@greenlight custom modda kullanıldığı zaman ise telefonlarda app store android banka aplikasyonları gibi sorunlarla karşılaşılıyor o yüzden custom mod konusu biraz sıkıntılı geldi bana

bu bahsi geçen siteceler squid acl kısmında white listte dnsblde white listte bi enteresanlık var acaba haber ve sahibinden gibi siteler çok reklam barındırdığı içinmi böyle oluyor anlam vermiş değilim.

bu arada ssl_bump peek all sadece custom modda kullanılıyor diye biliyorum hatam varsa düzeltirseniz sevinirim o yüzden splice modda advantec parametre girmiyorum.

Sorunu şöyle çözdüm:

LAN1 bacağında static mac olarak dağıttığım maclerin hepsini LAN2 bacağında deny mac listesine ekledim böylelikle bir çeşit priority vermiş oldum.

Teşekkürler.

@mika_hakinen Wan > Lan şeklinde de ilerleyebilir. Sonuçta pfsense tarzı açık kaynak kodlu bir güvenlik duvarına 3-5 kod yazmaya bakar herşey. Sıkıntı orada değil.

Sıkıntı networkun wandaki işleyiş yapısında. Bir bilgisayara varsayılan ağ geçidi ve dns adresi yazmazsanız wan netine ulaşamazsınız bildiğiniz gibi. Siz ağ geçidinize isteğinizi iletirsiniz, ağ geçidiniz isteğinizi isp servera gönderir. Isp server gelen isteği girdiğiniz dns sunucusu sayesinde ip adresine dönüştürür, adrese ulaşır ve geriye doğru cevaplama işlemi gerçekleşir. Tabi bu en basit tarzda bir wan yapısıdır. Çünkü bağlandığınız isp server, aslında bir grubun belki de en alt halkası olabilir. Üzerinde, sizi istediğiniz adrese ulaştıracak daha onlarca katman bulunabilir. Her katman bir üstteki katmana ip-mac kimlik bilgisini iletir. Bu sistemde işlemi yapan landaki sizin kimliğiniz değil, wandaki ağ geçidiniz yahut isp serverlardır. Onların üzerindeki var olan ip ve mac adresleri kayıt altına alınır.

O yüzdendir ki, metro tarzı bağlantılarda, uydunet-fiber altyapı sistemlerinde sizin bilgisayarınızın değil, modem-router cihazının mac adresi iss tarafından sisteme kayıt edilir ve internet açılır. Wan>Lan Nat yapısında mac filtreleme bu sebeple mantıksızdır, bunu yapan herhangi bir cihaz da yoktur.

@EnnetBT said in Mac Adresinden İnterneti Engelleme:

@greenlight rules altında lan üzerinde bir kural oluşturdum. ekte mevcut.!

https://hizliresim.com/7rsm685

@EnnetBT Doğru yapmışsınız. Yazdığınız kuralı sürükle-bırak ile üste alın sadece. Çünkü sıralamaya göre kural uygulanır. Üstte tüm networkün erişim izni var. Bu şekilde kalırsa sevval'i engellemez. Kurallar yukarıdan aşağıya doğru işler.

Bir de "network" yerine "address or alias" veya "single host or alias" seçerseniz, /24'e gerek kalmaz.

Ip adresini de source bölümüne yazmanız yeterli, destination'a gerek yok.

@plusbil üstadım merhaba makinam üzerinde yapmış olduğum değişiklikler sonrası bendede sıkıntı çözüldü öncelikle bende 3 tane ağ var.

192.168.1.250 wan
192.168.2.1 lan DHCP AKTİF = DNS = 208.67.222.123 - 208.67.220.123
192.168.3.1 ap DHCP AKTİF = DNS = 208.67.222.123 - 208.67.220.123

General kısmında dns kısmını boş bırakmıştım 8.8.8.8 - 8.8.4.4 verdim squid üzerinde yönlendirme yapdım

SSL/MITM Mode " custom "

Custom Options (SSL/MITM) ayarlarım ise

Windows Update domains that should be spliced, not bumped

acl splice_it ssl::server_name .microsoft.com
acl splice_it ssl::server_name .windowsupdate.com
acl splice_it ssl::server_name .akamaitechnologies.com
acl splice_it ssl::server_name .akadns.net
acl splice_only src 192.168.3.10
acl step1 at_step SslBump1
ssl_bump peek step1
ssl_bump splice splice_it
ssl_bump bump all
ssl_bump peek step1
ssl_bump splice all
http_access allow whitelist
ssl_bump peek step1
ssl_bump splice whitelist
ssl_bump bump all

bu şekilde çalıştırdım şimdi her siteye akıyor akıllı telefonlarda dahil bir kısıtlama yok acaba bunların hangisinden işi çözdüm acaba setup wizart yaparken 8.8.8.8 - 8.8.4.4 vermediğim için mi tam olarak emin olamadım ama deniyecem.

@plusbil merhaba tekrardan üstadım geç cevap verebildim kusura bakma öncelikle belirli başlı engelleri "splice all" ile ve advantec kısmından "Custom Options (SSL/MITM)" bölümünde farklı kurallar ekliyerek işi şimdilik çözdüm diyebilirim gayet stabil çalışmaktayım.

@halil rica ederim

@ahmetkanar54 2.6 da Openssl 1.xx versiyon kullanıyordu 2.7 ile Openssl 3.x e geçiş yaptılar geç kalınmış bir olaydı. e2guardian eski sürümde kaldığından Openssl 3 ile uyum sağllamıyor.
Ayrıca ya 2.7.0 da ya da 2.7.1 versiyonda açık vardı bi araştır o versiyonu sakın kullanma son sürümü 2.7.2 kullan. Bir kaç gün sonra 2.7.2 yayınlamışlardı o şekilde hatırlıyorum, son version update edin veya sıfırdan kurulum yapın. e2guardian için güncelleme gelmesi lazım.

2.7.0 da sanırım bende hiç çalıştırmadım 2.6.0 dan update ederek gelmiştim sonra 2.7.0 mı birinde açık vardı derken sinirlendim sıfırdan kurulum yaptım 6-7 ay oluyor çok fazla bir şeyde hatırlamıyorum.

Zorla çalıştırdım dokunmuyorum bile. e2guardian resmi github sayfadan desteğini kestiğini duyurdu, pfsense e uyarlayan marcelloc çalıştığı şirketin blogundan e2guardianı son sürüme taşımak için çalışmalara başladık diye duyuru yapmıştı halen ses soluk yok.

Şimdi hatırladım virtual de 2.7.2 de sorunsuz çalışıyor diye hatırlıyorum, transparan proxy seçinde sertifkaya da gerek kalmıyor her ihtimale karşı gpo ile dağıtmıştım.

IDS IPS için ekstra bir eklenti kurmak gerekiyor. snort veya suricata kullanabilirsiniz.