oscam ignoriert firewall?

[rakuri]

Hallo Zusammen,

habe folgendes Problem. Oscam ignoriert eiskalt meine Firewall.

Ich nutze den wdr3600 mit OpenWrt Barrier Breaker 14.07 r42625 und oscam r9917.
Der TP-Link ist über WAN mit einem Internet Router verbunden.
Die Firewall ist so eingestellt, dass der gesamte Internetverkehr über openvpn läuft.

Wenn die TP-Box erstmal läuft und sich mit dem VPN Netz verbunden hat, funktioniert alles. Gesamte Internet Verbindung sowie oscam geht über VPN Netz.
Sobald jedoch Openvpn keine Verbindung hat, kann kein Wlan und Lan Nutzer ins Internet (ist ja auch Richtig so!), aber Oscam verbindet sich dann mit dem ISP Internet Netz, welches ich eigentlich unterbunden habe.

Dies geschieht immer beim TP-Box neu start. Oscam Verbindet sich mit ISP Netz solange sich Openvpn verbindet. Wenn VPN die Verbindung aufgebaut hat schaltet Oscam auf das VPN Netz um.

Irgend eine Idee?

Config Firewall:

Spoiler

config defaults
option syn_flood '1'
option input 'ACCEPT'
option output 'ACCEPT'
option forward 'REJECT'

config zone
option name 'lan'
option input 'ACCEPT'
option output 'ACCEPT'
option network 'lan'
option forward 'REJECT'

config zone
option name 'wan'
option forward 'REJECT'
option network 'wan wan6'
option output 'ACCEPT'
option input 'ACCEPT'

config rule
option name 'Allow-DHCP-Renew'
option src 'wan'
option proto 'udp'
option dest_port '68'
option target 'ACCEPT'
option family 'ipv4'

config rule
option name 'Allow-Ping'
option src 'wan'
option proto 'icmp'
option icmp_type 'echo-request'
option family 'ipv4'
option target 'ACCEPT'

config rule
option name 'Allow-DHCPv6'
option src 'wan'
option proto 'udp'
option src_ip 'fe80::/10'
option src_port '547'
option dest_ip 'fe80::/10'
option dest_port '546'
option family 'ipv6'
option target 'ACCEPT'

config rule
option name 'Allow-ICMPv6-Input'
option src 'wan'
option proto 'icmp'
list icmp_type 'echo-request'
list icmp_type 'echo-reply'
list icmp_type 'destination-unreachable'
list icmp_type 'packet-too-big'
list icmp_type 'time-exceeded'
list icmp_type 'bad-header'
list icmp_type 'unknown-header-type'
list icmp_type 'router-solicitation'
list icmp_type 'neighbour-solicitation'
list icmp_type 'router-advertisement'
list icmp_type 'neighbour-advertisement'
option limit '1000/sec'
option family 'ipv6'
option target 'ACCEPT'

config rule
option name 'Allow-ICMPv6-Forward'
option src 'wan'
option dest '*'
option proto 'icmp'
list icmp_type 'echo-request'
list icmp_type 'echo-reply'
list icmp_type 'destination-unreachable'
list icmp_type 'packet-too-big'
list icmp_type 'time-exceeded'
list icmp_type 'bad-header'
list icmp_type 'unknown-header-type'
option limit '1000/sec'
option family 'ipv6'
option target 'ACCEPT'

config include
option path '/etc/firewall.user'

config zone
option input 'ACCEPT'
option output 'ACCEPT'
option name 'VPN'
option network 'VPN'
option masq '1'
option mtu_fix '1'
option forward 'REJECT'

config forwarding
option dest 'VPN'
option src 'lan'

Config Netzwerk

Spoiler

config interface 'loopback'
option ifname 'lo'
option proto 'static'
option ipaddr '127.0.0.1'
option netmask '255.0.0.0'

config globals 'globals'
option ula_prefix 'fd88:eee1:878f::/48'

config interface 'lan'
option force_link '1'
option proto 'static'
option netmask '255.255.255.0'
option ip6assign '60'
option type 'bridge'
option dns '208.67.220.220 208.67.222.222'
option ipaddr '192.168.2.1'
option ifname 'eth0.1'
option gateway '192.168.1.2'

config interface 'wan6'
option ifname '@wan'
option proto 'dhcpv6'

config switch
option name 'switch0'
option reset '1'
option enable_vlan '1'

config switch_vlan
option device 'switch0'
option vlan '1'
option ports '0t 2 3 4 5'

config switch_vlan
option device 'switch0'
option vlan '2'
option ports '0t 1'

config interface 'VPN'
option proto 'none'
option ifname 'tun255'

config route
option interface 'lan'
option gateway '192.168.1.2'

config interface 'wan'
option ifname 'eth0.2'
option proto 'static'
option netmask '255.255.255.0'
option gateway '192.168.1.1'
option dns '208.67.220.220 208.67.222.222'
option ipaddr '192.168.1.2'

 

[DreamHD]

AW: oscam ignoriert firewall?

Unterbinde den Traffic aller Ports auf die OScam reagiert mit einer Traffic Rule.

config rule
        option enabled '1'
        option src 'lan'
        option dest 'wan'
        option name 'BlockOscam'
        option dest_port '23345'
        option target 'DROP'

Weiters würde ich noch alle Ports blocken auf die Oscam lauscht:

config rule
        option src 'wan'
        option proto 'tcp udp'
        option dest_port '8800'
        option name 'OscamWebif'
        option target 'DROP'

 

[rakuri]

AW: oscam ignoriert firewall?

Danke.

Leider funktioniert die Lösung auch nicht.
Von wo sind die Ports die da angegeben hast?
Kann sein, dass ich andere habe.

 

[DreamHD]

AW: oscam ignoriert firewall?

Natürlich hast du andere Ports.
Vielleicht beschreibst du einfach an "erfundenen" Ports was genau du blocken möchtest.


Grüße

 

[rakuri]

AW: oscam ignoriert firewall?

ich möchte eine C Line Blocken, damit die nur über VPN verbindet.

Die Line hat den Port 22001.

Mit der Config Rule mit dem Port 22001 hat es leider nicht geklappt.

 

[DreamHD]

AW: oscam ignoriert firewall?

Aber der Server und der Client befinden sich nicht im selben VPN Netzwerk?

 

[rakuri]

AW: oscam ignoriert firewall?

Gibt nur home client. Der verbindet sich direkt zum Server im home netz.

Server dann über vpn mit der c-line.

 

[DreamHD]

AW: oscam ignoriert firewall?

Aber wenn Client und Server im VPN Netz sind dann ist das eine Adresse im VPN und es ist gar nicht möglich das sich OScam damit verbindet wenn die VPN Verbindung gar nicht steht.

 

[rakuri]

AW: oscam ignoriert firewall?

Wenn ich vpn über putty stoppe, können alle Geräte nicht mehr ins Internet.

oscam jedoch verbindet sich direkt danach mit dem normalen Netz.

Ebenso beim Neustart von openwrt lässt sich das erkennen. Oscam verbindet sich mit dem inet bevor vpn aufgebaut ist.
Wenn die vpn Verbindung steht wechselt oscam das Netz.

Geprüft habe ich das mit einem zweiten oscam Server, wo sich der openwrt server als client verbindet, damit ich die IP sehe.