Navigation

    Netgate Discussion Forum
    • Register
    • Login
    • Search
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search

    При включении NAT не работают правила блокир&

    Russian
    5
    12
    1209
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • M
      Mainfin last edited by

      Здравствуйте, столкнулся со странной и ужасающей проблемой:
      При создании NAT и одновременном создании ассоциированного правила, редактирование этого правила (в т.ч. отключение или изменение (!) разрешения) не приводит не к каким изменениям!
      Пример:
      Создаю NAT 1.2.3.4 tcp/3389 => 192.168.1.1 tcp/3389 (по умолчанию стоит "add associated filter rule")
      Автоматически создается разрешающее правило
      Затем, меняю правило с "разрешить" на "блокировать" или отключаю его, но ничего не происходит, порт открыт!!!

      Это так и должно быть или это страшный баг?

      Версия 2.4.2-RELEASE (amd64)
      Единственное что обновлялся с версии 2.3 x86 с помощью чистой установки и последующим переносом конфигурации, может в этом дело.
      Проверьте пожалуйста у себя.

      1 Reply Last reply Reply Quote 0
      • werter
        werter last edited by

        Доброго.

        Затем, меняю правило с "разрешить" на "блокировать" или отключаю его, но ничего не происходит, порт открыт!!!

        Вы правило НАТа-то откл\удалите. И будет вам блокировка.

        1 Reply Last reply Reply Quote 0
        • M
          Mainfin last edited by

          werter, спасибо, я уже понял. т.е. это нормальная ситуация?
          Я как то привык, что nat - это нат, а правила отдельно. Для меня это было очень неприятной неожиданностью, как-то хочется запрещая трафик ожидать что он будет заблокирован.

          Отсюда следующий вопрос: при включении nat 1:1 мы фактически переводим брандмауэр в режим моста? Я уже не смогу создать для транслируемого адреса никаких правил???

          1 Reply Last reply Reply Quote 0
          • D
            derwin last edited by

            werter
            откуда у тебя столько терпения? удивительно.
            Mainfin, нужно понимать, что разрешения на рулесах и правила NAT-а это разные вещи. А ещё нужно резетить текущие стейты.

            1 Reply Last reply Reply Quote 0
            • werter
              werter last edited by

              Доброго.
              @derwin:

              откуда у тебя столько терпения? удивительно.

              https://www.youtube.com/watch?v=d3tbZ5E0P_s
              Системно-сетевой-прАграммист-ааауминяничивониработаит - социально ответственная проффЭсия.

              P.s. Вспомнилось. Крайность. Но 80-ый левел же ж - https://lurkmore.to/Ни_единого_разрыва  ;D

              1 Reply Last reply Reply Quote 0
              • M
                Mainfin last edited by

                забавные вы ребята, если нужно не дюжее терпение для ответа на вопросы в форуме, то вы werter, очень выносливый человек, если сумели натерпеть 5000 постов))

                По теме, нужно понимать, что у pf своя обособленная идеология. И у большинства все же правила NAT - это правила трансляции, а правила фаервола - это правила фильтрации трафика.
                Мое предыдущее утверждение верно:
                Отсюда следующий вопрос: при включении nat 1:1 мы фактически переводим брандмауэр в режим моста? Я уже не смогу создать для транслируемого адреса никаких правил?

                1 Reply Last reply Reply Quote 0
                • werter
                  werter last edited by

                  По теме, нужно понимать, что у pf своя обособленная идеология. И у большинства все же правила NAT - это правила трансляции, а правила фаервола - это правила фильтрации трафика.

                  Идеология - как у всех никсов.

                  1-я же ссылка в гугле по rules priority pfsense
                  https://doc.pfsense.org/index.php/Firewall_Rule_Processing_Order

                  Отсюда следующий вопрос: при включении nat 1:1 мы фактически переводим брандмауэр в режим моста? Я уже не смогу создать для транслируемого адреса никаких пр

                  1-я же ссылка в гугле по nat 1:1 pfsense
                  https://doc.pfsense.org/index.php/1:1_NAT

                  У меня просто нечеловеческое терпение  8)

                  Пользуйте поиск. Или научу. За деньги. Большие.

                  1 Reply Last reply Reply Quote 0
                  • M
                    Mainfin last edited by

                    Спасибо.
                    Мне еще пару уроков иностранного видимо нужно. Я так-то понимаю что такое нат, но из доки так и не понял как управлять трафиком при использовании 1:1.

                    При этом (возвращаясь к первому посту), если я создаю обычный nat (pat) и автоматически не создаю ассоциированного правила, то в последствии я могу прекрасно управлять правилами создавая и модифицируя их вручную.

                    ps
                    pf для меня нов и не привычен, поэтому некоторые вещи кажутся мне нелогичны. А для админа неправильно настроенный фаервол может быть фатален. Поэтому если есть возможность объяснить - было бы здорово.

                    1 Reply Last reply Reply Quote 0
                    • R
                      rubic last edited by

                      @Mainfin:

                      забавные вы ребята, если нужно не дюжее терпение для ответа на вопросы в форуме, то вы werter, очень выносливый человек, если сумели натерпеть 5000 постов))

                      Вертер - робот на платформе FreeBSD. Google: "Робот Вертер". Я сам запустил его лет 10 назад, и он до сих пор работает как часы! И, скажу я вам, работает отлично! Вертер заставляет думать и сомневаться! Вертер включает ваши мозги! Вертер не оставит ваш вопрос без ответа. Он единственный, кто поддерживает жизнь русской ветки. Без сарказма, спасибо Вертер!
                      Однако, по сути вашего вопроса: port forward работает до firewall, поэтому разрешающее правило необходимо. То, что вы его отключили, а трафик все равно идет, объясняется другими причинами. Вам ведь уже говорили, что нужно сделать reset states?
                      Пожалуйста не обижайтесь, милый Вертер! Я немного глупо шучу) С наступающим, друзья!

                      1 Reply Last reply Reply Quote 0
                      • werter
                        werter last edited by

                        Доброго.
                        Ого. Не знаю, что и ответить. Попробую все же https://youtu.be/pzDoUGh1mIE?t=8  ::)

                        Как для кого, но для меня этот форум - уже больше, чем просто окошко в браузере. Это уже часть моей жизни, что ли.

                        С наступающим, коллеги! Здоровья, терпения, достатка и МИРА всем-всем на этом голубом шарике  ;)

                        1 Reply Last reply Reply Quote 0
                        • R
                          rubic last edited by

                          ХА-ХА-ХА :-)

                          1 Reply Last reply Reply Quote 0
                          • P
                            pigbrother last edited by

                            2Rubic
                            Было бы крайне несправедливо не отметить вашего участия в жизни форума.
                            Без ваших редких, но чрезвычайно ценных постов многое осталось бы непонятным и нереализованным.

                            2werter
                            Как для кого, но для меня этот форум - уже больше, чем просто окошко в браузере. Это уже часть моей жизни, что ли.
                            Аналогично. Лучше и не скажешь.

                            Всем добра в новом году.

                            1 Reply Last reply Reply Quote 0
                            • First post
                              Last post