Reglas de acceso para las aplicaciones y naat
-
Hola a todos, es necesario crear las reglas de pass para las aplicaciones y los nats
por ejemplo no veo el pass out en la interface wan que corresponde con el outbound nat del la lan interface, igual cuando configure el openvpn yo cree la regla de pass in para el puerto 1194, es necesario esto?
saludos -
¡Hola!
No. Lo que ha entrado por LAN puede salir por WAN y viceversa. No hay que "duplicar" reglas.
Piensa en el cortafuegos como una casa con varias puertas. Quien logra entrar, en principio, no tiene ningún problema para salir de élla.
Para más información a cerca de NAT puedes mirar:
http://www.bellera.cat/josep/pfsense/nat_cs.html
El NAT outbound sirve para ocultar el origen de los paquetes dentro de tu LAN. Empleando NAT outbound tus paquetes llevarán sólo la IP de tu pfSense y el puerto (dinámico) que éste haya abierto. De hecho, se puede trabajar sin NAT outbound pero es menos seguro.
Saludos,
Josep Pujadas
-
Si entendi bien, eso significa que solamente tengo que preocuparme por crear las reglas de entreda hacia el firewall , las de salida estan habilidas, en el sentido que si entro al firewall es porque alguna regla la dejo entrar.
Pero yo tengo un firewall con 5 interfaces y no necesariamente quiero que la red de la interfaz opt1 lleguen a la red opt3 pero si al red lan y viceversa, segun la logica anterior deberia crear reglas para explicitamente bloquear el trafico opt1 <-> opt3–-
Miguel -
Miguel,
Exacto. Sólo debes preocuparte de lo que entra. Si miras el tutorial que tengo publicado, el caso expuesto también tiene seis interfases:
http://www.bellera.cat/josep/pfsense/cas_estudi_cs.html
En pfSense inicialmente está todo prohibido, por lo que tendrás que ir autorizando el tráfico que quieras. No es posible alcanzar la red opt3 desde la red opt1 a no ser que en opt1 tengas puesta una regla que permita ese tráfico. Mira los ejemplos en:
http://www.bellera.cat/josep/pfsense/regles_cs.html
Fíjate bien también en las gateway (puertas de enlace), ya que el resultado es bien distinto si hay una u otra. A parte de autorizar el tráfico hay que indicar (o no) por donde debe ir.
Extendiéndome en esto de las gateway, diré que jugar con ellas te permite incluso cambiar por dónde irá a Internet una determinada máquina y/o toda una red. Muy interesante …
Saludos,
Josep Pujadas
