Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Не работают правила фаервола для сервера PPPOE

    Scheduled Pinned Locked Moved Russian
    52 Posts 3 Posters 7.0k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • K
      Konstanti @igogo56136
      last edited by Konstanti

      @igogo56136
      pfctl -a userrules/u002 -F rules
      pfctl -k 192.168.106.10
      netstat -nr | grep 192.168.106.10 | awk '{print $4}'
      echo "block in quick on ng39 " | pfctl -a userrules/u002 -f -

      I 1 Reply Last reply Reply Quote 0
      • I
        igogo56136 @Konstanti
        last edited by igogo56136

        @Konstanti не сработало. интернет у 192.168.106.10 есть. Пинг один пакет пропал и дальше пошли пинги

        K 1 Reply Last reply Reply Quote 0
        • K
          Konstanti @igogo56136
          last edited by

          @igogo56136
          а покажите пож вывод после ввода каждой команды
          дальше
          команду echo "block in quick on ng39 " | pfctl -a userrules/u002 -f - немного изменяем
          на такое
          echo "block in log quick on ng39 " | pfctl -a userrules/u002 -f -

          и после всех манипуляций покажите пож вывод команды
          pfctl -a userrules/u002 -sr

          и посмотрите логи файрвола

          I 1 Reply Last reply Reply Quote 0
          • I
            igogo56136 @Konstanti
            last edited by

            @Konstanti
            pfctl -a userrules/u002 -F rules
            rules cleared

            pfctl -k 192.168.106.10
            killed 2 states from 1 sources and 0 destinations

            netstat -nr | grep 192.168.106.10 | awk '{print $4}'
            ng39

            echo "block in log quick on ng39 " | pfctl -a userrules/u002 -f -
            пусто

            pfctl -a userrules/u002 -sr
            block drop in log quick on ng39 all
            в логах чисто по 192.168.106.10

            K 1 Reply Last reply Reply Quote 0
            • K
              Konstanti @igogo56136
              last edited by

              @igogo56136
              а если поменять правило так
              echo "block out log quick on ng39 " | pfctl -a userrules/u002 -f -

              I 1 Reply Last reply Reply Quote 0
              • I
                igogo56136 @Konstanti
                last edited by igogo56136

                @Konstanti said in Не работают правила фаервола для сервера PPPOE:

                echo "block out log quick on ng39 " | pfctl -a userrules/u002 -f -
                echo "block out log quick on ng39 " | pfctl -a userrules/u002 -f -
                пусто
                интернет есть у 192.168.106.10
                вывод тот же самый
                у меня еще suricata стоит но не на этом интерфейсе. может поможет инфа....

                K 1 Reply Last reply Reply Quote 0
                • K
                  Konstanti @igogo56136
                  last edited by

                  @igogo56136
                  Не знаю
                  попробуйте так
                  pfctl -a userrules/u002 -F rules
                  pfctl -k 192.168.106.10
                  echo "block in quick on pppoe from 192.168.106.10 to any " | pfctl -a userrules/u002 -f -

                  I 1 Reply Last reply Reply Quote 0
                  • I
                    igogo56136 @Konstanti
                    last edited by

                    @Konstanti said in Не работают правила фаервола для сервера PPPOE:

                    echo "block in quick on pppoe from 192.168.106.10 to any " | pfctl -a userrules/u002 -f -

                    вывод команды echo "block in quick on pppoe from 192.168.106.10 to any " | pfctl -a userrules/u002 -f -
                    пустой
                    интернет есть.

                    K 1 Reply Last reply Reply Quote 0
                    • K
                      Konstanti @igogo56136
                      last edited by

                      @igogo56136
                      а если отключить сурикату ?

                      I 1 Reply Last reply Reply Quote 0
                      • I
                        igogo56136 @Konstanti
                        last edited by igogo56136

                        @Konstanti отключил - инет есть. в фаерволе появилась запись Mar 24 14:57 ng39 127.0.0.1 192.168.106.10:52284 блок

                        K 1 Reply Last reply Reply Quote 0
                        • K
                          Konstanti @igogo56136
                          last edited by

                          @igogo56136
                          А такая команда вообще что-нить показывает ?
                          tcpdump -netti ng39

                          I 1 Reply Last reply Reply Quote 0
                          • I
                            igogo56136 @Konstanti
                            last edited by igogo56136

                            @Konstanti 1585056433.608311 AF IPv4 (2), length 1484: 50.7.220.130.8081 > 192.168.106.10.53488: Flags [.], seq 354252:355692, ack 1306, win 31624, length 1440
                            1585056433.608336 AF IPv4 (2), length 44: 192.168.106.10.53488 > 50.7.220.130.8081: Flags [.], ack 344172, win 64800, length 0

                            да показывает траффик и много
                            Может дело в разрешающем правиле? оно перекрывает остальные правила? потому что если в него вносить изменения то все пашет но на всех пользователей PPPOE а мне нужно блочить с 17 -00 до 23-59 только пользователя 192.168.106.10. я вношу в правило Schedule разрешить с 8 до 17 и инет в 17 00 обрубается у всех

                            K 1 Reply Last reply Reply Quote 0
                            • K
                              Konstanti @igogo56136
                              last edited by Konstanti

                              @igogo56136
                              По уму, якоря должны срабатывать раньше основных правил
                              а если попробовать так
                              pfctl -a userrules/u002 -F rules
                              pfctl -k 192.168.106.10
                              echo "block in log quick on ng39 " | pfctl -a ipsec/u002 -f -

                              и покажите вывод команды pfctl -sr

                              I 1 Reply Last reply Reply Quote 0
                              • I
                                igogo56136 @Konstanti
                                last edited by igogo56136

                                @Konstanti said in Не работают правила фаервола для сервера PPPOE:

                                pfctl -sr

                                123123.txt
                                интернет не заблокирован у 192.168.106.10
                                интерфейс изменился с ng39 на ng91
                                я бы конечно же заблокировал на Squid е но он блокирует только 80 и 443 остальной траффик идет через нат. в браузере это легко обойти. Мне кажется выход один - юзать RADIUS(авторизация pppoe через радиус)

                                K 2 Replies Last reply Reply Quote 0
                                • K
                                  Konstanti @igogo56136
                                  last edited by

                                  @igogo56136
                                  Пока до конца не понимаю , как это возможно
                                  Но есть еще 1 вариант
                                  На закладке файровола PPPoE выше остальных делаем вот такое правило
                                  ( вместо Lan должен быть PPPoE)

                                  7e080942-dec6-462f-aa77-bd941b7c8c02-image.png
                                  fb9af7ce-0bc8-45d4-bc66-1f85cfd94e13-image.png

                                  Теперь переходим в закладку Floating Rules
                                  и создаем такое правило

                                  9f71da64-bd46-4f10-bfd3-7728098084f2-image.png
                                  363d1cf0-45de-4964-b14c-2caeba95e1c2-image.png

                                  Сработает такая конструкция ?

                                  1 Reply Last reply Reply Quote 0
                                  • K
                                    Konstanti @igogo56136
                                    last edited by Konstanti

                                    @igogo56136
                                    Сейчас настроил у себя PPPoE сервер
                                    9f8132b0-7837-4c36-88d3-a9e40471921d-image.png

                                    Отключена блокировка
                                    e50ddd9d-a3da-439a-bffd-7e4edcc4d2d8-image.png

                                    Включаю блокировку

                                    d6f6880f-85b5-4c73-8c6b-6220a1c69423-image.png

                                    Результат

                                    2951c187-52a7-464d-9544-3d2600444d2b-image.png

                                    создал второго клиента

                                    одному запретил , второму разрешил
                                    вот результат
                                    4e485396-62f4-4e2d-8f2c-e4fe0ac196b3-image.png

                                    Журнал

                                    35cf5e36-c8cc-437d-92a5-78a07fd9f341-image.png

                                    I 1 Reply Last reply Reply Quote 1
                                    • I
                                      igogo56136 @Konstanti
                                      last edited by igogo56136

                                      @Konstanti я прекрасно понимаю что правила верны но у меня они не работают. где то глюк походу. Попробую завтра сделать как у Вас Константин. А как через командную не просто заблочить а например с 17 00 до 23-59 чтобы у этого пользователя не было интернета? в крон если что запихну
                                      зы не работают правила. Вышло обновление сейчас обновлюсь может баг уйдет.
                                      ps нет не работает блокировка. Буду переустанавливать pfsense

                                      1 Reply Last reply Reply Quote 0
                                      • I
                                        igogo56136
                                        last edited by

                                        Вобщем переустановил все заново на сервер supermicro с процами Cascade lake с сетевой интел итд для тестов. Правила так и не заработали. Установил freeRADIUS через радиус все норм рулится блокировки по времени итд итп. Спасибо за помощь

                                        1 Reply Last reply Reply Quote 0
                                        • First post
                                          Last post
                                        Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.