Thema: (Gelöst) Vanilla-Kernel selbst kompilieren

Code:

Starting Firewall Initialization (phase 2 of 2) SuSEfirewall2: Warning: ip6tables does not support state matching. Extended IPv6 support disabled.
FATAL: Module ip_tables not found.
done

So...
Das wäre die letzte Fehlermeldung, und erscheint auch nur einmal.
Aber warum wird das Modul am Anfang gefunden und dann nicht mehr?
Vorher hatt ich immer 256³ Fehlermeldungen...diesmal nur eine.

Code:

find /lib/modules/VersionDeinesKernels -name *tables*

cat /Pfad_Zu_Deinen/Kernelquellen/.config|grep -i tables

cat /Pfad_Zu_Deinen/Kernelquellen/.config|grep -i ip6

cat /Pfad_Zu_Deinen/Kernelquellen/.config|grep -i netfilter

Greetz,

RM

1.

Code:

/lib/modules/2.6.17.13-default/kernel/net/ipv6/netfilter/ip6_tables.ko
/lib/modules/2.6.17.13-default/kernel/net/bridge/netfilter/ebtables.ko

2.

Code:

CONFIG_IP_MULTIPLE_TABLES=y
CONFIG_NETFILTER_XTABLES=y
CONFIG_IP_NF_IPTABLES=y
CONFIG_IP_NF_ARPTABLES=y
CONFIG_IP6_NF_IPTABLES=m
CONFIG_BRIDGE_NF_EBTABLES=m

3.

Code:

CONFIG_IP6_NF_QUEUE=m
CONFIG_IP6_NF_IPTABLES=m
CONFIG_IP6_NF_MATCH_RT=m
CONFIG_IP6_NF_MATCH_OPTS=m
CONFIG_IP6_NF_MATCH_FRAG=m
CONFIG_IP6_NF_MATCH_HL=m
CONFIG_IP6_NF_MATCH_OWNER=m
CONFIG_IP6_NF_MATCH_IPV6HEADER=m
CONFIG_IP6_NF_MATCH_AH=m
CONFIG_IP6_NF_MATCH_EUI64=m
CONFIG_IP6_NF_FILTER=m
CONFIG_IP6_NF_TARGET_LOG=m
CONFIG_IP6_NF_TARGET_REJECT=m
CONFIG_IP6_NF_MANGLE=m
CONFIG_IP6_NF_TARGET_HL=m
CONFIG_IP6_NF_RAW=m
CONFIG_SLIP_MODE_SLIP6=y

4.

Code:

CONFIG_NETFILTER=y
# CONFIG_NETFILTER_DEBUG is not set
CONFIG_BRIDGE_NETFILTER=y
# Core Netfilter Configuration
CONFIG_NETFILTER_NETLINK=m
CONFIG_NETFILTER_NETLINK_QUEUE=m
CONFIG_NETFILTER_NETLINK_LOG=m
CONFIG_NETFILTER_XTABLES=y
CONFIG_NETFILTER_XT_TARGET_CLASSIFY=m
CONFIG_NETFILTER_XT_TARGET_CONNMARK=m
CONFIG_NETFILTER_XT_TARGET_MARK=m
CONFIG_NETFILTER_XT_TARGET_NFQUEUE=m
CONFIG_NETFILTER_XT_TARGET_NOTRACK=m
CONFIG_NETFILTER_XT_MATCH_COMMENT=m
CONFIG_NETFILTER_XT_MATCH_CONNBYTES=m
CONFIG_NETFILTER_XT_MATCH_CONNMARK=m
CONFIG_NETFILTER_XT_MATCH_CONNTRACK=m
CONFIG_NETFILTER_XT_MATCH_DCCP=m
CONFIG_NETFILTER_XT_MATCH_ESP=m
CONFIG_NETFILTER_XT_MATCH_HELPER=m
CONFIG_NETFILTER_XT_MATCH_LENGTH=m
CONFIG_NETFILTER_XT_MATCH_LIMIT=m
CONFIG_NETFILTER_XT_MATCH_MAC=m
CONFIG_NETFILTER_XT_MATCH_MARK=m
CONFIG_NETFILTER_XT_MATCH_POLICY=m
CONFIG_NETFILTER_XT_MATCH_MULTIPORT=m
CONFIG_NETFILTER_XT_MATCH_PHYSDEV=m
CONFIG_NETFILTER_XT_MATCH_PKTTYPE=m
CONFIG_NETFILTER_XT_MATCH_REALM=m
CONFIG_NETFILTER_XT_MATCH_SCTP=m
CONFIG_NETFILTER_XT_MATCH_STATE=m
CONFIG_NETFILTER_XT_MATCH_STRING=m
CONFIG_NETFILTER_XT_MATCH_TCPMSS=m
# IP: Netfilter Configuration
# IPv6: Netfilter Configuration (EXPERIMENTAL)
# DECnet: Netfilter Configuration
# Bridge: Netfilter Configuration

Ist vielleicht ein bischen viel, ich habe mit jedem neukompilieren immer ein wenig mehr reingesetzt und so siehts jetzt aus.

OK, das ist klar:

Code:

CONFIG_IP_NF_IPTABLES=y

Du hast Die ip_tables-Unterstützung fest in den Kernel kompiliert, deshalb findet er das Modul "ip_tables" nicht.

Es sollte allerdings trotzdem funktionieren, wenn nicht, dann setze

Code:

CONFIG_IP_NF_IPTABLES=m

und auf ein Neues.

Greetz,

RM

soderle...
Ich habs gerichtet.
Allerdings dachte ich eigentlich, dass man "thoretisch" alles fest einkompilieren kann?

Und mal wieder ein grosses DANKESCHÖN an dich

Zitat von Ministry

soderle...
Ich habs gerichtet.
Allerdings dachte ich eigentlich, dass man "thoretisch" alles fest einkompilieren kann?

Theoretisch ja, die Frage ist nur, ob es sinnvoll ist.

Man kann den gesamten ip_tables-Support fest einkompilieren, das macht auf einem Webserver vielleicht sogar Sinn, einen monolithischen Kernel zu haben (also keinerlei Module), aber dann muß man wirklich GENAU wissen, was man braucht und den Rest auch weglassen, sonst wird der Kernel zu "fett".
Wenn man allerdings etwas fest in den Kernel einkompiliert, dann müsste man auch die ensprechenden Verweise in den Startscripten (hier das Script der SuSEfirewall2) entfernen, damit keine Fehlermeldungen kommen, weil ein Modul geladen werden soll, das gar nicht vorhanden ist, weil das Feature fest im Kernel drin ist.

Die entscheidende Frage in dem Fall wäre gewesen, ob die SFW2 dann auch funktioniert, oder ob sie -weil sie das Modul eben nicht findet- den Dienst verweigert, obwohl der laufende Kernel sehr wohl geeignet wäre einen IPTABLES-Paketfilter zu verwenden.

Möglich ist da fast alles, die Frage ist nur wieviel Aufwand man betreiben möchte und wie gut man sich damit auskennt.

Kleiner Tipp:

Ich würde mir die jetzt aktuelle Datei ".config" an einem guten Platz aufbewahren, denn solltest Du irgendwann wieder einen neueren Kernel kompilieren wollen (z.B. einen 2.6.18er ) würde bei "make mrproper" die Datei gelöscht.

Dan einfach wieder als ".config" in die Quellen des neuen Kernels reinpacken und mit "make oldconfig" zunächst nur die Änderungen anzeigen lassen und übernehmen bzw. ablehnen. Dann passiert das Missgeschick mit den IPTABLES wahrscheinlich nicht mehr.
Das ist alles beim ersten Mal eine Fülle von Eindrücken und Informationen, die einen schier erschlägt, aber irgendwann merkt man, daß ein logisches Konzept dahinter steckt und vor allem lernt man, wie man Probleme erkennt und behebt.

Und mal wieder ein grosses DANKESCHÖN an dich

Keine Ursache.

Greetz,

RM

==> Closed.