Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Не работают правила фаервола для сервера PPPOE

    Scheduled Pinned Locked Moved Russian
    52 Posts 3 Posters 7.6k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • I
      igogo56136 @Konstanti
      last edited by igogo56136

      @Konstanti нашел в чем причина)) заработало . вобщем после правил надо делать Diagnostics->States->Reset States и поставить галочку Reset the firewall state table и нажать Reset и после этого правила работают) Спасибо за помощь!) Надо потестить денек-другой чтобы убедиться точно что проблема в этом

      1 Reply Last reply Reply Quote 0
      • I
        igogo56136 @Konstanti
        last edited by igogo56136

        @Konstanti Попытался сделать блокировку с 17 00 до 00 00 не срабатывает. в Firewall - >Schedules создал период времени пн-вс с 17-00 до 23-59 и добавил в правило блокировки 192.168.106.10 - не срабатывает. Делал States Reset пофиг. Мне кажется не получится сделать блокировку по времени -нужен RADIUS.

        K 1 Reply Last reply Reply Quote 0
        • K
          Konstanti @igogo56136
          last edited by Konstanti

          @igogo56136
          Здр
          Есть одна идея как такое реализовать
          Но для этого надо провести эксперимент
          Из консоли выполняем последовательно такие команды

          1. pfctl -k 192.168.106.10
          2. netstat -nr | grep 192.168.106.0/24 | awk '{print $4}'
            отсюда берем название интерфейса , на котором сейчас висит нужная сеть
          3. echo "block in quick on здесь_ставим_имя_интерфейса_из пред_команды inet from 192.168.106.10 to any " | pfctl -a userrules/u002 -f -

          Сработает ???
          Для отключения блокировки
          pfctl -a userrules/u002 -F rules

          I 1 Reply Last reply Reply Quote 0
          • I
            igogo56136 @Konstanti
            last edited by

            @Konstanti said in Не работают правила фаервола для сервера PPPOE:

            pfctl -k 192.168.106.10

            команда netstat -nr | grep 192.168.106.0/24 | awk '{print $4}' ничего не вывела, нашел что сидит на интерфейсе ng39 подставил его - не блокирует

            K 1 Reply Last reply Reply Quote 0
            • K
              Konstanti @igogo56136
              last edited by

              @igogo56136
              удалите блок , как я написал
              и потом
              а если так ?
              pfctl -k 192.168.106.10
              echo "block in quick from 192.168.106.10 to any " | pfctl -a userrules/u002 -f -

              и покажите вывод команды
              netstat -4nr

              I 1 Reply Last reply Reply Quote 0
              • I
                igogo56136 @Konstanti
                last edited by

                @Konstanti said in Не работают правила фаервола для сервера PPPOE:

                netstat -4nr

                не сработало
                выхлоп netstat -4nr
                123123.txt

                K 1 Reply Last reply Reply Quote 0
                • K
                  Konstanti @igogo56136
                  last edited by Konstanti

                  @igogo56136
                  pfctl -a userrules/u002 -F rules
                  pfctl -k 192.168.106.10
                  netstat -nr | grep 192.168.106.10 | awk '{print $4}'
                  echo "block in quick on ng39 " | pfctl -a userrules/u002 -f -

                  I 1 Reply Last reply Reply Quote 0
                  • I
                    igogo56136 @Konstanti
                    last edited by igogo56136

                    @Konstanti не сработало. интернет у 192.168.106.10 есть. Пинг один пакет пропал и дальше пошли пинги

                    K 1 Reply Last reply Reply Quote 0
                    • K
                      Konstanti @igogo56136
                      last edited by

                      @igogo56136
                      а покажите пож вывод после ввода каждой команды
                      дальше
                      команду echo "block in quick on ng39 " | pfctl -a userrules/u002 -f - немного изменяем
                      на такое
                      echo "block in log quick on ng39 " | pfctl -a userrules/u002 -f -

                      и после всех манипуляций покажите пож вывод команды
                      pfctl -a userrules/u002 -sr

                      и посмотрите логи файрвола

                      I 1 Reply Last reply Reply Quote 0
                      • I
                        igogo56136 @Konstanti
                        last edited by

                        @Konstanti
                        pfctl -a userrules/u002 -F rules
                        rules cleared

                        pfctl -k 192.168.106.10
                        killed 2 states from 1 sources and 0 destinations

                        netstat -nr | grep 192.168.106.10 | awk '{print $4}'
                        ng39

                        echo "block in log quick on ng39 " | pfctl -a userrules/u002 -f -
                        пусто

                        pfctl -a userrules/u002 -sr
                        block drop in log quick on ng39 all
                        в логах чисто по 192.168.106.10

                        K 1 Reply Last reply Reply Quote 0
                        • K
                          Konstanti @igogo56136
                          last edited by

                          @igogo56136
                          а если поменять правило так
                          echo "block out log quick on ng39 " | pfctl -a userrules/u002 -f -

                          I 1 Reply Last reply Reply Quote 0
                          • I
                            igogo56136 @Konstanti
                            last edited by igogo56136

                            @Konstanti said in Не работают правила фаервола для сервера PPPOE:

                            echo "block out log quick on ng39 " | pfctl -a userrules/u002 -f -
                            echo "block out log quick on ng39 " | pfctl -a userrules/u002 -f -
                            пусто
                            интернет есть у 192.168.106.10
                            вывод тот же самый
                            у меня еще suricata стоит но не на этом интерфейсе. может поможет инфа....

                            K 1 Reply Last reply Reply Quote 0
                            • K
                              Konstanti @igogo56136
                              last edited by

                              @igogo56136
                              Не знаю
                              попробуйте так
                              pfctl -a userrules/u002 -F rules
                              pfctl -k 192.168.106.10
                              echo "block in quick on pppoe from 192.168.106.10 to any " | pfctl -a userrules/u002 -f -

                              I 1 Reply Last reply Reply Quote 0
                              • I
                                igogo56136 @Konstanti
                                last edited by

                                @Konstanti said in Не работают правила фаервола для сервера PPPOE:

                                echo "block in quick on pppoe from 192.168.106.10 to any " | pfctl -a userrules/u002 -f -

                                вывод команды echo "block in quick on pppoe from 192.168.106.10 to any " | pfctl -a userrules/u002 -f -
                                пустой
                                интернет есть.

                                K 1 Reply Last reply Reply Quote 0
                                • K
                                  Konstanti @igogo56136
                                  last edited by

                                  @igogo56136
                                  а если отключить сурикату ?

                                  I 1 Reply Last reply Reply Quote 0
                                  • I
                                    igogo56136 @Konstanti
                                    last edited by igogo56136

                                    @Konstanti отключил - инет есть. в фаерволе появилась запись Mar 24 14:57 ng39 127.0.0.1 192.168.106.10:52284 блок

                                    K 1 Reply Last reply Reply Quote 0
                                    • K
                                      Konstanti @igogo56136
                                      last edited by

                                      @igogo56136
                                      А такая команда вообще что-нить показывает ?
                                      tcpdump -netti ng39

                                      I 1 Reply Last reply Reply Quote 0
                                      • I
                                        igogo56136 @Konstanti
                                        last edited by igogo56136

                                        @Konstanti 1585056433.608311 AF IPv4 (2), length 1484: 50.7.220.130.8081 > 192.168.106.10.53488: Flags [.], seq 354252:355692, ack 1306, win 31624, length 1440
                                        1585056433.608336 AF IPv4 (2), length 44: 192.168.106.10.53488 > 50.7.220.130.8081: Flags [.], ack 344172, win 64800, length 0

                                        да показывает траффик и много
                                        Может дело в разрешающем правиле? оно перекрывает остальные правила? потому что если в него вносить изменения то все пашет но на всех пользователей PPPOE а мне нужно блочить с 17 -00 до 23-59 только пользователя 192.168.106.10. я вношу в правило Schedule разрешить с 8 до 17 и инет в 17 00 обрубается у всех

                                        K 1 Reply Last reply Reply Quote 0
                                        • K
                                          Konstanti @igogo56136
                                          last edited by Konstanti

                                          @igogo56136
                                          По уму, якоря должны срабатывать раньше основных правил
                                          а если попробовать так
                                          pfctl -a userrules/u002 -F rules
                                          pfctl -k 192.168.106.10
                                          echo "block in log quick on ng39 " | pfctl -a ipsec/u002 -f -

                                          и покажите вывод команды pfctl -sr

                                          I 1 Reply Last reply Reply Quote 0
                                          • I
                                            igogo56136 @Konstanti
                                            last edited by igogo56136

                                            @Konstanti said in Не работают правила фаервола для сервера PPPOE:

                                            pfctl -sr

                                            123123.txt
                                            интернет не заблокирован у 192.168.106.10
                                            интерфейс изменился с ng39 на ng91
                                            я бы конечно же заблокировал на Squid е но он блокирует только 80 и 443 остальной траффик идет через нат. в браузере это легко обойти. Мне кажется выход один - юзать RADIUS(авторизация pppoe через радиус)

                                            K 2 Replies Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.