FreeBSD

stamp · Отправлено: **08:41, 07-08-2012** | #2

В rc.conf дописывай

firewall_enable="YES"
firewall_script="/etc/pf.conf" - путь к правилу

nvhost · Отправлено: **10:50, 07-08-2012** | #3

У меня в rc.conf есть

Код:

#включим наш фаервол на этапе загрузки системы
pf_enable="YES"
#указываем откуда загружать правила
pf_rules="/etc/pf.conf"
#указываем где находится программа для управления pf
pf_program="/sbin/pfctl"
pf_flags=""
...
    #включаем логирования для pf
pflog_enable="YES"
pflog_logfile="/var/log/pf.log"
pflog_program="/sbin/pflogd"
pflog_flags=""
pfsync_enable="NO"
pfsync_syncdev=""
pfsync_ifconfig=""

Разве этого не достаточно?

leonty · Отправлено: **20:55, 08-08-2012** | #4

Цитата stamp:

В rc.conf дописывай
firewall_enable="YES"
firewall_script="/etc/pf.conf" - путь к правилу »

уйди не чистая!

Цитата nvhost:

как только делаю принудительное применение правил pfctl -f /etc/pf/conf то все сразу начинает работать »

хм, что говорит whereis pfctl ?

nvhost · Отправлено: **09:22, 09-08-2012** | #5

Вот что говорит

Код:

freebsd1# whereis pfctl
pfctl: /sbin/pfctl /usr/share/man/man8/pfctl.8.gz /usr/src/sbin/pfctl

получается дело не в том что пакетный фильтр не подымается при загрузке системы, а в том что ему что то не хватает для правила входящего RDP, а после загрузки принудительно уже помогает, может дело в том что при загрузке системы и применения правил еще не известны IP адреса , хотя PPPoe tun0 подымается до применения правил, я еще где то читал что если переменная содержит ip -адрес то ее необходимо заключать в скобки, на тот случай если вдруг ip-адрес на момент примения правил будет отсутствовать правила привяжутся к интерфейсу

на всякий случай привожу код rc.conf

Код:

hostname="freebsd1"
keymap="ru.koi8-r.kbd"
ifconfig_sk0=" inet 192.168.1.77 netmask 255.255.255.0"
defaultrouter="192.168.1.1"
sshd_enable="YES"
# Set dumpdev to "AUTO" to enable crash dumps, "NO" to disable
dumpdev="AUTO"
ifconfig_vr0="inet 10.0.0.1 netmask 255.255.255.0"
gateway_enable="YES"
#PPP service
ppp_enable="YES"
ppp_mode="ddial"
ppp_nat="YES"   # if you want to enable nat for your local network, otherwise NO
ppp_profile="utk"

#включим наш фаервол на этапе загрузки системы
pf_enable="YES"
#указываем откуда загружать правила
pf_rules="/etc/pf.conf"
#указываем где находится программа для управления pf
pf_program="/sbin/pfctl"
pf_flags=""

    #включаем логирования для pf
pflog_enable="YES"
pflog_logfile="/var/log/pf.log"
pflog_program="/sbin/pflogd"
pflog_flags=""
pfsync_enable="NO"
pfsync_syncdev=""
pfsync_ifconfig=""

# включим racoon
racoon_enable="YES"
racoon_flags="-F -f /usr/local/etc/racoon/racoon.conf"

 #включим ipsec
ipsec_enable="YES"
ipsec_file="/etc/ipsec.conf"

 #создаем виртуальный gif-интерфейс
gif_interfaces="gif0"
gifconfig_gif0="111.111.111.111 222.222.222.222"
ifconfig_gif0="inet 10.0.0.1 10.1.1.1 netmask 0xffffffff"

 #прописываем статический рутинг для удаленной сети
static_routes="vpn"
route_vpn="10.1.1.0/24 -interface gif0"

Может дело в виртуальных интерфейсах, они поднимаются после правил pf

leonty · Отправлено: **11:34, 09-08-2012** | #6

если посмотреть список загруженых правил сразу после старта системы, он (список) соответствует тому, что прописано в pf.conf ?

nvhost · Отправлено: **12:16, 04-09-2012** | #7

нет список пустой, pfctl -sn ничего не показывает!

nardamon@vk · Отправлено: **20:58, 15-09-2012** | #8

Описывайте все девайсы в правилах в скобках.
Тогда загрузится в любом случае.

И чо ето за бред?

Сначала RDR описывает , потом НАТ, а не в перемешку.

И одним правилом а не двумя или тремя.

nat on $ext_if tagged RDP -> ($ext_if)

эта чушь к примеру вообще щас ненужна
Срабатывает всегда последнее правило, будь то рдр, нат или другие правила.

softwer · Отправлено: **21:42, 10-10-2012** | #9

Цитата:

#указываем откуда загружать правила pf_rules="/etc/pf.conf"

А руками правила грузите из

Цитата:

pfctl -f /etc/pf/conf

Или в rc.conf путь поправьте, или pf.conf положите в /etc

Smoke2k · Конфигурация компьютера

кажется такая же канетель как и в соседнем топике...
А зачем вы два раза NAT поднимаете? один раз в ppp,

Цитата:

ppp_nat="YES" # if you want to enable nat for your local network, otherwise NO

а второй раз в pf?

Цитата:

#создаем правило трансляции адресов из офисной сети во внешний мир
nat on $ext_if from $localnet to any -> ($ext_if)

Я кстати заметил что если на интерфейсе не включён NAT в самом pf, то redirect не сробатывает, может у вас наложение правил? потому и не работает rdr? попробуйте отключить в rc.conf ppp_nat