PVE Firewall block IP range SMTPS

[informant]

Hi all zusammen, ich habe eine Frage. Wenn ich die PVE Firewall nutzen will um auf einer VM IP Ranges im marko SMTPS blocken zu wollen, warum blockt er dann alles was SMTP ist, statt nur die IP-Range die ich eingegeben haben?
Habe folgendes gemacht:
1. Datacetner Firewall an und INPUT ACCEPT gesetzt
2. Netzwerkkarte Firewall enable
3. Firewall Option Enable bei der entpsrechenden VM
4. Firewall Rule add
Type in
Aktion Drop
Interface net0
Quelle 188.166.0.0-188.166.127.255
Markro SMTPS
Rest leer gelassen, danach kam keien eMail mehr rein. Zum test habe ich dann noch eine Rule Type in Aktion ACCEPT angelegt, Rest leer, brachte auch kein Erfolg. Eine Idee?
MfG

 

[CoolTux]

was hast Du denn erwartet? Welche IP Adresse sollte Deiner Meinung nach denn gehen?
Im übrigen würde ich das eher als Subnetz Variante schreiben
188.166.0.0/17

 

[informant]

Hi eigentlich wollte ich alles zulassen und nur das was ich als DROP schreibe sperren,,, Eine Idee?

 

[CoolTux]

Ok mit dem Macro kenne ich mich nicht aus, ich wurde Destination Port und Protocol direkt angeben.

 

[informant]

Also zB TCP udn Port 25 . Wiel zu den Macros habe ich auch keine Infos gefunden^^
PS. kann ich Zielports auch mit , trennen also mehrere angeben? bzw. einfach leer lassen für alle Ports, sollte doch auch klappen^^

 

[informant]

Hi klappt nicht. Wenn ich nur eine IP Adresse blocke wird dies enicht geblockt. Ohne Accept all Regel passiert garnicht mehr...
Noch jmd, eine Idee?
Habe es nun so:

 

[CoolTux]

Du hast doch die default Regel beim Proxmox Server auf Accept. Wieso hast Du dann hier auch noch mal Accept für alles.
Firewallregeln werden immer von oben nach unten abgearbeitet. First Match Prinzip. Nimm mal Deine Accept Regel raus und lass nur die Drop drin.

 

[informant]

Hi das klappt eben nicht, dann kommt nichts mehr an an eMails. Irgendwo passt etwas nicht. Frage ist nur was^^
Habe die Input Policy auf der VM nun auch mal auf Acceppt gesetzt! Damit klappt es nun^^ Die hatte ich übersehen^^

 

[CoolTux]

Vielleicht solltest Du erstmal klären was genau erlaubt oder verboten sein soll.

Deine jetzige drop Regel verbietet jegliche Verbindung vom Rechner 91.blabla. andere Rechner sollten davon ausgeschlossen sein, die sollten also dürfen
Sofern deine Default Regel für Input wirklich Accept ist.

 

[informant]

Hi habe jetzt bei der VM die Policy auf Accept gesetzt, und nur die Drop Regel drin, dh diese IP wird für alles blockeirt, alle anderne haben den Zurgiff sollte so also passen^^ Den IP Pool kann ich ja selbst eintragen zB ganz USA usw.

 

[CoolTux]

Das war jetzt natürlich nur zum testen. Meine Empfehlung, Whitelist. Also Default alles blocken und dann das zu lassen bei den jeweiligen VMs was erlaubt sein soll. So funktioniert normaler Weise eine Firewall.

 

[informant]

Jo so mach ich es normalerweise auch, aber ein Kunde will alles erlauben un dnur bestimtme IP Bereiche sperren. Von daher habe ich es probiert, war richtig, hattenur die default policy vergessen^^