URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID10
Нить номер: 3323
[ Назад ]

Исходное сообщение
"FreeBSD + ipfw поему так???"
Отправлено skydion , 01-Июн-07 17:50

# /etc/rc.firewall close
Flushed all rules.
00050 check-state
00100 allow ip from any to any via lo0
00200 deny ip from any to 127.0.0.0/8
00300 deny ip from 127.0.0.0/8 to any
00400 deny ip from 192.168.120.0/24 to any in via rl0
00500 deny ip from 10.10.10.0/30 to any in via vr0
00600 divert 8668 ip from any to any via rl0
00700 allow tcp from any to any established
00800 allow ip from any to any frag
00900 allow tcp from any to 10.10.10.2 dst-port 25
01000 allow tcp from 192.168.120.88 to any dst-port 25
01100 deny ip from 192.168.120.0/24 to any dst-port 25
01200 allow ip from 192.168.120.0/24 to any dst-port 21 keep-state
01300 allow udp from 10.10.10.2 to any dst-port 53 keep-state
01400 allow udp from 10.10.10.2 to any dst-port 123 keep-state
01500 allow tcp from 10.10.10.2 to 82.207.х.х dst-port 1433 keep-state
01600 allow udp from 10.10.10.2 to 82.207.х.х dst-port 1433 keep-state
01700 allow tcp from any to 82.207.х.х dst-port 3389
01800 allow ip from 192.168.120.0/24 to 192.168.120.7 via vr0
01900 allow ip from 192.168.120.7 to 192.168.120.0/24 via vr0
02000 allow ip from 10.10.10.2 to any via rl0
02100 allow tcp from 192.168.120.88 to any
02200 allow udp from 192.168.120.88 to any
02300 allow tcp from 192.168.120.6 to any
02400 allow udp from 192.168.120.6 to any
65535 deny ip from any to any
# ipfw list
00050 check-state
00100 allow ip from any to any via lo0
00200 deny ip from any to 127.0.0.0/8
00300 deny ip from 127.0.0.0/8 to any
00400 deny ip from 192.168.120.0/24 to any in via rl0
00500 deny ip from 10.10.10.0/30 to any in via vr0
00600 divert 8668 ip from any to any via rl0
00700 allow tcp from any to any established
00800 allow ip from any to any frag
00900 allow tcp from any to 10.10.10.2 dst-port 25
01000 allow tcp from 192.168.120.88 to any dst-port 25
01100 deny ip from 192.168.120.0/24 to any dst-port 25
01200 allow ip from 192.168.120.0/24 to any dst-port 21 keep-state
01300 allow udp from 10.10.10.2 to any dst-port 53 keep-state
01400 allow udp from 10.10.10.2 to any dst-port 123 keep-state
01500 allow tcp from 10.10.10.2 to 82.207.х.х dst-port 1433 keep-state
01600 allow udp from 10.10.10.2 to 82.207.х.х dst-port 1433 keep-state
01700 allow tcp from any to 82.207.х.х dst-port 3389
01800 allow ip from 192.168.120.0/24 to 192.168.120.7 via vr0
01900 allow ip from 192.168.120.7 to 192.168.120.0/24 via vr0
02000 allow ip from 10.10.10.2 to any via rl0
02100 allow tcp from 192.168.120.88 to any
02200 allow udp from 192.168.120.88 to any
02300 allow tcp from 192.168.120.6 to any
02400 allow udp from 192.168.120.6 to any
65535 allow ip from any to any
вот вопрос почему последнее правило при запуске фаервола то что нужно,
а после листинга оно меняется с денай на аллов?????
Это шлюз с двумя интефейсами, незнаю все ли правильно все закрыто
из вне только конекты на 25 порт,
с одного узла внутреней сети нужно выход на 25 порт и на 1433
подскажите если что не так
ПС. С фри не дружу поэтому трудновато

Содержание

FreeBSD + ipfw поему так???,vinzz, 17:55 , 01-Июн-07
- FreeBSD + ipfw поему так???,skydion, 18:01 , 01-Июн-07
  - FreeBSD + ipfw поему так???,Covax, 18:08 , 01-Июн-07
    - FreeBSD + ipfw поему так???,skydion, 18:17 , 01-Июн-07
      - FreeBSD + ipfw поему так???,universite, 05:43 , 16-Июн-07
        
        FreeBSD + ipfw поему так???,DenSha, 10:40 , 26-Окт-07
FreeBSD + ipfw поему так???,Covax, 18:01 , 01-Июн-07
- FreeBSD + ipfw поему так???,satb, 15:51 , 02-Июл-07
  - FreeBSD + ipfw поему так???,idle, 13:43 , 03-Июл-07

Сообщения в этом обсуждении

"FreeBSD + ipfw поему так???"
Отправлено vinzz , 01-Июн-07 17:55

># /etc/rc.firewall close
>Flushed all rules.
>00050 check-state
>00100 allow ip from any to any via lo0
>00200 deny ip from any to 127.0.0.0/8
>00300 deny ip from 127.0.0.0/8 to any
>00400 deny ip from 192.168.120.0/24 to any in via rl0
>00500 deny ip from 10.10.10.0/30 to any in via vr0
>00600 divert 8668 ip from any to any via rl0
>00700 allow tcp from any to any established
>00800 allow ip from any to any frag
>00900 allow tcp from any to 10.10.10.2 dst-port 25
>01000 allow tcp from 192.168.120.88 to any dst-port 25
>01100 deny ip from 192.168.120.0/24 to any dst-port 25
>01200 allow ip from 192.168.120.0/24 to any dst-port 21 keep-state
>01300 allow udp from 10.10.10.2 to any dst-port 53 keep-state
>01400 allow udp from 10.10.10.2 to any dst-port 123 keep-state
>01500 allow tcp from 10.10.10.2 to 82.207.х.х dst-port 1433 keep-state
>01600 allow udp from 10.10.10.2 to 82.207.х.х dst-port 1433 keep-state
>01700 allow tcp from any to 82.207.х.х dst-port 3389
>01800 allow ip from 192.168.120.0/24 to 192.168.120.7 via vr0
>01900 allow ip from 192.168.120.7 to 192.168.120.0/24 via vr0
>02000 allow ip from 10.10.10.2 to any via rl0
>02100 allow tcp from 192.168.120.88 to any
>02200 allow udp from 192.168.120.88 to any
>02300 allow tcp from 192.168.120.6 to any
>02400 allow udp from 192.168.120.6 to any
>65535 deny ip from any to any
>
># ipfw list
>00050 check-state
>00100 allow ip from any to any via lo0
>00200 deny ip from any to 127.0.0.0/8
>00300 deny ip from 127.0.0.0/8 to any
>00400 deny ip from 192.168.120.0/24 to any in via rl0
>00500 deny ip from 10.10.10.0/30 to any in via vr0
>00600 divert 8668 ip from any to any via rl0
>00700 allow tcp from any to any established
>00800 allow ip from any to any frag
>00900 allow tcp from any to 10.10.10.2 dst-port 25
>01000 allow tcp from 192.168.120.88 to any dst-port 25
>01100 deny ip from 192.168.120.0/24 to any dst-port 25
>01200 allow ip from 192.168.120.0/24 to any dst-port 21 keep-state
>01300 allow udp from 10.10.10.2 to any dst-port 53 keep-state
>01400 allow udp from 10.10.10.2 to any dst-port 123 keep-state
>01500 allow tcp from 10.10.10.2 to 82.207.х.х dst-port 1433 keep-state
>01600 allow udp from 10.10.10.2 to 82.207.х.х dst-port 1433 keep-state
>01700 allow tcp from any to 82.207.х.х dst-port 3389
>01800 allow ip from 192.168.120.0/24 to 192.168.120.7 via vr0
>01900 allow ip from 192.168.120.7 to 192.168.120.0/24 via vr0
>02000 allow ip from 10.10.10.2 to any via rl0
>02100 allow tcp from 192.168.120.88 to any
>02200 allow udp from 192.168.120.88 to any
>02300 allow tcp from 192.168.120.6 to any
>02400 allow udp from 192.168.120.6 to any
>65535 allow ip from any to any
>
>вот вопрос почему последнее правило при запуске фаервола то что нужно,
>а после листинга оно меняется с денай на аллов?????
>
>Это шлюз с двумя интефейсами, незнаю все ли правильно все закрыто
>из вне только конекты на 25 порт,
>с одного узла внутреней сети нужно выход на 25 порт и на
>1433
>
>подскажите если что не так
>
>ПС. С фри не дружу поэтому трудновато

Check Your kernel config for: IPFIREWALL_DEFAULT_TO_ACCEPT

"FreeBSD + ipfw поему так???"
Отправлено skydion , 01-Июн-07 18:01

>
>Check Your kernel config for: IPFIREWALL_DEFAULT_TO_ACCEPT
Это я понимаю нужно в ядре искать и потом перекомпилировать ядро или
можно где-то переменную поменять?

"FreeBSD + ipfw поему так???"
Отправлено Covax , 01-Июн-07 18:08

>>
>>Check Your kernel config for: IPFIREWALL_DEFAULT_TO_ACCEPT
>
>Это я понимаю нужно в ядре искать и потом перекомпилировать ядро или
>
>можно где-то переменную поменять?

А смысл менять? Делаешь правило с номером 65534 какое тебе надо и всё.

"FreeBSD + ipfw поему так???"
Отправлено skydion , 01-Июн-07 18:17

>>>
>>>Check Your kernel config for: IPFIREWALL_DEFAULT_TO_ACCEPT
>>
>>Это я понимаю нужно в ядре искать и потом перекомпилировать ядро или
>>
>>можно где-то переменную поменять?
>
>
>А смысл менять? Делаешь правило с номером 65534 какое тебе надо и
>всё.

Спасибо так и сделал.
Еще вопрос, а где нужно NAT тулить? Имеет ли принципиальное значение
в начале или в конце правил?

"FreeBSD + ipfw поему так???"
Отправлено universite , 16-Июн-07 05:43

>Еще вопрос, а где нужно NAT тулить? Имеет ли принципиальное значение
>в начале или в конце правил?
В начале.
Во-первых через него попадет почтив есь траффик и firewall не будет перебирать правила.
Во-вторых допустить ошибку в начале будет меньше шансов :)

"FreeBSD + ipfw поему так???"
Отправлено DenSha , 26-Окт-07 10:40

>
>>Еще вопрос, а где нужно NAT тулить? Имеет ли принципиальное значение
>>в начале или в конце правил?
>
>В начале.
>Во-первых через него попадет почтив есь траффик и firewall не будет
>перебирать правила.
>Во-вторых допустить ошибку в начале будет меньше шансов :)
По необходимости и здравому смыслу. Например, если висит внутренний почтарь, я не вижу никакой необходимости гонять его траффик через nat. И после nata пакет всё-одно вываливается на следующее за divert правило.

"FreeBSD + ipfw поему так???"
Отправлено Covax , 01-Июн-07 18:01

Правило 65535 внутренне в ipfw и выставляется в соответствии с параметром IPFIREWALL_DEFAULT_TO_ACCEPT. Если этот параметр есть, то всё разрешено, если нет, то запрещено. Поменять его нельзя.

"FreeBSD + ipfw поему так???"
Отправлено satb , 02-Июл-07 15:51

2Covax, так то оно так, но еще следует учесть что при отсутствии этой опции в ядре, нельзя перезапускать правила фаервола зайдя на серв через ssh. (коннект отваливаеться)
Поэтому лучше в последней строке описания правил писать deny all from any to any.

"FreeBSD + ipfw поему так???"
Отправлено idle , 03-Июл-07 13:43

>2Covax, так то оно так, но еще следует учесть что при отсутствии
>этой опции в ядре, нельзя перезапускать правила фаервола зайдя на серв
>через ssh. (коннект отваливаеться)
Можно. Читайте документацию.