Suricata blockt ohne Eintrag

[lenny]

Hi,
ich habe meine OPN u.a. für die Trennung der Server, DMZ und LAN...
nun habe ich in der DMZ einen Server in Proxmox laufen.

Suricata ist in WAN, DMZ und Servernetz aktiv.

Der Server in der DMZ wird regelmäßig wohl durch Suricata blockiert, bekommt keine IP per DHCP usw...
In den Alarmmeldungen oder im Protokoll steht hierüber nichts.
Wenn Suricata auf der OPN deaktiviert wird, funktioniert wieder alles tadellos. So bin ich nach vielen Std auf Suricata gekommen...

Was kann man tun? Im Log finde ich wie gesagt überhaupt nichts, um dieses Problem irgendwie zu greifen.

[mimugmail]

Das hört sich für mich danach an dass die Karte/Treiber mit netmap (IPS mode) nicht kompatibel ist.

[lenny]

Hi,

Intel e1000 Treiber, wie auf den anderen Interfaces auch

[mimugmail]

Also es schlagen keine Regeln and und im Log der Console ist auch nichts zu sehen?

[lenny]

Genau, und es gibt keine Verbindung. Sobald der Dienst deaktiviert wird, funktioniert es sofort.

[mimugmail]

Und im IDS mode geht es auch oder?

[lenny]

Hab ich ehrlich gesagt noch nicht probiert, aber wäre es Mal Wert zu probieren :)

[franco]

Vielleicht sind es auch nur die Hardware Features die unter Interfaces: Settings abgestellt werden müssen (v.a. CRC).


Grüsse
Franco

[lenny]

Die drei sind auch alle deaktiviert.
Habe es jetzt mal ohne IPS aktiv und gucke mal, was passiert...

[lenny]

EDIT:
Hab noch was gefunden, als ich die Erweiterten Einstellungen öffnete.
HEIMNETZE. Dort fehlt das Netz der DMZ. LAN/VPN/WLAN war eingetragen. Server fehlte jedoch auch.

Was bewirkt diese Einstellung?

[mimugmail]

Damit die Regeln auch korrekt greifen.

[mimugmail]

https://www.youtube.com/watch?v=lgL20apoJ2U

[lenny]

Hab die Netze mal zugefügt und bisschen Last erzeugt. Wieder Netzwerkverbindung getrennt.
Suricata deaktivert. Sofort wars wieder da.

Verstehe es echt nicht.

[mimugmail]

Schau mal auf die Konsole was die sagt.
Ich hatte das mit 20.1 und ner alten X710 Karte, die hat dann einfach dicht gemacht.
Oder wenn du auf einem VLAN parent filterst aber offloading aktiv hast.

[lenny]

Leider ohne Erfolg.
Vor allem verstehe ich nicht:
es sind vier identische NIC, auf drei NIC läuft Suricata. und auf einer wird die Verbindung kommentarlos blockiert.