The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Помогите с настройкой pf в OpenBSD 3.8"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы Информационная безопасность (Public)
Изначальное сообщение [Проследить за развитием треда]

"Помогите с настройкой pf в OpenBSD 3.8"  
Сообщение от Белоусов Михаил email on 15-Сен-07, 06:37 
Помогите с настройкой pf в OpenBSD 3.8

Прошу помощи, так как сам уже ничего не понимаю.

Есть:
1. четыре локальные группы пользователей (ip-адреса), у которых разный доступ в интернет:
<vip_users>, <trusted_users>, <only_city_users>, <only_free_users>, <dmz_users>
2. четыре группы внешних ip-адресов:
<free_inet>, <city_inet>, <banned_inet>, <trusted_inet>
3. OpenBSD 3.8 с pf и двумя сетевыми картами одна локально, другая в инет.

Нужно:
1. <vip_users> могут ходить куда угодно.
2. <trusted_users> могут ходить куда угодно, кроме <banned_inet>.
3. <only_city> могут ходить на <city_inet> и <free_inet>, кроме <banned_inet>.
4. <free_inet> могут ходить на <free_inet>, кроме <banned_inet>.
5. <trusted_inet> находятся во <free_inet>, и на них локальные компы (все четыре группы пользователей) выходят по ssh.
6. из <trusted_inet> могут выходить по vpn на <dmz_users>.

1.У меня проблемы, с пунктом 2,3,4 не могу закрыть выход на <banned_inet>,
сначала объявляю:
nat pass on $ext_if from <trusted_users> -> $ext_if
и block-ом не могу поймать <banned_inet>.

2. Как написать после nat-а pass, что бы не писать nat pass on ...

Очень прошу написать pf.conf хотя бы схематично, а то я уже не понимаю что работает, что не работает. :-((

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

 Оглавление

Сообщения по теме [Сортировка по времени, UBB]


1. "Помогите с настройкой pf в OpenBSD 3.8"  
Сообщение от reader (??) on 15-Сен-07, 20:58 
1
>1.У меня проблемы, с пунктом 2,3,4 не могу закрыть выход на <banned_inet>,
>сначала объявляю:
>nat pass on $ext_if from <trusted_users> -> $ext_if

если указано pass, то после NAT на фильтрацию не попадет

>и block-ом не могу поймать <banned_inet>.
>
>2. Как написать после nat-а pass, что бы не писать nat pass
>on ...
>
>Очень прошу написать pf.conf хотя бы схематично, а то я уже не
>понимаю что работает, что не работает. :-((

или я вопрос не понял

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "Помогите с настройкой pf в OpenBSD 3.8"  
Сообщение от Белоусов Михаил email on 17-Сен-07, 03:17 
Да в этом видимо вся и проблема,
я не понимаю как блокировать трафик, который идет через nat, т.е.
если написал:
nat pass on $ext_if from <trusted_users> -> $ext_if,
а как забокировать трафик, который идет на
<banned_inet> c <trusted_users>?
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "Помогите с настройкой pf в OpenBSD 3.8"  
Сообщение от reader (ok) on 17-Сен-07, 12:05 
>Да в этом видимо вся и проблема,
>я не понимаю как блокировать трафик, который идет через nat, т.е.
>если написал:
>nat pass on $ext_if from <trusted_users> -> $ext_if,
>а как забокировать трафик, который идет на
><banned_inet> c <trusted_users>?

для vip натите с pass, что бы на фильтр не попали
nat pass on $ext_if from <vip_users> -> $ext_if

других без pass и тогда они попадут на фильтры
nat on $ext_if from <trusted_users> -> $ext_if

и блокируете все что идет на <banned_inet> через $ext_if
block out on $ext_if from any to <banned_inet>

либо не натить то что идет на <banned_inet>
nat pass on $ext_if from <trusted_users> to ! <banned_inet> -> $ext_if

http://house.hcn-strela.ru/BSDCert/BSDA-course/apcs02.html

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "Помогите с настройкой pf в OpenBSD 3.8"  
Сообщение от gringo on 18-Сен-07, 00:58 
С фильтром у вас не получается по причине того, что после прохождения nat механизм фильтрации видит уже оттранслированный пакет :)
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

5. "Помогите с настройкой pf в OpenBSD 3.8"  
Сообщение от gringo on 18-Сен-07, 01:07 
С фильтром у вас не получается по причине того, что после прохождения nat механизм фильтрации видит уже оттранслированный пакет :)


>[оверквотинг удален]
>1.У меня проблемы, с пунктом 2,3,4 не могу закрыть выход на <banned_inet>,
>сначала объявляю:
>nat pass on $ext_if from <trusted_users> -> $ext_if
>и block-ом не могу поймать <banned_inet>.
>
>2. Как написать после nat-а pass, что бы не писать nat pass
>on ...
>
>Очень прошу написать pf.conf хотя бы схематично, а то я уже не
>понимаю что работает, что не работает. :-((

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]




Спонсоры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2022 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру