OpenForum RSS: Нужна помощь с фильтром пакетов во FreeBSD. https://www.opennet.me/openforum/vsluhforumID1/90946.html Здравствуйте, стоит задача - закрыть контакт всем юзерам. Шлюз на FreeBSD. Как не крутил конфиг pf, контакт работает как часы. Вот конфиг:<br><br>if_int = fxp0<br>if_ext = rl0<br>social_nets = "{vkontakte.ru, vk.com}"<br>scrub in all fragment reassemble min-ttl 20 max-mss 1440<br>scrub in all no-df<br>scrub all reassemble tcp<br>rdr pass on $if_ext proto tcp from any to ($if_ext) port 33990 -&gt; 192.168.1.123 port 3389<br>rdr pass on $if_ext proto tcp from any to ($if_ext) port 33991 -&gt; 192.168.1.214 port 3389<br>rdr pass on $if_ext proto tcp from any to ($if_ext) port 33890 -&gt; 192.168.1.146 port 3389<br>rdr pass on $if_ext proto tcp from any to ($if_ext) port 43990 -&gt; 192.168.1.123 port 4899<br>rdr pass on $if_int proto tcp from any to 212.113.121.5 port 110 -&gt; 192.168.0.2 port 110<br>dns0 = 217.170.64.5<br>dns1 = 217.170.67.5<br>pop0 = 212.113.121.5<br>smtp0 = 81.9.33.32<br>ftp0 = 212.113.114.3<br>bank = 81.3.141.34<br>bank1 = 81.3.141.38<br>buh = 89.249.20.50<br>memebot = 69.60.123.180<br>dvesite0 = 88.201.201.136<br>dvesite1 = 88.212.196.88<br>consultant Нужна помощь с фильтром пакетов во FreeBSD. (Nimdar) https://www.opennet.me/openforum/vsluhforumID1/90946.html#9 Wed, 16 Feb 2011 07:52:28 GMT &gt;[оверквотинг удален]<br>&gt; В таблицу попадают лишь адреса, в которые отрезолвится домен в момент загрузки <br>&gt; правил.<br>&gt; Лучше закрыть весь блок 87.240.128.0/18: <br>&gt; % Information related to '87.240.128.0/18AS47541' <br>&gt; route: 87.240.128.0/18 <br>&gt; descr: VKONTAKTE SPb <br>&gt; Net <br>&gt; origin: AS47541 <br>&gt; mnt-by: VKONTAKTE-NET-MNT <br>&gt; source: RIPE # Filtered <br><br>Тоже вариант, но опять же не лучший. Вон уже добавили блоки. Сеть(и) будет развиваться в любом случае =&gt; надо отслеживать это дело.<br>Гораздо проще прописать в кроне:<br>/sbin/pfctl -q -t social_nets -Tr -f /etc/pf.social<br>и забыть об этом навсегда.<br> Нужна помощь с фильтром пакетов во FreeBSD. (михалыч) https://www.opennet.me/openforum/vsluhforumID1/90946.html#8 Wed, 16 Feb 2011 07:06:02 GMT &gt; Лучше закрыть весь блок 87.240.128.0/18: <br><br>лучше вот эти ))<br><br>87.240.160.0/19<br>93.186.224.0/20<br>95.142.192.0/20<br> Нужна помощь с фильтром пакетов во FreeBSD. (Alexander Sheiko) https://www.opennet.me/openforum/vsluhforumID1/90946.html#7 Tue, 15 Feb 2011 19:40:09 GMT <br>&gt; Но легко догадается прописать адрес в etc/hosts.<br>&gt; Честно говоря, не вникал в простыню приведённых правил.<br>&gt; Рабочее решение: <br>&gt; cat /etc/pf.social <br>&gt; vkontakte.ru <br>&gt; vk.com <br>&gt; и т.д.<br><br>В таблицу попадают лишь адреса, в которые отрезолвится домен в момент загрузки правил.<br><br>Лучше закрыть весь блок 87.240.128.0/18:<br><br>% Information related to '87.240.128.0/18AS47541'<br><br>route: 87.240.128.0/18<br>descr: VKONTAKTE SPb Net<br>origin: AS47541<br>mnt-by: VKONTAKTE-NET-MNT<br>source: RIPE # Filtered<br> Нужна помощь с фильтром пакетов во FreeBSD. (Nimdar) https://www.opennet.me/openforum/vsluhforumID1/90946.html#6 Tue, 15 Feb 2011 16:13:21 GMT &gt;[оверквотинг удален]<br>&gt;&gt; vkontakte.ru has address 87.240.188.251 <br>&gt;&gt; vkontakte.ru has address 87.240.188.252 <br>&gt;&gt; vkontakte.ru has address 87.240.188.253 <br>&gt;&gt; vkontakte.ru has address 87.240.188.254 <br>&gt;&gt; vkontakte.ru mail is handled by 10 mail.vkontakte.ru.<br>&gt;&gt; Поднимите в своём локальном DNS фиктивную зону для этих доменов. Пусть резолвятся <br>&gt;&gt; в IP основного сайта Вашей компании...<br>&gt; Спасибо, вот что значит широко смотреть на проблему ))) действительно ведь иногда <br>&gt; все можно сделать проще. Надеюсь никто не догодается пойти в контакт <br>&gt; по ip ))) <br><br>Но легко догадается прописать адрес в etc/hosts.<br><br>Честно говоря, не вникал в простыню приведённых правил.<br>Рабочее решение:<br>table &lt;social_nets&gt; persist file "/etc/pf.social"<br>block in quick from &lt;social_nets&gt; to any <br>block out quick from any to &lt;social_nets&gt;<br><br>cat /etc/pf.social<br>vkontakte.ru<br>vk.com<br>и т.д.<br> Нужна помощь с фильтром пакетов во FreeBSD. (jamalspb) https://www.opennet.me/openforum/vsluhforumID1/90946.html#5 Tue, 15 Feb 2011 14:02:09 GMT &gt;[оверквотинг удален]<br>&gt; root@gw:/usr/home/adsh&gt;host vkontakte.ru <br>&gt; vkontakte.ru has address 87.240.188.249 <br>&gt; vkontakte.ru has address 87.240.188.250 <br>&gt; vkontakte.ru has address 87.240.188.251 <br>&gt; vkontakte.ru has address 87.240.188.252 <br>&gt; vkontakte.ru has address 87.240.188.253 <br>&gt; vkontakte.ru has address 87.240.188.254 <br>&gt; vkontakte.ru mail is handled by 10 mail.vkontakte.ru.<br>&gt; Поднимите в своём локальном DNS фиктивную зону для этих доменов. Пусть резолвятся <br>&gt; в IP основного сайта Вашей компании...<br><br>Спасибо, вот что значит широко смотреть на проблему ))) действительно ведь иногда все можно сделать проще. Надеюсь никто не догодается пойти в контакт по ip )))<br> Нужна помощь с фильтром пакетов во FreeBSD. (kerilka) https://www.opennet.me/openforum/vsluhforumID1/90946.html#4 Tue, 15 Feb 2011 13:25:46 GMT &gt;[оверквотинг удален]<br>&gt; root@gw:/usr/home/adsh&gt;host vkontakte.ru <br>&gt; vkontakte.ru has address 87.240.188.249 <br>&gt; vkontakte.ru has address 87.240.188.250 <br>&gt; vkontakte.ru has address 87.240.188.251 <br>&gt; vkontakte.ru has address 87.240.188.252 <br>&gt; vkontakte.ru has address 87.240.188.253 <br>&gt; vkontakte.ru has address 87.240.188.254 <br>&gt; vkontakte.ru mail is handled by 10 mail.vkontakte.ru.<br>&gt; Поднимите в своём локальном DNS фиктивную зону для этих доменов. Пусть резолвятся <br>&gt; в IP основного сайта Вашей компании...<br><br>либо как вариант завернуть всех на прокси, а в проксе уже резать<br> Нужна помощь с фильтром пакетов во FreeBSD. (Alexander Sheiko) https://www.opennet.me/openforum/vsluhforumID1/90946.html#3 Tue, 15 Feb 2011 12:51:47 GMT &gt;&gt; А так? [code] block in quick on $if_int proto tcp from "192.168.0.0/16" <br>&gt;&gt; to $social_nets [/code] <br>&gt; И так соответсвенно тоже, т.к. нет других похожих правил.<br><br>Не занимайтесь ерундой. "Вконтакте" висит на куче IP, которые крутятся DNS балансировщиком:<br><br>root@gw:/usr/home/adsh&gt;host vkontakte.ru<br>vkontakte.ru has address 87.240.188.251<br>vkontakte.ru has address 87.240.188.252<br>vkontakte.ru has address 87.240.188.253<br>vkontakte.ru has address 87.240.188.254<br>vkontakte.ru has address 87.240.188.249<br>vkontakte.ru has address 87.240.188.250<br>vkontakte.ru mail is handled by 10 mail.vkontakte.ru.<br>root@gw:/usr/home/adsh&gt;host vkontakte.ru<br>vkontakte.ru has address 87.240.188.249<br>vkontakte.ru has address 87.240.188.250<br>vkontakte.ru has address 87.240.188.251<br>vkontakte.ru has address 87.240.188.252<br>vkontakte.ru has address 87.240.188.253<br>vkontakte.ru has address 87.240.188.254<br>vkontakte.ru mail is handled by 10 mail.vkontakte.ru.<br><br>Поднимите в своём локальном DNS фиктивную зону для этих доменов. Пусть ре Нужна помощь с фильтром пакетов во FreeBSD. (jamalspb) https://www.opennet.me/openforum/vsluhforumID1/90946.html#2 Tue, 15 Feb 2011 12:22:52 GMT &gt; А так? [code] block in quick on $if_int proto tcp from "192.168.0.0/16" <br>&gt; to $social_nets [/code] <br><br>И так соответсвенно тоже, т.к. нет других похожих правил.<br><br><br> Нужна помощь с фильтром пакетов во FreeBSD. (mef) https://www.opennet.me/openforum/vsluhforumID1/90946.html#1 Tue, 15 Feb 2011 12:11:20 GMT А так? [code] block in quick on $if_int proto tcp from "192.168.0.0/16" to $social_nets [/code]<br>