Max Laier сообщил, что добавил во FreeBSD новые возможности пакетного фильтра PF из OpenBSD 3.7 (релиз 3.7 намечен на 19 мая, предварительная информация по релизу доступна здесь (http://www.openbsd.org/37.html)) и призывает помочь в тестировании.
Среди новых возможностей:
- оптимизация правил для ускорения фильтрации с помощью pfctl(8);
- поддержка вложенных привязок к доп. блокам правил (http://www.openbsd.org/faq/pf/anchors.html);
- ограничение TCP-соединений по частоте попыток их установления;
- улучшенная поддержка тэгов;
- и другие улучшения.URL: http://www.bsdforums.org/forums/showthread.php?threadid=30490
Новость: http://www.opennet.me/opennews/art.shtml?num=5355
В 5.4 или в 6 - ни кто не подскажет?
PF это супер, настолько прост и многофункционален, что ябы его и в линух засандалил бы...
продуман с умом - и как результат - прост, удобен, и практичен
Нету divert'а и нельзя задавать порядок трансляция/фильтрация. Потому что для входящего траффика должна быть сначала трансляция, для исходящего - наоборот.
А можно пример необходимости этого? Я просто не могу представить, зачем это нужно.
Чего именно? Порядка? По-моему, это очевидно, что для фильтрации пакетов, в них должны быть адреса начальной и конечной машины, а не самого firewall'а.
Divert - через него работает куча самописных утилит, анализирующих и иногда изменяющих пакеты.
Мужики, вот сам PF использую на всех моих фряхах... И только вот чего ещё не понял, а как допустим ограничить скороть соединения на клиента, т.е. ограничить юзера по скорости. Просто есть у меня тут mpd впн сервак, вот и хотелось бы юзверей по скорости ограничить....
И ещё может кто знает как ограничить соединения по времени... Есть у меня тут CS сервер, хочу его разрешить на работе после 15 00 со своей подсети, а с других не запрещать..А то народ тут распоясолся, работать никто не хочет... :)
man altq
man pf
man crona esche est' man po PF na www.openbsd.org
delaetsa tak: kompilitsa support for ALTQ v kernel
potom propisivaesh ocheredi ispol'zuyua man po PFnaschet CS: sozdaesh dva faila s nastroikami dlya PF.
potom po CRONu zapuskaesh raznie nastroiki dlya PF v zavisimosti ot vremeni sutok
Example:
pfctl -f /etc/csdisabled.conf
pfctl -f /etc/csenabled.conf
Зачем перегружать все правила? Таблицы для кого придуманы?
Horosho, podskazhite pozhaluista kak zagruzit' raznie pravila v zavisimosti ot vremeni sutok ispol'zuya tablici.
To Finch
Специально для тебя!!!
http://nice.csmapworld.ru/CS_for_OpenBSD.htm
Divert - это для обеспечения NAT в ipfw...
Только с чего вы взяли, что PF не может делать NAT?RTFM..
Покажи мне, где в RTFM написано что divert это только nat?
Хм. Если бы было всё так просто ;)
Есть, например, ipacctd. Подсчёт траффика ведёт. И работает через divert.
Ну, траффик через divert считать не особо эффективно - разве что если нужно очень точно знать сколько байт принялось (т.к. netgraph/bpf считают пакеты до firewall'а). Тем более, в 5 ветке ipfw правило tee работает совершенно неподходящим для подсчета траффика образом (в 4x было tee <port> - копию пакета в divert socket, пакет accept'ится, и можно было просто вместо всех accept сделать tee, а в 5x пакет не accept'ится, а идет дальше, и придется делать по tee правилу на каждый accept - а это уже бред). Divert для всяких самодельных штук удобно использовать :)
дык, уже обсуждалось ведь, ng_ipacc есть. Работает вполне стабильно...
Yes! И наконец-то в портах! Замечательное событие!/usr/ports/net-mgmt/ng_ipacct
На 5.4-RC3 не собирается, и судя по всему в релиз его включать ни кто не собираетсяю
сегодня проверял - всё собирается и работает. 5.4-RC3...
Может я чего не так делаю.
по шагам:
копирую 2 директории
cd /usr/src
patch < pf37.Makefile.patch
patch < pf37.ifconfig.patch
правильно?
а pftop каким-то особым образом работает? у меня он почему-то ничего не показывает...