Regel: KPF 4.0.16 (4.1b2) wertet eine Regel nicht aus...

#1 ...und fragt mich immer wieder nach einer neuen Regel. Dabei gibt es zu sagen, dass ich "Enable predefined network security" deaktiviert habe, um mir alles selber einstellen zu können.

Jedoch werde ich trotz aktivierter Regeln für den <tcpip kernel driver> immer wieder nach dieser Regel gefragt. Wie auf diesem Bild dargestellt. Trifft analog auch für die outgoing Verbindung zu.

Wenn jemand nen Denkanstoss weiss, immer her damit!

Grüße,
eCerberus

/---------- edit ----------
War nicht mehr auszuhalten. Deshalb hab ich die Vordefinierten Regeln erstmal wieder reingenommen. Ist ja auch kein Drama - das bisschen pingen, etc. stört mich ja nun auch nicht.

Vielleicht findet ja noch jemand eine Lösung, oder weiß Rat. Hatte kurzzeitig schon überlegt auf 2.1.5 zu wechseln. Aber wie heißt es so schön "Never change a running ...".

Gibt es neben SSM ein noch schlankeres Programm mit einem etwas abgespeckten Funktionsumfang?

Grüße,
eCerberus
---------- edit ----------/

#2 Hallo

Ja das kenne ich

Als mich das total genervt habe ich auch deny Regeln speziell für Port 8 erstellt, die nichts gebracht haben.

Zum Schluß habe ich dann unter die "normalen" ICMP Regeln gleich direkt eine ICMP deny Regel für alles erstellt ( also alle Ports + IN/OUT deny).
Nicht so wie bei Dir nur Port 8.
Vielleicht hilft Dir das ja

by the way: Warum hast Du den Port 8 Outgoing erlaubt?


2.Lösung wäre eigentlich noch unter Netzwerksicherheit->Anwendungen
für "alle anderen Anwendungen" auf deny zu gehen.
Oder so ne Regel manuell zu erstellen, so wie hier ganz am Ende
http://www.protecus.de/Firewall_Security/ruleset.html

Gruß

#3 Gut, die Lösung 2 habe ich so gewählt. Jedoch bin ich noch auf eine andere Lösung gestossen - die ich ziemlich eigenartig finde - die ist aber wohl richtig:

So sind ja die Standardregeln:

Code

  <listitem>
    <variable name="Enabled">1</variable>
    <variable name="Description">ECHO in</variable>
    <variable name="Application">any</variable>
    <variable name="Order">227</variable>
    <variable name="Action">permit</variable>
    <variable name="Condition">direc=in &amp; (proto=1) &amp; lport=0,3,11 </variable>
  </listitem>

Jedoch kann man bei dem Protokoll ICMP gleich noch die dazugehörigen Codes wählen. Also ich hier dann 8 ausgewählt habe, und natürlich 0,3,11 für eine Regel also ECHO Empfang funktionierte es ohne Murren. Das schaut dann so aus:

Code

   <listitem>
    <variable name="Enabled">1</variable>
    <variable name="Description">ECHO in</variable>
    <variable name="Application">any</variable>
    <variable name="Order">227</variable>
    <variable name="Action">permit</variable>
    <variable name="Condition">direc=in &amp; (proto=1 [0,3,11])</variable>
  </listitem>

Jetzt frage ich mich natürlich, wieso man es da oben einstellen muss, und nicht wie bei TCP/UDP ganz normal bei den Ports? Zumindest ist es so auch in den von Dir genannten Link für die Regeln dargestellt.

Soweit so gut. Und warum habe ich jetzt 8 fürs senden, und die 0,3,11 für den Empfang erlaubt? Ja, ich selber möchte ja gern noch rauspingen können.

Grüße,
eCerberus

#4

Zitat

Und warum habe ich jetzt 8 fürs senden, und die 0,3,11 für den Empfang erlaubt? Ja, ich selber möchte ja gern noch rauspingen können.

0 - Echo Reply
3 - Destination Unreachable
4 - Source Quench
5 - Redirect
8 - Echo Request
9 - Router Advertisement
10 - Router Solicitation
11 - Time Exceeded
12 - Parameter Problem
13 - Timestamp
14 - Timestamp Reply
15 - Information Request
16 - Information Reply
17 - Address Mask Request
18 - Address Mask Reply

Typ 8 =>=> ausgehende Anfrage (Ping)
Typ 0 <=<= eingenede Antwort (Ping)
...insofern alles klar, oder ?

Für ICMP empfiehlt sich noch folgende Lektüre:
http://goethe.ira.uka.de/seminare/grk/icmp/
__________
Durchsuchen --> Aussuchen --> Untersuchen

#5 Ja genau, dass war meine Frage.

Du hattest ja Port 8 outgoing erlaubt und nicht den den Typ 8 outgoing.
Hatte mich gewundert, da das ja nicht dasselbe ist.(glaube ich zumindest)
Und man bei Kerio ja für ICMP auch NUR den Typ angeben kann, bzw. in meinem Link es so beschrieben ist.

Gruß

#6 Eben. Jedoch hatte es Kerio beim Selbstlernen als Regel so vorgeschlagen. Nachdem ich so wie oben Beschrieben, und von Joschi nochmals erläutert alles eingerichtet hatte, hat alles gepasst.

In diesem Sinne sind alle Klarheiten erfolgreich beseitig.

Grüße,
eCerberus