This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Firewall blocking internal traffic even with allow rule

I'm running UTM9 virtual appliance.

I've ssh'd into the UTM instance and am attempting to connect to a port on another server in the same subnet...


utm:/root # telnet 10.59.48.171 6379
Trying 10.59.48.171...
^C
utm:/root # telnet 10.59.48.174 80
Trying 10.59.48.174...
Connected to 10.59.48.174.
Escape character is '^]'.
^C]^]
telnet> quit
Connection closed.

As you can see, I'm able to connect to port 80 on one server but not to port 6379 on another server.  I've verified I can connect to port 6379 from another server so I know the port is open. 

When I check the firewall log within the UTM WebAdmin, I see the connection attempt was blocked....

19:34:38	Default DROP	TCP	 	

10.59.48.169 : 42952

10.59.48.171 : 6379
 
[SYN] len=60 ttl=64 tos=0x10 srcmac=06:5f:8e:70:4f[:D]a
19:34:39 Default DROP TCP  
10.59.48.169 : 42952

10.59.48.171 : 6379
 
[SYN] len=60 ttl=64 tos=0x10 srcmac=06:5f:8e:70:4f[:D]a
19:34:41 Default DROP TCP  
10.59.48.169 : 42952

10.59.48.171 : 6379
 
[SYN] len=60 ttl=64 tos=0x10 srcmac=06:5f:8e:70:4f[:D]a


If I goto the Firewall setting in WebAdmin, I show no firewall rules.  Why is port 6379 being blocked but not port 80 when there are no firewall rules?  If I add/enable a firewall rule (ANY HOST->ANY PORT->ANY HOST) and try again, the same block happens.

Can anyone help?


This thread was automatically locked due to age.
  •  I show no firewall rules. Why is port 6379 being blocked but not port 80 when there are no firewall rules
    There is a hidden default drop rule.  If you are using the web proxy, this will create a hidden rule to allow web traffic.

    If I add/enable a firewall rule (ANY HOST->ANY PORT->ANY HOST)
    Any really doesn't mean any in UTM-land.  More like "Most, but not all".  Try being granular with your rule.

    Be aware that fiddling around from the shell in UTM is unsupported and highly discouraged.  What exactly are you trying to achieve here?
  • Ok, I tried being more granular by using the subnet for the source and destination.  That unfortunately didn't work either.  I had to specify the exact IP of the source/destination for it to work.  

    Is there any way to delete/disable the hidden default drop rule?  I'm using this inside AWS and would rather not manage firewall rules in UTM and AWS Security Groups.
  • Recommended best practice is to allow all via AWS security group, then make your granular rules on the UTM.

    There isn't a way to remove the default rule.  If you do so from the shell, it will be recreated almost instantly.