Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    {Complete} Timebased Rules

    Completed Bounties
    10
    187
    132.1k
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • H
      heiko
      last edited by

      OK, then it is vmware problem, i think

      1 Reply Last reply Reply Quote 0
      • S
        sullrich
        last edited by

        Do you speak german?  Please join #pfsenseDE on FreeNODE.

        1 Reply Last reply Reply Quote 0
        • S
          sullrich
          last edited by

          I have a feeling that I know what you are testing.

          Is this what you did?

          ping the wan ip from a client continually (-t on windows)
          add icmp allow rule on wan tab
          client can now ping the wan
          remove the wan icmp rule and apply
          client can still ping firewall (pf state exists, you must ctrl-c and ping again or clear states)

          Where I think the confusion is that I had to do some ipfw mastery to override the pf rules for schedules.  And that is the reason why ICMP will be blocked correctly on a schedule.  PF rules themselves have not changed so if a state already exists and you remove the rule that session will remain active until it closes or you clear the states on the firewall.

          1 Reply Last reply Reply Quote 0
          • H
            heiko
            last edited by

            Scott,

            that´s it. COMPLETELY

            1 Reply Last reply Reply Quote 0
            • S
              sullrich
              last edited by

              Good deal.  Do you understand now why it works that way?  It has always worked that way due to it being a stateful firewall.

              In terms of the cosmetic GUI issues, we will look into them.

              But at this point is the system working for you?  I really need to get 1.2 tagged in CVS and begin the 1.2 beta engineering process.

              1 Reply Last reply Reply Quote 0
              • H
                heiko
                last edited by

                Boh Scott,
                yes i do, but we can i test this completley out with schedules on a rule?

                1 Reply Last reply Reply Quote 0
                • S
                  sullrich
                  last edited by

                  Yes, please test and let me know when you are happy with it.

                  1 Reply Last reply Reply Quote 0
                  • H
                    heiko
                    last edited by

                    a new snapshot?

                    1 Reply Last reply Reply Quote 0
                    • S
                      sullrich
                      last edited by

                      Sure, that will work.  There have been no commits for atleast 9+ hours.

                      1 Reply Last reply Reply Quote 0
                      • H
                        heiko
                        last edited by

                        Hm? but i will test it

                        1 Reply Last reply Reply Quote 0
                        • S
                          sullrich
                          last edited by

                          Hm?  Sorry, I do not understand?  What are you trying to tell me?

                          1 Reply Last reply Reply Quote 0
                          • H
                            heiko
                            last edited by

                            Hallo,
                            ich schreibs ausnahmsweise auf Deutsch, Entschuldigung dafür. Ich möchte an dieser Stelle ausdrücklich vermeiden, dass es zu Unstimmigkeiten bzgl. des Projektes kommt. Das "Bounty" ist gezahlt und zwar sehr gerne. Sollte es Probleme mit dem löschen von Firewall Sessions kommen, die durch dieses Projekt verursacht wurden, so bin ich gerne bereit, eine entsprechende Summe zu zahlen, um dieses Problem zu lösen. Es liegt mir fern, ein Projekt zu kaufen! Dies möchte ich noch einmal ausdrücklich betonen.

                            Mein Test hat gezeigt, dass Firewall Regeln nicht korrekt geladen bzw. umgesetzt werden, dass im ersten Test sogar ohne Zeitbasierte-Regeln. Es ist nicht viel falsch zu machen, eine Regel zu erstellen, welche ICMP erlaubt oder blockt. Da dies nicht erfolgreich durchgeführt werden konnte, habe ich den Test abgebrochen,da es für mich keinen Sinn macht, etwas zu testen, was hier nicht sehr wissenschaftlich ist, denn ich kann nicht erkennen ob es Fehler an den Schedules gibt oder durch einen kausalen Zusammenhang anderer Dinge.

                            Gruß
                            Heiko

                            Holger, es wäre sehr nett, wenn Du das übersetzen würdest, damit dieses erfolgreich zum Abschluß kommt und alle Beteiligten davon profitieren können…

                            P.S..: Ich teste alles unter VMWARE, vielleicht ist das auch ein Problem?

                            1 Reply Last reply Reply Quote 0
                            • S
                              sullrich
                              last edited by

                              There apparently is a bug when creating the first schedule.  The rule will not be active correctly until a reboot.

                              This is a kernel bug and we are looking into it.

                              1 Reply Last reply Reply Quote 0
                              • H
                                hoba
                                last edited by

                                Wir müssen hier prinzipiell 2 Dinge unterscheiden:

                                • Firewallrules, die keinen Zeitplan haben und quasi immer aktiv sind:
                                  Diese sind immer Statefull, d.h. es wird nur beim Initiieren einer Verbindung geschaut, ob die Verbindung zulässig ist. Ist die Verbindung erst mal erlaubt und man löscht manuell die entsprechende Regel später, so bleibt der State erhalten, bis es einen Timeout gibt oder die Verbindung regulär beendet wird. Daher kann man mit manuellem Aktivieren und Deaktivieren bestehende Verbindungen nicht blocken, es sei denn man führt einen Statereset durch unter diagnostics>states, reset states.

                                • Firewallrules, die zeitlich gesteuert geschaltet werden:
                                  Um hier bereits aktive Verbindungen zu blocken wenn eine Regel zeitgestützt geschaltet wird kommt ein zusätzlicher Mechanismus zum Einsatz (ipfw zusätzlich zu pf). Diese Blocks bereits aktiver Verbindungen finden dann auch statt, wenn die Verbindung noch einen erlaubten State hat.

                                An dem ersten Beispiel hat sich nichts zum bisherigen Verhalten geändert. pfSense funktioniert schon immer so, wie auch andere stateful Firewalls. Da die Regeln ohne Zeitplan ja als statisch anzusehen zu sind sollte das kein Problem darstellen. Bei zeitgestützen Regeln, wie gesagt, funktioniert das ganze.

                                1 Reply Last reply Reply Quote 0
                                • H
                                  heiko
                                  last edited by

                                  Hello,
                                  sorry for the misunderstandings about the fw states. I have tested it with two schedules, because (scotts posting) the first schedules becomes up only after a reboot.

                                  1.) I created two schedules
                                  2.) I created one rule to permit icmp to WAN with one schedule (activ 12:45 to  13:00)
                                  3.) At 12:45, sorry nothing happens, no ping replys, at 12:51 i edited and saved manually the schedule for a second time, and it rock´s , hm
                                  4.) The same behaviour if i edited and saved the icmp rule a second time.
                                  5.) At 13:00 nothing happens, at 13:10 i edited and saved the schedule a second time manually, the ping is killed directly

                                  This is not a April Fool's joke!

                                  I think it will work, but only when i edit and save a schedule or the special schedule-rule for a second time! I suppose so.

                                  Can you duplicate this? I´m blessed if i know.

                                  In german:

                                  Hallo,
                                  entschuldigung für die Missverständnisse bzgl. der firewall states. Ich habe es mit 2 schedules getestet (scotts posting), weil der erste Zeitplan nur nach einem Neustart aktiv wird.

                                  1.) Ich habe zwei Zeitpläne erstellt
                                  2.) Ich habe eine Regel mit einem Zeitplan (aktiv 12:45 bis 13:00) erstellt, die ICMP Traffic zum WAN Interface erlaubt.
                                  3.) Um 12:45, entschuldigung, nichts passiert. Keine Ping Antwort, um 12:51 habe ich manuell den zeitplan ein zweites mal gespeichert, und es läuft..
                                  4.) Das gleiche Verhalten war beim zweitenmal abspeichern der ICMP Regel
                                  5.) Um 13:00, nichts passiert, um 13:10 habe ich den Zeitplan ein zweites Mal manuell abgespeichert. Der Ping ist sofort gekillt.

                                  Das ist kein Aprilscherz

                                  Ich denke es wird funktionieren, aber nur wenn ich ein zweites Mal den Zeitplan oder die entsprechende Zeitplan-Regel editiere und speichere. Ich vermute es!

                                  Könnt Ihr das nachstellen?Ich weiß es wirklich nicht.

                                  1 Reply Last reply Reply Quote 0
                                  • S
                                    sullrich
                                    last edited by

                                    Please try creating schedules at least 30 minutes apart.  If these work then I have a hunch of what is going on.

                                    1 Reply Last reply Reply Quote 0
                                    • H
                                      heiko
                                      last edited by

                                      i will test it

                                      1 Reply Last reply Reply Quote 0
                                      • H
                                        heiko
                                        last edited by

                                        It is not working.

                                        The Test:

                                        • first i created 2 schedules with 30 min. apart –> Screenshot

                                        • i created a blocking rule to block icmp traffic to www.heise.de without a schedule. I saved it and it works, no ping replys, i disabled the rule and reset the states, the ping reply and all was good....!

                                        • Then i edited this blocking rule and choose a schedule - the activate time were not reached -, so the ping should be answered, but nothing happens. Here i waited for 20 minutes, but alsio nothing happens.

                                        • I edited and saved the schedule and rule a second time, but also nothing happens...

                                        • The Test Box is a real box not a virtual machine

                                        I capitulate, in my opinion, anywhere is a "bug".
                                        Please duplicate.
                                        Greetings
                                        Heiko

                                        blocking_icmp_rule.jpg
                                        blocking_icmp_rule.jpg_thumb
                                        2_ranges_with_30min_apart.jpg
                                        2_ranges_with_30min_apart.jpg_thumb

                                        1 Reply Last reply Reply Quote 0
                                        • H
                                          heiko
                                          last edited by

                                          Morning i am in irc with hoba again.
                                          greetings heiko

                                          Then i post it back or hoba

                                          1 Reply Last reply Reply Quote 0
                                          • H
                                            heiko
                                            last edited by

                                            Sdale: thanks for the really pretty gui. It looks now fine

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post