Firewall и IPSec: вопросы новичка
-
Здравствуйте!
Прошу спецов объяснить "чайнику", как устроено взаимодействие между файрволом и сервисом IPSec.
Вот установил и настроил я IPSec. Все работает. В правилах файрвола и для интерфейса WAN и для интерфейса IPSec никаких правил нет. При этом IPSec взаимодействует с интернет по портам 500, 4500 и протоколом ESP. НО! Если я добавлю эти правила, только блокирующие трафик, в файрвол интерфейса WAN, то IPSec работать перестанет. Или в граф. интерфейсе не все правила показываются, или я не понимаю, как работает система?
Спасибо.
P.S. Статью "PfSense: порядок прохождения пакетов" прочитал. -
Здравствуйте,
Да, есть ряд правил по умолчанию, которые не отображаются в граф. интерфейсе. Вы можете в Diag > Command Prompt (shell) ввести cat /tmp/rules.debug | grep IPsec вы увидите разрешающие правила для ISAKMP, ESP и NAT-T, сгенерированные автоматически после настройки IPSec, что-нибудь вроде:
pass out route-to ( mvneta2 <шлюз> ) proto udp from (self) to <удаленный пир> port = 500 tracker 1000108441 keep state label "IPsec: <имя туннеля> - outbound isakmp"
pass in on $WAN reply-to ( mvneta2 <шлюз>) proto udp from <удаленный пир> to (self) port = 500 tracker 1000108442 keep state label "IPsec: <имя туннеля> - inbound isakmp"
pass out route-to ( mvneta2 <шлюз> ) proto udp from (self) to <удаленный пир> port = 4500 tracker 1000108443 keep state label "IPsec: <имя туннеля> - outbound nat-t"
pass in on $WAN reply-to ( mvneta2 <шлюз> ) proto udp from <удаленный пир> to (self) port = 4500 tracker 1000108444 keep state label "IPsec: <имя туннеля> - inbound nat-t"
pass out route-to ( mvneta2 <шлюз> ) proto esp from (self) to <удаленный пир> tracker 1000108445 keep state label "IPsec:<имя туннеля> - outbound esp proto"
pass in on $WAN reply-to ( mvneta2 <шлюз> ) proto esp from <удаленный пир> to (self) tracker 1000108446 keep state label "IPsec: <имя туннеля>- inbound esp proto"