• Diese Seite verwendet Cookies. Indem du diese Website weiterhin nutzt, erklärst du dich mit der Verwendung von Cookies einverstanden. Erfahre mehr

pf Nmap zeigt filtered

teisho

Well-Known Member
Themenstarter #1
Hallo,

Verständnisfrage:
Ich spiele ein wenig lokal mit pf rum um es besser zu verstehen und bin gerade etwas verwirrt.
Hier meine simple pf.conf:

Code:
tcp_ports = "{ 2342 12345 80 443 }"

icmp_types = "{ echoreq, unreach }"

#### Interfaces ####
ext_if = "em0"

# Block and return all
block return all

pass in inet proto tcp to $ext_if port $tcp_ports

# allow only specified icmp_types (both in and out)
pass on $ext_if inet proto icmp all icmp-type $icmp_types keep state

# Allow OB traffic
pass out all keep state
Scanne ich jetzt mit Nmap bekomme ich folgendes Resultat:
Code:
~ » sudo nmap -sT electricfuneral.de                                                                                
Starting Nmap 7.70 ( https://nmap.org ) at 2018-12-16 13:37 CET
Nmap scan report for 10.1.1.23
Host is up (0.020s latency).
Not shown: 974 closed ports
PORT     STATE    SERVICE
25/tcp   filtered smtp
80/tcp   open     http
111/tcp  filtered rpcbind
135/tcp  filtered msrpc
139/tcp  filtered netbios-ssn
161/tcp  filtered snmp
389/tcp  filtered ldap
443/tcp  open     https
445/tcp  filtered microsoft-ds
512/tcp  filtered exec
513/tcp  filtered login
514/tcp  filtered shell
1080/tcp filtered socks
2049/tcp filtered nfs
4045/tcp filtered lockd
6000/tcp filtered X11
6001/tcp filtered X11:1
6002/tcp filtered X11:2
6003/tcp filtered X11:3
6004/tcp filtered X11:4
6005/tcp filtered X11:5
6006/tcp filtered X11:6
6007/tcp filtered X11:7
6009/tcp filtered X11:9
6025/tcp filtered x11
6059/tcp filtered X11:59
Das resultat filtered bei vielen Ports irritiert mich. Sollte Nmap nicht feststellen können ob der Port geöffnet/geschlossen ist?
Gerade weil ich ja block return all benutze?
 

mr44er

Well-Known Member
#2
Ich kenne pf nicht soooo gut, aber du kannst mal 'block in all' und 'block all' probieren. Was return genau macht, weiß ich nicht.
 
#3
Du müsstest "block drop in all" verwenden, damit werden die Anfragen einfach ignoriert, bzw. eben dropped.
Mit "block return" wird jede Anfrage korrekt mittels TCP RST abgewiesen. Dadurch sieht "nmap" eine Reaktion auf dem Port und zeigt diesen als "filtered" an.
Die default "block-policy" ist "drop", damit würde"block in all" auch erweitert zu "block drop in all".

Siehe unter https://www.freebsd.org/cgi/man.cgi?query=pf.conf das "block-policy" und das Kapitel "PACKET FILTERING".
 

mark05

Well-Known Member
#4
hi

openbsd verwendet , ich glaube seit 6.3 , per default eine return fuer den block.

kann man umstellen , sollte man aber nicht.

das bild ist von nmap ist normal , ein block mit return.

holger