При включении NAT не работают правила блокир&
-
Здравствуйте, столкнулся со странной и ужасающей проблемой:
При создании NAT и одновременном создании ассоциированного правила, редактирование этого правила (в т.ч. отключение или изменение (!) разрешения) не приводит не к каким изменениям!
Пример:
Создаю NAT 1.2.3.4 tcp/3389 => 192.168.1.1 tcp/3389 (по умолчанию стоит "add associated filter rule")
Автоматически создается разрешающее правило
Затем, меняю правило с "разрешить" на "блокировать" или отключаю его, но ничего не происходит, порт открыт!!!Это так и должно быть или это страшный баг?
Версия 2.4.2-RELEASE (amd64)
Единственное что обновлялся с версии 2.3 x86 с помощью чистой установки и последующим переносом конфигурации, может в этом дело.
Проверьте пожалуйста у себя. -
Доброго.
Затем, меняю правило с "разрешить" на "блокировать" или отключаю его, но ничего не происходит, порт открыт!!!
Вы правило НАТа-то откл\удалите. И будет вам блокировка.
-
werter, спасибо, я уже понял. т.е. это нормальная ситуация?
Я как то привык, что nat - это нат, а правила отдельно. Для меня это было очень неприятной неожиданностью, как-то хочется запрещая трафик ожидать что он будет заблокирован.Отсюда следующий вопрос: при включении nat 1:1 мы фактически переводим брандмауэр в режим моста? Я уже не смогу создать для транслируемого адреса никаких правил???
-
werter
откуда у тебя столько терпения? удивительно.
Mainfin, нужно понимать, что разрешения на рулесах и правила NAT-а это разные вещи. А ещё нужно резетить текущие стейты. -
Доброго.
@derwin:откуда у тебя столько терпения? удивительно.
https://www.youtube.com/watch?v=d3tbZ5E0P_s
Системно-сетевой-прАграммист-ааауминяничивониработаит - социально ответственная проффЭсия.P.s. Вспомнилось. Крайность. Но 80-ый левел же ж - https://lurkmore.to/Ни_единого_разрыва ;D
-
забавные вы ребята, если нужно не дюжее терпение для ответа на вопросы в форуме, то вы werter, очень выносливый человек, если сумели натерпеть 5000 постов))
По теме, нужно понимать, что у pf своя обособленная идеология. И у большинства все же правила NAT - это правила трансляции, а правила фаервола - это правила фильтрации трафика.
Мое предыдущее утверждение верно:
Отсюда следующий вопрос: при включении nat 1:1 мы фактически переводим брандмауэр в режим моста? Я уже не смогу создать для транслируемого адреса никаких правил? -
По теме, нужно понимать, что у pf своя обособленная идеология. И у большинства все же правила NAT - это правила трансляции, а правила фаервола - это правила фильтрации трафика.
Идеология - как у всех никсов.
1-я же ссылка в гугле по rules priority pfsense
https://doc.pfsense.org/index.php/Firewall_Rule_Processing_OrderОтсюда следующий вопрос: при включении nat 1:1 мы фактически переводим брандмауэр в режим моста? Я уже не смогу создать для транслируемого адреса никаких пр
1-я же ссылка в гугле по nat 1:1 pfsense
https://doc.pfsense.org/index.php/1:1_NATУ меня просто нечеловеческое терпение 8)
Пользуйте поиск. Или научу. За деньги. Большие.
-
Спасибо.
Мне еще пару уроков иностранного видимо нужно. Я так-то понимаю что такое нат, но из доки так и не понял как управлять трафиком при использовании 1:1.При этом (возвращаясь к первому посту), если я создаю обычный nat (pat) и автоматически не создаю ассоциированного правила, то в последствии я могу прекрасно управлять правилами создавая и модифицируя их вручную.
ps
pf для меня нов и не привычен, поэтому некоторые вещи кажутся мне нелогичны. А для админа неправильно настроенный фаервол может быть фатален. Поэтому если есть возможность объяснить - было бы здорово. -
забавные вы ребята, если нужно не дюжее терпение для ответа на вопросы в форуме, то вы werter, очень выносливый человек, если сумели натерпеть 5000 постов))
Вертер - робот на платформе FreeBSD. Google: "Робот Вертер". Я сам запустил его лет 10 назад, и он до сих пор работает как часы! И, скажу я вам, работает отлично! Вертер заставляет думать и сомневаться! Вертер включает ваши мозги! Вертер не оставит ваш вопрос без ответа. Он единственный, кто поддерживает жизнь русской ветки. Без сарказма, спасибо Вертер!
Однако, по сути вашего вопроса: port forward работает до firewall, поэтому разрешающее правило необходимо. То, что вы его отключили, а трафик все равно идет, объясняется другими причинами. Вам ведь уже говорили, что нужно сделать reset states?
Пожалуйста не обижайтесь, милый Вертер! Я немного глупо шучу) С наступающим, друзья! -
Доброго.
Ого. Не знаю, что и ответить. Попробую все же https://youtu.be/pzDoUGh1mIE?t=8 ::)Как для кого, но для меня этот форум - уже больше, чем просто окошко в браузере. Это уже часть моей жизни, что ли.
С наступающим, коллеги! Здоровья, терпения, достатка и МИРА всем-всем на этом голубом шарике ;)
-
ХА-ХА-ХА :-)
-
2Rubic
Было бы крайне несправедливо не отметить вашего участия в жизни форума.
Без ваших редких, но чрезвычайно ценных постов многое осталось бы непонятным и нереализованным.2werter
Как для кого, но для меня этот форум - уже больше, чем просто окошко в браузере. Это уже часть моей жизни, что ли.
Аналогично. Лучше и не скажешь.Всем добра в новом году.
