"Ping oder nicht Ping? Das ist hier die Firewall"

Oder auch: Komm wir schließen "mal eben" eine "1&1-TVBOX Version 1.0" bzw. das "Mediacenter" an.
....oder auch nicht.

Es begab sich mal wieder, dass ich "mal eben" was tun wollte: Wir stellen zu Hause den Telefonanschluss auf 1&1 um und haben uns im Vorhinein schon einmal die Geräte wie das Modem und die Media-Box via eBay besorgt, weil wir keine 3 Euro im Monat "Miete" bezahlen wollten -
und die "alte" Fritz!Box 7490 war für den Hausgebrauch einfach "oversized".

Also mal eben die alten Daten aus der "alten" großen Fritzbox speichern, in die "neue" kleine Fritzbox laden.... das wird bestimmt lus... mo.. hups - wow - läuft! 
Kabel an den Router: Läuft auch. Wahnsinn.

Komm - ich klemme nur noch mal eben die "Mediabox" an - die wird zwar dann sagen "1&1 ist noch nicht da, lieber Kunde du musst noch Gelduld haben" - aber ist mir dann egal. Dann sind wenigstens die Geräte angeschlossen.

Und so nahm der Abend seinen lauf....


"Bitte warten Sie einige Minuten bis der Receiver startet. Das kann einen Moment dauern."
und dann "Verbinde mit dem Netzwerk" "Check"... "Beziehe IP-Adresse" "Abort!"
.....Öhm.... du Gerät meinst jetzt wirklich, mein Router gibt dir keine IP-Adresse in meinem Media-Network, was ich dafür eingerichtet habe? Das glaube ich dir jetzt mal nicht wirklich... also sogar eigentlich garnicht... Du hast doch grade nach dem bösen Reset-Knopf beim ersten Starten irgendwas herunter geladen und die Platte initialisiert?!
Ein Blick auf das Laptop: Das Homenetz läuft. WLAN und Internet sind im Büronetz da.
Also: Kabel von der Mediabox an das Laptop - der holt sich da brav seine IP aus dem Medianetz - und geht über das Gateway raus in's Internet. DHCP und Internet sind also auch dort vorhanden...
Mediabox - was zum Eichhörnchen ist dein Problem?!

Nach einigem Suchen und Fummeln -
sezieren wir mal das Log vom Router...
Und siehe da - unter etlichen Meldungen ein erster Hinweis:






Mmmmhrm... okay - ich habe mal so die Vermutung, da versucht die Mediabox einen Ping in die Welt zu senden - aber meine Firewall lässt keine Pings durch. Was immer das jetzt mit dem DHCPd zu tun hat.
Grrrh... bohren wir mal die Firewall ein wenig auf...

iptables -A INPUT -p icmp --icmp-type 8 -s 0/0 -d 192.168.XXX.YYY -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p icmp --icmp-type 0 -s 192.168.XXX.YYY -d 0/0 -m state --state ESTABLISHED,RELATED -j ACCEPT

Oha - sieh an - die Mediabox zeigt Lebensgeister.

SO lasse ich das aber keinesfalls stehen...! NEVER!
Was für eine MAC hast du blöde Kiste?!

iptables -A INPUT -p icmp --icmp-type 8 -s 192.168.AAA.BBB -d 192.168.XXX.YYY -m mac --mac-source aa:bb:cc:dd:ee:ff -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -p icmp --icmp-type 0 -s 192.168.XXX.YYY -d 192.168.AAA.BBB -m state --state ESTABLISHED,RELATED -j ACCEPT

Wobei XXX.YYY für das Gateway steht bzw. AAA.BBB für die IP des MediaServers, welche nun fest vom dhcpd vergeben und an den named übermittelt wird; aa:bb:cc:dd:ee:ff ist natürlich die MAC des MediaServers.


Resume: Der 1&1 TV-Mediaserver holt sich anscheinend beim DHCPserver eine IP ab, versucht dann aber via einem Ping noch zu überprüfen, ob das ebenfalls mitgeteilte Gateway auch erreichbar ist.  Üblich wäre allenfalls, dass der DHCPserver die zu vergebene IP vorher pingt, ob diese frei wäre und diese erst dann an den client übermittelt; dieses Verhalten eines dhcpClients ist mir jedoch wirklich vollkommen neu...
Das hier vom Client angesprochene bzw. "überprüfte" Gateway mag aber bei mir auf Grund der Firewall nicht auf einen Ping antworten --- und schwups meint die MediaBox:
Ja da ist kein Gateway - dann funktioniere ich nicht und die erhaltene IP - die verwerfe ich. Parallel verwirre ich noch den Anwender mit der Meldung "Beziehe IP-Adresse: Fehler" ---
obwohl es eigentlich nun in einem weiteren dritten Schritt heissen müsste: "OK. Prüfe das Gateway: Fehler."

Wer also seine Firewall selbst zusammen gebaut hat, oder in seinem Baumarkt-Router die Option "Firewall: Block ICMP-PING (enabled)" sieht -
da könnte was zu ändern sein.... ;-)

Problem gelöst.
Bloggen für den nächsten armen Menschen, der sich den Abend blöde sucht.
Speichern.
Fertig.
Danke.

Gute Nacht...