[5.2Beta1] Не работает "port eq 53" (DNS) в правиле Межсетевого экрана

[Gorobor]

Создал сегмент Bridge4, создал правила Межсетевого экрана. Всё в веб-интерфейсе.

ACL выглядит так:

access-list _WEBADMIN_Bridge4
    permit udp 192.168.18.224 255.255.255.248 192.168.18.225 255.255.255.255
    permit description Permit-DNS
    deny ip 0.0.0.0 0.0.0.0 10.0.0.0 255.0.0.0
    deny description Deny-10
    deny ip 0.0.0.0 0.0.0.0 172.16.0.0 255.240.0.0
    deny description Deny-172
    deny ip 0.0.0.0 0.0.0.0 192.168.0.0 255.255.0.0
    deny description Deny-192
    permit ip 192.168.18.224 255.255.255.248 0.0.0.0 0.0.0.0
    permit description Permit-Inet
    deny ip 0.0.0.0 0.0.0.0 0.0.0.0 0.0.0.0
    deny description Explicit-deny
    auto-delete
!

Первое правило для DNS работает только если не указывать порт. Стоит исправить правило на целевое, т.е.

    permit udp 192.168.18.224 255.255.255.248 192.168.18.225 255.255.255.255 port eq 53

и DNS-трафик с хоста 192.168.18.230 на кинетик 192.168.18.225 перестает ходить. Проверено несколько раз, в том числе с помощью Захвата пакетов. DNS-запросы по порту UDP/53 приходят, ответов нет. Если убрать порт 53, т.е. разрешить любой UDP-трафик, то всё работает нормально.

Сегмент настроен так:

interface Bridge4
    include GigabitEthernet0/Vlan224
    mac access-list type none
    security-level protected
    ip address 192.168.18.225 255.255.255.248
    ip dhcp client dns-routes
    ip access-group _WEBADMIN_Bridge4 in
    up
!

 

Изменено 2 часа назад пользователем Gorobor

[Gorobor]

Нашел еще вариант, как работает:

    permit udp 192.168.18.224 255.255.255.248 192.168.18.225 255.255.255.255 port gt 40000

А вот так уже не работает:

    permit udp 192.168.18.224 255.255.255.248 192.168.18.225 255.255.255.255 port gt 50000

В последнем случае tcpdump показывает, что не проходят запросы ни с порта 42475, ни с 57754.

20:40:10.998687 IP test-1.42475 > _gateway.domain: 13648+ A? ya.ru. (23)
20:40:16.004174 IP test-1.57754 > _gateway.domain: 13648+ A? ya.ru. (23)

Думал, что вместо destination port по ошибке проверяется source port. Но эксперимент с портом 57754 опровергает.

[keenet07]

Как вариант разрешите ещё TCP, в некоторых случаях может помочь.

permit tcp 192.168.18.224 255.255.255.248 192.168.18.225 255.255.255.255 port eq 53

Но скорее всего не работает потому-что как правило запрос-ответ идёт с разных портов. со случайного большого например 51000 на 53, а ответ приходит с 53 на 51000. Это нужно учитывать. Учитывая так же направление трафика на интерфейсе.

Изменено 2 часа назад пользователем keenet07

[Gorobor]

1 час назад, keenet07 сказал:

Как вариант разрешите ещё TCP, в некоторых случаях может помочь.

permit tcp 192.168.18.224 255.255.255.248 192.168.18.225 255.255.255.255 port eq 53

TCP пробовал, не работает. Более того, Wireshark (захват пакетов на кинетике) показывает, что запросы идут по UDP. А также выше я показал примеры захвата в tcpdump.

1 час назад, keenet07 сказал:

Но скорее всего не работает потому-что как правило запрос-ответ идёт с разных портов. со случайного большого например 51000 на 53, а ответ приходит с 53 на 51000. Это нужно учитывать. Учитывая так же направление трафика на интерфейсе.

Не понял, при чём тут это. Мое правило настроено верно (см. первый пост): с любого порта клиента на порт UDP/53. Правило не работает. Если разрешить на все порты UDP, то работает.