🚀 go-pugleaf

bulba008 pisze:
> Jaki moze byc najprostszy pf.conf
> 
> potrzebny tylko dostep do netu w sieci lokalnej, wszystkie uslugi dozwolone
> 
> chodzi o totalne minimum
Ile kart sieciowych?

Dnia 02.04.2009 bulba008 <bulba008@op.pl> napisał/a:
> Jaki moze byc najprostszy pf.conf
>
> potrzebny tylko dostep do netu w sieci lokalnej, wszystkie uslugi dozwolone
>
> chodzi o totalne minimum

int_if="intif0"
pass quick on $int_if

-- 
[...] Vicariously I
      Live while the whole world dies
      Much better you, than I. [...]    tool - vicarious
:::::::::::::::: http://www.roczniak.net/ :::::::::::::::::::

m pisze:
> bulba008 pisze:
>> Jaki moze byc najprostszy pf.conf
>>
>> potrzebny tylko dostep do netu w sieci lokalnej, wszystkie uslugi 
>> dozwolone
>>
>> chodzi o totalne minimum
> Ile kart sieciowych?
zew bge0, wew beg1

Piotrek Roczniak wrote:
> Dnia 02.04.2009 bulba008 <bulba008@op.pl> napisał/a:
>> Jaki moze byc najprostszy pf.conf
>>
>> potrzebny tylko dostep do netu w sieci lokalnej, wszystkie uslugi dozwolone
>>
>> chodzi o totalne minimum
> 
> int_if="intif0"
> pass quick on $int_if
> 
To dla Ciebie bedzie najlepsze:
http://openbsd.org/faq/pf/pl/index.html

Pozdrawiam
M

> To dla Ciebie bedzie najlepsze:
> http://openbsd.org/faq/pf/pl/index.html
> 
Dobra skleilem cos takiego, gdzie cos poprawic? Moze cos jest 
nadmiarowe. Jedyny problem do brak dostepu do serwera ftp na tym samym 
kompie co jest bramka do netu z kompoterow z sieci lokalnej

## MAKRA -----------------------------------------------------------------

ext_if = "bge0"
int_if = "bge1"
tcp_services = "{ 22, 25, 37, 52, 53, 80, 110, 113, 123, 143, 443, 5901, 
6001 }"
udp_services = "{ 37, 53, 80, 110, 123 }"
icmp_types = "echoreq"
natone=int_if
privnets="{ 127.0.0.0/8, 192.168.1.0/24 }"


## USTAWIENIA

set block-policy return

set loginterface $ext_if

set skip on lo


## NATOWANIE

nat on $ext_if from $int_if to any -> $ext_if

nat-anchor "ftp-proxy/*"

## PRZEKIEROWANIA

rdr-anchor "ftp-proxy/*"

rdr on $int_if proto tcp from any to any port 21 -> 127.0.0.1 port 8021

rdr on $int_if inet proto tcp from any to any port www -> 127.0.0.1 port 
3128


## FILTROWANIE

block in

pass out keep state

anchor "ftp-proxy/*"

antispoof quick for { lo $int_if }

pass in on $int_if inet proto tcp from any to 127.0.0.1 port 3128 keep state

pass in on $ext_if proto tcp from any to any port 21 keep state

pass in on $ext_if proto tcp from any to any port > 49151 \
    keep state
pass in on $ext_if inet proto tcp from any to $ext_if \
    port $tcp_services flags S/SA keep state

pass in on $ext_if inet proto udp from any to $ext_if \
    port $udp_services keep state

pass in inet proto icmp all icmp-type $icmp_types keep state

pass in quick on $int_if

pass out on $ext_if inet proto tcp from any to any port www keep state

pass quick on lo all

Dnia 03.04.2009 MK <hover27@poczta.onet.pl> napisał/a:
> Piotrek Roczniak wrote:
>> Dnia 02.04.2009 bulba008 <bulba008@op.pl> napisał/a:
>>> Jaki moze byc najprostszy pf.conf
>>>
>>> potrzebny tylko dostep do netu w sieci lokalnej, wszystkie uslugi dozwolone
>>>
>>> chodzi o totalne minimum
>> 
>> int_if="intif0"
>> pass quick on $int_if
>> 
> To dla Ciebie bedzie najlepsze:
> http://openbsd.org/faq/pf/pl/index.html

Wiem, znam. Klikam w ten faq... już z 10 lat będzie. :)

-- 
Takiej władzy w naszych progach wszyscy chcielibyśmy podziękować,
W kilku nie do końca pięknych słowach. Z wyrazami szczerej niewdzięczności,
Dla skurwysynów nie mamy litości!	coma - tonacja
:::::::::::::::: http://www.roczniak.net/ :::::::::::::::::::

On Apr 3, 12:09 am, bulba008 <bulba...@op.pl> wrote:
> Jaki moze byc najprostszy pf.conf
>
> potrzebny tylko dostep do netu w sieci lokalnej, wszystkie uslugi dozwolone
>
> chodzi o totalne minimum

Tzn. ja mogę podłączyć się wszędzie, ale nikt nie może podłączyć
się do mnie, chyba że odpowiada na moje zapytania i mam tylko jeden
interfejs sieciowy?

Jacek

jartymiak pisze:
> On Apr 3, 12:09 am, bulba008 <bulba...@op.pl> wrote:
>> Jaki moze byc najprostszy pf.conf
>>
>> potrzebny tylko dostep do netu w sieci lokalnej, wszystkie uslugi dozwolone
>>
>> chodzi o totalne minimum
> 
> Tzn. ja mogę podłączyć się wszędzie, ale nikt nie może podłączyć
> się do mnie, chyba że odpowiada na moje zapytania i mam tylko jeden
> interfejs sieciowy?
> 
> Jacek

Czyli konfiguracja sieci jest taka:

net----(staly 
ip)(bge0)serwer-ntp-www(+https)-SQUID-dns-ftp-email(postfix,TLS, 
davecot)-nat-zarzadzanie przez VNC i ssh(bge1)-------siec 
wew(192.168.1.0/24)


z wewnatrz wszystko dostepne rowniez wszystkie uslugi z komputera-routera,
z zewnatrz wszystko zablokowane oprocz w/w uslug

OBSD 4.2

/dzieki

bulba008 wrote:
> jartymiak pisze:
>> On Apr 3, 12:09 am, bulba008 <bulba...@op.pl> wrote:
>>> Jaki moze byc najprostszy pf.conf
>>>
>>> potrzebny tylko dostep do netu w sieci lokalnej, wszystkie uslugi 
>>> dozwolone
>>>
>>> chodzi o totalne minimum
>>
>> Tzn. ja mogę podłączyć się wszędzie, ale nikt nie może podłączyć
>> się do mnie, chyba że odpowiada na moje zapytania i mam tylko jeden
>> interfejs sieciowy?
>>
>> Jacek
> 
> Czyli konfiguracja sieci jest taka:
> 
> net----(staly 
> ip)(bge0)serwer-ntp-www(+https)-SQUID-dns-ftp-email(postfix,TLS, 
> davecot)-nat-zarzadzanie przez VNC i ssh(bge1)-------siec 
> wew(192.168.1.0/24)
> 
> 
> z wewnatrz wszystko dostepne rowniez wszystkie uslugi z komputera-routera,
> z zewnatrz wszystko zablokowane oprocz w/w uslug
> 
> OBSD 4.2
> 
> /dzieki
A nie masz jakiegos podwojego natownia?Jesli tak to raczej ftp nie 
zadziala. Nie wiem czy musisz uzywac ftp czy nie.Ja osobiscie nie polecam

Pozdrawiam
M

Piotrek Roczniak wrote:
> Dnia 03.04.2009 MK <hover27@poczta.onet.pl> napisał/a:
>> Piotrek Roczniak wrote:
>>> Dnia 02.04.2009 bulba008 <bulba008@op.pl> napisał/a:
>>>> Jaki moze byc najprostszy pf.conf
>>>>
>>>> potrzebny tylko dostep do netu w sieci lokalnej, wszystkie uslugi dozwolone
>>>>
>>>> chodzi o totalne minimum
>>> int_if="intif0"
>>> pass quick on $int_if
>>>
>> To dla Ciebie bedzie najlepsze:
>> http://openbsd.org/faq/pf/pl/index.html
> 
> Wiem, znam. Klikam w ten faq... już z 10 lat będzie. :)
> 
Haha. Ja tez zagladam. Ale juz taki los ze potrzeba cos doczytac.

Pozdrawiam
M

bulba008 pisze:
>> To dla Ciebie bedzie najlepsze:
>> http://openbsd.org/faq/pf/pl/index.html
>>
> Dobra skleilem cos takiego, gdzie cos poprawic? Moze cos jest 
> nadmiarowe. Jedyny problem do brak dostepu do serwera ftp na tym samym 
> kompie co jest bramka do netu z kompoterow z sieci lokalnej
> 
> ## MAKRA -----------------------------------------------------------------
> 
> ext_if = "bge0"
> int_if = "bge1"
> tcp_services = "{ 22, 25, 37, 52, 53, 80, 110, 113, 123, 143, 443, 5901, 
> 6001 }"
> udp_services = "{ 37, 53, 80, 110, 123 }"
> icmp_types = "echoreq"
> natone=int_if
> privnets="{ 127.0.0.0/8, 192.168.1.0/24 }"
> 
> 
> ## USTAWIENIA
> 
> set block-policy return
> 
> set loginterface $ext_if
> 
> set skip on lo
> 
> 
> ## NATOWANIE
> 
> nat on $ext_if from $int_if to any -> $ext_if
> 
> nat-anchor "ftp-proxy/*"
> 
> ## PRZEKIEROWANIA
> 
> rdr-anchor "ftp-proxy/*"
> 
> rdr on $int_if proto tcp from any to any port 21 -> 127.0.0.1 port 8021
> 
> rdr on $int_if inet proto tcp from any to any port www -> 127.0.0.1 port 
> 3128
> 
> 
> ## FILTROWANIE
> 
> block in
> 
> pass out keep state
> 
> anchor "ftp-proxy/*"
> 
> antispoof quick for { lo $int_if }
> 
> pass in on $int_if inet proto tcp from any to 127.0.0.1 port 3128 keep 
> state
> 
> pass in on $ext_if proto tcp from any to any port 21 keep state
> 
> pass in on $ext_if proto tcp from any to any port > 49151 \
>    keep state
> pass in on $ext_if inet proto tcp from any to $ext_if \
>    port $tcp_services flags S/SA keep state
> 
> pass in on $ext_if inet proto udp from any to $ext_if \
>    port $udp_services keep state
> 
> pass in inet proto icmp all icmp-type $icmp_types keep state
> 
> pass in quick on $int_if
> 
> pass out on $ext_if inet proto tcp from any to any port www keep state
> 
> pass quick on lo all

Prosze tylko o sprawdzenie tej konfiguracji, ew cos dodac, uproscic.

On Apr 6, 7:17 pm, bulba008 <bulba...@op.pl> wrote:
> bulba008 pisze:
>
>
>
> >> To dla Ciebie bedzie najlepsze:
> >>http://openbsd.org/faq/pf/pl/index.html
>
> > Dobra skleilem cos takiego, gdzie cos poprawic? Moze cos jest
> > nadmiarowe. Jedyny problem do brak dostepu do serwera ftp na tym samym
> > kompie co jest bramka do netu z kompoterow z sieci lokalnej
>
> > ## MAKRA -----------------------------------------------------------------
>
> > ext_if = "bge0"
> > int_if = "bge1"
> > tcp_services = "{ 22, 25, 37, 52, 53, 80, 110, 113, 123, 143, 443, 5901,
> > 6001 }"
> > udp_services = "{ 37, 53, 80, 110, 123 }"
> > icmp_types = "echoreq"
> > natone=int_if
> > privnets="{ 127.0.0.0/8, 192.168.1.0/24 }"
>
> > ## USTAWIENIA
>
> > set block-policy return

osobiście wolę set block-policy drop a jeśli muszę komuś przez
grzeczność odpowedzieć, to piszę regułkę zwracającą odpowiedni
komunikat. Mniej pracy dla komputera, druty czystsze...

> > ## NATOWANIE
>
> > nat on $ext_if from $int_if to any -> $ext_if
>
> > nat-anchor "ftp-proxy/*"
>
> > ## PRZEKIEROWANIA
>
> > rdr-anchor "ftp-proxy/*"
>
> > rdr on $int_if proto tcp from any to any port 21 -> 127.0.0.1 port 8021
>
> > rdr on $int_if inet proto tcp from any to any port www -> 127.0.0.1 port
> > 3128
>
> > ## FILTROWANIE
>
> > block in
>
> > pass out keep state

jak masz nat, może dodać do regułki nat słówko pass i po sprawie.

jak masz nat, keep state jest automatycznie włączany, nie ma potrzeby
dublowania.

>> ## MAKRA 
  ext_if = "bge0"
>> int_if = "bge1"
>> tcp_services = "{ 22, 25, 37, 52, 53, 80, 110, 113, 123, 143, 443, 
>> 5901, 6001 }"
>> udp_services = "{ 37, 53, 80, 110, 123 }"
>> icmp_types = "echoreq"
>> natone=int_if
>> privnets="{ 127.0.0.0/8, 192.168.1.0/24 }"
>> ## USTAWIENIA
>> set block-policy return
>> set loginterface $ext_if
>> set skip on lo
>> ## NATOWANIE
>> nat on $ext_if from $int_if to any -> $ext_if
>> nat-anchor "ftp-proxy/*"
>> ## PRZEKIEROWANIA
>> rdr-anchor "ftp-proxy/*"
>> rdr on $int_if proto tcp from any to any port 21 -> 127.0.0.1 port 8021
>> rdr on $int_if inet proto tcp from any to any port www -> 127.0.0.1 
>> port 3128
> ## FILTROWANIE
>> block in
>> pass out keep state
>> anchor "ftp-proxy/*"
>> antispoof quick for { lo $int_if }
>> pass in on $int_if inet proto tcp from any to 127.0.0.1 port 3128 keep 
    state
>> pass in on $ext_if proto tcp from any to any port 21 keep state
>> pass in on $ext_if proto tcp from any to any port > 49151 \
    keep state
    pass in on $ext_if inet proto tcp from any to $ext_if \
>    port $tcp_services flags S/SA keep state
>> pass in on $ext_if inet proto udp from any to $ext_if \
>>    port $udp_services keep state
>>
>> pass in inet proto icmp all icmp-type $icmp_types keep state
>> pass in quick on $int_if
>> pass out on $ext_if inet proto tcp from any to any port www keep state
>> pass quick on lo all

Problem jest juz tylko z dostepem do zew serwera ftp z komputerow w 
sieci lokalnej ale tylko w przypadku sesji przez przegladarke. Co do 
tego pf.conf jeszcze dopisac aby to chodzilo.
W przegladarce komunikat bledu jest taki:

bulba008 wrote:

> Problem jest juz tylko z dostepem do zew serwera ftp z komputerow w
> sieci lokalnej ale tylko w przypadku sesji przez przegladarke. Co do
> tego pf.conf jeszcze dopisac aby to chodzilo.
> W przegladarce komunikat bledu jest taki:

No właśnie jaki? Coś uleciało.

Nie chce mi się czytać tego pf.conf, ale czy to nie wina samej przeglądarki?

Jeśli tylko z przeglądarki jest problem z dostępem do ftp, to trzeba 
sprawdzić co powie przełączenie przeglądarki pomiędzy:

	FTP <-> PASSIVE FTP

-- 
Piotr Sietnik
s i e t p [@] p o c z t a [na] . o n e t . p l