Probleme regle tout simple ….. (résolu)

titofe

-créer un alias de type network de ton Wifi,
-creer un rule interdisant ICMP sur cette alias,
-creer un rule autorisant ICMP sur Any.

Les rules doive être lu par pfSense dans l'ordre donner.

strategaire

Merci pour la réponse mais je suis un peu étonné.

Je travaillais avant avec d'autre firewall (shorewall, iptable) et les règles se faisaient simplement (LAN vers WAN) pas besoin de créer de règle de block.

Il n'existe pas d'autre moyen que de passer par une règle de block ?????

jdh

C'est qu'il n'y a pas de choix !

Autant il est facile de définir LAN, OPT1, OPTn, ou WIFI, autant il n'existe que "any" pour désigner tout … mais cela couvre aussi le reste.

Donc, on exclut, d'abord, les zones que l'on ne veut pas, puis, on autorise, ensuite, vers any.

Cela reste très simple grâce aux alias et à leur puissance !
Je préconise de créer un alias "TOUT" qui regroupe toutes les zones (de LAN à DMZ en passant par WIFI).
Le fait d'interdire de LAN vers ce "TOUT" ne pose aucun problème puisque de LAN à LAN ... le flux ne passe pas dans le firewall.

strategaire

Il faut donc que pour chaque règle d'ouverture à destination d'une zone précise je commence par bloquer puis par ouvrir à tous ???

Pour mon ping par exemple :

Je bloque le ping du LAN vers la zone WIFI
J'autorise le ping du LAN vers any

En fait je me sers du sens de lecture de Pfsense et de la première règle qui match.

C'est pas un poil bizarre ???

jdh

Soit vous n'avez pas bien lu ce que nous écrivons Titofe et moi, soit vous n'en comprenez pas le sens !

Pourtant ce que nous écrivons est simple, c'est un "poil bizarre" !

Any <> WAN, c'est clair parce que Any=WAN+LAN+WIFI+DMZ+…
Donc WAN=-(LAN+WIFI+DMZ+...)+Any

Pour autoriser le ping vers WAN et pas ailleurs, c'est :

interdit pour LAN+WIFI+DMZ+...,
autorisé pour Any.

Soit : - (LAN+WIFI+DMZ+...) + Any = WAN

strategaire

C'est bien ce que je disais.

Pour autoriser le ping que vers le WAN

Je bloque le ping vers mes autres zones
J'ouvre le ping vers any.

Je trouvais simplement un poil bizarre que la zone WAN ne soit pas gérée comme les autres.

Je suis donc obligé d'utiliser une règle de block puis ensuite une règle autoriser vers tout (pour la zone WAN bien sur).

C'est cette démarche la que je trouve un poil bizarre toujours mais merci quand même de votre précision…

jdh

Puisque WAN<>Any, on est bien obligé de faire 2 règles : la première pour interdire LAN, DMZ, WIFI, …, la deuxième pour autoriser Any

Ce n'est pas compliqué, mais c'est la logique qu'il faut comprendre.

Dans le cas, l'exemple n'est pas probant ... parce que le ping devrait être autorisé vers toutes les interfaces : la sécurité par l'obscurité n'est pas une bonne sécurité !

strategaire

parce que le ping devrait être autorisé vers toutes les interfaces : la sécurité par l'obscurité n'est pas une bonne sécurité !

Désolé mais je ne demandais pas un avis sur mes règles ….

Merci pour les réponses et pour m'avoir permis de comprendre la logique de pfsense.

titofe

@strategaire:

parce que le ping devrait être autorisé vers toutes les interfaces : la sécurité par l'obscurité n'est pas une bonne sécurité !

Désolé mais je ne demandais pas un avis sur mes règles ….

Pourquoi le prendre comme tel!

jdh en plus de vous avoir répondu vous à donnez son avis, cela ne vous coûte rien qu'il vous plaise ou non, de plus votre intervention à ce sujet n'apporte rien, sachez que vous n'êtes pas le seul à lire ce post et qu'il peux par la suite apporté beaucoup à d'autre membres ou simple lecteur de ce forum.

strategaire

Mais c'est pour cela que j'ai remercier pour les explications et la démarche dans pfsense.

Maintenant, et ceci en faisant du hors sujet, je continue de trouver bizarre le comportement de pfsense quand il s'agit d'ouvrir une règle d'une zone que vers le LAN. Les commentaires et avis sur mes règles qui ne sont la qu'à titre d'exemple (j'ai choisi le ping car c'est le plus commun mais j'aurais pu dire un autre port) ne m'intéresse pas et je doute qu'elles puissent intéresser quelqu'un ici. De plus avoir un avis aussi trancher sans connaitre le pourquoi du comment, l'historique ou les demandes est un poil bizarre.

Je répète mes remerciements pour la réponse à ma question. Je laisse le droit de répondre pour ma part je clos ici le débat.

Merci

psylo

@strategaire:

Mais c'est pour cela que j'ai remercier pour les explications et la démarche dans pfsense.

Maintenant, et ceci en faisant du hors sujet, je continue de trouver bizarre le comportement de pfsense quand il s'agit d'ouvrir une règle d'une zone que vers le LAN. Les commentaires et avis sur mes règles qui ne sont la qu'à titre d'exemple (j'ai choisi le ping car c'est le plus commun mais j'aurais pu dire un autre port) ne m'intéresse pas et je doute qu'elles puissent intéresser quelqu'un ici. De plus avoir un avis aussi trancher sans connaitre le pourquoi du comment, l'historique ou les demandes est un poil bizarre.

Je répète mes remerciements pour la réponse à ma question. Je laisse le droit de répondre pour ma part je clos ici le débat.

Merci

Ce comportement (ou plutôt politique) que vous trouvez bizarre se retrouve dans beaucoup de firewall. Alors, il est possible que ce comportement vous "choque" mais c'est comme ça. Par contre, vous pouvez aussi utiliser le "not" dans les règles de filtrage pour indiquer que vous permettez le ping vers "pas le réseau WIFI" (en d'autres mots, vers tout sauf le range WIFI).

Quant au débat "hors sujet", je pense que le but d'un forum est d'échanger les expériences de chacun. Or donc, votre question peut intéresser d'autres personnes et donc, les avis d'autre utilisateurs à ce propos peuvent aussi intéresser…

My 2 cents.