device pfsync - НЕ НУЖЕН.
Это для горячего резервирования на несколких машинах. Те когда основной маршрутизатор загибается, брат близнец подхватывает и продолжает, соединения даже не рвутся, ибо таблица состояний продублированна через pfsync.В ряде случаев хватит и dnsmasq, заодно он DHCP раздаст.
Регэкспы сквида, где мультимедия фильтр, мне кажется можно было записать в одну-две строчки.
Кроме того не обязательно забивать два порта 3128 и 3129 чтобы получить прозрачный и обычный прокси.
Достаточно сделать так:
http_port 127.0.0.1:8080 transparent
http_port 8080
Естественно заворачивать прозрачно 80 порт на 127.0.0.1
С PF вообще выглядит всё ужасно :)
Макрос private_nets заменить на таблицу и выкинуть от туда мультикаст подсетку:
table <private_nets> const { 10.0.0.0/8, 169.254.0.0/16, 172.16.0.0/12, 192.168.0.0/16, 255.255.255.255/32 }
Ещё рекомендуется: set skip on lo0, с антиспуфа можете выкинуть его после этого.
Не у всех IP статический, да ещё и пул, поэтому правильнее писать:
nat on $ext_if0 inet from !($ext_if0) to any -> ($ext_if0) # Nat to internet
Ещё лучше в pass конструкции добавить quick, один фиг это переписка с ipfw правил, и работает линейно.
Ещё bsd = "192.168.0.1/32" - фигово.
table <int_if0_addr> persist const { $int_if0 } ## Address on int_if0 - шикарно :)
ещё есть макросы: self - все адреса на машине, self:network - все подсети машины, если некоторые адреса динамические то нужно брать в скобки, пример: (self)
synproxy state - вы с ума сошли!!!!!
Эта штука потребляет в два раза больше ресурсов, чем modulate state, да ещё иногда создаёт грабли, когда непонятно почему соединение не устанавливается или данные не идут.
synproxy state должна использоватся только в правилах публикации внутренних сервисов наружу, и то не всегда. Локалку в инет - модулейтом. От локал хоста и к локал хосту - вообще keep state можно ставить.
># Разрешаем нашему шлюзу полный выход с обоих интерфейсов
> pass out on $ext_if proto tcp from any to any
> pass out on $ext_if proto udp from any to any keep state
> pass out on $int_if proto tcp from any to any
> pass out on $int_if proto udp from any to any keep state
Тоже ужасно.
pass out from (self) to any flags S/SA modulate state # allow out self to anywere - красота.
