Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Не работают правила фаервола для сервера PPPOE

    Scheduled Pinned Locked Moved Russian
    52 Posts 3 Posters 7.0k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • I
      igogo56136 @Konstanti
      last edited by igogo56136

      @Konstanti Попытался сделать блокировку с 17 00 до 00 00 не срабатывает. в Firewall - >Schedules создал период времени пн-вс с 17-00 до 23-59 и добавил в правило блокировки 192.168.106.10 - не срабатывает. Делал States Reset пофиг. Мне кажется не получится сделать блокировку по времени -нужен RADIUS.

      K 1 Reply Last reply Reply Quote 0
      • K
        Konstanti @igogo56136
        last edited by Konstanti

        @igogo56136
        Здр
        Есть одна идея как такое реализовать
        Но для этого надо провести эксперимент
        Из консоли выполняем последовательно такие команды

        1. pfctl -k 192.168.106.10
        2. netstat -nr | grep 192.168.106.0/24 | awk '{print $4}'
          отсюда берем название интерфейса , на котором сейчас висит нужная сеть
        3. echo "block in quick on здесь_ставим_имя_интерфейса_из пред_команды inet from 192.168.106.10 to any " | pfctl -a userrules/u002 -f -

        Сработает ???
        Для отключения блокировки
        pfctl -a userrules/u002 -F rules

        I 1 Reply Last reply Reply Quote 0
        • I
          igogo56136 @Konstanti
          last edited by

          @Konstanti said in Не работают правила фаервола для сервера PPPOE:

          pfctl -k 192.168.106.10

          команда netstat -nr | grep 192.168.106.0/24 | awk '{print $4}' ничего не вывела, нашел что сидит на интерфейсе ng39 подставил его - не блокирует

          K 1 Reply Last reply Reply Quote 0
          • K
            Konstanti @igogo56136
            last edited by

            @igogo56136
            удалите блок , как я написал
            и потом
            а если так ?
            pfctl -k 192.168.106.10
            echo "block in quick from 192.168.106.10 to any " | pfctl -a userrules/u002 -f -

            и покажите вывод команды
            netstat -4nr

            I 1 Reply Last reply Reply Quote 0
            • I
              igogo56136 @Konstanti
              last edited by

              @Konstanti said in Не работают правила фаервола для сервера PPPOE:

              netstat -4nr

              не сработало
              выхлоп netstat -4nr
              123123.txt

              K 1 Reply Last reply Reply Quote 0
              • K
                Konstanti @igogo56136
                last edited by Konstanti

                @igogo56136
                pfctl -a userrules/u002 -F rules
                pfctl -k 192.168.106.10
                netstat -nr | grep 192.168.106.10 | awk '{print $4}'
                echo "block in quick on ng39 " | pfctl -a userrules/u002 -f -

                I 1 Reply Last reply Reply Quote 0
                • I
                  igogo56136 @Konstanti
                  last edited by igogo56136

                  @Konstanti не сработало. интернет у 192.168.106.10 есть. Пинг один пакет пропал и дальше пошли пинги

                  K 1 Reply Last reply Reply Quote 0
                  • K
                    Konstanti @igogo56136
                    last edited by

                    @igogo56136
                    а покажите пож вывод после ввода каждой команды
                    дальше
                    команду echo "block in quick on ng39 " | pfctl -a userrules/u002 -f - немного изменяем
                    на такое
                    echo "block in log quick on ng39 " | pfctl -a userrules/u002 -f -

                    и после всех манипуляций покажите пож вывод команды
                    pfctl -a userrules/u002 -sr

                    и посмотрите логи файрвола

                    I 1 Reply Last reply Reply Quote 0
                    • I
                      igogo56136 @Konstanti
                      last edited by

                      @Konstanti
                      pfctl -a userrules/u002 -F rules
                      rules cleared

                      pfctl -k 192.168.106.10
                      killed 2 states from 1 sources and 0 destinations

                      netstat -nr | grep 192.168.106.10 | awk '{print $4}'
                      ng39

                      echo "block in log quick on ng39 " | pfctl -a userrules/u002 -f -
                      пусто

                      pfctl -a userrules/u002 -sr
                      block drop in log quick on ng39 all
                      в логах чисто по 192.168.106.10

                      K 1 Reply Last reply Reply Quote 0
                      • K
                        Konstanti @igogo56136
                        last edited by

                        @igogo56136
                        а если поменять правило так
                        echo "block out log quick on ng39 " | pfctl -a userrules/u002 -f -

                        I 1 Reply Last reply Reply Quote 0
                        • I
                          igogo56136 @Konstanti
                          last edited by igogo56136

                          @Konstanti said in Не работают правила фаервола для сервера PPPOE:

                          echo "block out log quick on ng39 " | pfctl -a userrules/u002 -f -
                          echo "block out log quick on ng39 " | pfctl -a userrules/u002 -f -
                          пусто
                          интернет есть у 192.168.106.10
                          вывод тот же самый
                          у меня еще suricata стоит но не на этом интерфейсе. может поможет инфа....

                          K 1 Reply Last reply Reply Quote 0
                          • K
                            Konstanti @igogo56136
                            last edited by

                            @igogo56136
                            Не знаю
                            попробуйте так
                            pfctl -a userrules/u002 -F rules
                            pfctl -k 192.168.106.10
                            echo "block in quick on pppoe from 192.168.106.10 to any " | pfctl -a userrules/u002 -f -

                            I 1 Reply Last reply Reply Quote 0
                            • I
                              igogo56136 @Konstanti
                              last edited by

                              @Konstanti said in Не работают правила фаервола для сервера PPPOE:

                              echo "block in quick on pppoe from 192.168.106.10 to any " | pfctl -a userrules/u002 -f -

                              вывод команды echo "block in quick on pppoe from 192.168.106.10 to any " | pfctl -a userrules/u002 -f -
                              пустой
                              интернет есть.

                              K 1 Reply Last reply Reply Quote 0
                              • K
                                Konstanti @igogo56136
                                last edited by

                                @igogo56136
                                а если отключить сурикату ?

                                I 1 Reply Last reply Reply Quote 0
                                • I
                                  igogo56136 @Konstanti
                                  last edited by igogo56136

                                  @Konstanti отключил - инет есть. в фаерволе появилась запись Mar 24 14:57 ng39 127.0.0.1 192.168.106.10:52284 блок

                                  K 1 Reply Last reply Reply Quote 0
                                  • K
                                    Konstanti @igogo56136
                                    last edited by

                                    @igogo56136
                                    А такая команда вообще что-нить показывает ?
                                    tcpdump -netti ng39

                                    I 1 Reply Last reply Reply Quote 0
                                    • I
                                      igogo56136 @Konstanti
                                      last edited by igogo56136

                                      @Konstanti 1585056433.608311 AF IPv4 (2), length 1484: 50.7.220.130.8081 > 192.168.106.10.53488: Flags [.], seq 354252:355692, ack 1306, win 31624, length 1440
                                      1585056433.608336 AF IPv4 (2), length 44: 192.168.106.10.53488 > 50.7.220.130.8081: Flags [.], ack 344172, win 64800, length 0

                                      да показывает траффик и много
                                      Может дело в разрешающем правиле? оно перекрывает остальные правила? потому что если в него вносить изменения то все пашет но на всех пользователей PPPOE а мне нужно блочить с 17 -00 до 23-59 только пользователя 192.168.106.10. я вношу в правило Schedule разрешить с 8 до 17 и инет в 17 00 обрубается у всех

                                      K 1 Reply Last reply Reply Quote 0
                                      • K
                                        Konstanti @igogo56136
                                        last edited by Konstanti

                                        @igogo56136
                                        По уму, якоря должны срабатывать раньше основных правил
                                        а если попробовать так
                                        pfctl -a userrules/u002 -F rules
                                        pfctl -k 192.168.106.10
                                        echo "block in log quick on ng39 " | pfctl -a ipsec/u002 -f -

                                        и покажите вывод команды pfctl -sr

                                        I 1 Reply Last reply Reply Quote 0
                                        • I
                                          igogo56136 @Konstanti
                                          last edited by igogo56136

                                          @Konstanti said in Не работают правила фаервола для сервера PPPOE:

                                          pfctl -sr

                                          123123.txt
                                          интернет не заблокирован у 192.168.106.10
                                          интерфейс изменился с ng39 на ng91
                                          я бы конечно же заблокировал на Squid е но он блокирует только 80 и 443 остальной траффик идет через нат. в браузере это легко обойти. Мне кажется выход один - юзать RADIUS(авторизация pppoe через радиус)

                                          K 2 Replies Last reply Reply Quote 0
                                          • K
                                            Konstanti @igogo56136
                                            last edited by

                                            @igogo56136
                                            Пока до конца не понимаю , как это возможно
                                            Но есть еще 1 вариант
                                            На закладке файровола PPPoE выше остальных делаем вот такое правило
                                            ( вместо Lan должен быть PPPoE)

                                            7e080942-dec6-462f-aa77-bd941b7c8c02-image.png
                                            fb9af7ce-0bc8-45d4-bc66-1f85cfd94e13-image.png

                                            Теперь переходим в закладку Floating Rules
                                            и создаем такое правило

                                            9f71da64-bd46-4f10-bfd3-7728098084f2-image.png
                                            363d1cf0-45de-4964-b14c-2caeba95e1c2-image.png

                                            Сработает такая конструкция ?

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.