pf warum Verbindung hinter die DMZ

[Mardor]

Hallo,

ich habe folgenden Aufbau

INET -- Fritzbox -- (DMZ) -- ext_if X int_if -- (LAN)

DMZ: 192.168.5.0/24
ext_if: 192.168.5.251
int_if: 192.168.10.254
LAN: 192.168.10.0/24

Komischerweise kann ich von der DMZ (192.168.5.50) auf die direkte IP Adressen in LAN (192.168.10.105) zugreifen, obwohl ich der Meinung bin das diese durch die Defaul Block Rule geblockt sein sollten.

Wenn ich andererseits von LAN auf DMZ pinge sehe ich mit tcpdump dasss das NAT funktioniert.

int_if = "em1"
ext_if = "em0"
lo_if = "lo0"

icmp_types = "echoreq"

set block-policy return
set require-order yes
set loginterface $ext_if
scrub in all

nat on $ext_if inet from $int_if:network to any -> ($ext_if)

block in log all

pass inet proto { tcp, udp } from $int_if:network to any flags S/SA keep state
pass in on $int_if proto tcp from any to any port 22

Gruß Mardor

 

[Mardor]

Die folgende Regel

at on $ext_if inet from $int_if:network to any -> ($ext_if)

sollte doch nur ein NAT/Maskierung von Intern zu DMZ durchführen aber sonst keine Kommunikation zwischen DMZ und Intern erlauben.
Oder sehe ich dies falsch ?

Gruß Mardor