fff-firewall: rules entfernen? #183

New Issue

jkimmel · 2021-12-20T18:15:32+01:00

jkimmel commented

2021-12-20 18:15:32 +01:00

Das Paket installiert folgende Regeln:

fcb19bd233/src/packages/fff/fff-firewall/files/usr/lib/firewall.d

Es macht Ratelimits für ssh und MSS-Clamping. Gerade das MSS-Clamping macht kaum noch Sinn in unserem Netz, da an den Exits bereits ein sehr niedriger Wert forciert wird.
Ob das SSH Ratelimit wirklich so nötig ist, weiß ich auch nicht.

Würde man beide Regeln entfernen, könnte man sich bei der Layer 3 Firmware gleich das komplette Conntrack Modul sparen.

Bei der Layer3 bleibt dann lediglich die Regel übrig, die direktes forwarding auf das WAN Interface verhindert:

src/packages/fff/fff-layer3/files/usr/lib/firewall.d:
10-no-forward-wan

Hier sind im übrigen die Scripte, die zusätzlich bei der Node Firmware installiert werden:

src/packages/fff/fff-hoods/files/usr/lib/firewall.d:
30-gateway-fe801

src/packages/fff/fff-node/files/usr/lib/firewall.d:
05-setup-batman-chains  30-client-dhcp    30-client-ra  31-node-dhcpv6  35-mc      35-mc-ping
06-disable-forwarding   30-client-dhcpv6  31-node-dhcp  31-node-ra      35-mc-arp  40-local-node

src/packages/fff/fff-uradvd/files/usr/lib/firewall.d:
32-local-ra

Das Paket installiert folgende Regeln: https://git.freifunk-franken.de/freifunk-franken/firmware/src/commit/fcb19bd23382e04a87bf370e2db9e61339a51d75/src/packages/fff/fff-firewall/files/usr/lib/firewall.d Es macht Ratelimits für ssh und MSS-Clamping. Gerade das MSS-Clamping macht kaum noch Sinn in unserem Netz, da an den Exits bereits ein sehr niedriger Wert forciert wird. Ob das SSH Ratelimit wirklich so nötig ist, weiß ich auch nicht. Würde man beide Regeln entfernen, könnte man sich bei der Layer 3 Firmware gleich das komplette Conntrack Modul sparen. Bei der Layer3 bleibt dann lediglich die Regel übrig, die direktes forwarding auf das WAN Interface verhindert: ``` src/packages/fff/fff-layer3/files/usr/lib/firewall.d: 10-no-forward-wan ``` Hier sind im übrigen die Scripte, die zusätzlich bei der Node Firmware installiert werden: ``` src/packages/fff/fff-hoods/files/usr/lib/firewall.d: 30-gateway-fe801 src/packages/fff/fff-node/files/usr/lib/firewall.d: 05-setup-batman-chains 30-client-dhcp 30-client-ra 31-node-dhcpv6 35-mc 35-mc-ping 06-disable-forwarding 30-client-dhcpv6 31-node-dhcp 31-node-ra 35-mc-arp 40-local-node src/packages/fff/fff-uradvd/files/usr/lib/firewall.d: 32-local-ra ```

jkimmel added the

packages/fff

label 2021-12-20 18:15:32 +01:00

ChristianD commented

2021-12-20 18:59:30 +01:00

SSH Ratelimit... Kann meiner Meinung weg wenn es stört, stört es nicht drinnen lassen weil dann stört es nicht ;).

MSS-Clamping... Nunja solang unsere Exits (wer ist eigentlich unser? Die Community? F3 Netze e.V.? Was ist mit Freifunk Naila e.V.?) das ALLE zuverlässig machen kanns weg, was ist wenn man auf einen Exit landet der da vllt. was anderes macht? Können "wir" Firmwareentwickler uns drauf verlassen das es jeder so macht? Sehr schwieriges Thema ich bin da sehr unentschlossen, kann man sowas vllt. optional aktivierbar machen oder sowas? Auch doof weiß auch nicht so genau.

Die Rule mit no-forward-wan ist glaub ich nur ein weiterer zusätzlicher Sicherheitsmechanisums, theoretisch sollte es wohl auch ohne nie zu einen Problem kommen, aber man weiß ja nie und ich glaube genau deshalb wurde der damals noch eingebaut.

Ich hab jetzt nur die L3 Variante betrachtet, bei der Node hab ich nicht mehr genug einblick um was dazu sagen zu können

SSH Ratelimit... Kann meiner Meinung weg wenn es stört, stört es nicht drinnen lassen weil dann stört es nicht ;). MSS-Clamping... Nunja solang unsere Exits (wer ist eigentlich unser? Die Community? F3 Netze e.V.? Was ist mit Freifunk Naila e.V.?) das ALLE zuverlässig machen kanns weg, was ist wenn man auf einen Exit landet der da vllt. was anderes macht? Können "wir" Firmwareentwickler uns drauf verlassen das es jeder so macht? Sehr schwieriges Thema ich bin da sehr unentschlossen, kann man sowas vllt. optional aktivierbar machen oder sowas? Auch doof weiß auch nicht so genau. Die Rule mit no-forward-wan ist glaub ich nur ein weiterer zusätzlicher Sicherheitsmechanisums, theoretisch sollte es wohl auch ohne nie zu einen Problem kommen, aber man weiß ja nie und ich glaube genau deshalb wurde der damals noch eingebaut. Ich hab jetzt nur die L3 Variante betrachtet, bei der Node hab ich nicht mehr genug einblick um was dazu sagen zu können

ChristianD commented

2021-12-20 19:02:15 +01:00

Moment

für wo ist das Clamping gedacht? Das sieht mir jetzt fast bisschen nach WAN aus (weil Kommentar mit bad ISP) wo der ISP eine kleinere MTU hat und deshalb (damals fastd?) VPN nicht funktioniert? Kann das sein?

Moment für wo ist das Clamping gedacht? Das sieht mir jetzt fast bisschen nach WAN aus (weil Kommentar mit bad ISP) wo der ISP eine kleinere MTU hat und deshalb (damals fastd?) VPN nicht funktioniert? Kann das sein?

fbl commented

2021-12-20 19:05:17 +01:00

für wo ist das Clamping gedacht? Das sieht mir jetzt fast bisschen nach WAN aus (weil Kommentar mit bad ISP) wo der ISP eine kleinere MTU hat und deshalb (damals fastd?) VPN nicht funktioniert? Kann das sein?

Wir haben kein TCP VPN, in so fern ziemlich sicher: nein.

MSS-Clamping... Nunja solang unsere Exits (wer ist eigentlich unser? Die Community? F3 Netze e.V.? Was ist mit Freifunk Naila e.V.?) das ALLE zuverlässig machen kanns weg, was ist wenn man auf einen Exit landet der da vllt. was anderes macht? Können "wir" Firmwareentwickler uns drauf verlassen das es jeder so macht? Sehr schwieriges Thema ich bin da sehr unentschlossen, kann man sowas vllt. optional aktivierbar machen oder sowas? Auch doof weiß auch nicht so genau.

Wenn es nur tatsächlich was helfen würde. Die Leitung ist aber für gewöhnlich schon vor unseren layer3-Firmware Routern kleiner, daher entsteht der passende ICMP-Fehler aus "Internet-Sicht" weiter vorne in der Kette und kommt nie am layer3-Firmware Router vorbei. Und dann hilft halt auch clamp-mss-to-pmtu nicht. Da müsste man dann schon statisch die MSS runter setzen, damit da irgendein Effekt wäre.

Wenn ich nichts übersehen habe, dann trägt diese Regel aktuell gar nichts dazu bei, dass irgendwas besser funktioniert.

> für wo ist das Clamping gedacht? Das sieht mir jetzt fast bisschen nach WAN aus (weil Kommentar mit bad ISP) wo der ISP eine kleinere MTU hat und deshalb (damals fastd?) VPN nicht funktioniert? Kann das sein? Wir haben kein TCP VPN, in so fern ziemlich sicher: nein. > MSS-Clamping... Nunja solang unsere Exits (wer ist eigentlich unser? Die Community? F3 Netze e.V.? Was ist mit Freifunk Naila e.V.?) das ALLE zuverlässig machen kanns weg, was ist wenn man auf einen Exit landet der da vllt. was anderes macht? Können "wir" Firmwareentwickler uns drauf verlassen das es jeder so macht? Sehr schwieriges Thema ich bin da sehr unentschlossen, kann man sowas vllt. optional aktivierbar machen oder sowas? Auch doof weiß auch nicht so genau. Wenn es nur tatsächlich was helfen würde. Die Leitung ist aber für gewöhnlich schon vor unseren layer3-Firmware Routern kleiner, daher entsteht der passende ICMP-Fehler aus "Internet-Sicht" weiter vorne in der Kette und kommt nie am layer3-Firmware Router vorbei. Und dann hilft halt auch clamp-mss-to-pmtu nicht. Da müsste man dann schon statisch die MSS runter setzen, damit da irgendein Effekt wäre. Wenn ich nichts übersehen habe, dann trägt diese Regel aktuell gar nichts dazu bei, dass irgendwas besser funktioniert.

ChristianD commented

2021-12-20 19:08:10 +01:00

Da die Regel bereits vor 6 Jahren eingeführt wurde, kann ich mir eigentlich nur vorstellen das sie für WAN gedacht ist.

Allerdings hast du vollkommen Recht, fastd damals und heute und wireguard heute und auch sonst alles UDP ist, machts auch da absolut keinen Sinn.

Also ja dann kanns glaub ich wirklich weg

Da die Regel bereits vor 6 Jahren eingeführt wurde, kann ich mir eigentlich nur vorstellen das sie für WAN gedacht ist. Allerdings hast du vollkommen Recht, fastd damals und heute und wireguard heute und auch sonst alles UDP ist, machts auch da absolut keinen Sinn. Also ja dann kanns glaub ich wirklich weg

jkimmel referenced a pull request that will close this issue

2021-12-21 08:18:38 +01:00

fff-firewall: remove obsolete rules #186

fbl added this to the 20220405-beta milestone 2021-12-21 14:49:29 +01:00

fbl referenced this issue from a commit

2022-01-03 21:41:32 +01:00

fff-firewall: remove obsolete rules

fbl closed this issue

2022-01-03 21:41:32 +01:00

Sign in to join this conversation.