1790VA komisches Verhalten der Firewall

Forum zum Thema Firewall

Moderator: Lancom-Systems Moderatoren

Antworten
Ralf Hackmann
Beiträge: 8
Registriert: 25 Jun 2014, 12:37

1790VA komisches Verhalten der Firewall

Beitrag von Ralf Hackmann »

Hallo,

ich habe eine alte 1611+ durch eine 1790VA ersetzt.

Die 1790VA hat die IP 192.168.10.2 und ist im Netz das default Gateway.

Im Netz befinden sich die DNS Server 192.168.10.72 und 192.168.10.60

Da sich nicht die komplette Konfiguration der 1611+ in die 1790VA übertargen liess, habe ich umfanbgreichere Konfigurationen, wie zB die FW Regeln per Script übertragen.

Nach Inbetriebnahme im Netz, zeigt die Firewall folgendes Verhalten:

Code: Alles auswählen

1 10.03.2019 16:01:56 192.168.10.72 192.168.10.2 17(UDP) 64403 53(domain) DENY_ALL
2 10.03.2019 16:01:54 192.168.10.60 192.168.10.2 17(UDP) 2644   53(domain) DENY_ALL
D.H. die DENY_ALL Regel blockt den UDP Zugriff auf Port 53 innerhalb des GLEICHEN Subnetzes und unterbindet so dns Anfragen der DNS-Server an die 1790VA, obwohl DNS durch eine spätere ALLOW Regel übertragen wird.

Erst eine "absurde" ALLOW_LAN Regel, die alles von 192.168.10.0 nach 192.168.10.0 erlaubt, unterbindet das oben beschriebene Verhalten.

Habe ich etwas bei der Übernahme der FW Regeln übersehen, oder warum verhält sich die 1790VA in dem Fall anders wie die 1611+ ?
backslash
Moderator
Moderator
Beiträge: 7010
Registriert: 08 Nov 2004, 21:26
Wohnort: Aachen

Re: 1790VA komisches Verhalten der Firewall

Beitrag von backslash »

Hi Ralf Hackmann,
Habe ich etwas bei der Übernahme der FW Regeln übersehen
ja, mindestens die Allow-Regel für DNS...
Da es in der IPv4-Firewall keine Inbound-Regeln gibt, aber einige Kunden DNS-Traffic über Regeln steuerbar haben wollten, fragt der DNS-Forwarder die Firewall, ob DNS für den anfragenden erlaubt ist. Daher muß bei einer Deny-All-Strategie eine Regel existieren, die DNS-Anfragen ans LANCOM erlaubt.
oder warum verhält sich die 1790VA in dem Fall anders wie die 1611+ ?
das hat auch schon der 1611+ so gemacht.

Gruß
Backslash
Antworten