форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка

Вариант для распечатки		Архивированная нить - только для чтения!  Пред. тема | След. тема
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение		[Проследить за развитием треда]

"Какой файрвол под FreeBSD лучше?"
Сообщение от S0lver on 27-Май-03, 09:14  (MSK)
В качестве сервера стоит FreeBSD 4.7. В ядре включен ipfw версии 1. Не устраивает в нем то, что нельзя перечислять через запятую интерфейсы или диапазоны ip-адресов. Например, если файрвол настроен по принципу "запрещено все, что не разрешено" и есть n подсетей на разных интерфейсах, между которыми нужно разрешить роутинг, требуется n*n правил, чтобы это описать. Например для трех подсетей: ipfw add allow ip from any to any out recv iface1 xmit iface2 ipfw add allow ip from any to any out recv iface2 xmit iface1 ipfw add allow ip from any to any out recv iface1 xmit iface3 ipfw add allow ip from any to any out recv iface3 xmit iface1 ipfw add allow ip from any to any out recv iface2 xmit iface3 ipfw add allow ip from any to any out recv iface3 xmit iface2 ipfw add allow ip from any to any in recv iface1 ipfw add allow ip from any to any in recv iface2 ipfw add allow ip from any to any in recv iface3 Хотелось бы записать это просто: ipfw add allow ip from any to any out recv iface1,iface2,iface3 xmit iface1,iface2,iface3 ipfw add allow ip from any to any in recv iface1,iface2,iface3
	Рекомендовать в FAQ | Cообщить модератору | Наверх

Индекс форумов | Темы | Пред. тема | След. тема

Сообщения по теме

1. "Какой файрвол под FreeBSD лучше?"
Сообщение от A Clockwork Orange on 27-Май-03, 09:31  (MSK)
>В качестве сервера стоит FreeBSD 4.7. В ядре включен ipfw версии 1. >Не устраивает в нем то, что нельзя перечислять через запятую интерфейсы >или диапазоны ip-адресов. Например, если файрвол настроен по принципу "запрещено все, >что не разрешено" и есть n подсетей на разных интерфейсах, между >которыми нужно разрешить роутинг, требуется n*n правил, чтобы это описать. Например >для трех подсетей: > >ipfw add allow ip from any to any out recv iface1 xmit >iface2 >ipfw add allow ip from any to any out recv iface2 xmit >iface1 >ipfw add allow ip from any to any out recv iface1 xmit >iface3 >ipfw add allow ip from any to any out recv iface3 xmit >iface1 >ipfw add allow ip from any to any out recv iface2 xmit >iface3 >ipfw add allow ip from any to any out recv iface3 xmit >iface2 > >ipfw add allow ip from any to any in recv iface1 >ipfw add allow ip from any to any in recv iface2 >ipfw add allow ip from any to any in recv iface3 > >Хотелось бы записать это просто: >ipfw add allow ip from any to any out recv iface1,iface2,iface3 xmit >iface1,iface2,iface3 Забавная строчка >ipfw add allow ip from any to any in recv iface1,iface2,iface3 А ты попробуй поиграть с порядок правил К тому же три или четыре интерфейса не так уж и много
	Рекомендовать в FAQ | Cообщить модератору | Наверх

2. "Какой файрвол под FreeBSD лучше?"
Сообщение от Antonio on 27-Май-03, 10:06  (MSK)
>В качестве сервера стоит FreeBSD 4.7. В ядре включен ipfw версии 1. >Не устраивает в нем то, что нельзя перечислять через запятую интерфейсы >или диапазоны ip-адресов. Посмотрите на PF из OpenBSD. Если не ошибаюсь, то он портирован и на FreeBSD. За интерфейсы не отвечу, но перечислять там можно диапазоны адресов, протоколы, номера портов. И еще много вкусных вещей, включая встроенную ALTQ. Несколько ссылок да информацию по PF: https://solarflux.org/pf/ http://www.openbsd.org/faq/pf/
	Рекомендовать в FAQ | Cообщить модератору | Наверх

	3. "Какой файрвол под FreeBSD лучше?"
	Сообщение от lavr on 27-Май-03, 10:59  (MSK)
	>>В качестве сервера стоит FreeBSD 4.7. В ядре включен ipfw версии 1. >>Не устраивает в нем то, что нельзя перечислять через запятую интерфейсы >>или диапазоны ip-адресов. > >Посмотрите на PF из OpenBSD. Если не ошибаюсь, то он портирован и >на FreeBSD. За интерфейсы не отвечу, но перечислять там можно диапазоны >адресов, протоколы, номера портов. И еще много вкусных вещей, включая встроенную >ALTQ. Несколько ссылок да информацию по PF: > >https://solarflux.org/pf/ > >http://www.openbsd.org/faq/pf/ портирован для FreeBSD 5.x: http://pf4freebsd.love2party.net/index.html некоторые интересные описания PF: http://www.benzedrine.cx/pf.html ну а человеку видимо больше подойдет ipfilter вместо ipfw, только не нужно оба фильтра в ядре оставлять, или вообще не нужно - грузить модульно
		Рекомендовать в FAQ | Cообщить модератору | Наверх

4. "Какой файрвол под FreeBSD лучше?"
Сообщение от jomb on 27-Май-03, 16:21  (MSK)
>В качестве сервера стоит FreeBSD 4.7. В ядре включен ipfw версии 1. >Не устраивает в нем то, что нельзя перечислять через запятую интерфейсы >или диапазоны ip-адресов. Например, если файрвол настроен по принципу "запрещено все, >что не разрешено" и есть n подсетей на разных интерфейсах, между >которыми нужно разрешить роутинг, требуется n*n правил, чтобы это описать. Например >для трех подсетей: > >ipfw add allow ip from any to any out recv iface1 xmit >iface2 >ipfw add allow ip from any to any out recv iface2 xmit >iface1 >ipfw add allow ip from any to any out recv iface1 xmit >iface3 >ipfw add allow ip from any to any out recv iface3 xmit >iface1 >ipfw add allow ip from any to any out recv iface2 xmit >iface3 >ipfw add allow ip from any to any out recv iface3 xmit >iface2 > >ipfw add allow ip from any to any in recv iface1 >ipfw add allow ip from any to any in recv iface2 >ipfw add allow ip from any to any in recv iface3 > >Хотелось бы записать это просто: >ipfw add allow ip from any to any out recv iface1,iface2,iface3 xmit >iface1,iface2,iface3 >ipfw add allow ip from any to any in recv iface1,iface2,iface3 А разве нельзя диапозон адресов использовать в ipfw2 ?
	Рекомендовать в FAQ | Cообщить модератору | Наверх

	5. "Какой файрвол под FreeBSD лучше?"
	Сообщение от mich on 27-Май-03, 17:17  (MSK)
	>>В качестве сервера стоит FreeBSD 4.7. В ядре включен ipfw версии 1. >>Не устраивает в нем то, что нельзя перечислять через запятую интерфейсы >>или диапазоны ip-адресов. Например, если файрвол настроен по принципу "запрещено все, >>что не разрешено" и есть n подсетей на разных интерфейсах, между >>которыми нужно разрешить роутинг, требуется n*n правил, чтобы это описать. Например >>для трех подсетей: >> >>ipfw add allow ip from any to any out recv iface1 xmit >>iface2 >>ipfw add allow ip from any to any out recv iface2 xmit >>iface1 >>ipfw add allow ip from any to any out recv iface1 xmit >>iface3 >>ipfw add allow ip from any to any out recv iface3 xmit >>iface1 >>ipfw add allow ip from any to any out recv iface2 xmit >>iface3 >>ipfw add allow ip from any to any out recv iface3 xmit >>iface2 >> >>ipfw add allow ip from any to any in recv iface1 >>ipfw add allow ip from any to any in recv iface2 >>ipfw add allow ip from any to any in recv iface3 >> >>Хотелось бы записать это просто: >>ipfw add allow ip from any to any out recv iface1,iface2,iface3 xmit >>iface1,iface2,iface3 >>ipfw add allow ip from any to any in recv iface1,iface2,iface3 >А разве нельзя диапозон адресов использовать в ipfw2 ? В ipfw2 можно оспользовать блоки 'OR'. Вот примет из маны: goodguys="{ 10.1.2.0/24{20,35,66,18} or 10.2.3.0/28{6,3,11} }" badguys="10.1.2.0/24{8,38,60}" ipfw add allow ip from ${goodguys} to any ipfw add deny ip from ${badguys} to any ... normal policies ...
		Рекомендовать в FAQ | Cообщить модератору | Наверх

6. "Какой файрвол под FreeBSD лучше?"
Сообщение от uldus on 27-Май-03, 23:35  (MSK)
>что не разрешено" и есть n подсетей на разных интерфейсах, между >которыми нужно разрешить роутинг, требуется n*n правил, чтобы это описать. В такой ситуации спасают простейшее скриптование. У меня почти все правила фаерволов динамически создаются. ipfw прекрасный низкоуровневый инструмент, незачем обременять его лишней функциональностью, когда нет никаких проблем создать макрос:     ipfw add allow ip from any to any out recv {iface1,iface2,iface3} xmit {iface1,iface2,iface3}     ipfw add allow ip from any to any in recv {iface1,iface2,iface3}
	Рекомендовать в FAQ | Cообщить модератору | Наверх

Удалить

Индекс форумов | Темы | Пред. тема | След. тема

Пожалуйста, прежде чем написать сообщение, ознакомьтесь с данными рекомендациями.