>5. Как итог получаю следущий синтаксис:
>
>block in all
>pass in on sk0 proto tcp from {1.1.1.1, 1.1.1.2} to any port
>22
>pass in on sk0 proto tcp from any to any port {21,
>3000-3010}
>pass in on sk0 proto tcp from any to any port 80
>
>pass in on sk0 proto tcp from 127.0.0.1 to any port 3306
>
table <ssh_allow> { 1.1.1.1 1.1.1.2 }
1. block in on sk0 all
2. pass quick on lo0 all #- вместо (pass in on sk0 proto tcp from 127.0.0.1 to any port 3306) #- если mysql на этой же машине запущен иначе 2.1
2.1 pass out quick on sk0 proto tcp from sk0 to $mysqld_host port 3306 flags S/SA keep state
3. pass in quick on sk0 proto tcp from <ssh_allow> to $sshd_listen_on_sk0 port 22 flags S/SA keep state
4. pass in quick on sk0 proto tcp from any to $proftpd_listen_on_sk0 port { 21, 3000:3010 } flags S/SA keep state
5. pass in quick on sk0 proto tcp from any to $httpd_listen_on_sk0 port 80 flags S/SA synproxy state
# для запросов к внешним дns
6. pass out quick on sk0 proto udp from sk0 to any port 53 keep state
# для active ftp
7. pass out quick on proto tcp from sk0 port 20 to any flags S/SA keep state
quick - используется для того чтобы по всем правилам не бегал если уже нашел удовлетворяющее правило то прекращал дальнейшую обработку для соответствующего пакета
keep state - благодаря этому не надо писать обратное правило(в pf даже для udp и icmp сделали)
в pf чем ниже правило тем выше у него приоритет (после ipfw по началу крышу сносит с такой обработкой)
>
>Из за которого подключение к ftp и ssh с ОГРОМНЫМИ тормозами. Подсказали,
>что мешает block in all так как блокирует dns и от
>этого тормоза. Хотя в настройках proftpd у меня стоит отключение dns.
>Может я пошел не по правильному пути? Как еще можно расписать
>правилами мою ситуацию?
>
>Повторю задачу.
>Удаленное администрирование привязаное к определенным удаленным IP. (по 22TCP)
>Раздача по ftp для всех в активном и пассивном режиме. (пассив 3000-3010,
>активный на любой адаленный 20TCP)
>Доступ к веб серверу, который на php+mysql+apache
>И полная блокировка того, что явно не разрешено.
