Suche von HP-Netzwerkdruckern scheitert an Firewall

Hinweis: In dem Thema Suche von HP-Netzwerkdruckern scheitert an Firewall gibt es 26 Antworten auf 3 Seiten. Der letzte Beitrag () befindet sich auf der letzten Seite.

    Ich hab bisher auch einen HP AOI (HP OfficeJet Pro 7720) in Benutzung und konnte den problemlos auf meinem Desktop und beiden Notebooks einrichten. Ich hab aber auch keine Firewall auf meinem Desktop bzw. den Notebooks laufen, weil ich diese Funktion meiner Fritz!Box überlasse.

    EDV-Dinosaurier im Ruhestand


    ich bin /root, ich darf das 8)


    Dinos are not dead. They are alive and well and living in data centers all around you. They speak in tongues and work strange magics with computers. Beware the Dino! And just in case you're waiting for the final demise of these Dino’s: remember that Dino’s ruled the world for 155-million years! (Unknown Author)

    Für den Inhalt des Beitrages 281354 haftet ausdrücklich der jeweilige Autor: Igel1954

    Zitat von Igel1954

    Ich hab bisher auch einen HP AOI (HP OfficeJet Pro 7720) in Benutzung und konnte den problemlos auf meinem Desktop und beiden Notebooks einrichten. Ich hab aber auch keine Firewall auf meinem Desktop bzw. den Notebooks laufen, weil ich diese Funktion meiner Fritz!Box überlasse.

    Ja, ohne Firewall läuft hier auch alles reibungslos. Ich bin aber in verschiedenen Netzen unterwegs, insofern bin ich da vorsichtiger und würde die Firewall lieber laufenlassen und entsprechend konfigurieren.


    Ich bin einen Schritt weiter. Das Problem mit hp-setup scheint zu sein, daß es UDP-Verbindungen von anderen Ports aufmacht anstatt den Standardports (427 für SLP, 5353 für mDNS) - im Beispiel ist .37 mein Rechner, .36 der Drucker:

    Die kommen entsprechend nicht mehr durch die Firewall, selbst wenn dort SLP freigegeben ist, denn die Freigabe bezieht sich ja nur auf Port 427. Wenn ich eine zusätzliche Firewallregel einfüge, die UDP-Pakete mit Source-Port 427 ebenfalls erlaubt, funktioniert es mit SLP:

    Mit mDNS und einer entsprechenden Firewallregel für Port 5353 funktioniert es dagegen nach wie vor nicht. Die Ausgangssituation ist die gleiche (hp-setup versucht eine UDP-Verbindung über eine hohe Portnummer aufzumachen):

    Allerdings wenn ich dann eine Firewallregel einfüge, die UDP-Pakete von Port 5353 erlauben soll, findet hp-setup den Drucker immer noch nicht:

    Da SLP aber bei hp-setup die Standardeinstellung ist, werde ich hiermit erst einmal leben können. Sollte sich noch etwas tun, werde ich es hier dokumentieren.

    Für den Inhalt des Beitrages 281431 haftet ausdrücklich der jeweilige Autor: rxmd

    Ich hab mir mal gerade die HP Developers Page aufgerufen, hier gibt es eine Beschreibung zur Port-Freigabe in der FW:


    https://developers.hp.com/hp-l…leServicesInFirewall.html

    EDV-Dinosaurier im Ruhestand


    ich bin /root, ich darf das 8)


    Dinos are not dead. They are alive and well and living in data centers all around you. They speak in tongues and work strange magics with computers. Beware the Dino! And just in case you're waiting for the final demise of these Dino’s: remember that Dino’s ruled the world for 155-million years! (Unknown Author)

    Für den Inhalt des Beitrages 281433 haftet ausdrücklich der jeweilige Autor: Igel1954

    Zitat von Igel1954

    Ich hab mir mal gerade die HP Developers Page aufgerufen, hier gibt es eine Beschreibung zur Port-Freigabe in der FW:


    https://developers.hp.com/hp-l…leServicesInFirewall.html

    Danke. Die Seite habe ich schon gesehen - im Prinzip steht da nur, daß man Port 427 für SLP und Port 5353 für mDNS freigeben soll. Das reicht aber nicht (siehe meinen vorigen Post vor Deinem).

    Für den Inhalt des Beitrages 281481 haftet ausdrücklich der jeweilige Autor: rxmd

    So, ich habe es jetzt am Laufen - hier kurz, wie's geht:


    1. Autodiscovery mit Avahi/mDNS freigeben:


    Das einfachste ist Autodiscovery mit Avahi (also mDNS/Zeroconf/Bonjour auf Port 5353). Dafür muß auf der Firewall für die Zone, in der man ist, der mDNS-Service freigegeben werden (also z.B. mit firewall-cmd --zone=home --add-service=mdns).

    Mit avahi-browse -at kann man prüfen, welche Geräte auf dem lokalen Netzwerk für Autodiscovery sichtbar sind.


    Dann funktioniert hp-setup, wenn man unter "Advanced options" als "Network discovery method" Avahi anwählt.


    2. Autodiscovery mit SLP freigeben


    Manchmal kann Avahi ausreichend sein, z.B. wenn man die Methode nicht auswählen kann (Beispiel: unter VueScan einen HP-Netzwerkscanner einrichten). HPLIP verwendet standardmäßig SLP, das man entsprechend auf der Firewall freigeben muß. Das Problem ist dabei, daß die Standard-SLP-Freigabe auf Port 427 in der Firewall nicht reicht - hp-setup sendet seine SLP-Pakete von hohen UDP-Ports. Die Antwortpakete kommen dementsprechend nicht auf dem Standardport 427 an und bleiben in der Firewall hängen.


    Um das zu lösen, muß man bei ausgehenden SLP-Verbindungen dynamisch Ausnahmen für die Antwortpakete in der Firewall anlegen lassen. Standardmäßig kann die Firewall das für FTP, SIP usw., nicht aber für SLP. Hierfür brauchen wir die zu Netfilter gehörenden Pakete conntrackd und conntrack-tools, die Hilfsprogramme für eine Rieihe weiterer Protokolle enthalten. Damit geht die Freigabe wie folgt:


    - In der Conntrack-Konfigurationsdatei (/etc/conntrackd/conntrackd.conf) die Auskommentierung für den Abschnitt "Helper" und für den SLP-Helper entfernen - für alle anderen Helper nicht unbedingt

    - Helper für SLP aktivieren: nfct add helper slp inet udp (nfct kommt aus dem Conntrack-Tools-Paket)

    - Conntrackd starten (systemctl start conntrackd.service)

    - Firewallregeln für ausgehende SLP-Pakete anlegen, mit denen dafür das Connection tracking aktiviert wird:

    Code
     # firewall-cmd --direct --get-all-rules
ipv4 raw OUTPUT 0 -m addrtype --dst-type MULTICAST -p udp --dport 427 -j CT --helper slp
ipv4 raw OUTPUT 0 -m addrtype --dst-type BROADCAST -p udp --dport 427 -j CT --helper slp

    Damit läuft dann auch die Autodiscovery mit SLP.


    Wenn das Ganze einen Reboot überstehen soll, muß man die Firewallregeln permanent machen und den conntrackd-Dienst aktivieren. Außerdem muß man dafür sorgen, daß *vor* conntrackd auf jeden Fall die Helper aktiviert werden, und *nach* conntrackd die Firewallregeln neu geladen werden. Das geht z.B. mit einem Drop-in für conntrackd.service:

    Code
    calypso:~ # cat /etc/systemd/system/conntrackd.service.d/nfct.conf 
[Service]
ExecStartPre=-/usr/sbin/nfct add helper slp inet udp
ExecStartPost=/usr/bin/firewall-cmd --reload

    Damit funktioniert die Autodiscovery auch nach einem Neustart, ohne daß man die Firewall offen stehen lassen muß.


    Vielen Dank für die Unterstützung! Ich habe gerade einiges gelernt.

    Für den Inhalt des Beitrages 281540 haftet ausdrücklich der jeweilige Autor: rxmd

    Also, bei mir hat der HPlib Setup immer ohne jedweden Ärger auf Anhieb funktioniert.


    Dass du mit conntrack, was ein zentraler Bestandteil des Linuxnetzwerkstacks ist, rumspielen musst, deutet eher darauf hin, dass du das Ding vorher ganz schön verbastelt hast.

    Und das ganze Theater mit Service Discovery wäre alles nicht nötig gewesen, wenn du - wie von HP empfohlen, den Drucker einfach mit USB- Kabel installiert hättest und danach auf welches Netz auch immer umgestellt hättest.


    Immerhin hast du ein wenig über die neue Firewall gelernt. Is ja auch schon was.


    Aber die Firewall anzuweisen Zeroconf und dergleichen zuzulassen, ist keine gute Idee.

    Ein beliebter Angriffsvektor - und man installiert seine Geräte ja nicht bei jedem Boot, sondern nur einmal.

    Verbastelt war da nix, das ist eine frische Installation, eine Woche alt (jetzt zwei) und weder Netzwerk- noch Druckerkonfiguration hatte ich angefaßt :) Und ich sitze halt nicht nur zuhause im stillen Kämmerlein und richte das Gerät einmal ein und gut ist, sondern ich bin viel unterwegs und muß mit wechselnden Geräten arbeiten.


    Das hatte ich ja auch schon geschrieben.


    Ansonsten gebe ich dir natürlich recht, dauerhaft offenlassen würde ich die Firewall-Ausnahmen auch nicht, aber wenn man's braucht, geht es jetzt.

    Für den Inhalt des Beitrages 281542 haftet ausdrücklich der jeweilige Autor: rxmd