Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 3 replies
  • Subscribers 2 subscribers
  • Views 1790 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Firewall doesn't allow any packet to pass - why???

Planlos1234
Hi,

I'm trying to set up Astaro Secure Linux. Some things work, but the most relevant - accessing the Internet from internal hosts - doesn't.
Setup:
1. Internal network 192.168.50.x (uses eth0)
2. DMZ with official IP addresses (uses eth2)
3. external static IP address on eth1, using DSL
4. ping and access between internal and DMZ works
5. ping from WebAdmin-Interface of ASL to external systems and all internal systems works
6. Up2Date works (ASL is up-to-date)
7. Defined networks: DMZ w/ address, network, broadcast; Internal w/ address, network, broadcast; external w/ address
8. Additionally defined two hosts (DNS-Server in internal network, Web-Server in DMZ)
9. Interface configuration:
- Internal on eth0, IP/subnet set, Gateway none
- External on eth1, IP set, subnet shows ???.???.???.???, Gateway is filled automatically (assigned remotely)
- DMZ on eth2, IP/subnet set, Gateway none
- Routing: no changes to standard settings
- NAT/Masquerading: Masquerading defined
(a) InternalDMZMasquerading Internal (Network) -> All/All MASQ_DMZ None
(b) InternalMasquerading Internal (Network) -> All/All MASQ_External None
- Packet filter rules: Some defined
(a) Internal Network w/ http and https to Any allowed
(b) Internal Network DNS-Server w/DNS to Any allowed
(c) POP3, IMAP from Internal Network to Any allowed
(d) tracert and ping-request from Internal Network to Any allowed
- ICMP/tracert/ping settings all active (I'll change this back ;-)  )
- Proxies all disabled, but external DNS adresses set
- My internal DNS server in the internal network is configured with forwarding
- when I check the live log and try to access a web-site it shows many dropped DNS packets even while I have an (activated) rule which allows the DNS server to access "Any"

What might be wrong??? I don't have any idea.

Thanks in advance for any advice,
Planlos1234


This thread was automatically locked due to age.
Parents
  • 0
    - NAT/Masquerading: Masquerading defined
    (a) InternalDMZMasquerading Internal (Network) -> All/All MASQ_DMZ None

    Your masq rules look odd.  You should only have one probably.  Yo do not need to MASQ the DMZ since you have an "official" IP address/s for that network.

    So, you need to MASQ the Internal 192.168.50.x Network so...
    InternalMASQ-Internal(Network) -> All/All MASQ_External

    should be all you require.

    I assume you have a number of IP addresses for the DMZ network?  Some more information on the DMZ setup would be good.  But for starters, remove that DMZ Masq...

    Your internal DNS server is on the 192.168.50.x network I assume?  You will need to create a SNAT/DNAT rule so that DNS traffic can reach it.

    I would also strongly advise you to turn on the DNS Proxy in Astaro and point it to your ISP's DNS.
Reply
  • 0
    - NAT/Masquerading: Masquerading defined
    (a) InternalDMZMasquerading Internal (Network) -> All/All MASQ_DMZ None

    Your masq rules look odd.  You should only have one probably.  Yo do not need to MASQ the DMZ since you have an "official" IP address/s for that network.

    So, you need to MASQ the Internal 192.168.50.x Network so...
    InternalMASQ-Internal(Network) -> All/All MASQ_External

    should be all you require.

    I assume you have a number of IP addresses for the DMZ network?  Some more information on the DMZ setup would be good.  But for starters, remove that DMZ Masq...

    Your internal DNS server is on the 192.168.50.x network I assume?  You will need to create a SNAT/DNAT rule so that DNS traffic can reach it.

    I would also strongly advise you to turn on the DNS Proxy in Astaro and point it to your ISP's DNS.
Children
  • 0 in reply to Simon Shaw
    Hi,

    first of all thank you for your answer - and sorry for coming back so late. I tested some things and now
    - DNS works (have defined DNAT for my internal DNS server and enabled DNS proxy)
    - HTTP and POP are working (using the proxies)
    But everything which relies on the packet filter still doesn't work!!!
    The Packet Filter Live log shows many accepted packets for services like IMAP or HTTPS but there is now answer to the respective applications. Thus I assume that the problem isn't a problem of the packet filter but of the NAT/Masquerading.
    I have disabled the DMZ-Masquerading.
    The defined filters have the form
    - Source: Internal (Network)
    - Service: HTTPS
    - Action: Allow
    - Destination: Any
    As far as I understand I need to define only one filter.

    Another issue is that no one is able to access the web server in the DMZ. Access ends at the external interface. I have defined a rule
    - Source: External (address)
    - Service: HTTPS
    - Action: pass
    - Destination: xxxWebServer (defined as system)

    What's the problem? I really don't understand what I have configured wrong...

    Thanks for any advice!
  • 0 in reply to Planlos1234
    For a start, disable all your packet filter rules.

    Add 2 rules.
    Rule 1>
    -Source: Internal (Network)
    -Service: ANY
    -Destination: ANY
    -Allow
    (Allows any protocol on the internal network OUT)
    (If you wish to restrict what services your users are allowed, I suggest you create a Group Definition (ie AllowedProtocols) and add protocols to that group, keeps things simple.

    Rule 2>
    -Source: DMZWebServer
    -Service: HTTPS (You may want to add HTTP as well)
    -Destination: ANY
    -Allow

    Regarding web surfing from your internal LAN... Suggest you use the HTTP proxy and use that.  If you need to access HTTPS sites, ensure that HTTPS is in the "proxied protocols" list on the HTTP Proxy page.

    For the web server (to allow outside access) try:
    Source: ANY
    Service: HTTPS (I assume the site is HTTPS and not HTTP?)
    Destination: DMZWebserver
    Action: Allow

    Have you read the getting started guide?  It's very good for this sort of stuff.