Ну вот почитал немного, пытаюсь настроить, но не получается.
Помогите решить такую задачу.Значит необходимо поставить файервол в режим что неразрешено, то запрещено, как это сделать незнаю, но начал рыть в сторону block in all.
После того, как отсекается всё, что не разрешено, пытаюсь все-таки разрешить все по порядку.
1. Для удаленного администрирования пишу правило:
pass in on sk0 proto tcp from {1.1.1.1, 1.1.1.2} to any port 22
С этим все вроде понятно.
2. Для использования ftp пишу следущее правило:
pass in on sk0 proto tcp from any to any port {21, 3000-3010} - где 3000-3100 - это диапазон TCP портов прописанных в proftpd для работы в пассив режиме.
А теперь мне нужно дать правило, которое разрешить любое соединение с моего компьютера на удаленный 20TCP порт. Вот этого то я и не могу осилить. Помогите с синтаксисом.
3. Для работы http пишу правило:
pass in on sk0 proto tcp from any to any port 80
pass in on sk0 proto tcp from 127.0.0.1 to any port 3306
С доступом к апачу проблем нет, а дальше как я понимаю к базе данных апач подключается из под 127.0.0.1 или из под моего сетевого IP ?
4. Есть такой непоняток. В Win фаеры имели привязку к приложениям, то есть я мог спокойно выставить диапазон портов для пассива на ftp с 1024 по 65535 и знать, что это правило работает только для ftp демона. Если я напишу тут правило разрешающее такой диапапзон на входящее, то весь смысл правил пропадет. Можно ли в PF привязать правило к демону?
5. Как итог получаю следущий синтаксис:
block in all
pass in on sk0 proto tcp from {1.1.1.1, 1.1.1.2} to any port 22
pass in on sk0 proto tcp from any to any port {21, 3000-3010}
pass in on sk0 proto tcp from any to any port 80
pass in on sk0 proto tcp from 127.0.0.1 to any port 3306
Из за которого подключение к ftp и ssh с ОГРОМНЫМИ тормозами. Подсказали, что мешает block in all так как блокирует dns и от этого тормоза. Хотя в настройках proftpd у меня стоит отключение dns. Может я пошел не по правильному пути? Как еще можно расписать правилами мою ситуацию?
Повторю задачу.
Удаленное администрирование привязаное к определенным удаленным IP. (по 22TCP)
Раздача по ftp для всех в активном и пассивном режиме. (пассив 3000-3010, активный на любой адаленный 20TCP)
Доступ к веб серверу, который на php+mysql+apache
И полная блокировка того, что явно не разрешено.
