web-dev-qa-db-ja.com

Openbsd6.0用のPFベースのゲートウェイファイアウォール

現在、私はOpenBSD 6.0pfベースのゲートウェイを作成しようとしています。 pfのマニュアルページとOpenBSDのpfFAQで読んだ内容、およびインターネット上のいくつかの例に基づいて、ファイアウォールを構成することができました。しかし、私はそれが正しいかどうかわかりません：

## Macros
wan="WAN interface"
wan_ip="WAN IP address"
lan="LAN interface"
lan_ip="LAN IP address"
lan_nw="LAN network address with subnetmask"
man="management interface"
man_ip="management ip address"
lo="lo0"


## TABLES
table <spammers> persist file "/etc/spammers.txt"


## OPTIONS
set block-policy drop
# debug lvl: none - urgent - misc - loud
set debug none
set limit { frags 2000, states 20000, src-nodes 2000, tables 1000, table-entries 100000 }
set loginterface { $wan, $lan, $man }
set optimization normal
set reassemble yes
set ruleset-optimization none
set skip on $lo
set state-defaults pflow, no-sync
set state-policy if-bound


## TRAFFIC NORMALIZATION
scrub on $wan all reassemble tcp
scrub in on $wan all fragment reassemble max-mss 1440
scrub out on $wan all fragment reassemble random-id no-df
# For NFS
scrub in on $lan all no-df
scrub out on $lan all no-df
antispoof for { $lo, $wan, $lan, $man }


## QUEUEING RULES


## TRANSLATION RULES (NAT)
nat on $wan from $lan_nw to any -> $wan_ip

## FILTER RULES
# Block everything (inbound AND outbound on ALL interfaces) by default (catch-all)
block all
# Block everything comming from and to spam IP's
block in on $wan from <spammers> to any
block out on $wan from any to <spammers>
# Activate spoofing protection for all interfaces
block in on all from urpf-failed

# Default TCP policy
block return-rst in log on $wan proto TCP all
    pass in quick on $man proto TCP from any to $man_ip port 22 flags S/FSRA keep state

# Default UDP policy
block in log on $wan proto udp all
    # Provide NTP to LAN and mgmt network.
    pass in quick on $lan proto UDP from any to $lan_ip port 123
    pass in quick on $man proto UDP from any to $man_ip port 123

# Default ICMP policy
block in log on $wan proto icmp all
    pass in quick on $wan proto icmp from any to $wan_ip echoreq keep state

block out on $wan all
    pass out quick on $wan from $wan_ip to any keep state

これは、強化されたゲートウェイルーターを作成するのに十分ですか？誰かが私の構成を確認して、フィードバックやポインタを提供できますか？

firewallroutergatewayopenbsdpf
1
Baron van Neemweggen

最初のスクラブルールは冗長です。次の2つのルールで同じ効果を繰り返します。

特定のブロックルールをquickにします。そうしないと、後のルールで上書きされる可能性があります。 （デフォルトは、quickが指定されていない限り、最後に言及されたアクションです。これは、その時点でルール評価から事実上外れます）。特に最初の「ブロック」ルールでは、明示的に一致しないものはすべてブロックされるため、次のブロックルールのほとんどは冗長です。

テストするときは、「ログ」を使用して、pflog0インターフェースを監視します。また、pfctlのshow rules（pfctl -vsr）で冗長モードを使用して、ルールの一致カウントを確認し、実際に何かを実行していることを確認します。

1
user398726