Messages

... ich dachte dann werden bestehende Verbindungen nicht gekappt?

Fantastisch - ich kann eine Frage beantworten :D (als Newbie)

1) Schedule anlegen
Firewall - Settings - Schedules // hier den erlaubten Zeitraum eintragen, ich habe es "Tag" genannt

2) Firewall - Rules - LAN
  a) Regel anlegen PASS Source: Geräte der Kinder (oder wer auch immer), Destination: any, Schedule von oben
  b) darunter Regel anlegen BLOCK Source: Geräte der Kinder (oder wer auch immer), Destination: any

MfG

Ja, die Verbindungen aus dem ersten Post kamen von innen, die Frage zu DNS bezog sich tatsächlich auf eine neue Fragestellung.
Also wenn ich das richtig verstanden habe - zuerst kommt der Netzwerkverkehr bei Suricata an, dann wird erst durch die Firewall gefiltert? Also WAN -- <Suricata>-<Firewall>-LAN?

OK, Danke, habe ich probiert. Ist halt mühselig die einzelnen Adressen zeitnah abzutippen und in eine Regel einfügen. Aber geht.

Nächste Frage (ich packs mal in diesen Thread weils ganz gut passt):
Ich habe in Suricata auch viele DNS anfragen an meine Firewall (192.168.187.40 über DHCP Fritzbox) gefunden und eine Regel in der Firewall im WAN Bereich erstellt:

Code Select Expand


Proto Source Port Destination Port         Gateway Description
Block IPv4    *          * This Firewall 53 (DNS) * DNS Anfragen auf WAN blocken
                TCP/UDP

Sollten damit nicht alle Anfragen von aussen auf Port 53 über WAN an meinen DNS Server nicht geblockt werden? In Suricata sehe ich immer noch Port 53 Blocks...

Also LAN interface; aber dann auf welcher IP? 192.168.178.40 ist die IP der Firewall. Wenn ich mir die Logs im Firewallmodul anschaue ist die Source-IP immer .168.40 (was ja auch Sinn macht...). Wie kann ich jetzt dem einen Computer in meinem Netzwerk zuordnen / sollte das nicht über den port gehen?

Hallo in die Runde,

ich habe seit letztem Wochenende OPNSense installiert und dann auch Suricata ausprobiert. Jetzt scheint alles soweit zu laufen und funktionieren wie ich es mir vorstelle, aber Suricata liefert mir recht viele Hits auf  "ET P2P BitTorrent DHT ping request", und zwar von meiner Firewall IP aus. Das Setup ist

Internet --> Fritz --> APU2D4, OPNSense 19,1,7 --> LAN

Jetzt stehe ich vor der Frage, woher die dauernden Ping requests kommen, bzw. welcher Computer dafür verantwortlich ist. Die IP ist von der APU (192.168.178.40), ein beispielhafter Logeintrag ist wiefolgt:

Code Select Expand


May 14 21:16:09 suricata[18432]: [Drop] [1:2008581:3] ET P2P BitTorrent DHT ping request [Classification: Potential Corporate Privacy Violation] [Priority: 1] {UDP} 192.168.178.40:45534 -> 83.238.73.42:6881
May 14 21:10:52 suricata[18432]: [Drop] [1:2008581:3] ET P2P BitTorrent DHT ping request [Classification: Potential Corporate Privacy Violation] [Priority: 1] {UDP} 192.168.178.40:63885 -> 91.121.220.134:51413
May 14 21:05:34 suricata[18432]: [Drop] [1:2008581:3] ET P2P BitTorrent DHT ping request [Classification: Potential Corporate Privacy Violation] [Priority: 1] {UDP} 192.168.178.40:51959 -> 88.195.204.74:55317
May 14 21:00:29 suricata[18432]: [Drop] [1:2008581:3] ET P2P BitTorrent DHT ping request [Classification: Potential Corporate Privacy Violation] [Priority: 1] {UDP} 192.168.178.40:58720 -> 51.15.51.63:51413


Was kann ich tun um die Quelle zu identifizieren? Ich habe zwar rudimentäre Netzwerkkenntnisse und den Willen mich weiterzubilden, aber im Moment stehe ich auf dem Schlauch und bin auf Hilfe angewiesen...