0 votes

Les paquets routés vers une autre interface en utilisant l'option `route-to` de `pf` sous MacOS passent-ils réellement par l'interface donnée ?

Les paquets acheminés vers une autre interface en utilisant pf 's route-to sur MacOS passe réellement l'interface donnée ?

J'ai lu que pf Les règles de pare-feu de l'entreprise ne s'appliquent qu'aux paquets qui passent (physiquement) par l'interface donnée. Ainsi, les règles relatives à l'interface externe d'une passerelle ne s'appliqueront pas aux paquets entrant sur l'interface locale et destinés à l'interface externe, puisque la pile TCP/IP traite ces paquets en interne.

Ainsi, les paquets qui sont route-to (règle de filtrage) d'une autre interface de la passerelle passe par cette interface, afin que les règles de l'interface s'appliquent au paquet ?

Voici la documentation de la page de manuel OSX :

 route-to
       The route-to option routes the packet to the specified interface with an optional address for the next hop.  When a route-to rule creates state, only packets that pass in the same direction as the filter
       rule specifies will be routed in this way.  Packets passing in the opposite direction (replies) are not affected and are routed normally.

1voto

poige Points 898

J'ai lu que les règles du pare-feu de pf ne s'appliquent qu'aux paquets qui passent (physiquement) par l'interface donnée.

Je me souviens répondant à à votre question similaire sur unix.stackexchange.com

Ainsi, les règles relatives à l'interface externe d'une passerelle ne s'appliqueront pas aux paquets entrant sur l'interface locale et destinés à l'interface externe, puisque la pile TCP/IP traite ces paquets en interne.

Règles de Pf s'appliquent aussi au trafic sur le loopback sauf si vous l'excluez spécifiquement avec quelque chose comme set skip on lo0 .

Vous devez également garder à l'esprit que La version de Pf livrée avec MacOS est sévèrement dépassée. et certaines fonctionnalités documentées de Pf ne fonctionnent pas du tout ou fonctionnent incorrectement. route-to est une fonction quelque peu "bricolée" et je ne serai pas surpris qu'elle échoue de la même manière.

LesApples.com

LesApples est une communauté de Apple où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres utilisateurs d'appareils Apple, poser vos propres questions ou résoudre celles des autres.

Powered by:

X