pf Problem kein lokales Routing

[Alphatierchen]

Moin

Mein ganze pf.conf is vor de hunde gegangen die Woche also muste ich von grundauf neu anfangen. Disma mit DMZ.

Stand: DMZ und Lokales Netz werden mit der konfig ordentlich
per NAT verarbeitet

Problem: OpenBSD Router lokale Anwendung squid / ntp / ftp bzw ping funktionieren nicht also kein Verbindung zum Internet wird hergestellt.

Hier mein Konfig:
#################################################
int = "bnx0"
dmz = "bnx1"
ext = "bge1"
int_net = "192.168.0.0/24"
dmz_net = "192.168.1.0/24"



#Zugriffsaddress Listen für Internet
table <Netzwerk> persist file "/Netzwerk"
table <DMZ> persist file "/DMZ"

################################################## #############################

######OPTIONS
set skip on lo
set block-policy drop

######NORMALIZE TRAFFIC
match in all scrub ( no-df max-mss 1440 )


#####i## BLOCKING AND PACKET TAGGING
block log all

# Einstellungen für DMZ / Netzwerk für Internetfreigabe

#Heimnetzwerk -> Internet
pass in quick on $int from $int_net to $dmz_net tag LAN_TO_DMZ
pass in quick on $int from $int_net tag LAN


#DMZ Netzwerk -> Internet
pass in on $dmz from $dmz_net tag DMZ


#Netzwerk / DMZ
pass out quick on $ext from <Netzwerk> tagged LAN_TO_INET
pass out quick on $dmz tagged LAN_TO_DMZ


#Heimnetzwerk
pass out on $ext from <Netzwerk> tag LAN_TO_INET tagged LAN nat-to ($ext)


#DMZ
pass out on $ext from <DMZ> tag DMZ_TO_INET tagged DMZ nat-to ($ext)
################################################## ##

Brauch ma ne Denkanstoss. Thx

[mark05]

moin

ip.forwarding an ?

holger

[Alphatierchen]

Moin

ip.forwarding is vorraussetzung für NAT und PF. NAT funz ja mit DMZ Netz und Lokales Netzwerk einwandfrei. Nur lokal kann kein Dienst und Ping ins Internet.

Wen PF ausgeschaltet ist funz es lokal aber also liegt das Problem in meiner config.
Naja die Tage mal schauen net bei den geilen Wetter und nicht am Sonntag



Gruß Alphatierchen

[makenoob]

nat mach ich folgendermaßen:

match out on $ext_if from $int_if:network nat-to ($ext_if)

ansonsten ist bei sowas auch tcpdump immer eine Hilfe.

Noch eine kleiner Tipp: du mischst da einige quick rules mit einigen normalen rules. Ich persönlich finde sowas nicht sehr übersichtlich und es ist immer eine Gelegenheit, bei der man mal schnell Fehler macht. Ich persönlich würde dir empfehlen, bei einer "Sorte" Regeln zu bleiben. Die quick-Option bringt Geschwindigkeitsmäßig nicht sehr viel, vor allem, bei kleinen Regelsätzen.

die FAQ hast du ja sicher studiert, da dort genau dein Setup auch behandelt wird