pf и mac-адреса

[dikens3]

Автор:

в faq по pf с openbsd.org никаких упоминаний о фильтрации arp не нашел Sad
там только carp =/

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[bakake]

в faq по pf с openbsd.org никаких упоминаний о фильтрации arp не нашел
там только carp =/

Я вот тут нашел, взглянул внимательно. Оказалось pf фильтровать по MAC даже в openbsd не умеет, а делается это через мрачный изврат с тэгированием пакетов в бридже. Кстати, if_bridge во freebsd по моему тоже из openbsd портировали, так что может быть что то подобное можно и тут соорудить

[hizel]

странно какие извращения в примере из хэндбука насчет keep state правил
в примере многоуважаемого lissyara такого нет
в последних ветках как то изменилась логика\последовательность работы divert/natd?

[Dog]

lissyara не использует stateful-фильтрацию. Почитай тут.

[hizel]

а каже это?

Код: Выделить всё

# Блокируем все остальные попытки соединения с занесением в логи
${FwCMD} add deny log tcp from any to ${IpOut} in via ${LanOut} setup

${FwCMD} add allow tcp from ${IpOut} to any out via ${LanOut} setup
${FwCMD} add allow tcp from any to ${IpOut} in via ${LanIn} setup

########### BEGIN USERS   ###############################

# Разрешаем всем аську (ICQ)
${FwCMD} add allow tcp from ${NetIn} to any 5190 in via ${LanIn} setup

# Пользователи которым разрешён инет
${FwCMD} add allow tcp from ${ip_lan}.151 to not ${NetIn} in via ${LanIn} setup
${FwCMD} add allow tcp from ${ip_lan}.153 to not ${NetIn} in via ${LanIn} setup
${FwCMD} add allow tcp from ${ip_lan}.154 to not ${NetIn} in via ${LanIn} setup

setup - это не из этой оперы?

[hizel]

пардон ступил, вопрос закрыл :/

[freeman]

в faq по pf с openbsd.org никаких упоминаний о фильтрации arp не нашел
там только carp =/

Я вот тут нашел, взглянул внимательно. Оказалось pf фильтровать по MAC даже в openbsd не умеет, а делается это через мрачный изврат с тэгированием пакетов в бридже. Кстати, if_bridge во freebsd по моему тоже из openbsd портировали, так что может быть что то подобное можно и тут соорудить

Маркирование кадров ethernet (канальный уровень OSI)

Если машина работает как мост на канальном уровне (в OpenBSD см. bridge(4) в FreeBSD if_bridge(4)) пакетный фильтр может маркировать кадры ethernet. При создании правил трансляции при помощи команды brconfig(8) (характерна для OpenBSD) можно установить маркер с помощью опции tag:
# brconfig bridge0 rule pass in on fxp0 src 0ad:be:ef:0 tag USER1


Далее можно ссылаться на этот маркер в pf.conf(5):
pass in on fxp0 tagged USER1

По моему ничего мрачного, вот только бридж надо, а оно надо ?