FOG kann boot.php nicht laden (Firewall blockt Port)
-
Guten Tag liebe Community,
wir haben ein Problem mit unserer pfSense Firewall im Zusammenhang mit unserem FOG Server. Undzwar hatten wir bis vor einigen Tagen einen funktionierenden FOG server (Zum booten über ein Netzwerk), welcher von einen Tag auf den anderen nicht mehr ging (Möglicherweise ein Update). Das ganze wird über das iPXE boot Menü gestartet, bei dem folgender Fehler auftritt: http://10.1.0.100/fog/service/ipxe/boot.php … connection timed out. Um an das Problem heran zu kommen haben wir kurzer Hand einfach ein ersatz Netzwerk aufgebaut. Der FOG Server lief über einen Separaten Rechner (Debian 8 ). Dann hatten wir einen Win 7 Rechner, um FOG Tasks zu machen. Außerdem noch einen Laptop welcher geimaged werden sollte. Das ganze läuft nun über einen Switch. Man beachte, dass wir zum Test KEINE Firewall integriert haben! Bei dem System lief es sofort und die boot.php konnte direkt geladen werden. Also vermuten wir, dass die Firewall den Zugang zu dem FOG Server bzw. TFTP Server verbietet. Nun stelle ich mir die Frage, welche Einstellungen bei der Firewall denn soetwas blocken können. Ich selber habe das System welches nun steht nur übernommen (ohne Vorkenntnisse). Habe somit nur bedingt Ahnung davon. Wäre lieb von euch, wenn ihr einfach mal so raushauen würdet woran es liegen könnte.
Mit freundlichen Grüßen
Mario -
Hallo!
Nun stelle ich mir die Frage, welche Einstellungen bei der Firewall denn soetwas blocken können.
Dazu ist keine Einstellung nötig, die pfSense blocked grundsätzlich alles, was nicht explizit per Regel erlaubt ist.
Standardmäßig ist nur eine Regel gesetzt, die alles von der LAN Schnittstelle kommend erlaubt. Doch diese ist eher für den Hausgebrauch gedacht, der Admin löscht sie normalerweise.
Du musst also Regeln anlegen, um den benötigten Traffic durchzulassen. Doch was dein iPXE genau an welchem Interface benötigt, weiß ich auch nicht.
Grundsätzlich ist dafür ein DHCP nötig. Der pfSense DHCP Server hat eine spezielle Konfiguration für PXE vorgesehen. Du verwendest aber offenbar einen anderen, weil es ja auch ohne pfSense funktioniert hat. Ob es mit einem anderen DHCP und der Firewall dazwischen klappt, kann ich aber nicht sagen.Dann erfolgt der Zugriff auf das Boot-File. Du schreibst, es liegt auf einem TFTP Server, doch im URL hast du http: stehen? Tja, ich würde sagen, die wird per HTTP über Port 80 abgerufen.
Ohne das System zu kennen, kann man eben nur Vermutungen anstellen. Wie es genau funktionieren soll, sollte aus deinen Unterlagen zu entnehmen sein.
Andernfalls kannst du während eines Bootversuchs mit der pfSense dazwischen ein Packet Capture auf den jeweiligen Interfaces machen. Da sollten die Vorgänge erkennbar sein und du kannst die Firewall-Regeln entsprechend konfigurieren.Ja noch was: DHCP geht nur innerhalb einer Broadcast-Domäne, kann also nicht geroutet werden. Wenn also Rechner und DHCP Server in verschieden Broadcast-Domänen liegen, musst du zumindest auf der pfSense das DHCP-Relay aktivieren. Besser wäre, vielleicht in diesem Fall gleich die pfSense als Server für dieses Interface zu konfigurieren.
Grüße