1. Masquerading - Router Funktionalität herstellen
Jetzt schlägt die Stunde für das Einschalten der Masquerading Funktionalität, die Modifikation der MTU und einer ersten einfachen Sicherheitsschranke. Dies wird alles mit iptables, der Firewalling Funktionalität des Kernels erledigt.
Zunächst muss das Masquerading eingeschaltet werden. Dies geschieht mit den beiden folgenden Kommandos:

>modprobe iptable_nat
>iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Nun funktioniert tatsächlich das Routing bereits und unser Rechner kann unser Netzwerk komplett ins Internet bringen. Leider funktionieren noch nicht alle Dinge. Ich habe zB. Probleme mit dem IRC, mit meinen Webseiten zum Onlinebanking und dem Download von JDK's bei sun.com. Hier gibt es Probleme mit der MTU. SuSE rät dazu entsprechend die Dateien unter '/etc/sysconfig/network/ifcfg-*' zu modifizieren (Version 8.0, Anmerkung des  Autors *g*). Da aber keine derartige Konfigurationsdatei für die Schnittstelle ppp0vorhanden ist, über die ja unsere Verbindung läuft, bringt das keinen Erfolg. Aber wiederum bietet uns iptables hier die Möglichkeit das gewünschte Ziel zu erreichen. Um die MTU (die standardmässig auf 1500 oder 1492) eingestellt ist, auf den für das Routing erforderlichen Wert von 1452 zu bringen (durch Routing Informationen und PPPoE Protokollinformationen entsteht ein entsprechender Overhead an Daten, der so kompensiert werden muß), wird folgendes Kommando verwendet:

>iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

Nun funktioniert der Rechner zu hundert Prozent als Router. Die gezeigten Zeilen packen wir im nächsten Abschnitt in ein kleines Script.

2. Sicherheit
Es sind eine Menge Ports auf so einem frisch installierten Rechner offen. Um sie von außen nicht angreifbar zu machen, werden wir zwei kleine Firewallregeln aufstellen, die Verbindungen, die aus dem Internet kommen abblocken. Dies tun wir mit den folgenden Zeilen:

>iptables -A INPUT -i ppp0 -m state --state NEW,INVALID -j DROP
>iptables -A FORWARD -i ppp0 -m state --state NEW,INVALID -j DROP

Damit ist ein einfacher Linuxrouter nun erfolgreich eingerichtet. Da diese Anweisungen nach jedem Reboot neu eingegeben werden müssen machen wir uns ein kleines DSL-Script zB. bei mir im Verzeichnis '/root/skripte' namens dslan:

#!/bin/sh
# Das Modul für Network Adresstranslation (NAT) bzw. Masquerading laden und die
# Masquerading Funktionalität einschalten.
modprobe iptable_nat
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

# Die MTU entsprechend auf 1452 einstellen (pmtu)
iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

# Einfache Firewallregeln zur Blockade eingehender Verbindungen
iptables -A INPUT -i ppp0 -m state --state NEW,INVALID -j DROP
iptables -A FORWARD -i ppp0 -m state --state NEW,INVALID -j DROP

Mit diesem Script kann DSL nach jedem Reboot gleich "Router-Fähig" gemacht werden. Mit 

>chmod u+x dslan 

können Sie das Script startfähig machen, wenn Sie es alsroot verfasst haben, und gerade in dem Verzeichnis stehen.

3. Bootfähig machen
Es wäre jetzt natürlich schön, wenn dieses Script nach jedem Reboot automatisch aufgerufen werden würde. Da DSL vom pppd (PPP-Daemon) über den smpppd (SuSE Meta PPP Daemon) gestartet wird, habe ich mir gedacht, daß ich das Script einfach in dem init-Script für den SMPPPD mitaufrufe. So muss ich nicht selbst ein derartiges init-Script schreiben. Das init-Script findet sich unter '/etc/init.d/smpppd'. Mit einem Editor wiejoe kann man es ändern. Man findet dort deutlich sichtbar einenstart) Abschnitt. Dort trägt man den Aufruf ein, so daß der Startabschnitt schließlich so ähnlich aussieht:

 start)
        echo -n "Starting SMPPPD"
        ## Start daemon with startproc(8). If this fails
        ## the echo return value is set appropriate.

        # NOTE: startproc return 0, even if service is
        # already running to match LSB spec.
        startproc $SMPPPD_BIN

        # Remember status and be verbose
        rc_status -v

        # MTU ändern, Masquerading einschalten und einfache Firewallregel aufsetzen:
        /root/skripte/dslan
        ;;

So, die Probe auf Exempel zeigt, daß die komplette Funktionalität nun nach jedem Reboot zur Verfügung steht. Dabei spielt es auch keine Rolle ob man in den Runlevel 3 oder 5 bootet :)

4. Links (für SuSE 8.0)
 

	- ADSL4linux	Hier wird beschrieben, wie man DSL unter SuSE 8.0 manuell (zB unter Verwendung von ifconfig etc.) aufsetzt. Ausserdem finden sich Installationshinweise und Anleitungen zu allen SuSE Versionen sowie anderen Distributionen.
	- SuSE SDB	Hier findet sich der Patch, um einen Fehler in der Netzwerkdevice Initialisierung zu korrigieren.
	- SuSE SDB 2    und SDB 3	Hier finden sich Hinweise und Erklärungen zur MTU und zu ECN Fehlern mit TDSL
	- IP Tables	Hier finden Sie die Grundlagen zu Masquerading mit IP Tables auf deutsch.
	- IP Tables 2	Hier finden Sie Hinweise wie Sie die Firewall weiter ausbauen können (deutsch).
	- IP Tables 3	Homepage von IP Tables. Für alle weiteren Fragen zu Firewalls starten Sie hier.

5. Hinweise
Sollte etwas bei Ihnen nicht funktionieren, so finden Sie hier noch einige Informationen zu Randbedingungen die Ihnen vielleicht helfen evtl. auftretende Probleme zu lösen.
- Verwendete Hardware:
Ich habe einen neuen Router. Es handelt sich um ein Shuttle Spacewalker SV 24 Barebonesystem (das ist einfach ein sehr kleiner PC). Für diesen habe ich eine VIA C3 533 Mhz CPU beschafft, die ich demnächst noch passiv kühlen möchte. Im einzigen PCI Slot hängt eine Realtek 8029 Netzwerkkarte. Ansonsten verwende ich nur die Onboardkomponenten und eine 20 GB HD sowie 128 MB SD RAM. Es funktionierte auf Anhieb perfekt, so wie hier beschrieben.(Mit SuSE 8.2 habe ich jetzt eine 120GB Platte, deswegen musste ich ja neu installieren :)
- Fehlersuche:
Sollte irgendetwas nicht gewünscht funktionieren, lohnt sich immer ein Blick in /var/log/messages. Vielleicht können Sie anhand der dort auftauchenden Fehlermeldungen schon feststellen ob vielleicht nur ein Paket fehlt welches installiert werden sollte etc. Im übrigen schadet es auch nicht, während des ganzen Konfigurationsvorganges eine Konsole aufzuhaben in der sie mit tail -f /var/log/messagesdiese Datei die ganze Zeit über im Auge behalten.
- Vorbehalte (8.0):
Ich stehe nicht wirklich auf YaST2 und diese nicht-transparenten Konfigurationswerkzeuge. Aber YaST 1 steht unter SuSE 8.0 nun nicht mehr zur Verfügung, die Konfigurationsdateien haben sich ziemlich verändert und daher war die Verwendung von YaST2 zunächst kaum zu umgehen. Es gibt natürlich den o.g. Weg alles komplett händisch aufzusetzen. Das ist aber zunächst einmal mehr Arbeit, und ausserdem vertraue ich den SuSE Systemen auch nicht ganz, ob selbst gezogene und kompilierte _Systemprogramme_ sofort unproblematisch laufen, oder ob es unerwünschte Seiteneffekte gibt. Die hier gezeigte Lösung funktionierte jedenfalls relativ unproblematisch (bis auf das Problem der vertauschten Schnittstelleninitialisierungen eth0/1und dsl0) und vor allem schnell.