Подскажите в чем косяк PF

[dvserg]

@goliy:

красиво выглядит!
только локалка не сможет пинговать интернет -)
для Allow же просто можно разрешить по всем протоколам.

По быстрому в виртуалке накидал.

[ar2r]

@dvserg:

@goliy:

красиво выглядит!
только локалка не сможет пинговать интернет -)
для Allow же просто можно разрешить по всем протоколам.

По быстрому в виртуалке накидал.

Но с самого роутера пинг идет.
В iptables делаешь denied на интерфейс с указанием ареса и все режется почему тут не так ?
И там правила на внешнем интерфейсе применяются

[goliy]

@ar2r:

Но с самого роутера пинг идет.
В iptables делаешь denied на интерфейс с указанием ареса и все режется почему тут не так ?
И там правила на внешнем интерфейсе применяются

потому что это НЕ iptables. И правила работают тут Иначе. На мой взгляд гораздо более понятно интуитивно и выглядят и работают. Как? написано в куче манов как по pfsense так и по packet filter'y непосредственно.
На вкус и цвет товарищей мало.

[dvserg]

@ar2r:

Но с самого роутера пинг идет.
В iptables делаешь denied на интерфейс с указанием ареса и все режется почему тут не так ?
И там правила на внешнем интерфейсе применяются

Здесь все дело в конфигурации. В pfSense прописаны общие разрешающие правила на исходящие с интерфейса (из pfSense) пакеты и общие запрещающие правила на входящие в интерфейс пакеты. На месте pf с успехом мог бы оказаться iptables. Идеология такова, что управление трафиком происходит на том интерфейсе, на котором он входит в роутер.

[ar2r]

Сделал как Вы предложили.
К сожалению это не сработало  изнутри сети я все ровно
вижу адреса из таблицы MY_block

Еще вы писали:
И еще вопрос если я хочу заблокировать определенные адреса
то должен ли я повесить блокирующие правила еще и на LAN?

Нужно ставить.
Обычно блокируется на том интерфейсе, на котором они подключены физически. Исключение если бридж.

[ar2r]

Сори все понял порядок правил
LAN net вниз теперь работает.

@ar2r:

Сделал как Вы предложили.
К сожалению это не сработало  изнутри сети я все ровно
вижу адреса из таблицы MY_block

Еще вы писали:
И еще вопрос если я хочу заблокировать определенные адреса
то должен ли я повесить блокирующие правила еще и на LAN?

Нужно ставить.
Обычно блокируется на том интерфейсе, на котором они подключены физически. Исключение если бридж.

[goliy]

Как ты не видишь чтоли, что твое 2ое правило разрешает ВСЕ!
Поменяй местами последнее и предпоследнее

[ar2r]

@dvserg:

@Tamriel:

@ar2r:

И еще вопрос если я хочу заблокировать определенные адреса
то должен ли я повесить блокирующие правила еще и на LAN?

Нужно ставить.

Обычно блокируется на том интерфейсе, на котором они подключены физически. Исключение если бридж.

Я правильно понял если бридж то надо на обоих интерфейсах ?

[ar2r]

Еще раз извиняюсь как только отправил так сам и увидел  :'(

@goliy:

Как ты не видишь чтоли, что твое 2ое правило разрешает ВСЕ!
Поменяй местами последнее и предпоследнее

[ar2r]

Я правильно понял если бридж то надо на обоих интерфейсах на LAN и WAN ?
Или я опять не понял?

[dvserg]

@ar2r:

Я правильно понял если бридж то надо на обоих интерфейсах на LAN и WAN ?
Или я опять не понял?

Получается, что так. Сам ведь бридж у тебя как интерфейс не выведен?
Можно еще Floating с опцией Quick.