ich glaube der Grund dafür, dass meine Chromecast nicht laufen liegt darin, dass ich von Clients aus dem grünen Netz heraus den Google-DNS 8.8.8.8 nicht erreichen kann.
Die Befehle
dig @10.16.1.254www.heise.de
dig @10.16.1.1www.heise.de
funktionieren vom ipfire, vom server und von clients aus.
Der Befehl
dig @8.8.8.8www.heise.de
funktioniert nur vom ipfire und vom server aus, aber nicht von einem client im grünen Netz.
Wie gehe ich vor, um das hinzubekommen? Bin leider in diesem Thema kein Experte…
im IPFire unter Firewall den Port 53 von Grün nach Rot erlauben.
Das würde ich aber auf die IPs der Sticks begrenzen, da es ein nicht zu
vernachlässigendes Sicherheitsloch ist, wenn der DNS nicht in deiner
Hand ist.
Du kannst es auch auf 8.8.8.8 begrenzen.
wahrscheinlich verstehe ich es nicht: Warum muss ich denn am IPfire etwas ändern, wenn ich doch vom Server (10.16.1.1) aus eine Abfrage bei den Google-Servern hinbekomme? Der Server muss doch auch über den IPFire raus. Die Clients hinter dem Server kommen nicht an die Google-Server ran, also muss es für meine Begriffe doch der Server selber sein, der das blockiert, oder sehe ich das falsch?
der Server darf per default auf allen Ports Anfragen nach rot stellen (d.h. der IPFire lässt sie durch), normale Clients nicht, d.h. z.B. werden DNS-Anfragen vom IPFire geblockt.
Stellt der Client eine DNS-Anfrage an google ist der Server überhaupt nicht beteiligt.
So, also das hat geholfen! Die Chromecast müssen wohl unbedingt “nach Hause telefonieren”. Klar, Google will halt wissen welche Seiten man aufruft. Jedenfalls laufen die Dinger jetzt superschnell!
Da ich kein ipfire-Experte bin: Kann jemand mal auf die Regel schauen, ob ich das jetzt richtig gemacht habe, sprich: Nur das Nötigste erlaubt? Der Chromecast hat natürlich die 10.31.1.2 .
Da ich kein ipfire-Experte bin: Kann jemand mal auf die Regel schauen,
ob ich das jetzt richtig gemacht habe, sprich: Nur das Nötigste erlaubt?
Der Chromecast hat natürlich die 10.31.1.2 .
die Regel ist super so: genau auf die IP des Chromecast zugeschnitten:
das Sicherheitsloch ist also minimal.
Nachteil: du mußt für jeden Chromecast so eine Regel machen…
Nachteil: du mußt für jeden Chromecast so eine Regel machen…
alternativ könnte man auch eine hostgruppe unter firewall/firewallgruppe erstellen (analog zu allowedhosts), in der alle chromecasts eingetragen werden. die gruppe wählt man dann in den firewallregeln aus und gibt ihr den gewünschten port.
lg
wolfgang
