Mehrere firewall regeln und routing tags

[EugeneVT]

Ich habe Test-Setup mit zwei fast identischen Firewall-Regeln, wo nur Priorität und Routing-Tag sind unterschiedlich. Ich erwarte, dass der letzte applied (Lowes Priorität) wird seine Routing-Tag zuweisen, aber es sieht aus wie der Routing-Tag kommt immer aus der ersten.
Ist das erwartete Verhalten? Wenn so kann ich nicht verwenden, einfacher Ansatz zur DiffServ entfernen wie in http://www2.lancom.de/kb.nsf/1275/E7E69 ... enDocument beschrieben.

[EugeneVT]

Sorry, natürlich beide Regeln sind "linked" (Suche fortsetzen).

[Pothos]

Hi EugeneVT,

du siehst richtig

Je höher die Prio desto eher greift die Regel und nicht anders herum. Sprich eine Regel mit Prio = 10 greift vor einer Regel mit Prio < 10

edit:
In dem KB-Dokument was du ansprichst greift die Regel mit Remove DSCP immer als erstes durch die Prio 9999. Es werden aber zusätzlich noch weitere Regeln beachtet, damit nicht alle Pakete erlaubt werden sondern durch weitere Regeln noch weiter gefiltert werden kann.

[EugeneVT]

Vielen Dank, ich habe zwei WAN-Uplinks und benutze Routing-Tags, einige Protokolle (wie SMTP) auf bestimmte WAN binden. Ich nehme an, in dieser Einstellung muss ich setzen Routing-Tag Regeln mit höchste Priorität und "Suche fortsetzen"-Option, dann die Regel DiffServ=BE (auch mit diese Option) und dann kommt die Rest?

[Pothos]

Ich würde es genau anders herum machen und zwar erst die Regel die das Tag entfernt mit Prio 9999 und danach die Regeln die die Kommunikation über die beiden WAN Verbindungen steuern mit kleineren Prios. Sonst muss die Regel, welches dieses Tag entfernt für die jeweiligen WAN Verbindungen seperat angelegt werden.

[EugeneVT]

Leider das funktioniert nicht. Erste Regel ordnet Routing-Tag auf 0 und dann niedrigere Priorität Regeln können Routing-Tag nicht ändern.

Code: Alles auswählen

Name      Prot.  Source         Destination  Action       Linked  Prio  Firewall-Rule  VPN-Rule  Stateful  Rtg-tag  Comment
SMTP      TCP    LOCALNET %S25  ANYHOST	     ACCEPT       Yes     11    Yes            No        Yes       1	
DIFFSERV  ANY    ANYHOST        ANYHOST	     %Lcds0 %GBE  Yes     10    Yes            No        Yes       0	

Macht SMTP mit Routing-Tag 1.

Code: Alles auswählen

Name      Prot.  Source         Destination  Action       Linked  Prio  Firewall-Rule  VPN-Rule  Stateful  Rtg-tag  Comment
DIFFSERV  ANY    ANYHOST        ANYHOST	     %Lcds0 %GBE  Yes     11    Yes            No        Yes       0	
SMTP      TCP    LOCALNET %S25  ANYHOST	     ACCEPT       Yes     10    Yes            No        Yes       1	

Macht SMTP mit Routing-Tag 0.

LCOS 8.62.0103 / 1711 VPN