Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 5 replies
  • Subscribers 1 subscriber
  • Views 660 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Problems with Auto Packet Filter (possibly a Bug)

StefanS_01
Hi List,

I have here several VPN connections with active "Auto Packet Filter".
I wanted now as described in the manual, the VPN connection via packed filters to permit.

#-#-#

Security Note:
If you want greater control over the packet filter rules, or
wish to manage them in a more centralized way, disable
the Auto Packet Filter function and enter the rules manually
in the Packet Filter/Rules menu.

#-#-#-

Although " Auto Packet Filter" is deactivated and there is no rule for the VPN connection, the data traffic functions by the tunnel.

That is actually wrong.
If one regards the whole more exactly(Current System Packet Filter Rules), one sees the following.

With "Chain AUTO_FORWARD" the appropriate rules one removed. That is so far correct.

The error shows up here.

In "Chain FORWARD" the order of the rules is wrong.

Chain FORWARD (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         
6461K 4949M ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0           ACCEPT match 
  154  8700 ACCEPT  all  --  *      *       0.0.0.0/0            0.0.0.0/0           state RELATED ACCEPT 
68057 6092K SPOOFING_PROTECTION  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
68057 6092K PSD_MATCH  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
68057 6092K SANITY_CHECKS  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
68057 6092K AUTO_FORWARD  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
51134 4022K USR_FORWARD  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
 4751 1129K LOGDROP    all  --  *      *       0.0.0.0/0            0.0.0.0/0

"AUTO_FORWARD" comes before"USR_FORWARD", that is wrong. Because in "AUTO_FORWARD" all IPSEC connections is defined.
 Therefore also the package filters  rules (USR_FORWARD) without effect.

Astaro give me please a workaround.

Stefan


This thread was automatically locked due to age.
Parents
  • 0
    Hi Stefan
    We also noticed that there must be problems how the filter rules are created. (/var/chroot-ipsec/tmp/ shows some debug infos).
    More strange:  It  seems to be only a problem of ASG. We build up a ASG220 starting from 5.200 and (painfull) on-line updating to 6.003. With this system we can only use 'Auto Packetfilter'. With 6.003 on a 'normal' HW filtering by IPSec key works fine.  We hope that new ASGs with initial 6.000 systems will work better.
  • 0 in reply to pebo
    Hi,

    not sure where your problem is right now. 

    The IPSec default Accept will only show up in auto_forward, if you have "Auto Packetfilter" turned on. So to handle ipsec traffic with the user_forward, you have to turn off "Auto Packetfilter", so the default accept is removed from the auto_forward.
    Or is your problem, that the default accept rule in auto_forward is not beeing removed, if you turn off "Auto Packetfilter"?

    Chris
  • 0 in reply to NimmdirKeks
    Hello,
    It seems that the iptable rules are not created properly:
    IPsec tunnel to host A for user X  is build up and the host is reachable with Auto Packet Filer on.

     If  I turn A.P.F. off and create  a filter rule, allowing IPSec key X to access port 25 of host A it does not work: Tunnel is build up but the packets to port 25  are rejected (showing up in packetfilter.log)
Reply
  • 0 in reply to NimmdirKeks
    Hello,
    It seems that the iptable rules are not created properly:
    IPsec tunnel to host A for user X  is build up and the host is reachable with Auto Packet Filer on.

     If  I turn A.P.F. off and create  a filter rule, allowing IPSec key X to access port 25 of host A it does not work: Tunnel is build up but the packets to port 25  are rejected (showing up in packetfilter.log)
Children
Cookie Information Banner