forum.lissyara.su

Код: Выделить всё

gateway_enable="YES"

Код: Выделить всё

options         IPFIREWALL
options         IPFIREWALL_VERBOSE
options         IPFIREWALL_VERBOSE_LIMIT=5
options         IPFIREWALL_FORWARD
options         IPDIVERT
options         DUMMYNET
options         IPFIREWALL_DEFAULT_TO_ACCEPT

Код: Выделить всё

#!/bin/sh

#первый параметр к скрипту это start|stop|reload

#разрешаем задать путь к ipfw
if [ -n "${2}" ]; then
  fwcmd=${2}
else
  fwcmd="/sbin/ipfw" #если ничего не задали
fi

workDir="/usr/local/etc/firewall"

start () {

#This rule set are independed. So run it first. Загружаем файл с набором каналов
 . $workDir/f-pipes.ipfw

#We wanna count something??? Файл с набором коунтеров
 if [ -f $workDir/f-count.ipfw ]; then
  . $workDir/f-count.ipfw
 fi

#Файл с набором по умолчанию
 if [ -f /$workDir/f-defaults.ipfw ]; then
     num=00
     . $workDir/f-defaults.ipfw
 fi

#Интерфейс (внутренняя сеть), re0 имеет нумерацию на 10000, поэтому num = 10
 num=10
 . $workDir/f_re0
#Интерфейс (инет), re1 имеет нумерацию на 11000, поэтому num = 11
 num=11
 . $workDir/f_re1
#Интерфейс tun0 имеет нумерацию на 12000, поэтому num = 12
# num=12
# . $workDir/f_tun0

#Обратите внимание наличие точки и пробела в комманде  ". $workDir/f_tun0" обязательно. Без них работать ничего не будет. This rule must be runned last to be the last record in
#по умолчанию весь трафик идет на 65000 правила. Nо умолчанию дропаем всё и пишем в лог
 ${fwcmd} add 9999 skipto 65000 all from any to any
 ${fwcmd} add 65534 deny log all from any to any
}

#удаляем все правила, пайпы, очереди
stop () {
 ${fwcmd} -f flush
 ${fwcmd} -f pipe flush
 ${fwcmd} -f queue flush
}

#Разрешаем работу обратной петли. правило 99!
setup_loopback () {
############
# Only in rare cases you want to change these rules
 ${fwcmd} add 99 pass all from any to any via lo0
 ${fwcmd} add 99 deny all from any to 127.0.0.0/8
 ${fwcmd} add 99 deny ip from 127.0.0.0/8 to any
}

#Статистика перезапуска файрвола
echo `date` >> /etc/reboot

case ${1} in
start)
    setup_loopback
    start
    ;;
stop)
    stop
    ;;
reload)
    stop
    setup_loopback
    start
    ;;
*)
    echo "Usage: `basename ${0}` { start | stop | reload& } "
    echo "WARNING!!! WARNING!!! WARNING!!! WARNING!!! WARNING!!!"
    echo "Don't foget to add '&' if you reload the firewall remoutly"
    ;;
esac

Код: Выделить всё

#!/bin/sh

iface="re0"

#перенаправляем трафик с общего потока на правила которые отвечают за интерфейс "${iface}"
 ${fwcmd} add 9999 skipto ${num}000 all from any to any via ${iface}

#хх000 - хх099 зарезервировано. Также как и для правил 00001- 00089 используется для "горячих" целей или тестирования

#хх101 - хх199 блокируем весь нежелательный трафик здесь. Например если на интерфейсе висит сеть 192.168.1.0/24, то дропаем всё, что не с этой сети:
 
#хх201 - хх299 этот диапазон идеален для правил подсчета (count) трафика для исхода, тк. здесь трафик ещё не попал в диверт (виден src-ip)

#xx301 - xx399 здесь можно расположить skipto xx500 правила, если мы не хотим чтобы они попадали в очередь и/или шейпер. Однако этого я бы не рекомендовал делать.

#хх401 - хх499 ложим исходящий трафик в очередь и/или канал. Вы должны сделать это до диверта, тк. после диверта весь исходящий трафик получит Ваш внешний IP

#хх501 - хх599 дивертим входящий/исходящий трафик тут.

#хх601 - хх699 этот диапазон идеален для правил подсчета (count) трафика для входа, тк. здесь трафик ещё уже прошел диверт (виден dst-ip)

#хх701 - хх799 здесь можно расположить skipto хх900 правила, если мы не хотим чтобы они попали в очередь и/или шейпер. Однако этого я бы не рекомендовал делать.

#хх801 - хх899 ложим входящий трафик в очередь и/или канал. Вы должны сделать это после диверта, тк. до диверта весь входящий трафик имеет Ваш внешний IP.

#хх901 - хх997 разрешающие правила. Т.к. у нас файрвол закрытый, то это обязательная часть файрвола, где мы должны указать какой трафик разрешен. Если это внешний интерфейс, то
# Разрешаем работу в внутренней сети.
 ${fwcmd} add ${num}901 allow ip from any to 192.168.1.0/24 in via ${iface}
 ${fwcmd} add ${num}901 allow ip from 192.168.1.0/24 to any out via ${iface}
# Пользователи которым разрешён инет.
 ${fwcmd} add ${num}902 allow tcp from 192.168.1.4 to not 192.168.1.0 in via ${iface} setup

#хх998 здесь должно быть правило: deny log all from any to any via ${iface}
 ${fwcmd} add ${num}998 deny log all from any to any via ${iface}

#хх999 здесь должно быть правило: skipto 65000 ip from any to any
 ${fwcmd} add ${num}999 skipto 65000 ip from any to any

Код: Выделить всё

#!/bin/sh

iface="re1"

#Isolate traffic via "${iface}" for decrease number of passing via firewall rules
 ${fwcmd} add 9999 skipto ${num}000 all from any to any via ${iface}

#хх000 - хх099 зарезервировано. Также как и для правил 00001- 00089 используется для "горячих" целей или тестирования.

#хх101 - хх199 блокируем весь нежелательный трафик здесь. Например если на интерфейсе висит сеть 192.168.1.0/24, то дропаем всё, что не с этой сети.

#хх201 - хх299 этот диапазон идеален для правил подсчета (count) трафика для исхода, так, здесь трафик ещё не попал в диверт (виден src-ip)

#xx301 - xx399 здесь можно расположить skipto xx500 правила, если мы не хотим чтобы они попадали в очередь и/или шейпер. Однако этого я бы не рекомендовал делать.

#хх401 - хх499 ложим исходящий трафик в очередь и/или канал. Вы должны сделать это до диверта, тк. после диверта весь исходящий трафик получит Ваш внешний ИП.

#хх501 - хх599 дивертим входящий/исходящий трафик тут.

#хх601 - хх699 этот диапазон идеален для правил подсчета (count) трафика для входа, тк. здесь трафик ещё уже прошел диверт (виден dst-ip).

#хх701 - хх799 здесь можно расположить skipto хх900 правила, если мы не хотим чтобы они попали в очередь и/или шейпер. Однако этого я бы не рекомендовал делать.

#хх801 - хх899 ложим входящий трафик в очередь и/или канал. Вы должны сделать это после диверта, так, до диверта весь входящий трафик имеет Ваш внешний IP.

#хх901 - хх997 разрешающие правила. Т.к. у нас файрвол закрытый, то это обязательная часть файрвола, где мы должны указать какой трафик разрешен. Если это внешний интерфейс, то

#хх998 здесь должно быть правило: deny log all from any to any via ${iface}
 ${fwcmd} add ${num}998 deny log all from any to any via ${iface}

#хх999 здесь должно быть правило: skipto 65000 ip from any to any
 ${fwcmd} add ${num}999 skipto 65000 ip from any to any

Код: Выделить всё

#!/bin/sh

 ${fwcmd} add 09999 skipto 10000 all from any to any via re0
 ${fwcmd} add 09999 skipto 11000 all from any to any via re1
 ${fwcmd} add 09999 skipto 65000 ip from any to any
 ${fwcmd} add 10999 skipto 65000 ip from any to any
 ${fwcmd} add 11999 skipto 65000 ip from any to any

Код: Выделить всё

#!/bin/sh

# считаем наш трафик к/от провайдера
 ${fwcmd} add ${num}103 count all from any to any in recv re1
 ${fwcmd} add ${num}104 count all from any to any out xmit re1
# обычно на интерфейсе может шнырять всякая лабуда типа router discovery, DHCP, броадкасты, поэтом
 ${fwcmd} add ${num}105 count all from any to xxx.xxx.xxx.xxx  in recv re1
 ${fwcmd} add ${num}106 count all from xxx.xxx.xxx.xxx to any out xmit re1
# считаем трафик на IP 192.168.1.4
 ${fwcmd} add ${num}107 count all from 192.168.1.4 to 192.168.1.1 in recv re0
 ${fwcmd} add ${num}108 count all from 192.168.1.1 to 192.168.1.4 out xmit re0

Код: Выделить всё

router# ping ya.ru
ping: cannot resolve ya.ru: Host name lookup failure

Код: Выделить всё

router# ping xxx.xxx.xxx.xxx
PING xxx.xxx.xxx.xxx (xxx.xxx.xxx.xxx): 56 data bytes
ping: sendto: Permission denied
ping: sendto: Permission denied
ping: sendto: Permission denied

Код: Выделить всё

00099       0          0 allow ip from any to any via lo0
00099       0          0 deny ip from any to 127.0.0.0/8
00099       0          0 deny ip from 127.0.0.0/8 to any
00103     251      36281 count ip from any to any in recv re1
00104       0          0 count ip from any to any out xmit re1
00105       0          0 count ip from any to xxx.xxx.xxx.xxx in recv re1
00106       0          0 count ip from xxx.xxx.xxx.xxx to any out xmit re1
00107     519      30200 count ip from 192.168.1.4 to 192.168.1.1 in recv re0
00108     574     123424 count ip from 192.168.1.1 to 192.168.1.4 out xmit re0
09999    2773     362810 skipto 10000 ip from any to any via re0
09999     251      36281 skipto 11000 ip from any to any via re1
09999    3020     289391 skipto 65000 ip from any to any
09999       0          0 skipto 10000 ip from any to any via re0
09999       0          0 skipto 11000 ip from any to any via re1
09999       0          0 skipto 65000 ip from any to any
10901     539      31912 allow ip from any to 192.168.1.0/24 in via re0
10901     566     122352 allow ip from 192.168.1.0/24 to any out via re0
10902     589      28272 allow tcp from 192.168.1.4 to not 192.168.1.0 in via re0 setup
10998    1049     164895 deny log logamount 5 ip from any to any via re0
10999      15       7276 skipto 65000 ip from any to any
10999       0          0 skipto 65000 ip from any to any
11998     251      36281 deny log logamount 5 ip from any to any via re1
11999       0          0 skipto 65000 ip from any to any
11999       0          0 skipto 65000 ip from any to any
65534    2998     269591 deny log logamount 5 ip from any to any
65535 1661577 1090551801 allow ip from any to any

Код: Выделить всё

ipwd add 10 pass from any to any via ed0