<原创>PF防火墙限制部分机器上网实践

qdmacat

<原创>PF限制部分机器上网实验


本周末闲来无事,口袋空空!^_^嘻嘻,买马输银子了!!对了,差点忘记了,我还有一PF实验没有做的,草稿初步写好,行那咱今天就调试一下!功能:就是用BSD系统+PF防火墙+NAT实现上网,实现上网还不简单,NO,理解错了,这里有一个小小要求,做到权限控制,搞特权,只能特殊人员上网!晕,没办法,领导要求!可不是我的主意哦!好了费话少说咱们开工:

int_if = "fxp0"   ###内网
ext_if = "rl0"    ##外网

icmp_types = "echoreq"

router_ip = "{10.0.0.1,10.0.0.6, 10.0.0.8, 10.0.0.16, 10.0.0.20}   ###定义能上网的IP


set block-policy return
set loginterface $ext_if   ###记录日志

scrub in all    ###流量整修

nat on $ext_if from $router_ip to any  ->  ($ext_if)   ###让router_ip地址上网

block all     ###禁止所有数据包

pass quick on lo0 all  ###允许虚拟网络接口

pass quick on tun0 all    ###adsl用户这个可千万别忘记了!要不然上不了网!呵呵


pass in on $int_if from $router_ip to any  keep state      ###允许内网互访

pass out on $int_if from any to $router_ip keep state


pass  out on $ext_if proto tcp all modulate state flags S/SA  ###允许数据包通过防火墙

pass  out on $ext_if proto { tcp, udp } all keep state



在pf.conf里加入以上规则,以上规则全部经过一一调试!看看时间,哟,这不到了午饭时间,走吃饭喽!

qdmacat

呵呵，顶一下！希望交流指正。

盛世唐朝

顶一下

应该还能有更多的用途

sunwaylove

这个。。。精华区一抓一大把，LZ有时间不如多研究点别的，更有挑战性的

nogroup

需要双网卡吗?
不了解这个.

qdmacat

当然需要双网卡，内网，外网嘛。

蔡都小周

谢谢分享，学习中。

风中无悔

keep state  不需要加，现在的PF自动会为你加上。

    防火墙规则里的字能少一个是一个，处理大量业务的时候你会发现，你的规则短了一个字符，效率又提高了一大截。

wosl2001

no nat好像效率高点吧

ioerr

原帖由 qdmacat 于 2008-6-5 09:02 发表
PF限制部分机器上网实验


本周末闲来无事,口袋空空!^_^嘻嘻,买马输银子了!!对了,差点忘记了,我还有一PF实验没有做的,草稿初步写好,行那咱今天就调试一下!功能:就是用BSD系统+PF防火墙+NAT实现上网,实现上 ...

提点意见：

1.楼主的拓扑结构要是能画出来就更好了；
2.pass quick on tun0 all。这句的tun0不知道是哪里的，感觉要是接外网会比较危险。
3.keep state 。这个关键字我也很关心，但是我没有加过，似乎能自动生成 pfctl -sr 都有，高兴，省事了。
4.上帝保佑openBSD，挺好用的系统，内网bt用户有不少，能抗住。

补充下，总感觉用OpenBSD是对硬件的浪费啊，奔4 2.0G，512M内存，80G硬盘，真浪费啊。

[ 本帖最后由 ioerr 于 2008-10-16 22:27 编辑 ]