Vinn nätagg från Seasonic
Forum Ljud, bild och kommunikation Nätverk och uppkoppling Tråd Inlägg

Pfsense Firewall regler, ordning

1
Skriv svar
Permalänk
Medlem ★
●

Pfsense Firewall regler, ordning

Hittar motstridig information när jag googlat runt.
Samtliga säger att listan körs uppifrån och ner, men en del skriver att när en regel uppfylls slutar man gå genom listan, medans andra skriver att hela listan gås igenom så det blir sista regeln som gäller (för berört paket).

Någon som vet vad som gäller?

Jag försöker alltså göra en regel som gäller hela nätverket och en regel som ger undantag till några enheter, ska undantaget ligger över eller under?

Visa signatur

"When I get sad, I stop being sad and be awsome instead, true story."

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Json_81:

Hittar motstridig information när jag googlat runt.
Samtliga säger att listan körs uppifrån och ner, men en del skriver att när en regel uppfylls slutar man gå genom listan, medans andra skriver att hela listan gås igenom så det blir sista regeln som gäller (för berört paket).

Någon som vet vad som gäller?

Gå till inlägget

Anledningen till att du hittar olika info kan vara för att det beror på vilka regler du pratar om.

Floating-regler har en extra option som heter Quick (länk) som definieras:

Quick controls whether rule processing stops when a rule is matched. The Quick behavior is added to all interface tab rules automatically, but on floating rules it is optional. Without Quick checked, the rule will only take effect if no other rules match the traffic. It reverses the behavior of “first match wins” to be “last match wins”.

Så om du skriver Floating-regler behöver du manuellt bocka i Quick för att processandet av regler ska sluta vid träff. För alla andra interface är Quick default-beteendet.

Visa signatur

:(){ :|:& };:

🏊🏻‍♂️   🚴🏻‍♂️   🏃🏻‍♂️   ☕

Får det lov att vara en kaffe?

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av GLaDER:

Anledningen till att du hittar olika info kan vara för att det beror på vilka regler du pratar om.

Floating-regler har en extra option som heter Quick (länk) som definieras:

Quick controls whether rule processing stops when a rule is matched. The Quick behavior is added to all interface tab rules automatically, but on floating rules it is optional. Without Quick checked, the rule will only take effect if no other rules match the traffic. It reverses the behavior of “first match wins” to be “last match wins”.

Så om du skriver Floating-regler behöver du manuellt bocka i Quick för att processandet av regler ska sluta vid träff. För alla andra interface är Quick default-beteendet.

Gå till inlägget

Ok, mina regler ligger under WAN och LAN, inte Floating.
Så det blir översta regeln som "vinner" ?

Visa signatur

"When I get sad, I stop being sad and be awsome instead, true story."

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Json_81:

Ok, mina regler ligger under WAN och LAN, inte Floating.
Så det blir översta regeln som "vinner" ?

Gå till inlägget

Första regeln uppifrån, ja, och skulle ingen av dina regler matcha så finns det (förutsatt att du inte tagit bort dem) Default deny all i botten som blockerar all trafik.

Men det är ju inte så svårt att prova skriv två regler som borde fånga all trafik och lägg dem efter varandra. Den översta kommer ta all trafik och den undre ska inte få någon.

Visa signatur

:(){ :|:& };:

🏊🏻‍♂️   🚴🏻‍♂️   🏃🏻‍♂️   ☕

Får det lov att vara en kaffe?

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av GLaDER:

Första regeln uppifrån, ja, och skulle ingen av dina regler matcha så finns det (förutsatt att du inte tagit bort dem) Default deny all i botten som blockerar all trafik.

Men det är ju inte så svårt att prova skriv två regler som borde fånga all trafik och lägg dem efter varandra. Den översta kommer ta all trafik och den undre ska inte få någon.

Gå till inlägget

Inte ändrat något innan, nedersta är allow all.
Kanske beror på att det är en konsument installation?

Visa signatur

"When I get sad, I stop being sad and be awsome instead, true story."

Redigera
Citera flera Citera
Permalänk
Medlem ★
●

På WAN borde du inte ha några regler (om du inte hostar grejer och behöver tillåta inkommande anslutningar).

På LAN har du sannolikt en IPv4 Allow All och en IPv6.

Det jag menade med Deny All är att om du har tomma brandväggsregler så finns det "dolda" default-regler (som går att stänga av, men jag kommer inte ihåg exakt var) som blockerar all trafik. Default-state för pfSense är alltså att blockera all trafik i alla riktningar och du måste lägga till allow-regler för att få trafik öht.

Visa signatur

:(){ :|:& };:

🏊🏻‍♂️   🚴🏻‍♂️   🏃🏻‍♂️   ☕

Får det lov att vara en kaffe?

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av GLaDER:

På WAN borde du inte ha några regler (om du inte hostar grejer och behöver tillåta inkommande anslutningar).

På LAN har du sannolikt en IPv4 Allow All och en IPv6.

Det jag menade med Deny All är att om du har tomma brandväggsregler så finns det "dolda" default-regler (som går att stänga av, men jag kommer inte ihåg exakt var) som blockerar all trafik. Default-state för pfSense är alltså att blockera all trafik i alla riktningar och du måste lägga till allow-regler för att få trafik öht.

Gå till inlägget

Ja, precis så.

Visa signatur

"When I get sad, I stop being sad and be awsome instead, true story."

Redigera
Citera flera Citera
Permalänk
Medlem ★
●

Fungerade utmärkt, tack för supporten!

Senast redigerat
Visa signatur

"When I get sad, I stop being sad and be awsome instead, true story."

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Json_81:

Funderade utmärkt, tack för supporten!

Gå till inlägget

Nice, dags att levla upp nu då: https://www.sweclockers.com/forum/trad/1664157-boosta-ditt-he...

Visa signatur

:(){ :|:& };:

🏊🏻‍♂️   🚴🏻‍♂️   🏃🏻‍♂️   ☕

Får det lov att vara en kaffe?

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av GLaDER:

Nice, dags att levla upp nu då: https://www.sweclockers.com/forum/trad/1664157-boosta-ditt-he...

Gå till inlägget

Haha, har funderat på det, men har egentligen inget behov.
Följdfråga på det ämnet, mitt nätverk är kopplat pfsense -> två dumswitchar -> 2xAC-AP (där ena är kopplad i ytterliggare en dumswitch) / trådbundna enheter.

Behöver jag byta alla switcharna för att sätta upp VLAN?

Visa signatur

"When I get sad, I stop being sad and be awsome instead, true story."

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av Json_81:

Haha, har funderat på det, men har egentligen inget behov.
Följdfråga på det ämnet, mitt nätverk är kopplat pfsense -> två dumswitchar -> 2xAC-AP (där ena är kopplad i ytterliggare en dumswitch) / trådbundna enheter.

Behöver jag byta alla switcharna för att sätta upp VLAN?

Gå till inlägget

Alla switchar som ska hantera VLAN behöver bytas. Har du en switch som inte kan hantera VLAN kommer den bara strunta i "VLAN-biten" av paketet (OBS: Inte säker på att det fungerar så rent tekniskt, men praktiskt.) och all VLAN-config kommer ignoreras.

Visa signatur

:(){ :|:& };:

🏊🏻‍♂️   🚴🏻‍♂️   🏃🏻‍♂️   ☕

Får det lov att vara en kaffe?

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av GLaDER:

Alla switchar som ska hantera VLAN behöver bytas. Har du en switch som inte kan hantera VLAN kommer den bara strunta i "VLAN-biten" av paketet (OBS: Inte säker på att det fungerar så rent tekniskt, men praktiskt.) och all VLAN-config kommer ignoreras.

Gå till inlägget

Misstänkte det, det får vara tillsvidare.
Snubblar jag över en billig 16-portars kanske jag tar tag i det

Visa signatur

"When I get sad, I stop being sad and be awsome instead, true story."

Redigera
Citera flera Citera
Permalänk
Medlem
●

En dumswitch bryr sig varken om eller hanterar VLAN, men trafik upstream från en dumswitch till en smartswitch blir taggad

Redigera
Citera flera Citera
Permalänk
Medlem ★
●
Skrivet av rpha:

En dumswitch bryr sig varken om eller hanterar VLAN, men trafik upstream från en dumswitch till en smartswitch blir taggad

Gå till inlägget

Då kanske det funkar ändå, enda jag egentligen har intresse av att göra VLAN för IoT-prylar och ett gästnät, dvs enbart enheter på wifi och mina accesspunkter kan ju hantera VLAN.
Det bör alltså fungera trots att accesspunkterna är kopplad via dumswitchar?

Visa signatur

"When I get sad, I stop being sad and be awsome instead, true story."

Redigera
Citera flera Citera
Permalänk
Medlem
●
Skrivet av Json_81:

Då kanske det funkar ändå, enda jag egentligen har intresse av att göra VLAN för IoT-prylar och ett gästnät, dvs enbart enheter på wifi och mina accesspunkter kan ju hantera VLAN.
Det bör alltså fungera trots att accesspunkterna är kopplad via dumswitchar?

Gå till inlägget

Oklart för mig om dumswitchen behåller eller kastar flaggan för vlan.
Har du tid, testa
Vill du vara helt säker, köp en ny switch

Redigera
Citera flera Citera
1
Skriv svar