Защита FreeBSD от OS Fingerprinting с использованием PF

[mnz_home]

Попалась на глаза любопытная статья

Возможно ли то же самое реализовать при помощи ipfw? Если нет, то в какой последовательности будут проходить пакеты через каждый фаервол при одновременной работе ipfw и pf?

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[warzon]

Попалась на глаза любопытная статья

Возможно ли то же самое реализовать при помощи ipfw? Если нет, то в какой последовательности будут проходить пакеты через каждый фаервол при одновременной работе ipfw и pf?

Одновременной последовательности кто впоймал тот и поимел. если ставешь два фаера главное делать правельную логику.работ их а не писать одному запретить этот айпи адрес а другому разрешить

[kirgudu]

http://www.opennet.ru/docs/RUS/ipfw_pf_ ... index.html

Только вот с последним nmap'ом особо не прокатывает. Приходится ip стек крутить серьезно.

[mnz_home]

Одновременной последовательности кто впоймал тот и поимел. если ставешь два фаера главное делать правельную логику.

Но пакет гарантированно проходит через оба межсетевых экрана? Или кто первый подхватит только и через того и пройдет? Есть настроенный ipfw, планируется использовать pf в качестве более тонкого, дополнительного фильтра.

kirgudu
Спасибо за ссылочку.

[warzon]

Одновременной последовательности кто впоймал тот и поимел. если ставешь два фаера главное делать правельную логику.

Но пакет гарантированно проходит через оба межсетевых экрана? Или кто первый подхватит только и через того и пройдет? Есть настроенный ipfw, планируется использовать pf в качестве более тонкого, дополнительного фильтра.

kirgudu
Спасибо за ссылочку.

да гарантированно пройдёт через оба Ipfw pf ,главное не нарушайте логику штобы всё было прозрачно как слеза,например у меня pf рабоатет с таблицами ipfw+pipe+queue и всё гуд.в таком плане.

[mnz_home]

Только вот с последним nmap'ом особо не прокатывает. Приходится ip стек крутить серьезно.

Уже хоть что-то, nmap уже путает с MacOS X и OpenBSD. PF еще не включал...

Код: Выделить всё

PORT   STATE SERVICE VERSION
22/tcp open  ssh      (protocol 2.0)
80/tcp open  http    Apache httpd

Running (JUST GUESSING) : OpenBSD 3.X|4.X (97%), Apple Mac OS X 10.5.X|10.3.X|10.4.X (94%), FreeBSD 7.X|5.X|6.X (93%), Juniper embedded (89%), Scientific Atlanta embedded (88%)

Aggressive OS guesses: OpenBSD 3.9 - 4.2 (97%), OpenBSD 4.0 (x86) (96%), OpenBSD 4.1 (96%), OpenBSD 4.1 (x86) (96%), OpenBSD 4.3 (94%), Apple Mac OS X 10.5 - 10.5.4 (Leopard) (Darwin 9.0.0b5 - 9.4.0) (94%), Apple Mac OS X 10.5.3 (Leopard) (Darwin 9.3.0) (94%), Apple Mac OS X 10.5 (Leopard) (Darwin 9.1.0, PowerPC) (93%), Apple Mac OS X 10.5 - 10.5.2 (Leopard) (Darwin 9.0.0 - 9.2.0) (93%), Apple Mac OS X 10.5 - 10.5.3 (Leopard) (Darwin 9.0.0 - 9.3.0) (93%)

Uptime guess: 0.003 days (since Sun Feb 08 16:45:16 2009)
Network Distance: 1 hop
TCP Sequence Prediction: Difficulty=253 (Good luck!)
IP ID Sequence Generation: Randomized

[kirgudu]

А! Люди! В статье есть бага, в ipfw не смейте P/P добавлять на SSH, иначе отвалитесь и больше не залогинетесь.

[mnz_home]

А! Люди! В статье есть бага, в ipfw не смейте P/P добавлять на SSH, иначе отвалитесь и больше не залогинетесь.

Странно... У меня вроде ничего не отвалилось.

Код: Выделить всё

set block-policy drop

scrub all no-df random-id reassemble tcp
scrub in all fragment reassemble

block in log quick proto tcp flags FUP/WEUAPRSF
block in log quick proto tcp flags WEUAPRSF/WEUAPRSF
block in log quick proto tcp flags SRAFU/WEUAPRSF
block in log quick proto tcp flags /WEUAPRSF
block in log quick proto tcp flags SR/SR
block in log quick proto tcp flags SF/SF
block in log quick proto tcp flags FUP/FUP
block in log quick proto tcp flags SF/SFRA
block in log quick proto tcp flags /SFRA
block in log quick proto tcp flags SFUP/SFRAU
block in log quick proto tcp flags FPU/SFRAUP
block in log quick proto tcp flags F/SFRA
block in log quick proto tcp flags U/SFRAU
block in log quick proto tcp flags P/P

pass in all
pass out all

[kirgudu]

А! Люди! В статье есть бага, в ipfw не смейте P/P добавлять на SSH, иначе отвалитесь и больше не залогинетесь.

Странно... У меня вроде ничего не отвалилось.

Внимательно читай, в ipfw.