задачка - всем ли очевиден ответ?

[LizardOfOzz]

Как может срабатывать deny правило если перед ним стоит правило с allow?

одно правило для L3 второе для L2

Всё правильно.
Первый вариант: мак есть в арп-кеше.
При подключении сразу идёт запрос по tcp и нормально проходит.

Второй вариант: мака нет в арп-кеше.
При подключении идёт запрос мака и на этом всё заканчивается, т.к. этот запрос режется запрещающим правилом.

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[Gloft]

В smb пакете есть и ip (l3) и мак (L2).
Правила обрабатываются по порядку, и не в коем случае не отдельно для ip (l3) и мак (L2).
И первое правило у тебя сработает на ip, и пакет на проверку мака не дойдет.

[LizardOfOzz]

В smb пакете есть и ip (l3) и мак (L2).
Правила обрабатываются по порядку, и не в коем случае не отдельно для ip (l3) и мак (L2).
И первое правило у тебя сработает на ip, и пакет на проверку мака не дойдет.

Ага, зато до проверки мака дойдут все остальные, не-smb-пакеты. Например arp. ;)

[Gloft]

Ну дойдут.
Узнает клиент мак сервера, отправит пакет с ипом и сработает правило на ip.
Где я неправ?

[LizardOfOzz]

Ну дойдут.
Узнает клиент мак сервера, отправит пакет с ипом и сработает правило на ip.
Где я неправ?

В том-то и дело, что arp-пакеты дойдут до второго правила и на нём зарежутся. Клиент не узнает mac сервера и не отправит пакеты с ипом.

[Gloft]

хм теперь обющую концепцию понял.
Но почему тогда не сделать так.

Код: Выделить всё

deny ip from any to any 00:50:da:4e:ba:63 dst-port 445,139 via rl0
allow 5 ip from any to me dst-port 445,139 keep-state

Конечно если клиенту других сервисов с сервера брать не нужно, то можно резать все запросы, а так только smb.

[mayor]

Код: Выделить всё

deny ip from any to any 00:50:da:4e:ba:63 dst-port 445,139 via rl0

такое правило написать нельзя оно не понятно для какого уровня

[mayor]

Как может срабатывать deny правило если перед ним стоит правило с allow?

одно правило для L3 второе для L2

Всё правильно.
Первый вариант: мак есть в арп-кеше.
При подключении сразу идёт запрос по tcp и нормально проходит.

Второй вариант: мака нет в арп-кеше.
При подключении идёт запрос мака и на этом всё заканчивается, т.к. этот запрос режется запрещающим правилом.

так точно