Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Тематический каталог: Настройка FireWall (ipfw) в FreeBSD (freebsd ipfw firewall), auto_topic (?), 26-Сен-03, (0) [смотреть все] Очень нужная статья , Tigran Parsadanian (?), 09:15 , 26-Сен-03, (1) думал, что понимаю - прочитал, понял, что раньше не понимал Хорошая статья , Василий (?), 15:25 , 06-Ноя-03, (2) sbin ipfw pipe 1 config bw 1000Kbit s sbin ipfw queue 1 config pipe 1 wei, Константин (?), 00:13 , 12-Ноя-03, (3) А будет ли приведенный пример работать Я вижу только одно правило с divert , Евгений. (?), 11:52 , 19-Ноя-03, (4) Пример с справедливым разделением с указанием нулевой маски в очереди sbin ipfw , Belal (?), 16:22 , 09-Дек-03, (5) Один вопрос не указав mask dst-ip 0x00000000, будет ли выполнятся функция так же, Ilja (?), 23:47 , 26-Июн-04, (6) Почуму настройки ipfw не пропускают почту из локальной сети в интернет, почему н, dima (??), 12:46 , 02-Фев-05, (7) Или я что то не понял или тут не все показано quote Вот общий вид правила fi, Oleg (??), 18:55 , 18-Мрт-05, (8) Уважаемые читатели, Kuzmich давно увидел некоторые ошибки в своей статье, но вид, xOr (??), 21:32 , 03-Апр-05, (9) Люди помогите В внутреней сети находится серверпод IIS ево надо выпустить наружу, Павел (??), 10:46 , 07-Апр-05, (10) Господа Так как всетаки быть с NAT Павила то неработают И с use_socket и без , woodmin (?), 12:10 , 29-Апр-05, (11) Гы Тема еще актуальна Я как раз почти доделал свою переделку - ибо такая схе, Banan (?), 17:53 , 02-Июн-05, (12)   // Мучался тут если долго Почитал оригинал статьи еще У автора пара недочетов в, Banan (?), 22:23 , 13-Сен-05, (14)   Какие команды ндо добавить в файл фаервола что бы он свободно пропускал запросы , Squall (?), 19:01 , 14-Июл-05, (13) А как быть с ftp , mir (??), 11:21 , 07-Окт-05, (15) // bin shournet 192 168 0 0 24 ourprefix 192 168 0 ipout ipuser 192 , Banan (?), 04:00 , 11-Окт-05, (16) Привет Не могу Нат настроить Для ФРИБСД 4 4 все описывается вот так sbin ipf, Valera (??), 03:53 , 26-Апр-06, (17) Статья безспорно интересная, но неужели на opennet ru никто не задумывается о фо, Mad (??), 12:18 , 30-Апр-06, (18) Спасибо за статью Новичёк , A1ex (?), 17:05 , 22-Ноя-06, (19) Статья понравилась Орфографию вот только бы немного попровить Word еще ни кто , alekciy (ok), 02:23 , 16-Мрт-07, (20) Помогите понять как работает nat и FireWall Как они взаимодействуют , или подск, rynika (?), 17:42 , 29-Авг-07, (21) как работает IPFW http www unixdoc ru index php mode 2 podmode 1 arcicle_id 3, greenwar (ok), 13:38 , 15-Сен-07, (22) // по поводу правила 350 надо сделать добавление ipfw add 350 allow ip from me to, greenwar (ok), 17:08 , 08-Окт-07, (23) Автор видать преподаватель - написано толковее всех Сохранил себе на диск Не п, Jack The Ripper (?), 15:20 , 09-Окт-07, (24) Статья просто жир Спасибо автору, она мне открыла глаза на много чего ранее н, Steel Rat (?), 12:03 , 29-Окт-07, (25) Указание маски 0xffffffff создаст для каждого, а вот ваша маска - как раз загони, Pahanivo (??), 10:45 , 23-Мрт-08, (26) // вот у меня неопытного крышак и сорвало не могу переварить, жжорик (?), 08:36 , 06-Окт-09, (27) А подскажите к примеру как закрыть все порты и открыть по очередно только нужные, Yura (??), 10:45 , 09-Фев-10, (28) // http bozza ru art-92 html - Вот приличные примеры ё, jeltoesolnce (?), 16:35 , 12-Мрт-10, (31) У меня не работают правила по доменным именам, только по IP Точне даже не работ, Wolos (?), 14:46 , 03-Мрт-10, (29) Самая четкая статья про фаервол из мной виденных Спасибо брат , scompick (?), 11:45 , 10-Мрт-10, (30) http kes net ua softdev advanced_firewall html, KES (ok), 23:49 , 22-Июл-10, (32) Как понимать в логе строки вида ipfw 10 Deny P 2 192 168 0 1 224 0 0 2 in via e, Nikolay (??), 10:43 , 06-Окт-10, (33) // 1 да2 Это у вас ospf работает 224 0 0 5 - это мультикастовый адрес на который, KES (ok), 00:41 , 07-Окт-10, (34) 1,2,3,4,5,6,7,8,9,10,11,12,13,15,17,18,19,20,21,22,24,25,26,28,29,30,32,33

Сообщения

[Сортировка по времени | RSS]

12. "Настройка FireWall (ipfw) в FreeBSD (freebsd ipfw firewall)"	+/–
Сообщение от Banan (?), 02-Июн-05, 17:53
Гы :) Тема еще актуальна. Я как раз почти доделал свою переделку - ибо такая схема фиревола крайне гибкая, а мне дома подфартила локалка с интернетом через VPN, и вот таким способом очень удобна кидать запросы на разные natd, рулить трубы и делать гадости пользователям :) Помню как мучался с этой схемой и ничего не выходило. А тут жизнь заставила.. Собсно вот оно. Рабочее. ep0 - внешний интерфейс, rl0 - внутренний. Дабы пользователи имеющие адресок принадлежащий внутренней сети, могли печатать через принтспулер на самбе добавленно соответствующее правило ДО правил индивидуального допуска. Повторяю - это недоделка, но недоделка не самая небезопасная. В днс и сквиде свои допуски. #!/bin/sh ournet="192.168.0.0/24" ourprefix="192.168.0" ipnet="xxx.xxx.xxx.xxx/24" ipout="xxx.xxx.xxx.xxx" ifout="ep0" ifuser="rl0" # CLEAR RULES ipfw -q flush # BEGIN FIREWALLING ipfw add 10 check-state # START DENYING ipfw add 11 deny icmp from any to any in icmptype 5,9,13,14,15,16,17 ipfw add 17 reject ip from ${ournet} to any in via ${ifout} ipfw add 19 deny tcp from any to any 137,138,139,445 via ${ifout} ipfw add 20 deny udp from any to any 137,138,139,445 via ${ifout} ipfw add 21 deny ip from 69.134.205.181 to any ipfw add 22 deny ip from any to 69.134.205.181 # THIS MUST BE ipfw add 70 allow all from any to any via lo # NETBIOS ipfw add 71 allow udp from me to any 137,138 out via ${ifuser} ipfw add 72 allow udp from any 137,138 to any out via ${ifuser} ipfw add 73 allow tcp from me to ${ournet} 139,445 out via ${ifuser} ipfw add 74 allow tcp from me 139,445 to ${ournet} out via ${ifuser} ipfw add 75 allow udp from me to any 137,138 in via ${ifuser} ipfw add 76 allow udp from any 137,138 to any in via ${ifuser} ipfw add 77 allow tcp from ${ournet} to me 139,445 in via ${ifuser} ipfw add 78 allow tcp from ${ournet} 139,445 to me in via ${ifuser} # ALLOW DNS ipfw add 80 allow udp from me to any 53 keep-state ipfw add 81 allow udp from any to me 53 keep-state # ALLOW NTP ipfw add 85 allow ip from 195.2.64.5 to me via ${ifout} ipfw add 86 allow ip from me to 195.2.64.5 via ${ifout} # SQUID ipfw add 250 fwd 127.0.0.1,3128 tcp from ${ournet} to any 80,443 out via ${ifout} # FROX ipfw add 251 fwd 127.0.0.1,2121 tcp from ${ournet} to any 21 out via ${ifout} # NATD INTERNET ipfw add 300 divert natd ip from ${ournet} to any out via ${ifout} ipfw add 400 divert natd ip from any to ${ipout} in via ${ifout} #------------------ USER SECTION ---------------------------- # USER 1 ipfw add 1002 allow ip from ${ourprefix}.4 to any in via ${ifuser} ipfw add 1003 allow ip from any to ${ourprefix}.4 # USER 2 ipfw add 1004 allow ip from ${ourprefix}.123 to any in via ${ifuser} ipfw add 1005 allow ip from any to ${ourprefix}.123 #------------------ OUT SECTION ----------------------------- ipfw add 1410 allow ip from ${ipout} to any out via ${ifout} ipfw add 1400 allow ip from any to ${ipout} in keep-state via ${ifout} # DENY BROADCASTS WITHOUT LOGGING ipfw add 2999 deny all from any to 255.255.255.255 via ${ifout} # DENY ANYTHING ELSE WITH LOGGING ipfw add 3000 deny log ip from any to any
Ответить | Правка | Наверх | Cообщить модератору

	14. "Настройка FireWall (ipfw) в FreeBSD (freebsd ipfw firewall)"	+/–
	Сообщение от Banan (?), 13-Сен-05, 22:23
	Мучался тут... если долго. Почитал оригинал статьи еще. У автора пара недочетов в скрипте. Выкладываю рабочий вариант. У меня на роутере стоит ntp сервер, dns сервер (кэширующий всего лишь), squid на порту 3129, mathopd (small http sever) ради банерорезки со статистикой на порту 8000, vsftpd на порту 2121 смотрящий и внутрь и в наружу. Natd запущен с ключами -s -u, в сквиде разрешены запросы от 192.168.0.0/24 То же самое в DNS сервере. Если не будет правила 1500, пакеты из natd пойдут прямиком на правило 3000, но сквид работать будет без вопросов. Вроде пояснил. #!/bin/sh ournet="192.168.0.0/24" ourprefix="192.168.0" ipout="xx.x.xx.xx" ifout="ep0" ifuser="rl0" # CLEAR RULES ipfw -q flush # BEGIN FIREWALLING ipfw add 10 check-state # DENY PART I ipfw add 11 deny icmp from any to any in icmptype 5,9,13,14,15,16,17 ipfw add 12 reject ip from ${ournet} to any in via ${ifout} ipfw add 13 deny all from any to 255.255.255.255 via ${ifout} ipfw add 14 deny all from any to 255.255.255.255 via ${ifuser} ipfw add 16 deny udp from any to any 137,138 via ${ifout} # THIS MUST BE ipfw add 100 allow all from any to any via lo ipfw add 101 allow ip from me to any keep-state via ${ifout} #----------------- FOREIGN IN -------------------------------- # OUTSIDE DNS ipfw add 121 allow udp from xx.x.x.x to me 53 in via ${ifout} # OUTSIDE FTP ipfw add 122 fwd 127.0.0.1,2121 tcp from any to me 20,21 in via ${ifout} #----------------- LOCAL SECTION ---------------------------- # LOCAL DNS ipfw add 150 allow udp from ${ournet} to me 53 in via ${ifuser} # LOCAL NTP ipfw add 151 allow udp from ${ournet} to me 123 in via ${ifuser} # LOCAL FTP ipfw add 152 fwd 127.0.0.1,2121 tcp from ${ournet} to me 20,21 in via ${ifuser} # LOCAL HTTP ipfw add 153 fwd 192.168.0.3,8000 tcp from ${ournet} to me 80 via ${ifuser} #----------------- FORWARD SECTION ------------------------- # SQUID ipfw add 299 fwd 127.0.0.1,3129 tcp from ${ournet} to any 80,443 out via ${ifout} # NATD ipfw add 300 divert natd all from any to any via ${ifout} #------------------ USER SECTION ---------------------------- #ipfw add 1000 allow ip from any to ${ournet} # MIROSLAV ipfw add 1002 allow ip from ${ourprefix}.5 to any in via ${ifuser} ipfw add 1003 allow ip from any to ${ourprefix}.5 # BANANMAC ipfw add 1004 allow ip from ${ourprefix}.11 to any in via ${ifuser} ipfw add 1005 allow ip from any to ${ourprefix}.11 # NOTEBOOK ipfw add 1006 allow ip from ${ourprefix}.84 to any in via ${ifuser} ipfw add 1007 allow ip from any to ${ourprefix}.84 # TEST PC ipfw add 1008 allow ip from ${ourprefix}.10 to any in via ${ifuser} ipfw add 1009 allow ip from any to ${ourprefix}.10 #-------------------------------------------------------------- # NATD OUT ipfw add 1500 allow ip from ${ipout} to any out via ${ifout} # DENY ANYTHING ELSE ipfw add 3000 deny ip from any to any
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема