Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Pfsense блокирует все входящие соединения

    Scheduled Pinned Locked Moved Russian
    30 Posts 5 Posters 4.6k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • D
      destress_signal @pigbrother
      last edited by

      @pigbrother
      Это было сделано, пару дней назад. Собственно так и понял что Pfsense дает отлуп по всем портам внешнего интерфейса (потом пробовал проброс разных портов).
      На компьютере отключен брандмауэр, Pfsense для него default gateway, снаружи порт закрыт.

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by

        Добрый.

        1. Отключить блокирующее всё правило.
        2. Проверить, что у вас не "серый" ip на WAN. Заходите в Status->Interfaces и на 2ip.ru. Сравниваете , что у вас на WAN и что показывает 2ip.

        P.s. У вас много "кривых" правил на WAN. Оч. много (

        1 Reply Last reply Reply Quote 0
        • K
          Konstanti
          last edited by

          Доброго дня
          Попробуйте отключить первое правило , блокировать частные сети
          Я вот , например , вижу , что вы хотите пропускать трафик от 10.7.4.0 , а он уже изначально заблокирован
          0_1534325261481_f091fea6-56af-4a18-8b21-7ebae465168e-image.png

          I P 2 Replies Last reply Reply Quote 0
          • I
            igroykt @Konstanti
            last edited by

            @konstanti said in Pfsense блокирует все входящие соединения:

            Доброго дня
            Попробуйте отключить первое правило , блокировать частные сети
            Я вот , например , вижу , что вы хотите пропускать трафик от 10.7.4.0 , а он уже изначально заблокирован
            0_1534325261481_f091fea6-56af-4a18-8b21-7ebae465168e-image.png

            @destress_signal послушайте товарища. дело говорит.
            intefaces->wan->block private networks && block bogon networks

            1 Reply Last reply Reply Quote 0
            • P
              pigbrother @Konstanti
              last edited by pigbrother

              @konstanti said in Pfsense блокирует все входящие соединения:

              Я вот , например , вижу , что вы хотите пропускать трафик от 10.7.4.0 , а он уже изначально заблокирован

              @igroykt said in Pfsense блокирует все входящие соединения:

              intefaces->wan->block private networks && block bogon networks

              То есть предполагается, что к WAN идут обращения из private и bogon networks? ТС спрашивали сразу и он утверждал что " на WAN IP "белый.

              K I 2 Replies Last reply Reply Quote 0
              • K
                Konstanti @pigbrother
                last edited by

                @pigbrother я сделал такой вывод ,глядя на правила

                P 1 Reply Last reply Reply Quote 0
                • P
                  pigbrother @Konstanti
                  last edited by

                  @konstanti said in Pfsense блокирует все входящие соединения:

                  я сделал такой вывод ,глядя на правила

                  Абсолютно логичный вывод. Но если IP на WAN - "серый" вся тема
                  Pfsense блокирует все входящие соединения
                  не имеет смысла.

                  K 1 Reply Last reply Reply Quote 0
                  • K
                    Konstanti @pigbrother
                    last edited by Konstanti

                    @pigbrother есть еще 1 идея
                    глядя на картинки я засомневался , кто-то посередине зачем-то поставил запрещающее правило ((( где четко видно , что срабатывает только оно
                    ТС если можно покажите пож
                    кусочек из файла /tmp/rules.debug
                    в той части , где описываются правила интерфейса WAN

                    1 Reply Last reply Reply Quote 0
                    • I
                      igroykt @pigbrother
                      last edited by

                      @pigbrother айпи насколько знаю считается серым если трафик к нему ходит через nat т.е.прямой доступ к хосту с такого адреса не получить (не будет работать например проброс портов).
                      то что адрес в приватной сети я думаю тут нет ничего зазорного и это не значит что нет прямого доступа к хосту. вроде бы все это просто относится к классификации сетей (мол provider independent ip или provider dependent и .т.д.).

                      K 1 Reply Last reply Reply Quote 0
                      • K
                        Konstanti @igroykt
                        last edited by

                        @igroykt Блин
                        так и есть - у него адрес серый
                        0_1534347113440_ca7ba058-e4ca-4851-907b-9ac29fe6e5f6-image.png
                        вот же четко видно 10.7.1.172 - получатель

                        I 1 Reply Last reply Reply Quote 0
                        • I
                          igroykt @Konstanti
                          last edited by

                          @konstanti тогда почему это дошло до его маршрутизатора и фаервол зафиксировал сие событие? или его провайдер прокидывает rdp всем своим клиентам?

                          K 1 Reply Last reply Reply Quote 0
                          • K
                            Konstanti @igroykt
                            last edited by Konstanti

                            @igroykt вот смотрите, что еще видно
                            то что вижу - 3389 порт заблокирован /верно
                            потому что запрещающее правило стоит выше разрешающего и есть опция QUICK - чик и оно сработало ( так что все логично)
                            Мое мнение такое - убирать нафиг все правила WAN , проверить FLOAT , чтобы было чисто , и потом уже по 1 правилу добавлять
                            ТС - запрещающее правило ставить не обязательно , оно есть по умолчанию , просто срабатывает последним (оно неявное)

                            I 1 Reply Last reply Reply Quote 0
                            • I
                              igroykt @Konstanti
                              last edited by

                              @konstanti а то что вижу я это то что пакет был отфильтрован его фаерволом (то бишь его маршрутизатором) следовательно он долетел до его маршрутизатора. был бы серый адрес то фаервол провайдера бы отфильтровал и следовательно до его маршрутизатора пакет бы не долетел.

                              K 1 Reply Last reply Reply Quote 0
                              • D
                                destress_signal
                                last edited by destress_signal

                                Доброго всем времени суток и спасибо за отзывчивость.

                                Вопрос уже носит чисто академический характер. В субботу сбросил свой сенс и все сделал снова. Все работает все отлично.

                                Касательно ваших предположений:
                                Внешний ip белый 100%
                                Запрещающее правило в середине - на момент деланья скриншота попало случайно.
                                Само запрещающее правило отключалось - результата не было.
                                Сеть 10.7.4.0 - к вопросу не относится (и этой сети на момент проблем уже не было в живых). Просто не почистил правила.

                                I K 2 Replies Last reply Reply Quote 0
                                • K
                                  Konstanti @igroykt
                                  last edited by

                                  @igroykt Думается мне ,что где-то провайдер поменяет адрес назначения с белого на свой внутренний серый . Это не самое страшное

                                  1 Reply Last reply Reply Quote 0
                                  • I
                                    igroykt @destress_signal
                                    last edited by

                                    @destress_signal блин. всего то, а мы тут сидим ссоримся =)))

                                    1 Reply Last reply Reply Quote 0
                                    • D
                                      destress_signal
                                      last edited by

                                      Извините :) просто после восстановления сенса пришлось немного поработать :) только вернулся в реальный мир

                                      1 Reply Last reply Reply Quote 1
                                      • K
                                        Konstanti @destress_signal
                                        last edited by

                                        @destress_signal Отлично , как я и подумал , глюк PF . Обычно лучше смотреть содержимое файла с правилами , там четко видно как пакет идет и в какой момент какое правило срабатывает

                                        1 Reply Last reply Reply Quote 1
                                        • First post
                                          Last post
                                        Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.