Модератор: terminus
:-))))). да я на скорую руку даже не обратил вниманияhizel писал(а):замена
IPFIREALL_EXTENDED
на
IPFIREWALL_EXTENDED
кстати оно же выше было за комментировано? =/
знание немного англицкого рулит
сличение параметров ядра с этими файликами крайне приведствуетсяКод: Выделить всё
/usr/src/sys/conf/NOTES /usr/src/sys/conf/i386/NOTES
. Английским владею, технически Код: Выделить всё
MGW# make -j8 -s buildkernel KERNCONF=MY.SMP
--------------------------------------------------------------
>>> Kernel build for MY.SMP started on Fri Feb 29 15:55:43 UTC 2008
--------------------------------------------------------------
===> MY.SMP
--------------------------------------------------------------
>>> stage 1: configuring the kernel
--------------------------------------------------------------
/usr/src/sys/i386/conf/MY.SMP: unknown option "IPFIREWALL_EXTENDED"
*** Error code 1
1 error
*** Error code 2
1 error
MGW#
((# IPFIREWALL_NAT adds support for in kernel nat in ipfw, and it requires
# LIBALIAS. To build an ipfw kld with nat support enabled, add
# "CFLAGS+= -DIPFIREWALL_NAT" to your make.conf.
Код: Выделить всё
> grep IPFIREWALL /usr/src/sys/conf/NOTES
# IPFIREWALL enables support for IP firewall construction, in
# conjunction with the `ipfw' program. IPFIREWALL_VERBOSE sends
# logged packets to the system logger. IPFIREWALL_VERBOSE_LIMIT
# WARNING: IPFIREWALL defaults to a policy of "deny ip from any to any"
# IPFIREWALL_DEFAULT_TO_ACCEPT causes the default rule (at boot) to
# depends on IPFIREWALL if compiled into the kernel.
# IPFIREWALL_FORWARD enables changing of the packet destination either
options IPFIREWALL #firewall
options IPFIREWALL_VERBOSE #enable logging to syslogd(8)
options IPFIREWALL_VERBOSE_LIMIT=100 #limit verbosity
options IPFIREWALL_DEFAULT_TO_ACCEPT #allow everything by default
options IPFIREWALL_FORWARD #packet destination changes
# DUMMYNET enables the "dummynet" bandwidth limiter. You need IPFIREWALL
# You can use IPFIREWALL and DUMMYNET together with bridging.
> grep IPFIREWALL /usr/src/sys/i386/conf/NOTES
>Код: Выделить всё
options IPFIREWALL_NAT
options LIBALIAS
Код: Выделить всё
lissyara# grep firewall_nat_enable /etc/defaults/rc.conf
firewall_nat_enable="NO" # Enable kernel NAT (if firewall_enable == YES)
lissyara# Код: Выделить всё
#ipfw nat 1 config ip 84.xxx.xxx.xxx
#ipfw add 1 nat 1 all from 192.168.1.16 to any
#ipfw add 2 fwd 84.xxx.xxx.1 all from 192.168.1.16 to any
Код: Выделить всё
ext_if="xl0"
int_if="rl0"
nat on $ext_if proto { tcp udp icmp } from $int_if:network to any -> ($ext_if)
Код: Выделить всё
# ================ Enable pf & altq ==============
device pf
device pflog
device pfsync
options ALTQ
options ALTQ_CBQ
options ALTQ_RED
options ALTQ_RIO
options ALTQ_HFSC
options ALTQ_CDNR
options ALTQ_PRIQКод: Выделить всё
pf_enable="YES" # Включить PF (загрузить модуль если необходимо)
pf_rules="/etc/pf.conf" # определение правил для pf
pf_flags="" # дополнительные флаги для запуска pfctl
pflog_enable="NO" # запустить pflogd(8)
pflog_logfile="/var/log/pflog" # где pflogd должен сохранять протокол
pflog_flags="" # дополнительные флаги для запуска pflogd
Если уж начал, тогда продолжай что там лучше, только nat?voider писал(а):народ не парьтесь с этим Ipfw есть куда лучше файрволл
Код: Выделить всё
block in quick on $ext_if proto tcp from any to any port 22Код: Выделить всё
server="192.168.0.50"
ftp_port1=21
# Redirect for inner FTP server (active connection)
rdr pass on $ext_if proto { tcp udp } from any to any port $ftp_port1 -> $server port $ftp_port1он портирован с Openbsd ,а за все время эту Ось взломали только один раз ,к тому же pf быстро работает. dummynet там ввиде altq , а сам pf реализован ввиде девайсаdikens3 писал(а):Если уж начал, тогда продолжай что там лучше, только nat?
зато он не умеет фильтровать по макуvoider писал(а):он портирован с Openbsd ,а за все время эту Ось взломали только один раз ,к тому же pf быстро работает. dummynet там ввиде altqdikens3 писал(а):Если уж начал, тогда продолжай что там лучше, только nat?
)))) кто сказал? читай )))_kirill_ писал(а): зато он не умеет фильтровать по маку
Код: Выделить всё
# brconfig bridge0 rule pass in on fxp0 src 0:de:ad:be:ef:0 \
tag USER1
And then in pf.conf:
pass in on fxp0 tagged USER1
А это обязательно в ядро вкомпилировать? И нельзя обойтись модулями ядра?voider писал(а):народ не парьтесь с этим Ipfw есть куда лучше файрволл
<...>
перед этим в ядро запихните вот этоКод: Выделить всё
# ================ Enable pf & altq ============== device pf device pflog device pfsync options ALTQ options ALTQ_CBQ options ALTQ_RED options ALTQ_RIO options ALTQ_HFSC options ALTQ_CDNR options ALTQ_PRIQ
надо полагать что ipfw такого не дано?voider писал(а):ну вот еще команды допустим надо блокировать ssh
Код: Выделить всё
block in quick on $ext_if proto tcp from any to any port 22
а этим судя по всему обеспечим функционал FTP-сервера за файервалом?voider писал(а): допустим надо перенаправить порт на внутр машину локальную ,Код: Выделить всё
server="192.168.0.50" ftp_port1=21 # Redirect for inner FTP server (active connection) rdr pass on $ext_if proto { tcp udp } from any to any port $ftp_port1 -> $server port $ftp_port1
А такие протоколы для FTP больше всего радуют.voider писал(а): proto { tcp udp }
гемороя больше... в айпифв проще осуществляется...voider писал(а):кто сказал? читай )))_kirill_ писал(а): зато он не умеет фильтровать по маку
Tagging Ethernet Frames
Tagging can be performed at the Ethernet level if the machine doing the tagging/filtering is also acting as a bridge(4). By creating bridge(4) filter rules that use the tag keyword, PF can be made to filter based on the source or destination MAC address. Bridge(4) rules are created using the brconfig(8) command. Example:съел?Код: Выделить всё
# brconfig bridge0 rule pass in on fxp0 src 0:de:ad:be:ef:0 \ tag USER1 And then in pf.conf: pass in on fxp0 tagged USER1
не знаю..iZEN писал(а): А это обязательно в ядро вкомпилировать? И нельзя обойтись модулями ядра?
да дано тока замудренно такое ощющение ,его писал человек который так всё замудрил ,что моск вскрываеться-cat- писал(а): надо полагать что ipfw такого не дано?
ну да редирект на другой комп в сети где есть фтп сервак-cat- писал(а):
а этим судя по всему обеспечим функционал FTP-сервера за файервалом?
)))-cat- писал(а):
А такие протоколы для FTP больше всего радуют.
Нашёл что рассказать, и если на то пошло, то редирект - это не фаер, как и нат собственно. Его можно назвать отдельным сервисом встроенным в нат.voider писал(а):ну вот еще команды допустим надо блокировать ssh
Код: Выделить всё
block in quick on $ext_if proto tcp from any to any port 22
допустим надо перенаправить порт на внутр машину локальную ,вот подробно http://www.openbsd.org/faq/pf/rdr.htmlКод: Выделить всё
server="192.168.0.50" ftp_port1=21 # Redirect for inner FTP server (active connection) rdr pass on $ext_if proto { tcp udp } from any to any port $ftp_port1 -> $server port $ftp_port1
Меня бесит когда такая конструкция развернётся, к примеру, в 5 правил (по количеству IP-Адресов). Тут PF отдыхает со своей конструкцией. Тоже самое с портами:deny tcp from any to me 22 setup
Код: Выделить всё
deny tcp from any to me 22,23,25,110,443,80 setupверишь? мне пофигуdikens3 писал(а):
Нашёл что рассказать, и если на то пошло, то редирект - это не фаер, как и нат собственно. Его можно назвать отдельным сервисом встроенным в нат.
Фаервол - только фильтрация пакетов. Т.е всевозможные органичения/разграничения с трафиком. Если в PF добавить APACHE - это будет один из крутейших фаеров, уверяю. :-)
так добавь всю сетьМеня бесит когда такая конструкция развернётся, к примеру, в 5 правил (по количеству IP-Адресов). Тут PF отдыхает со своей конструкцией. Тоже самое с портами:Сколько будет правил при учёте, что IP-Адресов 5 штук? Дай угадаю - 30 правил, вместо одного?Код: Выделить всё
deny tcp from any to me 22,23,25,110,443,80 setup
P.S. Везде свои плюсы и минусы.
Код: Выделить всё
dmz_net = "192.168.0.0/24"