PF-Regeln bei portforwarding???

[Ice]

Hi Leute,

hätte mal eine vielleicht seltsame Frage:

Wenn ich in meinen Pf-rules ein Portforwarding aktiviere, wie müssen denn dann die entsprechenden Filterregelen aussehen?
Nach meinem Verständnis und dem PF-User's Guide müsste doch der Paketfilter die Pakete in bereits umgeleitetem Zustand sehen, oder?
Beispiel Portforwarding HTTPS:

rdr on $ext_if inet proto tcp from any to $ext_if port 443 -> 192.168.2.23 port 443

pass in quick on $ext_if proto tcp from any to 192.168.2.23 port 443 keep state

pass out quick on $int_if proto tcp from any to 192.168.2.23 port 443 keep state

So müsste das doch eigentlich funktionieren, oder? Leider tut es das aber nicht! Erst wenn ich in der rdr-Anweisung ein pass einfüge laufen die Pakete durch. Seltsamerweise bringt mir aber ein tcpdump -i pflog0 auch keine Meldungen, obwohl meine default-block-Regeln alle mit log versehen sind.

Hat jemand ne Idee, was ich flasch sehe und mache???

Thx,

Ice

 

[double-p]

Sieht fuer sich eigentlich gut aus.
Hm, evtl 'tcpdump -ni pflog0'? :-)
Koennte sein, dass die 192.168.2.23 oder andere IP-Adressen im log nicht 'schnell
genug' (relativ zu deiner geduld) resolved werden koennen. -n schaelt das ab.

Ansonsten.. komplettes ruleset. Bzw nochmal schauen, ob zwischem dem rdr
und den 2 pass rules nicht noch etwas anderes (mit quick) 'reinhaut'. koennte
da auch schnell passieren, dass was im falschen state landet und return
packets dann nicht zu den 2 pass rules 'da oben' passen.

HTH/NEI,