Einfache Firewall Regel klappt nicht

unique24

Hallo,

ich habe auf der pfSense 6 Interfaces mit je einem eigenen VLAN und DHCP.

Also Beispiel möchte ich verhindern, das Traffic vom Interface "Management" auf das interface "Domaincontroller" kommt. Aber das klappt nicht:

Ist die Regel falsch oder muss ich noch etwas einstellen?

Ich prüfe es per Pingen der IP im anderen Netz!
Danke!

Bob.Dig

Wer ist denn die Ping-Quelle und wer das Ziel?

unique24

Von Management net zu Domaincontroller net

Ist es entscheident wo ich die regel setze?
im Domaincontroller net ja verbieten, das daten vom management net kommen
oder
im management net verbieten, das daten vom Domaincontroller net kommen

Bob.Dig

@unique24 Ich meinte, nutzt Du einzelne Rechner zum Testen oder nur pfSense selbst?

unique24

achso, bin von meinem notebook über das WLAN (Management net) verbunden und pinge den Windows Server im Domaincontroller net

Ich muss 2 Aufgaben öfter umsetzen:

Komplett sperren von manchen Interface übergreifende Kommunikation
Teilweise erlauben auf gewisse IP´s vom anderen Interface zu kommunizieren

Bob.Dig

@unique24 Und die Rechner haben ihre jeweiligen eigenen IPs bekommen vom jeweiligen DHCP oder kann da was vermischt sein? Für mich als Laie sieht die Regel so eigentlich ok aus.

unique24

Ja, jeder hat seine IP und wird zugewiesen.

Ist die Regel im Normalfall gleich aktiv oder dauert das länger bis die greift?

So habe ich es mal:

unique24

Sorry, das pingen scheint zu täuschen ... die Regel passt wohl, da ich den RDP nicht öffnen kann.

Pings werden jedoch beantwortet .. nach einiger zeit aber dann nicht mehr ... als wäre da irgendwo ein cache

Bob.Dig

@unique24 Versuche mal unter Diagnostics > States > Reset States den Reset the firewall state table.

Die entsprechende Regel unter Domaincontroller sollte tatsächlich überflüssig sein.
Und WAN net ist nicht das Internet.

unique24

Hallo,

danke ... ich schau mir das an.

Warum ist das Wan net nicht das Internet? Ich habe dort die öffentliche IP per DHCP zugewiesen bekommen.

Bob.Dig

@unique24 Ist so eine Falle in pfSense.
Damit ist tatsächlich nur das Netz gemeint, welches sich aus deiner WAN-IP und der dazugehörigen Netzmaske, zu sehen unter Status > Interfaces für WAN, ergibt. Für Internet muss dort also Sternchen stehen.

unique24

Du meinst statt WAN net soll ein Sternchen (also any) sein?

Ich war der Meinung das dann aus dem Netz alles erlaubt ist. Also auch Zugriff auf andere Netze.

Bob.Dig

@unique24 Nicht, wenn es vorher eine Block/Reject Regel gab. Wird ja von oben nach unten abgearbeitet und beim ersten Trefffer terminiert.

unique24

ah, denk nun hab ich es verstanden. Aber nur zum Schluss:

erste Zeile erlaubt zugriff auf den Domain Controller
dann 3 Zeilen damit keiner die pfSense aufruft. Ganz blocken kann ich ja nicht, da die pfSense auch DHCP ist
eine Zeile das die pfSense aufgerufen werden kann (DHCP .. aber die ist wohl überflüssig, durch die nächste zeile?)
letzte Zeile für Internet

Aber die letzte Zeile sagt ja, es darf überall hin? ... wenn ich verhindern möchte das eine Verbindung in ein anderes Netz möglich ist, muss ich diese erst setzen, oder?
dachte ich erlube "nur" Internet und der Rest wird sowieso blockiert ... aber das geht nicht?

Rico

RFC1918 Alias anlegen der alle privaten Netzbereiche beinhaltet und diesen dann in einer Firewall Regel verwenden.

-Rico

unique24

@Rico Danke .. aber ich muss einmal nachfragen: Du meinst ich erstelle eine Alias für alle erlaubten oder verbotenen Netzen?

Bob.Dig

@unique24 Du würdest mit so einem Alias z.B. alles verbieten. Davor legst Du dann noch die Ausnahmen an, z.B. DNS, etc.
Als letztes dann die Internet (any)-Erlauben-Regel.

Rico

Es geht beides. :-)
Der Alias selbst ist ja erst mal ohne Funktion, da werden lediglich IP Adressen, Netzbereiche, etc. zusammengefasst.

Anschließend kannst du den Alias in beliebigen Firewall Regeln verwenden.
Ich mach bei dem was du vor hast gerne "Invert Match", da man es dann in einer einzelnen Regel zusammenfassen kann:

Du kannst aber genauso über deiner SCHUELER net - any Regel ein Block (oder "besser" REJECT) auf RFC1918 machen.

-Rico

Bob.Dig

@unique24 Ich würde statt der drei Blocks besser eine erlauben Regel machen, nämlich für DNS, wenn Du das denn von der pfSense beziehen willst. Mehr brauchst Du eigentlich eh nicht von der Firewall. DHCP ist eh auf einem anderen Level und kommt immer durch.

Danach dann ein Block oder Reject auf RFC1918 und anschließend Internet allow any.
Damit bist Du dann maximal abgesichert im Schülernetz.

Irgendwo weiter oben dann noch deine Erlauben-Regel für Domaincontroller etc.

Rico

Brauchen die Schüler wirklich Vollzugriff auf den DC, also alle Ports? D.h. RDP ect. pp.?
Soll ja schon Würmchen gegeben haben die sich z.B. über RDP ausbreiten ;-) Gerade in solchen Netzwerken in denen du dich anscheinend bewegst würde ich wirklich nur das absolut nötigste frei machen, Rest alles dicht nageln.

-Rico