Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 9 replies
  • Subscribers 1 subscriber
  • Views 4319 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Pakete werden gedropt ohne Firewallregel

dlippert
Hallo,

ich habe folgendes Problem:
Wir bekommen unsere Mails per SMTP von einem Provider. Dafür habe ich ein NAT definiert, welche SMTP-Pakete von bestimmten Absender auf meine internen Mailserver umsetzt. Dies funktioniert einwandfrei. Jetzt haben wir eine neue Leitung (VDSL) hinzugenommen (Lastverteilung, Ausfallsicherheit). Ich habe eine zweite identische Regel für die neue Leitung angelegt. Von einem eigenen externen Server kann ich problemlos Mails empfangen. Die Pakete von meinem Provider hingegen werden "gedropt" [:@]

LOG
ulogd[5583]: id="2001" severity="info" sys="SecureNet" sub="packetfilter" name="Packet dropped" action="drop" initf="ppp0" srcip="-IP-Provider-" dstip="-IP-VDSL" proto="6" length="60" tos="0x00" prec="0x00" ttl="56" srcport="12073" dstport="25" tcpflags="SYN" 

Ich kann nun nicht erkennen warum die Pakete vom Provider verworfen werden, wenn andere mit der gleichen Regel können. Eine explizite Regel die ihm dies verbietet gibt es natürlich nicht.

Könnt ihr mir helfen?

ASG220 mit Firmware 8.309

NAT-Regel:
Traffic selector:  SMTP-RELAY →  SMTP →  External VDSL (Address) 
Destination translation:  "-interner Mailserver-"  SMTP 
Automatic Firewall rule:  Ja
Initial packets are logged:  Ja


This thread was automatically locked due to age.
  • 0
    In der NAT Regel werden keine automatischen Firewall Regeln eingetragen.
    Automatic Firewall rule: x


    Ist dafür unter Firewall eine Regel angelegt, die von Extern (VDSL) nach Intern SMTP erlaubt?

    Nice greetings
  • 0
    Die wird doch automatisch angelegt sobald man die Option " Automatic Firewall Rule" aktiviert.

    Ich würde nochmal genau die IPs checken, vielleicht ist ja irgendwo ein Schreibfehler ansonsten sieht das ganze gut aus.
  • 0
    Hallo,

    @GuyFawkes
    Sorry, mit dem x bei der Automatic Firewall Rule wollte ich dokumentieren, das sie angekreuzt ist. Also es steht auf automatisch. In der Gruppe "SMTP-Relay" ist auch mein eigener externer Mailserver. Und der kann. 

    @SchmiP
    Die Gruppe wird auf meiner 2. Leitung benutzt und da können alle. Also einen Schreibfehler kann ich ausschließen.

    Im Protokoll wird bei allen anderen DROPs eine fwrule mit angegeben. Weshalb hier nicht?
  • 0
    (Sorry, my German-speaking brain isn't working at the moment. [:(])

    Im Protokoll wird bei allen anderen DROPs eine fwrule mit angegeben. Weshalb hier nicht? 

    That's a good question - so you confirm that you copied the complete line?  I don't expect it, but is there anything related in the Intrusion Prevention log?

    Please [Go Advanced] below and attach pictures of both the DNAT that works and of the one that doesn't.

    In general, in a NAT rule, it's a good habit to leave a field empty if the item is unchanged.

    MfG - Bob (Bitte auf Deutsch weiterhin!)
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to dlippert
    Hallo,

    @GuyFawkes
    Sorry, mit dem x bei der Automatic Firewall Rule wollte ich dokumentieren, das sie angekreuzt ist. Also es steht auf automatisch. In der Gruppe "SMTP-Relay" ist auch mein eigener externer Mailserver. Und der kann. 

    @SchmiP
    Die Gruppe wird auf meiner 2. Leitung benutzt und da können alle. Also einen Schreibfehler kann ich ausschließen.

    Im Protokoll wird bei allen anderen DROPs eine fwrule mit angegeben. Weshalb hier nicht?


    Ja das mit der Firewallregel die nicht angezeigt ( Grund für den Drop ) wird hat mich auch stutzig gemacht. Zumindest die Default regel müsste hier doch angezeigt werden.

    Deshalb habe ich an einen Fehler in der NAT Regel gedacht sodass kein Matching stattfindet.

    Setze doch mal eine Firewallregel ganz an das Ende mit any-any-any deny + log, evtl. sieht man dann mehr.
  • 0
    Ersetz mal in deiner NAT Regel, das "SMTP-Relay" durch "ANY"

    Nice Greetings
  • 0 in reply to GuyFawkes
    Hallo,

    @SchmiP
    Die Regel Any/Anya/Any deny hat keine Veränderung gebracht.

    @GuyFawkes
    Wow. Mit Any geht es! Die Server des Providers waren als DNS-Hosts definiert, Habe sie einmal als Hosts definiert, wieder das gleiche Problem.
    Wie gesagt diese Gruppe von Rechnern geht auf der anderen Leitung!
    Wäre eine Notlösung, da ich auf dem internen Mailserver eine Liste der erlaubten Server führe. Wollte natürlich schon auf der Firewall die nicht berechtigten abfangen. Der interne Mailserver prüft übrigens auf die gleichen IP-Adressen.

    @BAlfson
    Ja die ganze Zeile. Ich habe nur die IPs ersetzt.
    Jetzt in der DNAT-Zeile mit VDSL mit Any

    Schon jetzt einmal ein Dank an Euch. Ein Schritt bin ich weiter.
  • 0 in reply to dlippert
    Hallo,
    @GuyFawkes
    Wow. Mit Any geht es! Die Server des Providers waren als DNS-Hosts definiert, Habe sie einmal als Hosts definiert, wieder das gleiche Problem.
    Wie gesagt diese Gruppe von Rechnern geht auf der anderen Leitung!
    Wäre eine Notlösung, da ich auf dem internen Mailserver eine Liste der erlaubten Server führe. Wollte natürlich schon auf der Firewall die nicht berechtigten abfangen. Der interne Mailserver prüft übrigens auf die gleichen IP-Adressen.

    @BAlfson
    Ja die ganze Zeile. Ich habe nur die IPs ersetzt.
    Jetzt in der DNAT-Zeile mit VDSL mit Any

    Schon jetzt einmal ein Dank an Euch. Ein Schritt bin ich weiter.


    Wenn du den Haken für die Automatischen Firewallregeln entfernst, musst du die in der Firewall manuell setzten.
    Hier kannst du dann die Firewallregeln so konfigurieren, wie du es in der NAT Regel versucht hast. Das sollte dann klappen.

    Nice greetings
  • 0
    Hallo,

    das ist die Lösung. Vielen Dank warum die Variante per DNAT und automatische Regel nicht bzw. nur teilweise funktioniert ist mir zwar ein Tätsel aber es gibt eben Dinge zwischen Himmel und Erde die sich auch dem Admin entziehen.

    Nochmals vielen Dank und ein schönes Wochenende
Cookie Information Banner