Были дела. Сегодня добрался до сервера, который требуется настроить. Вернее доберусь завтра, сейчас в блокнотике набросал правила.Что крутится на сервере и уже настроено (фаервол - опен): почта sendmail, впн mpd5, веб-сервер apache (на нем 1 сайт), кэширующий прокси squid+squidguard (должен быть прозрачным) для выхода в интернет из локальной сети.
Посмотрел примеры конфигов, покопался в сети, вот что вышло:
#IPFW firewall: /etc/firewall.conf
ipfw="/sbin/ipfw -q"
local="hn0"
local_ip="10.0.0.100"
inet="hn1"
inet_ip="XXX.XXX.XXX.XXX"
#clear rules
${ipfw} -q -f flush
#loopback
${ipfw} add allow all from any to any via lo0
${ipfw} add deny all from any to 127.0.0.0/8
${ipfw} add deny all from 127.0.0.0/8 to any
${ipfw} add deny tcp from any to any fraq
#anti-hack from outside
${ipfw} add deny ip from me to any in recv ${local}
#deny netbios
${ipfw} add deny ip from any 137-139 to any
${ipfw} add deny ip from any to any 137-139
#SSH for localhost allow
${ipfw} add allow tcp from me 22 to any
${ipfw} add allow tcp from any to me 22
#DNS transfers to world
${ipfw} add allow udp from me 53 to any
${ipfw} add allow udp from any to me 53
#DNS, NTP, SNMPx2, DNSs
${ipfw} add allow udp from me to any 53,123,161
${ipfw} add allow udp from any 53,123,161 to me
#VPN-connect - MPD5
${ipfw} add allow tcp from me 1723 to any keep-state
# GRE for MPD5
${ipfw} add allow gre from any to any
#PROXY (прозрачный)
${ipfw} add fwd 127.0.0.1,3128 tcp from 192.168.0.0/24 to any 80-83,8080-8088 out via ${inet}
#FTP & HTTP from this server to world
${ipfw} add allow tcp from me to any 20,21,80,443 keep-state
#Passive FTP backports
${ipfw} add allow tcp from me to any 49151-65535 keep-state
#for apache
${ipfw} add allow tcp from any to ${inet_ip} 80 via ${inet}
#nat
${ipfw} nat config log if ${inet} reset same_ports
${ipfw} add nat 1 ip from any to any via ${inet}
#MAIL (SMTP,POP3,IMAP,IMAPs, POP3s)
${ipfw} add allow tcp from 10.0.0.0/24{1-231,240-254} to any 25,110,143,993,995 keep-state
${ipfw} add allow tcp from any to ${inet_ip} 25,110,143,993,995 via ${inet}
#log
${ipfw} add deny log logamount 3000 all from any to any
${ipfw} add deny ip from any to any
Уверен, что есть косяки и несостыковки, просьба подправить и направить на путь истинный. Так же с ходу не разобрался - как ввести некоторые ip из локалки, которым разрешено все и в инет бы они ходили не через прокси и торренты качать, если приспичит?))) Подскажите, пожалуйста!? Заранее спасибо!
Вариант для распечатки
(ok) on 21-Сен-13, 23:00 
