[9.170][ANSWERED] Mantis ID 27685

Hi InTheAir,
well, first all i think the users want to know what mantis#27685 is about:
>> New Packetfilter block rules doesn't work for established connections 

Hi,
at long last a fix, not that I need it anymore. By the way it is way older than 9.1.

ian

Hmmmm, in my testing it doesn't seem to work yet.  When you say 'merged' do you mean it will be fixed or that it is supposed to be fixed already??

If I set a web profile to block all traffic at 9PM it still allows streaming data that is already established.  I also added a firewall rule to block all traffic at 9PM and that hasn't helped block established connections either.

I have web filtering in transparent mode...  should I switch to standard mode?? Will that help?

Thanks.

Fixed in 9.107 and 9.170

As far as I know traffic for the web proxy is not covered by user generated firewall rules. When you add allowed networks to the proxy the firewall automaticly opens the needed ports and I think it is not possible to overwrite this with custom firewall rules.
But I'm not a absolulty sure about this.

The fix should work for traffic which not uses a proxy on the UTM. At least for 9.107 the fix was tested with timebased fw rules and "normal" fw rules. In both situation it worked as expected, the established connections are interrupted.

Hi Kofi,

I guess my issue is that I need to use the proxy to filter unwanted sites but I also need to be able to interrupt established connections at certain times.  I put both web profile and firewall rules in place to block both paths but by your explanation that won't work.

I wonder if my issue is that I have added streaming ports to my 'target services' list on my proxy.... but you would think they would then be controlled by the profile rules.

I'll try and simplify by using the firewall only and test, then the proxy with the firewall blocking everything and test.

any suggestions?

Paul

OK, I found the reason for my issues.  Because streaming can occur over the HTTP port and the web filter is set to ignore streams because they can't be scanned there is no way to drop a streaming connection.  I guess this is probably a feature request but can streams be forced through the firewall when you have the 'ignore streams' feature checked off?

I think that would solve this issue. [:)]

Thanks.