>>>Вроде все в нем понятно но есть два темних места
>>>ето динамические правила і эти приставки до интерфейсов in, recv, xmit ...
>>>
>>>вроде ничего сложного но вот немогу понять токе правило
>>>from any to 192.168.243.12 "in recv" rl0
>>>что значит "in recv"?
>>>recv - ето понятно принятые а вот "in recv"
>>>from 192.168.1.0/24 to any "out xmit" rl0
>>>тоже не понимаю что такое out xmit подскажите где можно прочитать толково
>>>ато я уже и английскии мен читал и руский и не
>>>понял
>>>и про динамические правила
>>>Спасибо
>>
>>Насчет динамических правил - не понятно, что спрашиваешь.
>>
>>Насчет остального:
>>
>>in и out относятся к направлению движения пакета.
>>
>>recv, xmit, via - это относится к интерфейсу. То есть интерфейс получил
>>пакет, передал пакет, или via-через (неважно в какую сторону).
>>
>>Типа примеры:
>>
>>in recv rl0 - входящий пакет, полученный с интерфейса rl0
>>out recv rl0 - исходящий пакет, полученный rl0 интерфейсом
>>out xmit rl0 - исходящий пакет, отправленный rl0 интерфейсом
>>
>>in xmit rl0 - входящий пакет, отправленный rl0 интерфейсом. Если подумать, то
>>такого быть не может :) То есть это типа бред.
>>
>>out recv ed0 xmit ed1 - пример из манула - исходящий пакет,
>>полученный через ed0 и отправленный через ed1.
>>
>>Если будешь писать out via или in via, то автоматом будет подставляться
>>out xmit или in recv.
>>
>>Надеюсь ничего не напутал :) Если что - люди поправят.
>
>
>большое спасибо!!! вроде понял
>
>а вот с динамическими правилами как оно работает
>
>
> ipfw
>add check-state
> ipfw
>add deny tcp from any to any established
> ipfw
>add allow tcp from my-net to any setup keep-state
>
>вот ето было в примере, непонятно какое изних динамическое, когда оно всплывет,
>то что второе все закривае для всех established ето понятно, третие
>тоже вроде ясно, разрешает моей сети доступ к любому на setup(но
>причем оно здесь мы же делаем ето для внешних атак)
>
>извини если я что-то не так понял и если можешь обясни пожалуйста
>
>спасибо
Хм… ну не знаю даже с чего начать.
Скажу так. Ты не путай динамические правила с другими вещами.
К динамике относятся:
keep-state
check-state
А вот параметры:
established
setup
отбирают пакеты, у которых определенным образом стоят флаги. К динамике отношения не имеют.
Теперь о том, зачем все это используется (наверняка твой вопрос связан с какой-то конкретной задачей). Обычно это используют, чтобы построить файрвол на шлюзе твоей локальной сети (то есть на машине, которая будет являться default gateway для твоей внутренней сети).
В чем сымсл? Смысл в том, что любой входящий пакет должен быть ответом на наш запрос. Если к нам приходит пакет, а мы его не заказывали :), то ну его нафиг в deny. Нефиг к нам ломиться. Вот, собственно в чем смысл. Защита, разумеется, не абсолютная, но действует по принципу: разрешить, что надо и запретить все остальное. Так надежнее. То есть последним правилом у тебя всегда должно идти deny all from any to any.
Итак можем это забацать двумя способами:
Динамика (пример из man ipfw):
ipfw add check-state
если, есть динамическое правило, которое было сгенерировано keep-state, то пакет проходит, если нет, то он долетает далее до deny tcp from any to any
ipfw add allow tcp from my-subnet to any setup keep-state
создаем динамические правила на наши исходящие TCP соединения, чтобы ответ мог вернуться и не попасть в deny
ipfw add deny tcp from any to any
сюда попадают все, для чего нет динамических правил. В общем случае вообще все, что мы ранее не разрешили.
*****
Второй вариант:
add allow tcp from any to any established
пропустить пакеты с выставленными флагами, что это уже установленное воединение
add allow tcp from my-subnet to any setup
пропустить пакеты с высталенными флагами, что это происходит установка соединения
ipfw add deny tcp from any to any
Все остально – на фиг
Получается, что мы пропускаем setup только из нашей сетки. Если к нам кто-то будет долбиться, то на него правила с setup нету и он попадает в deny.
Вообщем вот такие примерчики… В реале, конечно, все сложнее. Многие вещи надо снаружи разрешать setup (например 53, 80, 22 порты...). Поищи готовые конфиги на файрвол и попробуй теперь их сам разобрать…
Вариант для распечатки
OpenNET: Виртуальная конференция (Public)
on
17-Авг-03, 00:57 (MSK)
