Vovik Posted February 18, 2006 Posted February 18, 2006 подскажите, хочу полностью закрыть рутер (freebsd) от посторонних глаз, но в то же время, чтобы пакеты между сетями рутились нормально и можно было инициировать любые соединения с самого рутера. доступ закрываю просто: deny ip from any to me но вот никак не допру, как проще всего разрешить входящие соединения с машин, на которые я сам отправляю запросы с рутера. Для tcp еще понятно - опция established, а у udp, icmp и прочих протоколов такой опции нет. Может есть какая возможность автоматически создавать правила, которые бы открывали доступ для конкретного IP на который я обращаюсь, и по прошествии N секунд неактивности автоматически бы удаляли это правило? Вставить ник Quote
jab Posted February 18, 2006 Posted February 18, 2006 Прочитайте любое руководство по stateful firewalls Вставить ник Quote
Vovik Posted February 18, 2006 Author Posted February 18, 2006 спасибо :) все понятно Вставить ник Quote
Deac Posted February 23, 2006 Posted February 23, 2006 Если хочешь ПОЛНОСТЬЮ закрыть router то кроме ipfw нужно добавить IPSTELTH и RANDOM_IP_ID в ядро а также tcp/udp blackhole в sysctl.conf Вставить ник Quote
Vovik Posted February 23, 2006 Author Posted February 23, 2006 это добавлено. вот только при добавлении udp blackhole система виснет... Вставить ник Quote
j262 Posted March 1, 2006 Posted March 1, 2006 Imho по умолчанию deny ip from any to any >Для tcp еще понятно - опция established, а у udp, icmp и прочих протоколов такой >опции нет. правильно , так как udp это не connection oriented protocol . а icmp это вообше layer 3 . для icmp ,например для пинга, для входяших только echo answer , для исходящих все что угодно . пинг это icmptype 0, 8. что-то вроде этого . ${ipfw} add 1005 pass icmp from any to me in via rl0 icmptype 3,4,11,12,8 ${ipfw} add 1006 pass icmp from me to any и еще нельзя совсем резать icmp для хостов за гейтом , icmp это не только вредно , но и полезно . например помогает регулировать "окно" пакета . established это конечно неплохо ,но лично я использую ${ipfw} add 6100 pass tcp from any to me 1024-65535 ${ipfw} add 61001 pass tcp from me to any а открытые порты закрыты для всего мира отдельными правилами . Вставить ник Quote
Vovik Posted March 1, 2006 Author Posted March 1, 2006 что то как то все сложно :) мы ведь ISP. нам зачем резать всю маршрутизацию на клиентов по умолчанию? пускай клиенты и занимаются безопасностью своих сетей, а мы им "голый" доступ в инет даем. А вот свою сетку и маршрутизатор - закрываем. Вставить ник Quote
Deac Posted March 5, 2006 Posted March 5, 2006 Динамические правила для ipfw рулят, а вообще man ipfw никто не отменял. Добро пожаловать на www.opennet.ru :) Вставить ник Quote
VicM Posted March 5, 2006 Posted March 5, 2006 Если хочешь ПОЛНОСТЬЮ закрыть router то кроме ipfw нужно добавить IPSTELTH и RANDOM_IP_ID в ядро а также tcp/udp blackhole в sysctl.conf У тебя какая фря? У меня в LINT нет RANDOM_IP_ID. Может придумали замену данной опции? Мое: $ uname -sr FreeBSD 6.0-RELEASE-p4 Вставить ник Quote
Deac Posted March 7, 2006 Posted March 7, 2006 FreeBSD 4.11Stable, Принципиально на рабочих серверах не использую не Stable Вставить ник Quote
emp Posted March 9, 2006 Posted March 9, 2006 FreeBSD 4.11Stable, Принципиально на рабочих серверах не использую не Stable в FreeBSD ветка stable это не совсем то что вы думаете. Вставить ник Quote
.png.5d2afa2996cc6a85d0f2c09b92dd0a28.png)
Recommended Posts
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.