MPD5 + PF

Простые/общие вопросы по UNIX системам. Спросите здесь, если вы новичок

Модераторы: vadim64, terminus

Правила форума
Убедительная просьба юзать теги [cоde] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
WayneX
рядовой
Сообщения: 16
Зарегистрирован: 2013-05-21 10:07:07

MPD5 + PF

Непрочитанное сообщение WayneX » 2016-06-27 13:52:58

Доброго всем времени суток!

Прошу помощи в настройке PF.
В небольшом филиальском офисе есть маленький сервер на Freebsd 9.3, понадобилось поднять на нем VPN, настроил на MPD5, всё замечательно работало до тех пор пока не добавил PF. В итоге имеем:
Маршрутизатор на котором проброшен порт 1723, сервер с одним сетевым интерфейсом 192.168.3.200. С включенным PF-ом подключение по VPN происходит, но никакие внутренние ресурсы не доступны, выключаем PF и всё отлично работает.

pf.conf

Код: Выделить всё

net_if="xl0"
#Макросы
tcp_services="{ssh, 53, 137, 139, 445}"
udp_services="{53, 137, 138, 445}"
ftp_ports="{ftp, ftp-data}"
#Политики
#Не слушаем loopback интерфейс
set skip on lo0
#Нормализация трафика
scrub in all
#Антиспуфинг
antispoof quick for $net_if
#Блокируем все входящие подключения
block in all
#Разрешаем всё исходящее
pass out on $net_if from any to any keep state
#Разрешаем входящие
pass in quick on $net_if inet proto tcp from any to any port $tcp_services keep state
pass in quick on $net_if inet proto udp from any to any port $udp_services keep state
# FTP
pass quick inet proto {tcp, udp} from any to any port $ftp_ports keep state
pass quick inet proto {tcp, udp} from any to any port > 18000 keep state
# Разрешить GRE-протокол для тунелированных соединений
pass quick inet proto gre to any keep state
# VPN
pass in on $net_if inet proto tcp from any to $net_if port 1723
pass inet proto {tcp, udp, icmp} from 192.168.3.0/24 to 192.168.3.0/24 keep state
# PING
pass in on $net_if inet proto icmp from any to any
#Блокируем IPv6
block drop inet6 all
Заранее спасибо всем откликнувшимся!
Последний раз редактировалось f_andrey 2016-06-27 14:09:37, всего редактировалось 1 раз.
Причина: Автору. пожалуйста, выбирайте соответствующий раздел форума

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

lordlev
рядовой
Сообщения: 33
Зарегистрирован: 2012-12-02 8:51:16

MPD5 + PF

Непрочитанное сообщение lordlev » 2016-06-27 21:31:19

Может что и поправили, но год назад по этой причине отказался от PF. Точно так себя вели и mpd5 и openvpn. Коннектятся и все. Где-то на англицком писали что это глюк(?) PF-а. Правда это было про pfsence ....
А может я просто неосилятор :)

WayneX
рядовой
Сообщения: 16
Зарегистрирован: 2013-05-21 10:07:07

MPD5 + PF

Непрочитанное сообщение WayneX » 2016-06-28 8:13:28

lordlev писал(а):Может что и поправили, но год назад по этой причине отказался от PF. Точно так себя вели и mpd5 и openvpn. Коннектятся и все. Где-то на англицком писали что это глюк(?) PF-а. Правда это было про pfsence ....
А может я просто неосилятор :)
Да, тоже читал про глюк PF-а, но уж очень не хочется от него отказываться.

Аватара пользователя
glb_ussr
мл. сержант
Сообщения: 110
Зарегистрирован: 2010-05-13 7:45:38

MPD5 + PF

Непрочитанное сообщение glb_ussr » 2016-06-28 15:22:06

Логи добавь на запрещающие правила и смотри чего на них попадает.

Dmitriy_3206
рядовой
Сообщения: 44
Зарегистрирован: 2014-10-13 15:51:34

MPD5 + PF

Непрочитанное сообщение Dmitriy_3206 » 2016-06-29 13:54:20

Pf позволяет только одно подключение по PPTP сквозь него. И то там не тривиально. C OpenVPN вообще никаких проблем. Использую OpenVPN и радуюсь

mousehouse
рядовой
Сообщения: 39
Зарегистрирован: 2011-05-15 10:55:52
Контактная информация:

MPD5 + PF

Непрочитанное сообщение mousehouse » 2016-08-28 16:14:44

"...Pf позволяет только одно подключение по PPTP.." бред imho

У меня работало отлично вот так:

Код: Выделить всё

ext_if1 = "igb1"  внешний интерфейс
pass in on $ext_if1 proto tcp to any port { 1723 and other ports etc  }
Умерла мышка...остыл ее коврик.

Аватара пользователя
kharkov_max
капитан
Сообщения: 1810
Зарегистрирован: 2008-10-03 14:56:40

MPD5 + PF

Непрочитанное сообщение kharkov_max » 2016-08-29 13:19:49

Нужно gre разрешить через ipfw, на pf не получится... смотри нп форуме, уже обсуждалось...

mousehouse
рядовой
Сообщения: 39
Зарегистрирован: 2011-05-15 10:55:52
Контактная информация:

MPD5 + PF

Непрочитанное сообщение mousehouse » 2016-08-29 19:16:09

Не пользовался ни когода ipfw, все прекрасно через pf...
Не совсем понял, что не получиться? Разрешить gre через pf?

Код: Выделить всё

pass on { gif gre}
Умерла мышка...остыл ее коврик.