【ルータ】超マニアック。L-Routerについて語ろう！

レーザー5が出してるLinux組み込み高性能ルータ、L-Routerについて
みんなで語ろう！

http://www.laser5.co.jp/embedded/lrouter/index.html
▼フレッツADSL、Yahoo!BB、CATV、光に対応。
　30Mbpsの高速　ブロードバンドルータ

性能：
64ビット動作MIPS　VR4122(180MHz)
主記憶32MB
フラッシュ16MB

うーん。もっとJPNIC/ISPが気前良くIP Address振ってくれれば
こういうブツも市場があるんだろうけど、今の日本でこんなもの
売れるか？

そこんところがね。
でも買っちゃったよ。

設定はマニアックだけど良い！

>>2
はぁ？意味不明・・・
んじゃ、巷に溢れるBBラウタをどう思ってるんだYO！！
売れるか売れねーかの尺度は、価格に尽きるだろ。

>>1のページ，値段書いてないんだけど，個人向けには売って
くれるのかな？

ライバルはOpenBlockSSかな…．あっちはHDDが接続できるぶん有利？

要は、性能の良い「子羊ラウタ」ってなワケだろ。
今じゃ、子羊の機能であの値段は、チート高けぇよな。

>>4
単なるルータじゃなくてわざわざLinuxを採用しているから、
省電力と柔軟な運用を両立している点がこのブツの
アドバンテージでないかい？そこが価格の差だろ。
一個固定IP AddressがあればUSAGIを入れてIPv6トンネリングとか
いろいろできそうだよ。単にNAT/DHCP機能が使いたいだけなら
そこらの家庭用ルータで十分だけど。

>>5 ぷらっとホームにL-Routerおいてあった気がする。

L-RouterバラしてＨＤ繋げた場合、
構築可能なサーバをあげよ

それなりのWebインターフェイスを持っているかと思いきや、
NATやパケットフィルタの設定はiptablesのコマンドを直で
記述するんですね(^^;)。素敵っす〜。

講座で購入するためただいま見積依頼中。
欲を言えばネットワークの口が3つあると目的にベストマッチ
だったのですがね〜。

自分が買ったのはその「ぷらっとホーム」って言う秋葉の店です。
東京に行ったときに買ったんです。
26800円でした。

>>9
一応Webブラウザからも設定出来ますよ。
それ以上にマニアックに設定したい人、カスタマイズしたい人は
ルータにアクセスして書き込んで下さい。

>>4
BBほげほげっていったって、結局どこぞのサーバに
お世話になりっぱなし状態なわけで、5,6年前での
"IP Reachable"ってイメージからは、かなーり遠いよね。

それぞれの家庭で各種サーバが世界へ向けたサービスを
するのが本当だと思うし、それが当り前って状態にまで
なれば、Linuxミニルータ／ミニサーバみたいな物の意味も
また変わってくるのかなーと思ってみたり。

開発者の方が言うには、ファームをアップデートすると
性能がさらに上がるらしい。あとIDEインタフェースも
もってるそうな。サポート対象外なのは当然だけど。

>>12
IDEはルータを分解してやらないと使えないみたいです。
ルータ事態ちっこくて薄型なので中に何が入ってるのかわかんないけど・・
買って得した品です。


誰か買って〜！
情報共有したい！
「こんなことしたら早くなった」とか。

iptablesの文字数制限が1300文字というのは正直つらい。
せめて5000文字程度は入力できるようにして欲しい。

ちなみにL-Routerの中身はL-Boardがそのまま入っていた。
勿論ファームウェアの内容は違うとおもうが。
12が言うようにIDEのコネクタも実装されていて
HDD等が接続できそうな感じだった。

>>14

ルールをベタ書きしていくと足りなくなっちゃうの
かもしれないけど、

テーブルの定義を工夫して、分かりやすく簡潔で短い
ルールをかけるようになろう。

エレガントなルール記述の技術を身につけよう。

>>14
禿同。とてもじゃないけど1300文字以内は無理。
うちは背後のLinux Boxでファイアウォール立てて、L-routerのパケットフィルタリングは無効なアドレスをDROPさせることしかやってない。

>>15
是非そのエレガントなrc.firewallを見たいっす。

>>16
ファームウェアアップする前は1900文字じゃ無かったっけ？

>>17
最新ファームだと1300文字になってます。
Web設定画面だと表示されてました。
DNSなんちゃら機能の追加で、空き容量が減っちゃったのかな？

なんかただの煽りみたいなので、うちのrc.firewallはこんな感じ。
みんなのrc.firewallも知りたいぞ。

#!/bin/sh
echo 1 > /proc/sys/net/ipv4/ip_dynaddr
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
echo 0 > /proc/sys/net/ipv4/conf/all/accept_redirects
echo 0 > /proc/sys/net/ipv4/conf/all/send_redirects
echo 1 > /proc/sys/net/ipv4/conf/all/log_martians
echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter
iptables -F
iptables -t nat -F
iptables -t nat -A POSTROUTING -o ppp+ -j MASQUERADE
iptables -A INPUT -i ppp+ -s 127.0.0.0/8 -j DROP
iptables -A INPUT -i ppp+ -s 192.168.0.0/16 -j DROP
iptables -A INPUT -i ppp+ -s 172.16.0.0/12 -j DROP
iptables -A INPUT -i ppp+ -s 10.0.0.0/8 -j DROP
iptables -A INPUT -i ppp+ -s 0.0.0.0/8 -j DROP
iptables -A INPUT -i ppp+ -s 169.254.0.0/16 -j DROP
iptables -A INPUT -i ppp+ -s 192.0.2.0/24 -j DROP
iptables -A INPUT -i ppp+ -s 224.0.0.0/4 -j DROP
iptables -A INPUT -i ppp+ -s 240.0.0.0/4 -j DROP

16でも書いてるけど、単に無効なアドレスをDROPしてるだけ...。

iptablesの設定をこんな感じにしたらL-Routerのweb表示が出来なくなった。
telnet接続も出来ないしpingを打ってもパケットが返ってこない。
どこが悪いんだろう。

#!/bin/sh
/sbin/iptables -F
/sbin/iptables -t nat -F
/sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE

/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT ACCEPT

/sbin/iptables -A INPUT -s 192.168.0.0/24 -j DROP -i eth1
/sbin/iptables -A INPUT -s 172.16.0.0/20 -j DROP

/sbin/iptables -A INPUT -p tcp -m tcp --dport 80 -j fil-tcp1
/sbin/iptables -A INPUT -p tcp -m tcp --dport 25 -j fil-tcp1
/sbin/iptables -A INPUT -p tcp -m tcp --dport 53 -j fil-tcp1
/sbin/iptables -A INPUT -p tcp -m tcp --dport 110 -j fil-tcp1

/sbin/iptables -A INPUT -p tcp -m tcp -s 192.168.0.0/24 --sport 23 -j ACCEPT -i eth0
/sbin/iptables -A INPUT -p tcp -m tcp --dport 80 -j fil-tcp1
/sbin/iptables -A INPUT -p tcp -m tcp --dport 443 -j fil-tcp1
/sbin/iptables -A INPUT -p udp -m udp --dport 123 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m tcp --dport 1024:6000 -j ACCEPT
/sbin/iptables -A INPUT -p udp -m udp --dport 1024:6000 -j ACCEPT

/sbin/iptables -N fil-tcp1
/sbin/iptables -A fil-tcp1 -s 192.168.0.0/24 -j ACCEPT -i eth0
/sbin/iptables -A fil-tcp1 -p tcp -m tcp --syn -j DROP -i eth1
/sbin/iptables -A fil-tcp1 -j ACCEPT -i eth1

どこから，どこに telnet が通らないのか，
もうすこし具体的に書いてくれないと，
全部読んで想像しなきゃならないじゃないか．

>>21
ｽﾏｿ｡
L-routerのIPアドレスは192.168.0.2(デフォルトのまま)
pcのIPアドレスは192.168.0.3。
telnetを起動しL-Routerに接続しようとすると
暫く"接続中…"と表示がでた後繋がらない旨の
エラーがでる。
もちろんtelnetのサービスは起動してある。

>>22

ええと，pc は eth0 側についているの？

だとすると，

これは，

/sbin/iptables -A INPUT -p tcp -m tcp -s 192.168.0.0/24
--sport 23 -j ACCEPT -i eth0

これが正解じゃない？

/sbin/iptables -A INPUT -p tcp -m tcp -s 192.168.0.0/24
--dport 23 -j ACCEPT -i eth0

もし eth1 についているなら，これで落ちて終ってます．

/sbin/iptables -A INPUT -s 192.168.0.0/24 -j DROP -i eth1

さらに補足しておくと、実は当方ADSL(YahooBB)は開通していない。
ADSL開通までルーターの扱い方を習得するため先行して購入した。

>>23
サンクス。
今から確認してみます。

>>23
サンクス。
指摘した箇所("--sport"-＞"--dport")を修正したらtelnetでログイン出来るようになった。
しかし相変わらずweb表示できずpingパケットも返ってこない。
チェーンの記述方法が悪いんだろうか…。

>>26

とりあえず，ping は icmp を通さないと駄目だよ．

eth0 側のマシンから通れば良いなら，たとえばこういうの．

iptables -A INPUT -i eth0 -p icmp -j ACCEPT

Web にアクセス出来ないって，port は 80 で良いの？
今のルールで PC から繋がりそうだけね．

おれ，OpenBlockSS は持ってるけど，L-Router は持ってな
いんだ．

>>20
FORWARDパケットを全部DROPしてるからLAN側マシンから外へ出れない
と思うけど、それはいいの？
そんなことないですか？

L5社員の自作自演でした。

>>28

FORWARD を DROP してたら，パケットが通過しないもんね．

WEBが見れないって，このマシンごしに，インターネット
のWEBが見れないってことか．だったら納得．
FORWARD が DROP じゃ見れません．

僕は PC から このマシン で動いている WEB が見れない
という意味に取っていました．

>>30
＞僕は PC から このマシン で動いている WEB が見れない
＞という意味に取っていました．
たぶんそういうことなんだろうけど、とりあえず問題になりそうな
ところを聞いてみました。
WebサーバがそのL-Routerで動いてるとすると>27さんの言う通り
設定は問題なさそうなんだけど。なんでだろ？
ただ2回同じ設定してるのは無駄ってくらいかな？

いつの間にか話が進んでいるな。

>>27
pingの件解決した。TNX !

>>28,30
FORWARDってMASQUERADEを通さずに単純に
パケットを右から左へ流す物じゃなかったっけ。
違ってたらスマソ。

>>30-31
L-RouterのWEB表示ができないと言う意味。説明不足でスマソ。
ちなみに24で書いたとおりADSLはまだ開通していない。

>>31
＞ただ2回同じ設定してるのは無駄ってくらいかな？
ｳﾂﾀﾞｼﾉｳ…

ここで新事実が発覚
iptablesを

#!/bin/sh
/sbin/iptables -F
/sbin/iptables -t nat -F
/sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE

/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
/sbin/iptables -P OUTPUT ACCEPT

/sbin/iptables -A INPUT -s 192.168.0.0/24 -j DROP -i eth1
/sbin/iptables -A INPUT -s 172.16.0.0/20 -j DROP

/sbin/iptables -A INPUT -p icmp -j ACCEPT -i eth0

/sbin/iptables -A INPUT -p tcp -m tcp -s 192.168.0.0/24 --dport 23 -j ACCEPT -i eth0

/sbin/iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m tcp --dport 25 -j fil-tcp1
/sbin/iptables -A INPUT -p tcp -m tcp --dport 53 -j fil-tcp1
/sbin/iptables -A INPUT -p tcp -m tcp --dport 110 -j fil-tcp1

/sbin/iptables -A INPUT -p tcp -m tcp --dport 443 -j fil-tcp1
/sbin/iptables -A INPUT -p udp -m udp --dport 123 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -m tcp --dport 1024:6000 -j ACCEPT
/sbin/iptables -A INPUT -p udp -m udp --dport 1024:6000 -j ACCEPT

/sbin/iptables -N fil-tcp1
/sbin/iptables -A fil-tcp1 -s 192.168.0.0/24 -j ACCEPT -i eth0
/sbin/iptables -A fil-tcp1 -p tcp -m tcp --syn -j DROP -i eth1
/sbin/iptables -A fil-tcp1 -j ACCEPT -i eth1


と修正し、"iptables -L -v"と打つと…

#!/bin/sh
/sbin/iptables -F
/sbin/iptables -t nat -F
/sbin/iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE

/sbin/iptables -P INPUT DROP
/sbin/iptables -P FORWARD DROP
# iptables -L -v
Chain INPUT (policy DROP 10 packets, 1649 bytes)
pkts bytes target prot opt in out source destination

0 0 DROP all -- eth1 any 192.168.0.0/24 anywhere

0 0 DROP all -- any any 172.16.0.0/20 anywhere

0 0 ACCEPT icmp -- eth0 any anywhere anywhere

353 14531 ACCEPT tcp -- eth0 any 192.168.0.0/24 anywhere
tcp dpt:23
107 13294 ACCEPT tcp -- any any anywhere anywhere
tcp dpt:80
0 0 ACCEPT udp -- any any anywhere anywhere
udp dpt:123
0 0 ACCEPT tcp -- any any anywhere anywhere
tcp dpts:1024:6000
0 0 ACCEPT udp -- any any anywhere anywhere
udp dpts:1024:6000

Chain FORWARD (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination


Chain OUTPUT (policy ACCEPT 403 packets, 80786 bytes)
pkts bytes target prot opt in out source destination


Chain fil-tcp1 (0 references)
pkts bytes target prot opt in out source destination

0 0 ACCEPT all -- eth0 any 192.168.0.0/24 anywhere

0 0 ACCEPT all -- eth1 any anywhere anywhere

と返って来た。
どうやらユーザー作成のチェーンへの参照がされていないようだ。

>>34

そうぞうでわるいが，

/sbin/iptables -N fil-tcp1

これを，ユーザ定義チェインにジャンプしだす前，
たとえば，/sbin/iptables -P OUTPUT ACCEPT
の直後あたりに移動したらどう？

>>35
TNX !!!!!!!
うまく参照してくれたよ !

>>36

それはよかった :)

しかし、C言語の変数みたいに
事前に宣言(?)しないといけないのか。
そんなことはどこにも書いてなかったような…

>>38
ユーザ定義チェインの勉強になったデス。
FORWARDについては、(L-Routerじゃないけど)自分で設定して、
DROPにしたらLANのPCから外がみれんかった。
だからたぶんそうじゃないかなと思った次第でござる。

とりあえずiptablesの設定を書いてみたから
評価してくれ。

#!/bin/sh
ipt='/sbin/iptables'
$ipt -F
$ipt -t nat -F
$ipt -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE

$ipt -P INPUT DROP
$ipt -P FOWARD DROP
$ipt -P OUTPUT ACCEPT


$ipt -N fil-syn
$ipt -A fil-syn -s 192.168.0.0/24 -j ACCEPT -i eth0
$ipt -A fil-syn -p tcp -m tcp --syn -j DROP -i eth1
$ipt -A fil-syn -j ACCEPT

$ipt -N fil-web
$ipt -A fil-web -s 192.168.0.0/24 -j ACCEPT -i eth0
$ipt -A fil-web -p tcp -m tcp --syn -j DROP -i eth1
#
#ここで接続を遮断したいweb siteのIP addressを
#指定してDROPする
#例
#$ipt -A fil-web -s 111.222.111.222 j DROP
#
$ipt -A fil-web -j ACCEPT

$ipt -A INPUT -s 192.168.0.0/24 -j ACCEPT

$ipt -A INPUT -s 172.016.0.0/10 -j DROP
$ipt -A INPUT -s 192.168.0.0/16 -j DROP -i eth1

$ipt -A INPUT -p icmp -j ACCEPT
$ipt -A INPUT -p tcp -m tcp --dport23 -s 192.168.0.0/24 -j ACCEPT -i eth0

$ipt -A INPUT -p tcp -m multiport --dport 20,21,25,53,110,119 -j fil-syn
$ipt -A INPUT -p tcp -m multiport --dport 80,443 -j fil-web

$ipt -A INPUT -p udp --dport123 -j ACCEPT

$ipt -A INPUT -p udp --dport 1024:1300 -j ACCEPT
$ipt -A INPUT -p udp -m udp --dport 2000:6000 -j ACCEPT
$ipt -A INPUT -p tcp -m tcp --dport 2000:6000 -j ACCEPT

どっこいしょっ、と。

>>40
＞$ipt -A INPUT -p tcp -m multiport --dport 80,443 -j fil-web

これだけだと、
＞#ここで接続を遮断したいweb siteのIP addressを
＞#指定してDROPする
＞#例
＞#$ipt -A fil-web -s 111.222.111.222 j DROP
が効かない気がする。↑のようなパケットは-dport 80,443じゃないから。
あとマイナス抜けてるね…(揚げ足取りﾏﾝか？漏れ)

俺まだ初心者なんで、あんま鵜呑みにしないほうが（・∀・）ｲｲよ…

>>42
ずいぶん早起きだな。

ｽﾏｿ。説明がよく分からん。
宛先ポートが80(http)か443(https)の場合のみ
fil-webにジャンプして、そこで遮断したいweb siteの
ip addressのサイトから来るパケットをDROPするつもりなのだが。

で、いま思ったんだが、LAN側からの接続要求も遮断した方が
トラフィックが軽減されてよろしいのでは、と。
けど、それをやろうとすると1300文字以内ではとても記述しきれない。

そらなら各PCごとにファイアーウォールソフトでパケットを遮断した方が
合理的かもしれない…。

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

みたいなの，どうしてつかわへんの？

>>44
理由は単純。
俺のスキルでは理解できないから。
解説キボンヌ。

>>45
man iptablesに載ってるよ。
http://www.linux.or.jp/JM/html/iptables/man8/iptables.8.html
入ってきたパケットの属性を指定している。
うちは原則INPUTをDROPし、>>44とICMP,SSHだけを通す指定にしてる。

>>46
TNX !
それ読んで勉強してみます。

>>43
夜更かし駄目学生なんです…

＞そこで遮断したいweb siteのip addressのサイトから来るパケット
これってソースポートが80または443じゃない？
そのip addressのマシンから自分のWebサーバを見えないようにする、
ってわけじゃないよね？

>>48
LAN側からweb siteが見えないようにしているだけ。
入力ポートを指定していないのは、特に指定しなくても
働きは同じと思われるため。
ちなみにwebサーバを立てる予定はない。

>>49
宛先ポートが80か443じゃないとユーザ定義チェインにジャンプしないけど、
Webサーバから来るパケットの宛先ポートは80でも443でもないよ、
ってことなんですが…(ソースポートは80か443だけど)
あとよく考えたら、LANのマシンに制限かけるならFORWARDチェインじゃないと
ｱｶﾝと思う。まあ実際ネットにつなげて試すのが一番わかりやすいかな？

・Local-net からインターネットは dnsとhttp しか認めん

iptables -P FORWARD DROP
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -i eth0 -o ppp0 -p tcp --dport www -j ACCEPT
iptables -A FORWARD -i eth0 -o ppp0 -p udp --dport domain -j ACCEPT

・IP偽装プロテクトの設定
echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter

>>50
＞宛先ポートが80か443じゃないとユーザ定義チェインにジャンプしないけど、
＞Webサーバから来るパケットの宛先ポートは80でも443でもないよ
＞ってことなんですが…(ソースポートは80か443だけど)
えっ、そうなの？
まあ、それなら　--port オプションで指定すればいいのかな？

＞あとよく考えたら、LANのマシンに制限かけるならFORWARDチェインじゃないと
＞ｱｶﾝと思う。
ip masqueradeを使ってる場合でもそうなの？

>>52
ip masqueradeでもパケットはIPアドレスとポートを書き換えられて
通過(FORWARD)するだけだよね？
漏れはL-RouterじゃなくてLinuxマシンをルータにしてるんだけどさ、
FORWARDドロップしたらローカルマシンからは外へ何もできんかった。

1300字の制限あるならFORWARDはDROPしないほうが良さそうだけど、
セキュリティ的にはどうなんでしょ？＞詳しい人
ip masqueradeなら外部からローカルマシンにはアクセスされないだろうから
いいと思うんだけど、駄目かな？

>>43
実はWebインターフェースで設定せずにviでべた書きすれば1300文字以上設定できます。

やりかたはシリアルクロスでつないでログインするか、Telnetで入って、/etc/init.d/rc.firewallをじかに設定してね。

一回それをやってしまうとWebインターフェースでの設定がうまくいかなくなるかもしれませんので、以後はコンソールでの設定をやってね。というかLinux板の住人ならWebインターフェース使わずvi使おう。
設定でわかんないことは聞いてね。

ｉｐｔａｂｌｅｓについては
ｈttp://tlec.linux.or.jp/docs/iptables.html
を参照しましょう。基本的な設定ならここでわかる。

今更ながらの16なんですが、

>>54
1300文字制限を回避することが出来るんですね。
初耳です。早速ちょっとトライしてみようと思います。

あと便乗質問なんですが、シリアルコンソールでLoginするときってどうやってます？
うちはminicom使ってるんですけど、[Ctrl]+[c]ってやらないと"login:"が出てこないんですよね。
ただこれだと、接続中のppp0を切断しちゃうんですよね。
ということで、他のlogin方法ってあるんでしょうか？

先日このルータ買ったんですけど外部からhttpへ入れなくなっちゃいました。
鯖は触って無いので原因はこのルータかと。

>>56
それで？あんたはこのルータのバグが原因とかいいたいの？
意味わかんねー。パケットフィルタリングの設定ぐらい出しなよ。

>>56
ポート80を通したいんでしょ。

>>53
以下の構成で簡単に実験してみたんだけど、
FORWARDをDROPしてもwebサーバーにアクセスできた。

PC1 : Hubを介してeth0(LAN)に接続。(Win2k マシン)

　↓
Hub
　↓

L-Router　: iptablesの設定は＞40の通り。
　　　　　　　 WAN側の設定は 固定IPアドレス、ip : 111.222.111.1
| ゲートウエイアドレス : 111.222.111.2 (PC2)
|(クロスケーブル)
↓

PC2 : webサーバ　(Win2kマシンにIISをインストール)
ごく簡単なhtmlファイルを作成。
IPアドレスは 111.222.111.2 (前述の通り)


>>54
ｻﾝｸｽ｡viの使い方はよく知らないが、やってみます。

>>56
NAT使って宛先ポートが80のパケットをwebサーバに
振り分けるようにすればいいのでは?
具体的の方法は…ｽﾏｿ、わからん。

>>57
あまり煽らんでくれ。

>>59
マジっすかー？
漏れのカン違いかー…

>>60おれは自分のマシンでたった今確認したが、FORWARDをDROPするとルータにはならない。

>>59まじめにサブネット切って実験しても抜けちゃう？

改行コードが反映されません。行が長いって怒られる。CGI変えたの？

UNIX 板の方で cookie うけつけないと w3m で改行削られる、
といってた人がいたような。

>>64

おお、おれまさにw3m使ってるよ。

でもおれのw3mは、cookieのサポートONでコンパイルしてるのに。

>>62
えっ、サブネット切るってどういう意味?


ところで、＞５９の実験をしているとき奇妙な事が起きた。
LAN側のマシンからブラウザでWAN側のアドレスを入力すると
L-Routerのweb設定ページが見れた。
どういうことだろうか。

>>66
iptablesの設定がまっさらな状態で
iptables -P INPUT ACCEPT
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
とIPマスカレードだけ設定して、それでもルータ超えてWeb見えちゃう？

あっ、＞59を一部訂正&補足。

＞40の一部を変更した。
旧 : $ipt -A INPUT -p tcp -m multiport --dport 80,443 -j fil-web
_ ~~~~~~~~
新 : $ipt -A INPUT -p tcp -m multiport --port 80,443 -j fil-web
_ ^^^^^^^


それから、WAN側のIPアドレスのサブネットは255.255.255.0に設定した。
＞62が言っているのはこの事かな？

まあ、これらはFORWARDの件とは関係ないと思うが。

>>67
今から回線切って首つって…じゃなかった、
実験してみます。

>>67
その通りに設定してみたら確かにwebは
見えなかった。
もちろんFORWARDをACCEPTすると見えたが。

それからさらに実験してみたんだけど、
67の設定の最後に
/sbin/iptables -A -p tcp -m multiport --port 80 j ACCEPT
と追記したらwebが見えるようになった。
どうやら通したいポートを明示的に指定すればいいようだ。

あっ、70に一部不適切な表現があるかも…
おそらく

誤 : 通したいポートを明示的に指定すればいいようだ

正 : 通したいパケット属性を明示的に指定すればいいようだ

と思われ。

ついでにage。

>>71
>/sbin/iptables -A -p tcp -m multiport --port 80 j ACCEPT
-A FORWARD？

>>72
FORRARDチェーンは
iptables -P FORWARD DROP
のみ。

なんか間違いしてるナ >20

>/sbin/iptables -A -p tcp -m multiport --port 80 j ACCEPT

は

/sbin/iptables -A FORWARD -p tcp -m multiport --port 80 -j ACCEPT

の間違いじゃないの？ って話でしょ。
書き写してるのであれば正確にね。

ついでに普通は -m multiport って使わないんじゃないかな。
上のだったら

/sbin/iptables -A FORWARD -p tcp -m tcp --dport 80 -j ACCEPT

でおっけー。-i でインターフェースも指定するとなお良し。
じゃ、頑張って勉強してください。

>>74
おーいえす

>>72, >>74-75
ｽﾏｿ｡>>70の記述にチェーン名が無かったって事か。
正しくは

/sbin/iptables -A INPUT -p tcp -m multiport --port 80 -j ACCEPT

だ。


それと-m multiportのオプションを使用したのは
--portオプションを使いたかったから。
本来は
/sbin/iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT -i eth0
/sbin/iptables -A INPUT -p tcp -m tcp --sport 80 -j ACCEPT -i eth1
とするのだろうが、ちょっと横着して上述の記述をしてみた。


http://www.linux.or.jp/JM/html/iptables/man8/iptables.8.html
を読んだ限りでは --port は　-m オプションで multiportを組み込まないと
使えないような気がしたんだが。
実際には-m tcp(若しくは--m udpも)でも使えるの?

>>76
＞/sbin/iptables -A INPUT -p tcp -m multiport --port 80 -j ACCEPT

＞/sbin/iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT -i eth0
＞/sbin/iptables -A INPUT -p tcp -m tcp --sport 80 -j ACCEPT -i eth1

port 80 からのアクセスを受け入れるのは問題あるよ。

/sbin/iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT -i eth0
/sbin/iptables -A INPUT -p tcp -m state --state NEW -j DROP -i eth1

普通はこんな感じか？

＞実際には-m tcp(若しくは--m udpも)でも使えるの?

使えない。でも使う必要も無いってことですわ。OK？

>>77
なるほど。ｻﾝｸｽ。

ところで、みんなスループットはどのくらいでてるの？

ハード板でこんなレス見つけたけど。
http://pc.2ch.net/test/read.cgi/hard/1002994000/513

>>79
おやまぁ
俺の友達は問題なく速度出てるらしいけど。
何が悪いのか？

>>80
http://speed.on.arena.ne.jp/ってあくまでもローカルテストでは
ないから、plalaが遅いとかという原因ではないかと思う。
MIPS 180MHzとはいってもさすがに6.3Mってことはないと思うぞ。

Laser5のMLによればpppoeが原因だとか...。
現在改良版ファームをがんばって作ってるようです。
フレッツ1.5だけど新ファーム期待age。

>>81
すいません、それ書いたの私です。
実は、ルーターのテスト色々していて、L-Routerは工事待ちの友人に借りて
テストしました。
私が持っている、corega BAR SW-4P Proが同テストで約25Mbps、Linuxルー
ター（Mosquito)が30Mbps出ていることから考えると、plalaの問題では無い
と思うんですけど。

>>83
ファームウェア最新にして設定いろいろいじってみてよ。

それともうすぐ最新のファームウェア出るらしいからそれまで待つとか。
それで改善されるらしいから。

>>84
了解

今日から8Mフレッツだ。ちゃんと速度出るかな。
つーか8Mっつっても3M程度しか出ないからわからないけど。

漏れのL-RouterもBフレッツベーシックで6Mbpsしか出てねえ。
プロバイダはSo-net。
PC直結で20Mbps出るから非常に悔しいぞ。
ファームウェア早く更新しやがれage

新しいファームウエアが出たぞ、この野郎！
http://www.laser5.co.jp/embedded/lrouter/info/vmlinuxbinary/020125.htm

>>83,>>87の問題がこれで解決するか分からんが。

拡張子の末尾に'l'を追加のこと。
ｺﾋﾟﾍﾟに失敗した。

>>88
ありがとう
さっそくアップしました。

use linksys

新ファーム導入後、1.16から1.22Mbpsに。<フレッツ1.5
1.2台が出たのは今回が初めてなので、なんらかの改良があったのは間違いなさそう。
嬉しage。

どうよ。
ttp://www.jp.netbsd.org/ja/JP/ml/port-hpcmips-ja/200112/msg00018.html
NetBSDユーザ恐るべし。

>93
すげぇ・・・
NetBSDが何々にって話はよく聞くけど、ほんと
簡単そうにやってる・・・

age

>>93
こいつら、2年後には絶対炊飯器でNetBSD動かしてるに違いない。

>>93 はげしく、わろた。

>96
組み込みじゃ結構NetBSD使っているそうだから、
きっともう動いていると思われ。

>98

だろうねぇ
組み込み系はよくITRONとNetBSDって聞くよね。

正直、x86のopenblocksがほしい。

http://202.221.8.75/l-router-up/

謎の新firmwareハケーン。
ファイル名もかなり変わってるし、怪しさ全開。
誰か逝ってみてくれ。
俺はなぜかtimeoutで繋がらなかった。

>>101
怪しすぎだよ(;´Д`)

L-Routerはカッコいいです。色が特にイイです。
今はOCN ADSL IP8 flets planで使っています。
さて、電源入れてADSL接続が完了した後に、手動で
`route add -net default dev ppp0`
とやっているのですが、これ、自動化したくてたまりません。
rc.adslの後で実行させるようにしても、なんか成功しません。
Linuxには初めて触りました。どうすればいいでしょうか。

>>103
ちょっと自信ないけど、rc.adslの最後の行に

`route add -net default dev ppp0`

を追記してみたらどおよ。

↑どうもありがとうございます。
でも、なんかダメでした。
ところで、このroute、
psすると、rc.*がいつまでもプロセスとして残ってますね。

nohupとか。

> （お知らせ）
> "Unnumbered"は現在未対応ですが、近日中にファームウェアアップデートにてご利用いただける予定です。
> http://www.laser5.co.jp/embedded/lrouter/info/index.html
だそうな。

syslogメッセージを他のマシンに転送をしたいのですが、よいアイディアありませんか？

>>108

syslog の機能で飛ばしちゃだめなの？
他マシンの syslogd に飛ばせると思うが。

それが、L-Routerのsyslogはどうも本物じゃないみたいなのです。

>>110
単に受け取る側のsyslogdが-rを付けて起動してないだけってことではないの？