habe eben mal einen FW-Trace mitlaufen lassen und bin dabei auf folgende komische Einträge gestoßen:
Code: Alles auswählen
[Firewall] 2008/04/06 03:27:54,800
Packet matched rule (null)
DstIP: 68.142.72.250, SrcIP: 84.147.71.228, Len: 29, DSCP: unknown (4), ECT: 0, CE: 0
Prot.: UDP (17), DstPort: 27010, SrcPort: 27015
fragment packets on T-ONLINE to 256
Ferner ist mir im Lanconfig aufgefallen, wenn man unter Firewall/QOS->Regeln bei einer Regel im Reiter Trigger/Aktion-Set das Kreuz bei "Markieren mit DiffServ-CP:" setzt, dass dann der Eintrag in der Aktionsliste plötzlich Sonderzeichen enthält. Dies Tritt seit dem Lanconfig 7.52 auf.
Mein eigentliches Problem ist aber folgendes:
Ich betreibe gewisse Dienste in einer DMZ hinter NAT. Die relevanten Ports sind per Portforwarding vom LANCOM zu den Servern weitergeleitet (1x IPSec und 1x UDP 27015). Das klappt ganz gut. Ich würde jetzt gerne Mindesbandbreiten für die Verbindungen mit den Servern festelegen bzw. Paketfragmentierung einschalten (beides nur für den Upload der Server ins Internet). Es soll aber erst eine Reservierung vorgenommen werden, wenn pro Verbindung ca. 50 Pakete übertragen wurden, da sonst jede einfache Kurzanfrage zu einer Bandbreitenreservierung führen würde. Für normale ausgehende Verbindungen aus dem LAN (z.B. Mailversand) habe ich die Reservierung ohne Probleme hinbekommen, aber diesem speziellen Fall will es absolut nicht klappen.
Meine Regel für 49 KBit Mindestbandbreite je Verbindung vom lokalen UDP-Port 27015 ins Internet plus Fragmentierung des Resttraffic auf 257 Byte sieht so aus (Die krummen Zahlen sind damit ich es besser im LANMONITOR kontrollieren kann):
Code: Alles auswählen
Prot. Quelle Ziel Aktion verknuepft Prio Aktiv VPN-Regel Stateful Rtg-Tag Kommentar
UDP %S27015 %A10.0.3.11 ANYHOST %Lcp50 %A %N %Ft257 @i %Qctds49 @i nein 2 ja nein ja 0 QOS: 49 KBit pro Verb., ab 50 Pkt., 10.0.3.11:27015
- Muss man eigentlich den Router neu starten, nach dem man neue FW-Regeln eingespielt hat oder ziehen die sofort?
- Ist die Verbindungsquelle bzw. -ziel bei einer FW-Regel aus Sicht eines Paketfilters zu sehen oder spielt dabei eine Rolle wer die Verbindung aufgebaut hat?
- Kann für UDP oder IPSec eine Mindestbandbreite hinterlegt werden (Server jeweils hinter dem LANCOM, per Portforwarding)?
- Was zeigt der LANMONITOR bei "TX bevorzugt" an? Ist das die korrekte Summe aller Reservierungen?
- Wird "TX bevorzugt" sofort für jede Verbindung mit Mindestbandbreite hochgezählt oder erst später, wenn z.B. die Bandbreite knapp wird?
- Wenn ich in der FW-Regel eine SNMP-Info hinterlege kommt die dann pro Paket, das verarbeitet wird, oder pro Verbindung nur 1x?
- Ich habe das Gefühl, dass nicht alle sonstigen Pakete in die normalerweise in der DENY-All-Regel landen müssten, z.B. Portscanns, zuvor ausgefiltert werden und dabei keine Meldung im LANMONITOR (SNMP) erfolgt.
- Gibt es die Möglichkeit genau in Erfahrung zu bringen für welche Verbindungen welche Mindestbandbreite aktuell zugeteilt ist (quasi die Detailansicht von "TX bevorzugt"im LANMONITOR)?
Ist es ferner normal, dass die Allow-Regel für das Weiterleiten von IPSec so komisch aussieht? Bei Prot. in der 1. Spalte steht was ganz anderes als bei den anderen Regeln (aus Webconfig kopiert). Die Regel wurde mit LANCONFIG erzeugt....
Code: Alles auswählen
Prot. Quelle Ziel Aktion verknuepft Prio Aktiv VPN-Regel Stateful Rtg-Tag Kommentar
FW_ALLOW_0 ANYHOST %S500,4500 %A10.0.3.1 %Lcrds0 %A nein 1 ja nein ja 0 default route -> 10.0.3.1 (IPSec)
Viele Grüße
gm
PS: Firmware ist mittlerweile die 7.30, hatte vorher die 7.28
Edit:
Kann es sein, dass es am Portforwarding liegt, dass die QoS-Regeln einfach nicht greifen wollen?
backslash