lsmod-Phänomen unter Kernel 2.6.13

[MeTRiX]

Hallo,

ich habe hier 3 etwas exotischere Rechner (ALI-SATA Controller und DLINK-GBIT NW) und habe darauf Debian Sarge installiert. Aufgrund der Hardware musste ein eigener Kernel her. Also einen 2.6.13 kompiliert. Auszüge aus der Config kann ich gerne noch nachliefern wenn relevant. Ist aber vom Prinzip her Default.

2 von den Rechnern laufen als bridged Firewall vor unserem DMZ und erfüllen brav ihre Aufgabe. Der eine Rechner agiert als NAT-Firewall für unser Firmennetz. Nun musste ich da leider feststellen, dass ständig die FTP-Verbindungen aktiv nicht mehr wollen (illegal Port ...). Da ich schon zig Firewalls mit dem Iptables-Skript betreibe, konnte ich dies denke ich ausschließen. Die Skripte laden auch alle brav: ip_conntrack_ftp & ip_nat_ftp. Trotzdem der Fehler.

Dann ist mir jetzt eingefallen, dass ein lsmod ja eigentlich alle benutzten Module anzeigt. Normale Ausgabe auf meinen bisherigen Firewall meistens mit Deb-Default-Kernel 2.6.8 ... gibt in Zusammenhang mit IPT folgendes aus:

iptable_nat 22828 5 ipt_REDIRECT,ip_nat_irc,ip_nat_ftp,ipt_MASQUERADE
ip_conntrack 32908 8 ipt_REDIRECT,ip_nat_irc,ip_nat_ftp,ip_conntrack_irc,ip_conntrack_ftp,ipt_state,ipt_MASQUERADE,iptable_nat

Sprich: Module geladen und genutzt.


Nun die Ausgabe von lsmod auf meinem 2.6.13-Kernel mit Sarge:

firewall:~# lsmod
Module Size Used by
ipt_TCPMSS 4360 -
af_packet 20944 -
md5 3720 -
ipv6 243040 -
ipt_LOG 6792 -
ipt_limit 2152 -
ipt_REDIRECT 1832 -
ipt_MARK 2280 -
ipt_length 1512 -
ipt_multiport 2312 -
ipt_mac 1736 -
ip_nat_irc 2440 -
ip_nat_ftp 3080 -
ip_conntrack_irc 71696 -
ip_conntrack_ftp 72464 -
ipt_state 1736 -
ipt_REJECT 5320 -
ipt_MASQUERADE 3176 -
iptable_mangle 2568 -
iptable_nat 22772 -
ip_conntrack 43064 -
iptable_filter 2728 -
ip_tables 18592 -
cls_fw 4648 -
sch_sfq 5544 -
sch_htb 17416 -
ext3 131696 -
jbd 53536 -
evdev 8864 -
r8169 26000 -
crc32 4072 -
ehci_hcd 30160 -
usbcore 113852 -
shpchp 92420 -
pci_hotplug 10092 -
ali_agp 6728 -
agpgart 33896 -
sd_mod 16920 -
ide_cd 40708 -
cdrom 37952 -
rtc 11744 -
ide_disk 16520 -
via82cxxx 12900 -
trm290 4076 -
triflex 3592 -
slc90e66 5480 -
sis5513 15344 -
siimage 11624 -
serverworks 8912 -
sc1200 6984 -
rz1000 2440 -
piix 9964 -
pdc202xx_old 10568 -
opti621 4076 -
ns87415 4168 -
hpt366 18536 -
hpt34x 4904 -
generic 4364 -
cy82c693 4428 -
cs5530 5032 -
cmd64x 11460 -
atiixp 5560 -
amd74xx 13700 -
aec62xx 6920 -
pdc202xx_new 8232 -
unix 25872 -

Die Module sind zwar alle geladen aber scheinbar wird gar nichts genutzt. Das kann doch nicht ganz sein oder?
Bitte um Hilfe!

PS: Die IPT-Module sind auch nicht fest einkompiliert.

Danke.

[gms]

Du mußt den Kernel mit CONFIG_MODULE_UNLOAD kompilieren, wenn du das "used by" sehen möchtest. Darüber bin ich auch einmal gestolpert:
http://www.debianforum.de/forum/viewtop ... highlight=

Gruß
gms

[MeTRiX]

kann es vielleicht sein, dass das lsmod und modprobe von debian sarge nicht mit kerneln > 2.6.8 kompatibel ist?

das würde zumindest erklären, warum a) die ausgabe etwas seltsam aussieht und b) ich mein ftp iptables modul x-fach laden kann ohne dass es erfolg bringt

wenn dem so ist, hat da einer eine idee? der komische ali sata-raid ist wohl erst ab 2.6.13 zu gebrauchen. und der dlink auch.

[MeTRiX]

Du mußt den Kernel mit CONFIG_MODULE_UNLOAD kompilieren, wenn du das "used by" sehen möchtest. Darüber bin ich auch einmal gestolpert:
http://www.debianforum.de/forum/viewtop ... highlight=

Gruß
gms

hmm ok danke! kannst du mir auch sagen, ob dies nur einfluss auf lsmod hat oder dadurch auch modprobe nicht richtig funktioniert?

lsmod muss ich nicht haben - aber ich habe halt noch immer das gefühl, dass das "geladene" iptables-modul nicht werkelt.

[gms]

lsmod ist ziemlich dumm, und kann leicht durch ein "cat /proc/modules" ersetzt werden. Diese Datei zeigt allerdings die Abhängigkeiten auch nur wenn "Module unload" aktiviert wurde". modprobe sollte aber so und anders funktionieren

Gruß
gms

[MeTRiX]

ok, danke! dann hat sich das problem gelöst auch wenn ich dadurch keinen schritt weiter bin

zumindest fällt mir nichts ein, wie ich 100% testen kann ob die ftp-module ihren dienst tun. aber alleine dass beim ftp-transfer teilweise pakete von SPT=20 in die firewall knallen sagt eigentlich schon, dass da was nicht sein kann.

[gms]

Ich hatte einmal ein ähnliches Problem, weil ich vorher die ESTABLISHED und nachher die RELATED durchgelassen habe, wurden die RELATED anscheindend nicht mehr als solche erkannt.
Ein "iptables -A <tabelle> -m state --state ESTABLISHED,RELATED -j ACCEPT" möglichst vorne in die Tabellen eingefügt, hat das Problem beseitigt.

Gruß
gms

[MeTRiX]

$IPT -A INPUT -i $IF_NET -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -i $IF_NET -m state --state ESTABLISHED,RELATED -j ACCEPT


genau das habe ich drinne - bisher immer funktioniert.