Distribuce OpenWrt prakticky - 1

19. 12. 2005 | Petr Bravenec | Sítě | 32992×

WiFi přístupový bod a router Asus wl500g Deluxe: instalace nového firmware, používání minimalistické distribuce OpenWrt.

Úvod

Zhruba před rokem jsem si domů na hraní opatřil malou linuxovou mašinku - Wifi access point a router wl500gx od Asusu. Router běží na operačním systému Linux a navíc může celé zařízení komunikovat se světem i přes dva USB 2.0 porty. Původní firmware od Asusu je přístupný pouze přes internetový prohlížeč, ale dostupné zdrojové kódy dovolují firmware upravit a vytvořit si v routeru vlastní prostředí.

Zřejmě nejblíže má k firmwaru "opravdovému od Asusa" Olegův firmware. Nastavení zůstává téměř stejné, přibylo jen několik vylepšení. Olegův systém bude vyhovovat především lidem, kteří chtějí používat router v takové podobě, která se co nejvíce blíží původnímu záměru výrobce. Z mého hlediska však přinesl Oleg do routeru jednu z nejpodstatnějších věcí: příkazovou řádku.

Jakmile jsem se dovedl k routeru připojit pomocí telnetu či ssh, začal jsem experimentovat s Linuxem v routeru trochu více. Nicméně mě Olegův software nijak neuchvátil, protože jeho orientace na zpětnou kompatibilitu s původním Asus firware a zaměření na webové nastavení je velmi omezující. Dalším omezením Olegova firmware je nepřepisovatelný souborový systém squashfs. Připojil jsem tedy k routeru disk přes USB a zkusil nainstalovat nějakou normálnější distribuci - Gentoo. Po pár dnech hračičkování jsem Gentoo vzdal a odložil router k ledu. Až poměrně nedávno jsem narazil na systém OpenWrt a zajásal jsem: tohle je přesně ono - systém, který se snaží tvářit jako systém a ne jako soubor utilit na nastavování jednoho konkrétního kusu hardware.

Radost z každé hračky

Moje nadšení z distribuce OpenWrt pramení možná z toho, že jsem občas postaven před požadavek zajistit někde mimo civilizaci jednoduchý systém pro sběr dat - wl500 & OpenWrt mi nabízí lacinou a spolehlivou alternativu k obvyklému PC či k čistě hardwarovému řešení (8051).

Odkazy

http://oleg.wl500g.info/

Olegův firware je vhodný pro všechny, kteří chtějí mnohem více, než co routery od Asusu standardně nabízejí, ale nechtějí si příliš lámat hlavu s Linuxem samotným. Olegův firmware je vytvořen zcela v původním duchu Asusu.

http://www.openwrt.org/

Systém OpenWrt je minimalistický Linux pro bezdrátové routery. Narozdíl od Olegova firmware přichází OpenWrt s minimem přídavných funkcí, ale balíčkovací systém dovoluje doinstalovat další programy, případně odinstalovat programy, které jsou v základní distribuci, ale nechcete je používat. OpenWrt se tak více podobá běžným distribucím Linuxu na PC.

http://wl500g.info/

Diskusní forum o routeru wl500 a jeho příbuzných. I když se většina otázek týká softwarového vybavení, lze zde najít odpovědi i na dotazy typu "Jak rozšroubovat router?" nebo "Jak rozšířit router o RS232?"

http://www.macsat.com/

Stránky orientované na wl500, OpenWrt a Olegův firmware. Na stránkách je poměrně přehledná základní dokumentace. I když je na tomto webu informací méně, než na stránkách OpenWrt, jsou zde informace podané z trochu jiného úhlu pohledu a rozhodně stojí za to prostudovat i tento web.

Systém OpenWrt

Firmware v každém podobném zařízení předkládá uživateli hotovou sestavu funkcí, které lze jen těžko rozšiřovat nebo nahradit nepoužívané funkce jinými požadovanými vlastnostmi. OpenWrt se svými vlastnostmi podobá spíše běžným distribucím na PC. Základní firmware obsahuje jen minimální funkčnost, kterou lze dále rozšiřovat instalací dalších softwarových balíčků. V zařízení je firmware uloženo v paměti flash a OpenWrt umí zpřístupnit tuto paměť i pro zápis běžnými systémovými nástroji (textovým editorem). Jiné typy firmware jsou spíše jen sbírkou utilit, které můžeme či nemusíme používat, ale nelze se jich zbavit jinak, než přepsáním celého firmware. V kontrastu s tím připomíná práce s OpenWrt spíše práci na vzdáleném serveru - systém je možné přizpůsobovat momentálním podmínkám přímo za provozu.

Protože je systém OpenWrt určený především pro bezdrátové routery, je skladba balíčků orientovaná hlavně tímto směrem. Nechybí balíčky pro nastavení firewallu (iptables), pro vzdálený přístup k souborům (ftp, nfs, samba), pro dálkovou správu (telnet, ssh). Lze zprovoznit dokonce i http server a php.

Systém může běžet na dvou různých filesystémech: squashfs a jffs2. Squashfs je odolnější vůči haváriím (systém je pouze pro čtení) a jsou v něm uložené všechny balíčky firmware; zbytek systému (adresář /etc a podobně) je uložený na filesystému jffs2. Filesystém jffs2 je navržený firmou Axis speciálně pro embedded zařízení s pamětí flash. I tento filesystém by měl být odolný vůči výpadkům a haváriím a dovoluje pracovat s pamětí flash podobně jako s pevným diskem v běžném počítači.

Na čem lze OpenWrt provozovat

OpenWrt lze provozovat na procesorech Broadcom. Zařízení s tímto procesorem je celá řada. Na stránce http://wiki.openwrt.org/TableOfHardware můžete vyhledat svoje zařízení a přesvědčit se, jestli na něm lze OpenWrt zprovoznit.

Já jsem dostal do rukou pouze dvě zařízení schopná provozovat OpenWrt: Asus wl500g Deluxe a Asus wl300g. Výhodou obou strojů je velmi snadná dostupnost - obě zařízení se prodávají v cenách kolem dvou a půl tisíc, model wl500g je o pár stokorun dražší.

Co vlastně obsahuje Asus wl500g deluxe

Router obsahuje 200 MHz procesor Broadcom, 32 MB RAM, 4 MB paměti flash, dva porty USB 2.0, šest (snad) nezávislých 10/100 Mbit ethernetových rozhraní a wifi jednotku. Na jednom ethernetovém rozhraní je připojená wifi, další rozhraní je použito pro WLAN (připojení na internet) a zbývající čtyři rozhraní jsou propojena ve switchi pro připojení lokální sítě. V případě potřeby by mělo jít upravit rozdělení ethernetových portů - použít jeden port například pro připojení na internet, jeden port pro připojení demilitarizované zóny a zbývající tři porty spolu s wifi použít pro připojení lokální sítě.

Velikou výhodou jsou dva USB porty. V závislosti na nainstalovaném software lze připojit k USB například tiskárnu, disk či kameru (a vytvořit si jednoduchý systém pro hlídání objektu). Existují i experimentální drivery bluetooth zařízení, našinci mohou ocenit i možnost připojení k internetu přes CDMA modem od Eurotelu.

Zprovoznění kamery nebo CDMA modemu bude pravděpodobně jednodušší s Olegovým systémem, OpenWrt je ve své základní verzi koncipovaný příliš minimalisticky.

Zkušenosti z provozu

Na disku je strašně málo místa a instalace dodatečných balíčků trvá velmi, velmi dlouho, zvláště v případě, že místo na disku dojde. Nevydržíte-li s nervy a pokillujete rozjeté instalační procesy, můžete se dostat do stavu, že ipkg přestane fungovat úplně, a pak jsem našel asi jediné řešení - kompletní reinstalace firmware. Až při psaní tohoto článku jsem objevil soubor /usr/lib/ipkg/status (textový soubor s informacemi o nainstalovaných balíčcích). Cítím šanci, že až příště rozbourám balíčkovací systém, nebudu muset sahat po všeléku, který sluší spíše neunixovým typům operačních systémů.

Filesystém jffs2 se chová ve srovnání s normálními filesystémy značně nezvykle. Na disk, na kterém je 400 KB volného místa, není problém překopírovat 500 KB veliký soubor, ale na dokončení celé operace si můžete počkat třeba i několik desítek minut. Přerušení může mít za následek ztrátu místa na disku - naštěstí mi zatím vždy pomohl restart.

Pokud už sáhnu po reinstalaci, oceňuji, že velká část nejzákladnějšího nastavení je v paměti nvram, takže alespoň síťovou komunikaci nemusím nastavovat po úspěšné reinstalaci celého systému znovu.

Instalace samotná dokáže být velmi problematická. Zkusím jednou, podruhé, potřetí... a takhle mne dokáže router zaměstnat několik hodin. Pochopitelně, co už mám taky dělat s wl500 ve stavu oživlé mrtvoly, kdy na mě pouze smutně poblikává ledka, ze všech funkcí routeru funguje jen ping a tftp pro upload systému a nervozita narůstá. To ovšem nebude zřejmě problém systému, jako spíše routeru samotného.

Dlouhé roky jsem pracoval na počítači s procesorem 386 - nevadí mi, že si na některé věci musím chvíli počkat. 386 určitě není rychlejší, než procesor v routeru, ani 32 MB RAM není příliš omezující. Pamět flash pro uložení firmware se dá snadno rozšířit připojením externího disku, ale v momentě, kdy zkusím nastartovat větší množství aplikací, zjistím, že nelze zapnout swap. Shell busybox určený pro odlehčená řešení umí suplovat funkci programu swapon, ale příliš horlivý odlehčovatel při vytváření distribuce tuto možnost z překladu vyloučil. Olegům systém je v tomto směru okleštěný mnohem méně. Naštěstí není problém překopírovat z Olegova systému binárku busyboxu do OpenWrt. Bohužel v busyboxu Olegova systému zase chybí některé funkce, které se používají v OpenWrt.

Na závěr

Běžící systém na routeru wl500g je (dočasně) k nahlédnutí na adrese http://wl500.bravenec.org. Všetečky, kteří by snad chtěli zkoušet na zařízení portscanning, musím předem upozornit, že porty 135-139,445 filtruje můj ISP, nainstalovaná verze iptables filtrování jednotlivých portů neumí.

       

Komentáře

[Stanislav Petr]

Vypada to zajimave - hlavne seznam podporovanyho HW. Konecne vyndam se zkrine router Linksys, kterej pri priblizeni datovyho toku k 10Mbps spolehlive vytuhne. Treba to ted bude fungovat!

[hwsoft]

Hmm to bohuzel asi ne, teda jestli myslis to co ja, ze pokud pres WAN port tece vic dat, tak vyhnije. To je bug v driveru et.o a ten je closed source :(.

Ja pouzivam Asus WL500b s vymenenou miniPCI kartou (atheros CM9) a dokud jsem nepripojil jeden pocitac do WAN portu, zadnej problem a prenosovka az k 25MBitum/s

[Jiří Lisický]

Nekde mi to zatuhavalo, pak jsem prisel na to ze je to u lidi, kteri pouzivaji p2p site, jinak receno co vic tahaji. U nekterych stacilo pouzit pretaktovani na 216MHz, u jednoho cloveka to blblo furt. Uz jsem myslel ze to budem muset reklamovat a objevila se jeste dalsi nastaveni ohledne vylepseni stability. Dal jsem to tam a vypada to, ze to drzi. vice je na foru: forum.openwrt.org

[hwsoft]

No dik za link, vyzkousim

[astray]

Mame v provozu asi 80 kusu Linksysu WRT54-G a zejmena GS + OpenWRT. U jedne varky GS jsme se setkali s problemy se stabilitou. Ten fixup skript to vyresil a ted vse funguje jak ma.

ast

[Drew]

Základní verze iptables je sice ořezaná (aby si tam někdo kdo je tolik nepotřebuje, mohl naisntalovat něco jiného, mě se tato filosofie líbí), ale v balíčcích je opravdu hodně rozšíření, myslím že přídavné ipkg alíky do iptables mi zabírají 1/8 celé flash - zvládá to i l7 a ip2p a htb (a cron, samozřejmě), takže filtrace p2p tak, aby jely naplno jen v noci není sebemeší problém - pokud pomineme pomalost procesoru, 120MHz na mém wl500g(jiná verze než o které se mluví v článku), l7 jsem radši ani nezkoušel. Základní balíky lze lehce najít přes package tracker, nějaké pokročilejší jsou v testovacích repozitářích, ale fungují bez problémů, třeba swapon je jedním z nich. Na routeru ještě provozuji víceméně nepoužívaný http server (občas vystavuji pár fotek na internetu), samba server (bohužel procesor nezvládá plně využít USB konektor, na mé verzi je jenom 1.1 a i tak je maximum průtoku dat asi 600KB/s, na přehrávání filmů přímo z připojeného disku to bohužel nestačí, ale model zmíněný v článku by na tom měl být lépe, prý dokáže i přes 1,1MB/s) a ftp server. Navíc od nejnovější verze má i tato verze webové rozhraní, ve Flashi zabírá asi 50KB a jak si jednou zvyknete na příkazovou řádku, je vám trochu na nic, ale pro začátečníka se hodí a snad se ještě zvýší jeho možnosti v dalších verzích. A až se začne prodávat toto, to bude teprve hukot: http://www.marigold.cz/item/asus-wl-700g-wireless-storage-router

[Dan]

pro Asus + CDMA je nejlepsi koppel.cz

[JaRo]

Chtěl jsem mít router zároveň i jako server. Připojel jsem si k němu přes USB hardisk a zkoušel jsem Oleguv firmware, OpenWrt, Gentoo a nakonec jsem skončil u Debianu. Musím říct, ASUS WL500G Deluxe je opravdu dobrý. Používám ho teď jako router i server.
Narozdíl od nějakého starého PC, které bych jinak použil je tichý (neobsahuje žádné ventilátory), malý a má malou spotřebu elektřiny. Cena je taky dobrá (zvážím-li že obsahuje WiFi a k tomu 5 portový hardwarový switch s podporou VLAN 802.1Q - teda 6 portový, ale 6 port se používá pro vnitřní komunikaci s routerem).
Ještě uvažuji o vyvedení sériových portů a dalších USB portů. Ale zatím na to nemám čas.

[MaJaLeS]

A existuje pro tento router nějaký upravený debian? Uvažuju že bych ho též zakoupil...

[JaRo]

No upravený debian, to nevím. Já jsem někde na internetu stáhl image nainstalovaneho debianu pro MIPS. Ten jsem prekonfiguroval a upgradnul na aktul. verzi a dal us instaluji standardne pomoci "apt" a pracuji s tim jak s klasickym serverem. Mam tam nainstalovany napr. mc, sambu, dnsmasq, thttpd, rrdtool, ruzne utilitky pro spravu siti.
Jo a jeste drobnost. Pouzivam linux kernel 2.4.30 (to jsem ziskal s polu s moduly z OpenWrt), originalni bylo 2.4.20 a nebylo k dispozici tolik modulu. Bohuzel nemam dostatek casu, abych si stim ted vic pohral a zkompiloval vlastni jadro, jeste vice odpovidajici mym predstavam.

vypis uname -a
Linux router 2.4.30 #1 Wed Nov 23 22:35:53 CET 2005 mips GNU/Linux

[jdobry]

Neverte vsem informacim napsanym v clanku. Clanek je napsany vcelku spravne, ale se spoustou chyb. Napr informace, ze iptables maji orezane fitrovani podle portu je nesmysl. Samozrejme ze je mozne pouzit port ve fitrovacim pravidle. A nejen to. Instalaci dalsich balicku muzete firtovat i podle obsahu packetu na ISO layer 7.

Add jffs2 (a trestuhodne zjednodusene): je to zurnalovaci souborovy system, ktery ale obsahuje pouze zurnal a ne soubory samostatne. Jednoduse se poprve soubor zapise do flash cely. Pri zapisovani zmeny soubor zustane jak je, ale do zurnalu se zapise zmena. Teprve pri cteni se soubor s pomoci zurnalu rekontruuje. Stejne tak mazani souboru znamena ze se do zurnalu zapise zmena ze soubor byl smazan, ale ve skutecnosti tam zatim zustava. Pri tomto pristupu samozrejme ve flash zustavaji cim dal tim rozsahlejsi oblasti plne dat, ktere jiz jsou jinde aktualizovany nebo smazany uplne (jffs2 oznaceni "dirty"). Pak prichazi na radu "garbage collector" ktery vytvori ze zurnalu soubor vcetne zmen, znova zapise takovyto soubor do flash a tim muze oznacit dalsi kousky jako "dirty". Pokus fyzicky sektor flash obsahuje pouze "dirty" casti, muze byt smazan a je pripraven na dalsi zapis zurnalu.
Jffs2 pouziva zlib kompresi
Tomu blaznu, ktery tem muj popis precetl az sem jsou uz nasledujici zajimave dusledky jasne:

1. i mazani souboru postrebuje zapisovat a pokud neni volne misto, muze se stat, ze nelze mazat
2. pokud je soborovy system hodne zaplnen, muze to znamenat nutnost spustit "garbage collector" za ucelem uvolneni mista k zapisu, pak to dlouho trva.
3. z predhoziho plyne, ze temer 100% vyuzitim mista se ztraci rychlost
4. soborovy system je prakticky neznicitelny, pri vypnuti elektriny neprijdem o zadna data a to dokonce ani v pripade ze bezi "garbage collector"
5. jffs2 nechava nekolik sektoru flash neobsazeno, aby nedochazelo k problemum s nemoznosti smazat soubor, nebo k nemoznosti pustit "garbage collector". Protoze ale tech X sektoru je "ztracene" misto, tato hodnota se nekdy snizuje a pak k temto problemum muze dolit. Kokretni nastaveni openwrt.org jsem nezkounal, nezam tedy tuto hodnotu.
6. zapis souboru nutne neznamena nutnost nejpomalejsi operace = mazat sektor flash
7. nedochazi k degradaci flash neustalym prepisovanim jednoho sektoru
8. IMHO je to nejdokonalejsi souborovy system pro flash

[Petr Bravenec]

Díky za věcné připomínky - popis jffs2 je vynikající.

Uvažuju, co si mám uložit za trest za informaci o tom, že iptables v OpenWrt nefunguje, jak bych si představoval. Musím odvolat, co jsem napsal v článku, a hlasitě volat "iptables funguje, funguje, iptables funguje!. Nevím, jaký duševní zkrat mě tak dlouhou dobu udržoval v přesvědčení, že do pravidla:

iptables -A input_rule -p tcp --dport 22 -j ACCEPT

nemusím uvádět -p tcp. Podobných pravidel jsem jinde vytvořil stovky a najednou jako beran opakuju pořád do omrzení jednu chybu stále dokola. L7 pravidla jsem zkoušel taky - nicméně zdá se mi to moc velký kanón, když potřebuju od iptables pouze propustit dva pevné porty směrem dovnitř.

Sypu si popel na hlavu

Když jsem tuto informaci do článku psal (šlo to těžko, váhal jsem, instinktivně jsem cítil, že tak základní věc by nikdo nevyhazoval), doufal jsem, že mě někdo vyvede z omylu. Ať žijí komentáře pod články. Díky

[Robert Krátký]

Opraveno.

[next]

Ja mam na WL-500g (1x USB 1.1, 1x paralelny port) od soboty OpenWRT WhiteRussian rc4 a ziaden problem.

Asi 7 portov mam presmerovanych na dalsi pocitac vo vnutornej sieti. Co sa tyka stability, najprv to malo chut resetovat, hlavne ked bezal BitTorrent prenos. Po nainstalovani, nakonfigurovani a spusteni balicku qos-scripts to uz ani raz nepadlo. A SSH fungovalo perfektne aj pri 3x paralelnych http prenosoch, z ktorych by kazdy aj sam vytazil moju linku a do toho este BitTorrent. Pri to mal ten router load average asi 0.1 a ako hovorim, SSH fungovalo uplne bez problemov.

Ako vravim, 100% spokojnost zatial. Mozno to suvisi s tym, ze od toho ozaj chcem len router, nie routro-server.

Na plane mam uz len rozbehat Bluetooth dongle na USB, aby som mal PPP "prijimac" pre Palm.

[jdobry]

Velikost flash zas tak moc limitem neni. Da se totiz bootovat z USB flash. Nebo na USB flash instalovat balicky.

[astray]

Toto opravdu bez problemu funguje. ast

[Tom Hlava]

Podařilo se někomu k WL-500g/gx úspěšně připojit USB kameru? Pokud ano, napište prosím zkušenosti a hlavně přesný typ kamery. díky

[Tonik]

Zdravim, pouzivam Openwrt na Asusech 300G, zatim bez problemu. Potreboval bych ale poradit jak na "Qos" a nejake zakladni nastaveni firewallu (jsem v tom lama). Mala sit podobna czfree. Diky

[xor]

další rozhraní je použito pro WLAN (připojení na internet) preklep, autor mysli WAN. Kazdopadne Wl-500g s defaultnim firmware jsme pouzivali na skoleni jako router a nezvladal vetsi provoz (nmap z pocitacu v LAN na router pripojeny do WAN portu) ho dostalo do stavu, kdy i po ukonceni zateze zustala odezna od routeru nekolik ms. Ted pouzivame 2x wl-500g s kartou Atheros na OpenWRT na p2p spoji a bezi celkem pekne.

[Tonik]

Nemate nekdo balicke wifimon, ho shanim a nejak se nedari. Dekuji

[JirkaK]

wifimon, pokud myslim ten samy (od P. Simandla) je pouze shellovy skript, takze by melo stacit ho tam nakopirovat a patricne upravit... Jinak (nezkousel jsem) existuje take balicek s kismetem (monitorovani wifi, jednoduse receno :)

[adller99]

Ahoj, mam debilni dotaz. Kdyz chci nainstalovat na ten router nejakou linux distribuci ..tak jak to mam udelany ..mam k nemu pripojeny pres USB 40 Gb Disk ktery je zformatovany na Fat32. a kdyz chci nainstalovat nejakou tu distribuci tak to naisntaluju ne ten disk nebo na ten router ...nejak jsem to nepochopil diky za odpoved

[Michal Kubeček]

V případě potřeby by mělo jít upravit rozdělení ethernetových portů - použít jeden port například pro připojení na internet, jeden port pro připojení demilitarizované zóny a zbývající tři porty spolu s wifi použít pro připojení lokální sítě.

Tak tohle by mne hodně zajímalo, tedy hlavně to, zda by to bylo možné softwarově nebo pouze hardwarovým zásahem. Ještě víc by mne ale spíš zajímalo, jestli na tom lze rozchodit proxy ARP.

[Petr Bravenec]

Bližší popis je k nalezení zde: http://wiki.openwrt.org/OpenWrtDocs/Configuration. Když to budete zkoušet, koukněte se ještě do souboru /etc/init.d/S05nvram. Já jsem byl se svými pokusy neúspěšný, ale protože to na nic to nepotřebuju, nehledal jsem příčiny. Pravděpodobně byl můj neúspěch způsobený tím, že ve výše uvedeném skriptu se přepisují některé nvram proměnné na defaultní hodnoty a já jsem to objevil až dodatečně.

[Michal Kubeček]

Aha, tam jsem to nehledal, myslel jsem, že je to specifická vlastnost toho Asusu. A když už jsme u toho, lze v OpenWRT používat proxy ARP? V dokumentaci se o tom nezmiňují, pouze v několika diskusích jsem našel zmínky, ze kterých to vypadalo, že asi ano. Pro mne je tato funkcionalita ale naprosto klíčová, je to asi poslední naděje, jinak bych tam musel chtě nechtě dát obyčejné PC se všemi negativními důsledky. Včera jsem totiž strávil několik hodin pročítáním manuálů asi k deseti SOHO wi-fi routerům a specifikací k asi dvaceti dalším a všechny si pod pojmem zpřístupnění serveru z vnější sítě představují nanejvýš NAT 1:1, veřejná IP adresa pro ně absolutně nepřipadá v úvahu (tedy kromě jednoho US Robotics, ale to je pro změnu ADSL modem, který nemá WAN ethernet port).

[Petr Bravenec]

Něco z tohoto?
http://tracker.openwrt.org/search/?query=arp&b=search

[Michal Kubeček]

Nedaří se mi najít, co přesně umějí ty arptables, ale měl jsem na mysli konrétně to, co jsem tady popsal v sekci proxy ARP.

[JD]

To rozdeleni site do VLAN (popis http://wiki.openwrt.org/OpenWrtDocs/Configuration#head-cdceb01bb26cc4c59c558d91f7d76c37c5318626) Pouzivam a skutecne to funguje. Ciste SW.

[ondracch]

Existuje i nějaký ověřený postup pro SpeedTouch510?

[S.Prchal]

Ahoj, potřeboval bych poradit s nastavením iptables. Zkoušel jsem se obrátit na někoho z diskutujících, ale zřejmě mu můj mail nepřišel, takže svůj problém předhazuji k diskuzi... Používám Asus WL500g a sdílím linku několika dalším známým. Jelikož se nám zde vyskytl P2P stahovač, chtěl jsem omezit některé porty pomocí iptables, ale ačkoliv jsem příkaz zavedl, port byl v NAT stejně vidět jako otevřený... Můžete mi poradit v čem dělám chybu? S linuxem jsem si zatím tak nepotykal a možná jsem jen vytvořil nějaký špatný příkaz... Zadal jsem toto: iptables -A INPUT -m tcp -p tcp --sport 411 --dport 411 -j DROP Pokud tomu dobře rozumím, měl by být blokován port 411 v obo směrech (tu 411ku jsem dal na zkoušku, pak bych samozřejmě přidal další...). INPUT je (předpokládám) jenom pojmenovaná skupina pravidel (je tam víc skupin)... Na Asusu mám firmware 1.60 (koppel). Byl bych moc rád kdyby mně někdo popostrčil

[JirkaK]

Pokud vim, tak tohle nemuze fungovat, protoze by zdrojovy i cilovy port musely byt soucasne 411. Chce to dve pravidla, jedno zvlast pro cilovy port 411 a jedno pro zdrojovy port 411:

iptables -A INPUT -p tcp --sport 411 -j DROP iptables -A INPUT -p tcp --dport 411 -j DROP

Pokud placam nesmysly, tak mne nekdo prosim opravte :)

[Paolo]

problém je v tom, že nesmíš používat tabulku INPUT ale FORWARD

takže správně by mělo být:

iptables -A FORWARD -p tcp --sport 411 -j DROP

iptables -A FORWARD -p tcp --dport 411 -j DROP

[tomas84]

Máte s ním někdo zkušenosti? Zvládne routovat 10Mbps, NAT, pár pravidel v iptables a shaping (rychlosti pro jednotlivé uživatele, VoIP, garantované rychlosti pro některé porty - 80, 22, 25 atd., priority). Nebude se zasekávat při větším počtu spojení (P2P apod.)?