pf problem

[casualx]

hallo zusammen

ich habe ein problem bei pf...möchte vom server nicht alle verbindungen nach draussen erlauben nur scheinnt dort die regel,im übrigen die selbe die auf einem client funzt, nicht zu funktionieren.

hier meine pf.conf

set skip on lo
puffy="{192.168.1.112}"
outgoing="{80, 443, 53, 22, 6667, 6669, 8118, 21, 2401, 5999, 25, 110, 995, 587,465,829,49152:65535}"
block in all
pass in quick on dc0 from 192.168.1.0/24 to $puffy
block out all

pass out on dc0 proto tcp from $puffy to any port $outgoing
pass out on dc0 proto udp from $puffy to any port 53

 

[tgruene]

Vielleicht liegt es daran, dass Du bei beiden 'pass'-Richtungen die gleiche Netzwerkkarte angegeben hast - Dein Server hat doch bestimmt zwei, oder nicht? Bin kein Experte fuer pf, und den Einfluss, die Karte bei 'pass' mit anzugeben, habe ich mir noch nicht so zur Gemuete gefuehrt, aber mein erster Versuch waere es, dort die zweite Netzwerkkarte anzugeben - sofern Du die hast.

 

[casualx]

hallo tgruene
besten dank für deine antwort!
hab den fehler doch noch gefunden...

set skip on lo

puffy="{192.168.1.112}"
outgoing="{80, 443, 53, 22, 6667, 6669, 8118, 21, 2401, 5999, 25, 110, 995, 587, 465, 829, 49152:65535}"

block out
block in

pass in on dc0 proto tcp from 192.168.1.0/24 to $puffy port 22
pass in on dc0 proto tcp from 192.168.1.0/24 to $puffy port 80


pass out on em0 proto tcp from any to any port $outgoing
pass out on em0 proto udp from any to any port 53

hast recht das mein (künfitger) server zwei interfaces hat wobei eins per dhcp vom provider seine ip etc. kriegt und eins ne statische ip hat die über ein gateway bzw. router an mein heimnetzwerk angeschlossen ist.

als ich das OS von der Installer cd installiert habe hat es aber explizit(ich hab das nochmal getestet) von dem interface installiert das per router in mein heimnetz integriert ist und deshalb hab ich anfangs gedacht es müsse der ausgehende verkehr auf diesem interface freigegeben werden.ich sag nur autsch....tut fast schon weh wenn manns hinterher betrachtet...lol

 

[Lord_x]

Zwei Sachen würde ich noch ergänzen

Anstelle von:

block out
block in

kannst du besser dies hier nehmen:

block all

Dies hat mir bei mir zusätzlich zu einer "besseren" Verbindung gesorgt:

match in all scrub ( no-df max-mss 1440 )

 

[casualx]

besten dank für den tipp.werds heute mal ergänzen