https://www.opennet.me/openforum/vsluhforumID10/4110.html Всем привет.<br>Столкнулся с интересной ситуацией. Настроил прокси на FreeBSD, в качестве фаервола использую PF, поставил кальмара... Суть проблемы в том что при сканирование внешнего IP на открытые порты показывает, открыт 3128 и 8080 порт. Хотя в правилах фаервола эти порты закрыты. Почему pf их не закрыл?<br> https://www.opennet.me/openforum/vsluhforumID10/4110.html#7 Sun, 21 Jun 2009 17:22:42 GMT &gt;<br>&gt;&gt;Осталась только одна проблема: из-за pppoe (скорее всего) pf не может применить <br>&gt;&gt;правила после перезагрузки. А указать в правилах физический интерфейс не получается, <br>&gt;&gt;не пускат. <br>&gt;<br>&gt;перегружайте правила pf после установки соединения pppoe <br><br>А как это сделать? <br><br>P.S. Пардон за вопрос, но я ещё далёк до звания гуру в юниксах.<br><br> https://www.opennet.me/openforum/vsluhforumID10/4110.html#6 Sat, 20 Jun 2009 14:00:07 GMT <br>&gt;Осталась только одна проблема: из-за pppoe (скорее всего) pf не может применить <br>&gt;правила после перезагрузки. А указать в правилах физический интерфейс не получается, <br>&gt;не пускат. <br><br>перегружайте правила pf после установки соединения pppoe<br><br> https://www.opennet.me/openforum/vsluhforumID10/4110.html#5 Wed, 10 Jun 2009 12:44:50 GMT Если верить описалову, то drop стоит по умолчанию, т.е. его можно и не указывать. Но всё равно добавил. <br><br>Сейчас уже всё работает более или менее... Косяк крылся в настройках pppoe. Когда указал dedicated связь стала стабильной.<br><br>Осталась только одна проблема: из-за pppoe (скорее всего) pf не может применить правила после перезагрузки. А указать в правилах физический интерфейс не получается, не пускат.<br> https://www.opennet.me/openforum/vsluhforumID10/4110.html#4 Tue, 09 Jun 2009 10:36:59 GMT &gt;[оверквотинг удален]<br>&gt;При этом порты 3128 (Squid) и 80 (не могу определить чей) открыты, <br>&gt;т.е. telnet через них конектится. <br>&gt;<br>&gt;На серваке из сервисов запущены только sshd и squid, даже почтовик выключен. <br>&gt;<br>&gt;Че за фигня может быть? <br>&gt;<br>&gt;И еще странно как-то связь держится. На работе пинг до сервака меньше <br>&gt;10 мс и ssh подключается, дома пинг от 30-40 мс и <br>&gt;на ssh не пускает. <br><br>у тебя "pass out keep state"<br>когда к тебе в порт лезет пакет - первый улетает ресет - и сообветствующее правило добавляется в динамическую теблицу - результат - второй ракет плоходит по динамическому правилу, которое появилось после отправки ресета клиенту<br>проветь block-policy (или как там это пишется) надо поставить блокполиси дроп вместо блокполиси реджект<br> https://www.opennet.me/openforum/vsluhforumID10/4110.html#3 Wed, 15 Apr 2009 05:49:40 GMT Добрался до сервера, вот результат pfctl -sr:<br><br>xl0 - внутренний фейс, fxp0 - внешний фейс, а tun0 - виртуальный фейс от ppp поверх fxp0<br><br>scrub in all fragment reassemble<br>block drop in log all<br>pass out all flags S/SA keep state<br>anchor "ftp-proxy/*" all<br>block drop in on ! xl0 from (xl0:network) to any<br>block drop in from (xl0) to any<br>block drop in on ! fxp0 from (fxp0:network) to any<br>block drop in from (fxp0) to any<br>block drop in on ! tun0 from (tun0:network) to any<br>block drop in from (tun0) to any<br>block drop in on ! lo0 from (lo0:network) to any<br>pass in on fxp0 inet proto tcp from any to &lt;ip&gt; port = ssh flags S/SA keep state<br>pass in on tun0 inet proto tcp from any to &lt;ip&gt; port = ssh flags S/SA keep state<br>pass inet proto icmp all icmp-type echoreq keep state<br>pass inet proto icmp all icmp-type echorep keep state<br>pass quick on xl0 all flags S/SA keep state<br><br><br>Вопрос: Почему у меня снаружи открыты порты 80 (хотя веб севера у меня не установлено) и 3128 (Squid, он же не мог в обход pf порт окрыт https://www.opennet.me/openforum/vsluhforumID10/4110.html#2 Tue, 14 Apr 2009 15:11:28 GMT У меня таже фигня. FreeBSD 7.2+PF+Squid<br><br>Правила PF<br><br># Filtering<br>block all<br>pass in on $ext_if inet proto tcp from any to ($ext_if) port ssh flags S/SA keep state<br>pass in inet proto icmp all icmp-type $icmp_types keep state<br>pass out keep state<br>pass quick on $int_if<br><br>При этом порты 3128 (Squid) и 80 (не могу определить чей) открыты, т.е. telnet через них конектится.<br><br>На серваке из сервисов запущены только sshd и squid, даже почтовик выключен.<br>Че за фигня может быть?<br><br>И еще странно как-то связь держится. На работе пинг до сервака меньше 10 мс и ssh подключается, дома пинг от 30-40 мс и на ssh не пускает. <br> https://www.opennet.me/openforum/vsluhforumID10/4110.html#1 Thu, 22 Jan 2009 11:51:04 GMT pfctl -sr ?<br>