現在、私はOpenBSD 6.0pfベースのゲートウェイを作成しようとしています。 pfのマニュアルページとOpenBSDのpfFAQで読んだ内容、およびインターネット上のいくつかの例に基づいて、ファイアウォールを構成することができました。しかし、私はそれが正しいかどうかわかりません:
## Macros
wan="WAN interface"
wan_ip="WAN IP address"
lan="LAN interface"
lan_ip="LAN IP address"
lan_nw="LAN network address with subnetmask"
man="management interface"
man_ip="management ip address"
lo="lo0"
## TABLES
table <spammers> persist file "/etc/spammers.txt"
## OPTIONS
set block-policy drop
# debug lvl: none - urgent - misc - loud
set debug none
set limit { frags 2000, states 20000, src-nodes 2000, tables 1000, table-entries 100000 }
set loginterface { $wan, $lan, $man }
set optimization normal
set reassemble yes
set ruleset-optimization none
set skip on $lo
set state-defaults pflow, no-sync
set state-policy if-bound
## TRAFFIC NORMALIZATION
scrub on $wan all reassemble tcp
scrub in on $wan all fragment reassemble max-mss 1440
scrub out on $wan all fragment reassemble random-id no-df
# For NFS
scrub in on $lan all no-df
scrub out on $lan all no-df
antispoof for { $lo, $wan, $lan, $man }
## QUEUEING RULES
## TRANSLATION RULES (NAT)
nat on $wan from $lan_nw to any -> $wan_ip
## FILTER RULES
# Block everything (inbound AND outbound on ALL interfaces) by default (catch-all)
block all
# Block everything comming from and to spam IP's
block in on $wan from <spammers> to any
block out on $wan from any to <spammers>
# Activate spoofing protection for all interfaces
block in on all from urpf-failed
# Default TCP policy
block return-rst in log on $wan proto TCP all
pass in quick on $man proto TCP from any to $man_ip port 22 flags S/FSRA keep state
# Default UDP policy
block in log on $wan proto udp all
# Provide NTP to LAN and mgmt network.
pass in quick on $lan proto UDP from any to $lan_ip port 123
pass in quick on $man proto UDP from any to $man_ip port 123
# Default ICMP policy
block in log on $wan proto icmp all
pass in quick on $wan proto icmp from any to $wan_ip echoreq keep state
block out on $wan all
pass out quick on $wan from $wan_ip to any keep state
これは、強化されたゲートウェイルーターを作成するのに十分ですか?誰かが私の構成を確認して、フィードバックやポインタを提供できますか?
最初のスクラブルールは冗長です。次の2つのルールで同じ効果を繰り返します。
特定のブロックルールをquick
にします。そうしないと、後のルールで上書きされる可能性があります。 (デフォルトは、quick
が指定されていない限り、最後に言及されたアクションです。これは、その時点でルール評価から事実上外れます)。特に最初の「ブロック」ルールでは、明示的に一致しないものはすべてブロックされるため、次のブロックルールのほとんどは冗長です。
テストするときは、「ログ」を使用して、pflog0
インターフェースを監視します。また、pfctlのshow rules(pfctl -vsr
)で冗長モードを使用して、ルールの一致カウントを確認し、実際に何かを実行していることを確認します。