ubuntuusers.de

Hallo Forum,

ich habe folgendes vor: Ich möchte eine Firewall (IPCop, ansonsten Endian) unter XEN installieren. XEN läuft bereits und ich habe schon ein Windows-Gast zum laufen bekommen.
Nun würde ich gerne eine Firewall einrichten da XEN ja anbietet PCI Geräte direkt durchzureichen.

Ich habe:
Einen Ubuntu 7.10 Server_amd64 mit Xen 3.1
Eine interne Netzwerkkarte auf dem Board (wird erkannt und kann benutzt werden)
Eine PCI WLan Karte (Broadcom 43xx, läuft in der Dom0 bereits, ist für meinen Internetzugang)

Ich würde gerne folgendes machen:
Eine grüne Zone (alle virtualisierten Server)
Eine rote Zone (Internet, über interne LAN Karte)
Eine DMZ Zone (für ein bis zwei Server)
Eine VPN Verbindung um von aussen in mein Netz mittels Zertifikat zu kommen

Die WLan Karte würde ich gerne als Access-Point nutzen, allerdings im grünen Netz, so das ich mit meinem Laptop wahlweise direkt zu meinem Router verbinde oder zu dem Access-Point im grünen Netz wenn ich an meine Daten möchte.

Jetzt weiss ich allerdings folgende Sachen nicht:
1.) Funktioniert die WLan Karte unter IPCop/Endian? (Wie gesagt unter Ubuntu hatte ich sie innerhalb 5 Minuten startklar)
2.) Kann ich die WLan Karte in das grüne Netz als Access-Point reinsetzen?
(Alternativ: Wie komm ich sonst gut in das Netz/an meine Daten? Andere Lösung als meine?)
3.) Ich habe NeoBikers Tutorial gelesen für die Endian. Muss ich wirklich einen eigenen Kernel bauen? Ist IPCop/Endian noch auf 2.4? Gibt es da nicht einen eigenen Weg?
4.) Wie muss ich unter Xen das Netzwerk Script gestalten damit die Dom0 nur Bridges hat (xenbr-green, xenbr-red, xenbr-dmz) so dass ich nachher allen anderen Gästen
einfach nur die entsprechende Bridge zuweisen muss

Ich hoffe das ihr ein paar Antworten habt, freu mch schon seit nem halben Jahr auf das Projekt und seit 2 Monaten hab ich die Hardware und probier mich in allen möglichen Sachen schlauzulesen ☺

Danke, Michael

so, ich mal wieder 😉

ich habe jetzt einfach mittels hvm die endian firewall in eine lvm installiert und dabei angegeben das ich xen nutze...
(so wie hier beschrieben: http://www.heise.de/ct/projekte/machmit/ctserver/wiki/Efw211Xen)

der letzte befehl schlägt allerdings fehl:

mkinitrd --with=xenblk --with=xennet /tmp/initrd.img 2.6.9-55.EL.endian18-xenU

das system sagt mir das die erforderlichen module für xenblk und xennet nicht vorhanden sind... wenn ich das ganze paravirtualisiert starte bekomme ich
auf der console vom endian eine kernel panic...

kann da jemand weiterhelfen?

wollt mal nachfragen, ob du schon eine Lösung gefunden hast?

Denn ich versuch es auch gerade und find nix....

nein leider nicht... ich würde sehr gerne xen benutzen aber ich brauche eine firewall!

also wer weiss welche firewall benutzbar ist (und mit der man per pciback.hide die interne netzwerkkarte übergibt) und die sachen wie zonen und vpn unterstützt
möge sich doch bitte hier melden ☺

Hi,
Shorewall und Xen vertragen sich bei mir sehr gut. Allerdings muß ich dabei sagen, das ich bis jetzt noch keine WLan Karte in eine DomU eingebaut habe und gleichzeitig in dieser auch die Firewall hab laufen lassen. Die Firewall läuft bei mir bei einem Projekt vor den ganzen DomU's auf der Dom0.
Gruß

mika81 hat geschrieben:

Die WLan Karte würde ich gerne als Access-Point nutzen, allerdings im grünen Netz, so das ich mit meinem Laptop wahlweise direkt zu meinem Router verbinde oder zu dem Access-Point im grünen Netz wenn ich an meine Daten möchte.

Da kann ich techmonkey nur zustimmen.
?? les ich da richtig.

Grünes Interface mit WLAN-Karte ??.

Dafür gibt es doch die Blaue Zone. Das ist ganz bewusst getrennt.

Also bitte wenn schon WLAN in nem Xen-Server mit Firewall, dann bitte in s blaue Segment.

Shorewall läuft so gut mit Xen, dass es auf der Shorewall-Site gleich mehrere Tutorials für Xen + Shorewall gibt.

Mit der Endian ist das schon ganz anders. Ich hab vor ein paar Monaten den c't-Server 2 mehrmals installiert und für schlecht befunden,
weil :
1. es nichtso ohne weiteres möglich ist an die Endian eine Netzwerkkarte durchzureichen.
2. Sicherheitstechnisch sagen wir suboptimal. (DNS + DHCP auf dom0).
3. mehrere kleinere Defizite.

Naja auf jeden Fall gibt es ja genügend Auswahl.

Wie wär's z.B. mit dem Firewallbuilder (Ubu-Repo's) ?
Damit lässt sich mit einer GUI die kpl. Firewall einfach zusammenklicken. (sehr praktisch)

Bei der Shorewall sollte man auf jeden Fall, den Log-LEvel runtersetzen, sonst müllt Shorewall einem das Image voll mit Logs.

Gruss reever

p.s.: mittlerweile hab ich wieder meine dedizierte Endian 2.2 mit 4 Zonen.

das mit dem wlan vergessen wir mal ganz schnell wieder ☺ mein fehler....

über shorewall hab ich auch schon nachgedacht, was ich bei endian und co aber so toll fand war das webinterface und die einfache einrichtung
von vpn, geht das mit shorewall auch so gut?

Jau gibt's !

Shorewall kannst mit webmin recht gut administrieren.

Gruss reever

hmm, also webadministration geht und pci karte durchreichen geht auch mit shorewall sagst du, das freut mich ☺

wie siehts mit dem openvpn aus? das ist auch sehr wichtig... hast du eventuell einen link zu einem shorewall/xen tutorial? ich
hab auf deren seite ein bisschen geguckt aber nicht wirklich was gefunden.

p.s.: wie siehts mit deinem wiki eintrag aus? keine zeit mehr dafür? ☺