Edge-Router Firewall "local out"-Regeln

hallo community,

ich habe mal eine frage zu den firewall-regeln (und regelsätzen) bei einem edge-router (in diesem fall ein er-12). nach dem der router jetzt in den produktiv-einsatz überführt werden soll, möchte ich noch alle netze trennen (was grundsätzlich auch funktioniert) und den zugriff richtung wan einschränken, wobei es bei mir grundsätzlich mit dem whitelist-prinzip realisiert wird, drop-policy und nur erlauben, was benötigt wird.

das einrichten der regelsätze für den gerouteten traffic (IN und OUT) funktioniert auch bei der wan-schnittstelle problemlos, nur sobald ich den LOCAL-regelsatz erstelle und an die wan-schnittstelle binde, ist keinerlei traffic vom router direkt richtung wan möglich, gemeint sind hier vor allem die lokale namensauflösung, ein- wie ausgehender ping und ausgehende vpn-verbindungen. entsprechende regeln für ping, dns oder openvpn mit state = new habe ich eingerichtet, das scheint ihn aber nicht wirklich zu interessieren.

habe ich hier irgendwas übersehen oder schlimmstenfalls falsch verstanden?

danke und gruß

Nils

Zitat von gierig

Local ist nunmal für Verbindungen von oder zu dem Router direkt.

[...]

so war auch mein verständnis...

Zitat von gierig

[...]

aber ohne Einsicht in die Regeln kann ist das aber schwer zu beurteilen..

das sind die drei regeln, die ping, openvpn und dns erlauben sollten (das waren auch die einzigen regeln in diesem regelsatz):

 name WAN_LOCAL {
     default-action drop
     description ""
     rule 1 {
         action accept
         description ping
         log disable
         protocol icmp
         state {
             established disable
             invalid disable
             new enable
             related disable
         }
     }
     rule 2 {
         action accept
         description openvpn
         destination {
             port 1194
         }
         log disable
         protocol udp
         state {
             established disable
             invalid disable
             new enable
             related disable
         }
     }
     rule 3 {
         action accept
         description dns
         destination {
             port 53
         }
         log disable
         protocol tcp_udp
         state {
             established disable
             invalid disable
             new enable
             related disable
         }
     }
 }

da ist was dran... vielen dank schon mal, das werde ich morgen mal testen...

genau das war das problem, zufügen einer regel für related und established und alles klappt wie es soll...

danke noch mal fürs mitdenken...