicht ganz klar.
Theoretisch könnte ich im LAN die Defaultroute ja auch ungültig machen
aber dann kommt überhaupt kein Host auf Kommando raus ins Internet und
OAC wäre komplett sinnlos.
Mal wieder so eine "Eierlegende Wollmilchsau" Idee oder? ;)
Bye/
  /Kay

Zu OAC kann ich nichts sagen. Der Rest sollte wohl funktionieren.

Bis vor gut einem Jahr hatte ich einen alten Igel Thin Client als Router
im Büro, der inzwischen durch einen APU ersetzt wurde. Dort hab ich eine
uralte quad-port Netzwerkkarte (mit einem DEC-Tulip-Chip) verwendet, um
produktives LAN, DMZ und Gast-LAN sauber zu trennen. Auf dem Port zum
(ungetaggeten) LAN habe ich mit fli4l-Mitteln noch ein VLAN draufgelegt,
was für die NIC überhaupt kein Problem war. Ich denke, dass die Hardware
gar nichts besonderes können muss - VLANs werden doch erst vom Treiber
auseinander klamüsert, auf Basis der VLAN-Infos im Netzwerkpaket.

Alles andere sollte mit Firewall-Regeln machbar sein - sofern OAC dem
nicht entgegensteht. Dieses Paket habe ich nie verwendet.

Halt uns auf dem Laufenden, wie es klappt :-)

Viele Erfolg,
Hans.

[Alexander Bahlo]

Am Wed, 3 Apr 2024 19:18:40 +0200

Post by Kay Martinen
Seit November kein Traffic hier? Ich hoffe es liest noch jemand mit.

Na klar :-)

Benutzt du bereits imon? Das hatte ich immer mit so ausreichenden
Voraussetzungen im Kopf, so dass ich das nie nutzen konnte. OAC
kenne ich ebenfalls nicht.

Viel Erfolg für dein Vorhaben!

Gruß, Alexander.

[Kay Martinen]

Post by Alexander Bahlo
Am Wed, 3 Apr 2024 19:18:40 +0200
Benutzt du bereits imon? Das hatte ich immer mit so ausreichenden
Voraussetzungen im Kopf, so dass ich das nie nutzen konnte. OAC
kenne ich ebenfalls nicht.

Was heißt ausreichend, und wieso "bereits"? Ich hab FLI seit der Version
1.5 oder 1.6 benutzt und damals waren imond und telmond mit die
WICHTIGSTEN Punkte für FLI. Denn ich hatte damals nur ISDN und da gab es
keine Flatrate, die LCR-Funktion fand ich wg. Umständlichkeit
unpraktisch also blieb nur Dialmode=Manual, erledigen was Online
brauchte und ein Hangup via windows-imonc. Zeitweilig hatte ich auch
cimon auf einem Server der per script anwählt, seine aufträge erledigte
und dann auflegte. AFAIR konnte man auch auf den imond port Telnetten
und die Kommandos direkt tippen aber das war umständlicher.

Und das der windows-imonc sowohl syslog, Filterlog, anruferlog und
meldung erledigte war der Clou dran. Denn ich hatte damals noch kein
ISDN Telefon und die Anrufmeldung kam zugleich mit dem Klicken der
Telefonanlage und merkbar vor dem Klingeln des Analogen Telefons daran. ;-)

Und nebenbei hatte ich auch noch eine Fidonet Mailbox laufen die auch
gern mal 1-2 Lines beanspruchte. Da ist es praktisch wenn man mit einem
Klick offline gehen konnte um einen der B-Kanäle frei zu machen.

OAC gab's damals noch nicht. Ich meine das kam erst nach 2.0.8 dazu.
Aber Traffic Control oder ähnlich hab ich gern mal genutzt da es zu
Non-Flatrate zeiten das Gesamtvolumen und das der Einzelnen Hosts
aufzeigte. Wenn man erst einen Volumen und dann einen Zeitvertrag hatte
machte das sinn. Ich meine da ging dann auch Drosselung bei
Überschreitung. Und OAC macht ja ähnliches (Block, statt Drosseln)

Bye/
/Kay

[Alexander Bahlo]

Am Sun, 7 Apr 2024 16:23:53 +0200

Post by Kay Martinen
Was heißt ausreichend, und wieso "bereits"? Ich hab FLI seit der Version
1.5 oder 1.6 benutzt und damals waren imond und telmond mit die
WICHTIGSTEN Punkte für FLI. Denn ich hatte damals nur ISDN und da gab es

Na, klasse.

Gruß, Alexander.

[Herbert Demmel]

Post by Kay Martinen
Hallo
Seit November kein Traffic hier? Ich hoffe es liest noch jemand mit.

es sind sicher noch ein paar sporadische Leser hier, aber vermutlich
kaum noch (aktive) Entwickler.

Post by Kay Martinen
Jetzt möchte ich den für folgendes Konfigurieren und hoffe das jemand
ähnliches schon machte und ggf. Tips geben kann.

Von mir gibt es leider keine von Erfahrung untermauerten Tips -
höchstens eine Idee.

Post by Kay Martinen
1. LAN-LAN Router zwischen meinem Normalen LAN und 1-2 Abgetrennten
LAN-Segmenten, ggf. ohne Masquerading aber mit Firewall wg. OAC plus
dhcp für diese beiden Segmente.

OAC soll also den Internet-Zugang für das Legacy-Segment und das
Management-LAN steuern. Mit dem normalen LAN hat OAC also nichts zu
tun.

Post by Kay Martinen
6. Der FLI soll im Normalen LAN mit einer Festen IP stehen und ggf.
auch Gateway zu den beiden anderen LANs sein. Antwortpakete sollen
natürlich dann auch zurück kommen können in das Quellnetz. Kollidiert
das mit OAC?

...

Post by Kay Martinen
Defaultroute auf WAN-GW (Ein OPN das Masquerading zum WAN-Router
macht) WebUI, ssh, telmond u.a. (updates) erreichbar

Steht OPN für OPNsense?

Wenn ja: die OPNsense kennt ein API, man kann also einzelne Regeln von
außen verändern. So eine Regel könnte analog zu OAC als Defaultwert in
der OPNsense-Oberfläche definiert werden. z.B. "OS/2-PC darf nicht ins
Internet; Regel ist aktiv". Von außen kann man die Regel deaktivieren
und nach getaner Arbeit wieder aktivieren. Für den API-Zugriff kann man
mit z.B. curl-Aufrufe verwenden und quasi OAC nachbauen.


zu Punkt 6: das mit den Antwortpakten kann ich nicht abschätzen. Aber Du
könntest auf dem Fli4L mit putty nachschauen, welche Paketfilterregeln
aktiv sind (WIMRE: netstat -tulpe). Dann schaltest Du mit OAC den
Internet-Zugriff für den OS/2-PC ein und schaust welche
Paketfilterregeln jetzt aktiv sind.

Der Vergleich der beiden netstat-Ausgaben sollte die Information liefern
was OAC am Paketfilter ändert.

Hoffentlich helfen die zwei Ideen weiter. Auch ich möchte nicht auf OAC
verzichten, aber irgendwann wird mir der fli4l als alleiniger Router
nicht mehr reichen. Leider habe ich nicht wirklich Zeit für die
Umstellung.

Herbert