Warum noch eine Out Rule

[Mardor]

Hallo,

nachdem ich nun viel versucht habe habe ich nun einen anderen Weg gefunden aber mir ist eine Sache immer noch nicht klar.

INTERNET -- Fritzbox -- (DMZ) -- ext_if X int_if -- (LAN)

nat on $dmz_if inet from $lan_range  to any -> ($dmz_if)

block in log all
block out log all

antispoof for $lan_if
antispoof for $dmz_if

# Allow all Traffic from LAN Network to Internet and DMZ Net
pass inet from $lan_range  to any

pass in on $dmz_if inet proto tcp from any to $dmz_ip   port 22
pass out on $dmz_if inet from $dmz_range to any

Warum benöte ich die letzte Regel wenn ich die drittletzte Regel aktiv habe.
Mein Verständnis war bis jetzt das die drittletzte Regel alles an Traffic erlaubt, aber sobald die letzte Regel nicht vorhanden ist sagt mir pflog folgendes:

00:00:01.000099 rule 1..16777216/0(match): block out on em0: 192.168.5.251 > 8.8.8.8: ICMP echo request, id 58726, seq 17, length 64

192.168.5.251 ist die IP Adresse des DMZ Interfaces und em0 ist das DMZ interface.

Habe ich die Rules falsch verstanden, oder warum benötige ich die letzte Rule ?

Gruß Mardor

 

[TCM]

Traffic, der durch die NAT-Regel verändert wird, hat ($dmz_if) als Quelladresse und matcht deswegen nicht auf "from $lan_range". Die NAT-Regel impliziert kein pass.