VLAN Firewall Rules
-
Hallo,
ich hab ein Verständnisproblem. Die pfsense (192.168.1.1) liegt mit dem WAN Port im gleichen Netz (192.168.1.1/254) wie eine Fritzbox und mehrere andere Rechner. Die Fritzbox (192.168.1.2) ist das Gateway. Nun habe ich ein VLAN angelegt, dass keine Rechner aus dem WAN Netz erreichen soll. Da aber Internetzugriff erfolgen soll, war meine Logik, dass ich in den Rules das Gateway 192.168.1.2 mit TCP/any freigebe und anschließen in einer weiteren Rule allen weiteren Verkehr in das Subnetz 192.168.1.1/254 ablehne.
Dann hatte ich aber keinen Internetzugriff mehr. Warum?
Nun hatte ich aus versehen die Ablehnregel vor die Erlaubnisregel gesetzt und gespeichert. Und das funktioniert jetzt so. Ich komme ins Internet und kann keinen Rechner aus dem WAN erreichen.
Die Ablehnregel besagt, dass alles IPV4* aus dem VLAN in das WAN geblockt werden soll. Trotzdem funktionieren DNS und NAT.
Wer kann mir diese Logik erklären?
LG
Frank
-
@abt
moinsen,
wenn du nur die IP des anderen Routers erlaubst und den Rest (alles eingehend in den VLAN IFs) blockst...dann eben auch kein Internet.Anders:
du erlaubst in einem VLAN IF den Zugriff auf alles (ganz unten als letzte Regel). Davor (!) setzt du dann die Regel, die im IP Bereich des Transfernetzes zwischen Fritz und pfsense die anderen Rechner verbietet. Alternativ legst du ein alias mit allen privaten IPs an (FRC1918). Dann wäre die vorletzte Regel eine Deny für dieses Alias. Und VOR diesen beiden legst du die Regeln fest, sollte aus dem VLAN ein Zugriff auf andere VLANs (oder deren clients) nötig sein...Also:
ggf. allow DNS > pfsense
ggf. allow NTP > pfsense
usw.
ggf.allow Regeln für Zugriff auf andere VLANs
deny > RFC1918
allow any
So als Idee... -
@abt said in VLAN Firewall Rules:
Nun habe ich ein VLAN angelegt, dass keine Rechner aus dem WAN Netz erreichen soll. Da aber Internetzugriff erfolgen soll, war meine Logik, dass ich in den Rules das Gateway 192.168.1.2 mit TCP/any freigebe und anschließen in einer weiteren Rule allen weiteren Verkehr in das Subnetz 192.168.1.1/254 ablehne.
Ich muss gestehen, dass ich die Erklärung nicht ganz verstehe.
Wo wurde was für ein VLAN wie angelegt und inwiefern auf der pfSense hinterlegt?
Und wo wurden Regeln angelegt für irgendwelche Freigaben?
Vermutung ist zwar ein VLAN, was irgendwie auf der pfSense ist und in dem dann ebenso irgendwie ein Rechner ist, aber raten ist bei Problemen eher weniger sinnvoll, daher frage ich lieber nach.Cheers
\jegr -
Ich gestehe, dass ich deine Probleme mit meinem Problem nicht ganz verstehe.
Wenn ich in einem pfsense Forum von einem VLAN rede, gehe ich für mich davon aus, dass das VLAN natürlich auf der pfSense angelegt ist. Und die Regeln (firewall rules) sind natürlich auf dem entsprechenden Interface angelegt.
Von Freigaben ist keine rede gewesen.
Cheers
-
@abt said in VLAN Firewall Rules:
Wenn ich in einem pfsense Forum von einem VLAN rede, gehe ich für mich davon aus, dass das VLAN natürlich auf der pfSense angelegt ist. Und die Regeln (firewall rules) sind natürlich auf dem entsprechenden Interface angelegt.
Ein VLAN ist auch gern mal auf Switchen vergessen. Oder auf Switchen angelegt aber nicht auf der Sense. Woher genau sollen wir dein Setup kennen, wenn du es nicht näher beschreibst?
Und genau "das entsprechende Interface" war schon mehr als einmal Thema hier. Man kann bei Problemen ja auch mal nicht wissen, ob Regeln korrekt auf dem richtigen Interface angelegt wurden oder ob eben doch vielleicht einfach ein Verständnisproblem dazwischen kam und man das statt dessen auf dem falschen Interface angelegt hat. Eben weil von dir keinerlei Konfig oder Screenshot oder Netzbeschreibung außer der FritzBox und den Geräten kam. Ich kann mir dein Setup eben nicht so ganz vorstellen, welche Geräte jetzt hinter der pfSense wo (in welchem VLAN) stehen und wohin wollen und was weswegen konfiguriert wurde. Das kann man mit ner kleinen Skizze, AsciiArt oder was auch immer eben helfen, damit jemand anderes versteht was ich gebaut habe.Aber "Ich habe alles richtig gemacht aber es geht nicht" - ja nun? Wo soll ich da ansetzen was das Problem ist? Darum frage ich eben nach bevor ich Dinge falsch annehme und deshalb denke, dass dort das Problem liegt. Und Regellogik kann ich nur erklären, wenn ich verstehe, was wo angelegt wurde und was wo verortet ist, sonst ist das schwerlich möglich, wenn ich alles erraten muss, dass ich nicht weiß.
@abt said in VLAN Firewall Rules:
Nun hatte ich aus versehen die Ablehnregel vor die Erlaubnisregel gesetzt und gespeichert. Und das funktioniert jetzt so. Ich komme ins Internet und kann keinen Rechner aus dem WAN erreichen.
Die Ablehnregel besagt, dass alles IPV4* aus dem VLAN in das WAN geblockt werden soll. Trotzdem funktionieren DNS und NAT.
Wer kann mir diese Logik erklären?
Niemand, wenn du keinem verrätst, was du überhaupt als DNS konfiguriert hast, wohin NAT wie definiert ist und wie deine Regel zum Verbieten/Erlauben von irgendwelchem Zugriff auf "WAN" Seite aussieht. Ohne konkrete Details kann man nur raten oder rückfragen.
Meine Glaskugel-Vermutung wäre
- WAN ist auf 192.168.178.0/24, das wurde per Regel verboten
- DNS ist auf VLAN Geräte IP der Sense gesetzt und das ist natürlich nach wie vor erlaubt, pfSense macht via Unbound selbst DNS, darum geht DNS
- NTP wird via DNS auf irgendwelche NTP Pools im Netz aufgelöst, darum geht NTP
- Internet geht, weil Internet nicht WAN ist.
Also wahrscheinlich alles genauso wie es soll. Nur gehst du wahrscheinlich von ein paar falschen Annahmen aus (aka WAN=Internet oder WAN geblockt = Internet geblockt etc.)
Von Freigaben ist keine rede gewesen.
Wenn ich Traffic freigebe, mach ich eben eine Freigabe für Daten von a nach b. Dazu leg ich ne Regel an. Entschuldige, dass ich das so lax mal umgangssprachlich geschrieben habe und nicht Firewall Policies o.ä.
Aber wenn die Antworten schon so potentiell ablehnend zurück kommen, ist vielleicht keine Hilfe gewünscht. Dann halte ich mich auch gerne raus, kein Problem.
Cheers
