PF限制部分机器上网实验

qdmacat

本周末闲来无事,口袋空空!^_^嘻嘻,买马输银子了!!对了,差点忘记了,我还有一PF实验没有做的,草稿初步写好,行那咱今天就调试一下!功能:就是用BSD系统+PF防火墙+NAT实现上网,实现上网还不简单,NO,理解错了,这里有一个小小要求,做到权限控制,搞特权

,只能特殊人员上网!晕,没办法,领导要求!可不是我的主意哦!好了费话少说咱们开工:

int_if = "fxp0"   ###内网
ext_if = "rl0"    ##外网
icmp_types = "echoreq"
router_ip = "{10.0.0.1,10.0.0.6, 10.0.0.8, 10.0.0.16, 10.0.0.20}   ###定义能上网的IP
set block-policy return
set loginterface $ext_if   ###记录日志
scrub in all    ###流量整修
nat on $ext_if from $router_ip to any  ->  ($ext_if)   ###让router_ip地址上网
block all     ###禁止所有数据包
pass quick on lo0 all  ###允许虚拟网络接口
pass quick on tun0 all    ###adsl用户这个可千万别忘记了!要不然上不了网!呵呵

pass in on $int_if from $router_ip to any  keep state      ###允许内网互访
pass out on $int_if from any to $router_ip keep state
pass  out on $ext_if proto tcp all modulate state flags S/SA  ###允许数据包通过防火墙
pass  out on $ext_if proto { tcp, udp } all keep state


在pf.conf里加入以上规则,以上规则全部经过一一调试!看看时间,哟,这不到了午饭时间,走吃饭喽!

本文来自ChinaUnix博客，如果查看原文请点：http://blog.chinaunix.net/u/22713/showart_227761.html