Новые ответы

Помогите с настройкой pf в OpenBSD 3.8,

Белоусов Михаил, 15-Сен-07, 06:37 [смотреть все]

Помогите с настройкой pf в OpenBSD 3.8
Прошу помощи, так как сам уже ничего не понимаю.
Есть:
1. четыре локальные группы пользователей (ip-адреса), у которых разный доступ в интернет:
<vip_users>, <trusted_users>, <only_city_users>, <only_free_users>, <dmz_users>
2. четыре группы внешних ip-адресов:
<free_inet>, <city_inet>, <banned_inet>, <trusted_inet>
3. OpenBSD 3.8 с pf и двумя сетевыми картами одна локально, другая в инет.
Нужно:
1. <vip_users> могут ходить куда угодно.
2. <trusted_users> могут ходить куда угодно, кроме <banned_inet>.
3. <only_city> могут ходить на <city_inet> и <free_inet>, кроме <banned_inet>.
4. <free_inet> могут ходить на <free_inet>, кроме <banned_inet>.
5. <trusted_inet> находятся во <free_inet>, и на них локальные компы (все четыре группы пользователей) выходят по ssh.
6. из <trusted_inet> могут выходить по vpn на <dmz_users>.
1.У меня проблемы, с пунктом 2,3,4 не могу закрыть выход на <banned_inet>,
сначала объявляю:
nat pass on $ext_if from <trusted_users> -> $ext_if
и block-ом не могу поймать <banned_inet>.
2. Как написать после nat-а pass, что бы не писать nat pass on ...
Очень прошу написать pf.conf хотя бы схематично, а то я уже не понимаю что работает, что не работает. :-((

Ответить | Сообщить модератору

Помогите с настройкой pf в OpenBSD 3.8, reader, 20:58 , 15-Сен-07 (1)
1
>1.У меня проблемы, с пунктом 2,3,4 не могу закрыть выход на <banned_inet>,
>сначала объявляю:
>nat pass on $ext_if from <trusted_users> -> $ext_if
если указано pass, то после NAT на фильтрацию не попадет
>и block-ом не могу поймать <banned_inet>.
>
>2. Как написать после nat-а pass, что бы не писать nat pass
>on ...
>
>Очень прошу написать pf.conf хотя бы схематично, а то я уже не
>понимаю что работает, что не работает. :-((
или я вопрос не понял
Ответить | Сообщить модератору

Помогите с настройкой pf в OpenBSD 3.8, Белоусов Михаил, 03:17 , 17-Сен-07 (2)
Да в этом видимо вся и проблема,
я не понимаю как блокировать трафик, который идет через nat, т.е.
если написал:
nat pass on $ext_if from <trusted_users> -> $ext_if,
а как забокировать трафик, который идет на
<banned_inet> c <trusted_users>?
Ответить | Сообщить модератору

Помогите с настройкой pf в OpenBSD 3.8, reader, 12:05 , 17-Сен-07 (3)
>Да в этом видимо вся и проблема,
>я не понимаю как блокировать трафик, который идет через nat, т.е.
>если написал:
>nat pass on $ext_if from <trusted_users> -> $ext_if,
>а как забокировать трафик, который идет на
><banned_inet> c <trusted_users>?
для vip натите с pass, что бы на фильтр не попали
nat pass on $ext_if from <vip_users> -> $ext_if
других без pass и тогда они попадут на фильтры
nat on $ext_if from <trusted_users> -> $ext_if
и блокируете все что идет на <banned_inet> через $ext_if
block out on $ext_if from any to <banned_inet>
либо не натить то что идет на <banned_inet>
nat pass on $ext_if from <trusted_users> to ! <banned_inet> -> $ext_if
http://house.hcn-strela.ru/BSDCert/BSDA-course/apcs02.html
Ответить | Сообщить модератору

Помогите с настройкой pf в OpenBSD 3.8, gringo, 00:58 , 18-Сен-07 (4)
С фильтром у вас не получается по причине того, что после прохождения nat механизм фильтрации видит уже оттранслированный пакет :)
Ответить | Сообщить модератору
Помогите с настройкой pf в OpenBSD 3.8, gringo, 01:07 , 18-Сен-07 (5)
С фильтром у вас не получается по причине того, что после прохождения nat механизм фильтрации видит уже оттранслированный пакет :)

>[оверквотинг удален]
>1.У меня проблемы, с пунктом 2,3,4 не могу закрыть выход на <banned_inet>,
>сначала объявляю:
>nat pass on $ext_if from <trusted_users> -> $ext_if
>и block-ом не могу поймать <banned_inet>.
>
>2. Как написать после nat-а pass, что бы не писать nat pass
>on ...
>
>Очень прошу написать pf.conf хотя бы схематично, а то я уже не
>понимаю что работает, что не работает. :-((
Ответить | Сообщить модератору