Errorsmith
Kompiliertier
Ich versuche gerade Samba (wieder) ans laufen zu bekommen.
So sieht der relevante Bereich meiner pf.conf aus:
Ich bekomme dennoch "block" Ereignisse angezeigt wenn ich versuche auf das Samba Netz zuzugreifen:
Irgendwie bin ich grad doof!?
Die Regeln also solches greifen: Ich kann auf die freigegebenen Dienste (ssh, cups, etc.) ansonsten zugreifen, nur Samba zickt rum.
Wo ist mein Problem?
Nachtrag:
Selbst mit der Regel:
pass quick from <localnets> to any keep state
bekomme ich o.g. Blockereignisse. Was stimmt da nicht?
Grüße,
errorsmith
So sieht der relevante Bereich meiner pf.conf aus:
Code:
[... schnipp ... ]
intnet20="192.168.20.0/24"
intnet23="192.168.23.0/24"
intnet24="192.168.24.0/24"
intnet25="192.168.24.0/24"
# allowed internal ports
# ssh cups win rpc ntp
intern_tcp ="{22,631,135,137,138,139,445,111,123}"
# cups win rpc ntp
intern_udp ="{631,135,137,138,139,445,111,123}"
### tables
# internal nets
table <localnets> persist {192.168.20.0/24, 192.168.23.0/24, 192.168.24.0/24, 192.168.25.0/24 }
# options
set skip on lo0
set loginterface tun0
set block-policy return
scrub in on $extif all
scrub out on $extif all
### translation rules
# debug / emergeny
# nat on $extif from any to any -> ($extif)
### icmp / traceroute
# only lan is allowed to do this
nat on $extif proto icmp from $intnet20 to any -> ($extif)
nat on $extif proto icmp from $intnet23 to any -> ($extif)
nat on $extif proto icmp from $intnet24 to any -> ($extif)
nat on $extif proto icmp from $intnet25 to any -> ($extif)
### services
# dns
nat on $extif proto {tcp,udp} from $dnsservers to any port 53 -> ($extif)
# http
nat on $extif proto tcp from 192.168.24.10 to any port 80 -> ($extif)
### filter
block log all
### internal access
# clients can access these ports inside the local net
pass quick proto tcp from <localnets> to <localnets> port $intern_tcp keep state queue (internal)
pass quick proto udp from <localnets> to <localnets> port $intern_udp keep state queue (internal)
pass quick proto tcp from <localnets> port $intern_tcp to <localnets> keep state queue (internal)
pass quick proto udp from <localnets> port $intern_udp to <localnets> keep state queue (internal)
# allow broadcast
pass quick from <localnets> to 255.255.255.255 keep state queue (internal)
[... schnapp ... ]Ich bekomme dennoch "block" Ereignisse angezeigt wenn ich versuche auf das Samba Netz zuzugreifen:
Code:
1372320193.468669 rule 0..16777216/0(match): block in on vlan24: 192.168.24.10.4057 > 192.168.20.1.445: Flags [R], seq 1596699177, win 0, length 0
1372320204.220315 rule 0..16777216/0(match): block in on vlan24: 192.168.24.10.4017 > 192.168.20.1.445: Flags [R], seq 2685401098, win 0, length 0
1372320204.793098 rule 0..16777216/0(match): block in on vlan24: 192.168.24.10.4063 > 192.168.20.1.445: Flags [P.], seq 1846108855:1846108931, ack 2811420670, win 16303, length 76SMB PACKET: SMBtconX (REQUEST)
1372320206.981243 rule 0..16777216/0(match): block in on vlan24: 192.168.24.10.4057 > 192.168.20.1.445: Flags [R], seq 1596699177, win 0, length 0Irgendwie bin ich grad doof!?
Die Regeln also solches greifen: Ich kann auf die freigegebenen Dienste (ssh, cups, etc.) ansonsten zugreifen, nur Samba zickt rum.
Wo ist mein Problem?
Nachtrag:
Selbst mit der Regel:
pass quick from <localnets> to any keep state
bekomme ich o.g. Blockereignisse. Was stimmt da nicht?
Grüße,
errorsmith
Zuletzt bearbeitet:
(Und ist auch nicht wirklich ernst gemeint)
Es ist nur so das das Durcheinander hier ein wenig wirr ist. Eigentlich komme ich auf der Konsole am besten klar. Ich habe ernsthaft überlegt das alles komplett neu aufzubauen. Das Problem ist: Mir fällt keine Möglichkeit ein, das so aufzubauen, das ich mehr oder weniger mit der Infrastruktur auskomme die ich habe. Ich habe weder Platz noch Geld zur Verfügung um hier eine Reihe von Servern hinzustellen, ganz abgesehen davon das die sich zu Tode langweilen würden mangels Auslastung. Selbst der zentrale Server hat selten loadavg5 > 0.5