Firewall и IPSec: вопросы новичка



  • Здравствуйте!
    Прошу спецов объяснить "чайнику", как устроено взаимодействие между файрволом и сервисом IPSec.
    Вот установил и настроил я IPSec. Все работает. В правилах файрвола и для интерфейса WAN и для интерфейса IPSec никаких правил нет. При этом IPSec взаимодействует с интернет по портам 500, 4500 и протоколом ESP. НО! Если я добавлю эти правила, только блокирующие трафик, в файрвол интерфейса WAN, то IPSec работать перестанет. Или в граф. интерфейсе не все правила показываются, или я не понимаю, как работает система?
    Спасибо.
    P.S. Статью "PfSense: порядок прохождения пакетов" прочитал.


  • Administrator

    Здравствуйте,

    Да, есть ряд правил по умолчанию, которые не отображаются в граф. интерфейсе. Вы можете в Diag > Command Prompt (shell) ввести cat /tmp/rules.debug | grep IPsec вы увидите разрешающие правила для ISAKMP, ESP и NAT-T, сгенерированные автоматически после настройки IPSec, что-нибудь вроде:

    pass out route-to ( mvneta2 <шлюз> ) proto udp from (self) to <удаленный пир> port = 500 tracker 1000108441 keep state label "IPsec: <имя туннеля> - outbound isakmp"
    pass in on $WAN reply-to ( mvneta2 <шлюз>) proto udp from <удаленный пир> to (self) port = 500 tracker 1000108442 keep state label "IPsec: <имя туннеля> - inbound isakmp"
    pass out route-to ( mvneta2 <шлюз> ) proto udp from (self) to <удаленный пир> port = 4500 tracker 1000108443 keep state label "IPsec: <имя туннеля> - outbound nat-t"
    pass in on $WAN reply-to ( mvneta2 <шлюз> ) proto udp from <удаленный пир> to (self) port = 4500 tracker 1000108444 keep state label "IPsec: <имя туннеля> - inbound nat-t"
    pass out route-to ( mvneta2 <шлюз> ) proto esp from (self) to <удаленный пир> tracker 1000108445 keep state label "IPsec:<имя туннеля> - outbound esp proto"
    pass in on $WAN reply-to ( mvneta2 <шлюз> ) proto esp from <удаленный пир> to (self) tracker 1000108446 keep state label "IPsec: <имя туннеля>- inbound esp proto"


Log in to reply