The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка  RSS
"Установка Firewall"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы OpenNET: Виртуальная конференция (Public)
Изначальное сообщение [Проследить за развитием треда]

"Установка Firewall"  
Сообщение от tony email(??) on 09-Апр-06, 21:26 
Существует домовая локальная сеть с сегментами 192.168.3.х и 192.168.0.х, между ними установлен роутер на FreeBSD. Недавно возникла необходимость установить firewall. Для этого скомпилировал и установил новое ядро с поддержкой firewall и NATD. Файервол установлен по дефолту – options IPFIREWALL_DEFAULT_TO_ACCEPT. Опыта по установке Файервола нет, в манах одна теория – не помогает, поэтому прошу поделиться конкретной информацией.

Сеть с IP 192.168.3.х приходит в сетевуху  rl1(192.168.3.1)
Сеть с IP 192.168.0.х приходит в сетевуху  rl0(192.168.0.159)

Необходимо настроить файервол так:
1.    Все IP из сегмента 192.168.3.х могут видеть всех IP соседнего 192.168.0.х. (короче разрешить все пакеты на все порты)
2.    Запретить выход юзера с IP 192.168.3.10 в сегмент 192.168.0.х.
3.    Запретить вход юзера с IP 192.168.0.50 в сегмент 192.168.3.х
4.    Разрешить удаленное соединее с роутером по SSH (порт 22) только с IP 192.168.3.100

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

 Оглавление

Сообщения по теме [Сортировка по времени, UBB]


1. "Установка Firewall"  
Сообщение от newser (ok) on 09-Апр-06, 23:01 
>Существует домовая локальная сеть с сегментами 192.168.3.х и 192.168.0.х, между ними установлен
>роутер на FreeBSD. Недавно возникла необходимость установить firewall. Для этого скомпилировал
>и установил новое ядро с поддержкой firewall и NATD. Файервол установлен
>по дефолту – options IPFIREWALL_DEFAULT_TO_ACCEPT. Опыта по установке Файервола нет, в
>манах одна теория – не помогает, поэтому прошу поделиться конкретной информацией.
>
>
>Сеть с IP 192.168.3.х приходит в сетевуху  rl1(192.168.3.1)
>Сеть с IP 192.168.0.х приходит в сетевуху  rl0(192.168.0.159)
>
>Необходимо настроить файервол так:
>1. Все IP из сегмента 192.168.3.х могут видеть всех IP соседнего 192.168.0.х.
>(короче разрешить все пакеты на все порты)
>2. Запретить выход юзера с IP 192.168.3.10 в сегмент 192.168.0.х.
>3. Запретить вход юзера с IP 192.168.0.50 в сегмент 192.168.3.х
>4. Разрешить удаленное соединее с роутером по SSH (порт 22) только с
>IP 192.168.3.100

Тем не менее, теория - весьма полезная и нужная вещь. Конфиг за Вас, скорее всего, никто писать не будет...

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

2. "Установка Firewall"  
Сообщение от ichard (ok) on 09-Апр-06, 23:41 
В инете покопайся, наверняка по примерам можно свои составить...
и вообще, взять за привычку сначала читать документацию и статьи, а уже потом задавать вопросы :)
Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

3. "Установка Firewall"  
Сообщение от liver (??) on 10-Апр-06, 05:09 
http://www.freebsd.org/doc/en_US.ISO8859-1/books/handbook/firewalls-ipfw.html
Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

4. "Установка Firewall"  
Сообщение от йцукен on 10-Апр-06, 10:42 
>Существует домовая локальная сеть с сегментами 192.168.3.х и 192.168.0.х, между ними становлен
>роутер на FreeBSD. Недавно возникла необходимость установить firewall. Для этого скомпилировал
>и установил новое ядро с поддержкой firewall и NATD. Файервол установлен
>по дефолту – options IPFIREWALL_DEFAULT_TO_ACCEPT. Опыта по установке Файервола нет, в
>манах одна теория – не помогает, поэтому прошу поделиться конкретной информацией.
>
>
>Сеть с IP 192.168.3.х приходит в сетевуху  rl1(192.168.3.1)
>Сеть с IP 192.168.0.х приходит в сетевуху  rl0(192.168.0.159)
>
>Необходимо настроить файервол так:
>1. Все IP из сегмента 192.168.3.х могут видеть всех IP соседнего 192.168.0.х.
>(короче разрешить все пакеты на все порты)
Это у тебя уже и так определено опцией options IPFIREWALL_DEFAULT_TO_ACCEPT

>2. Запретить выход юзера с IP 192.168.3.10 в сегмент 192.168.0.х.
ipfw add deny all from 192.168.3.10 to 192.168.0.0/24

>3. Запретить вход юзера с IP 192.168.0.50 в сегмент 192.168.3.х
ipfw add deny all from 192.168.0.50 to 192.168.3.0/24

>4. Разрешить удаленное соединее с роутером по SSH (порт 22) только с
>IP 192.168.3.100
т.к. у тебя определена опция options IPFIREWALL_DEFAULT_TO_ACCEPT то прийдется нарисовать 2 правила подряд

ipfw add allow tcp from 192.168.3.100 to me 22
ipfw add deny tcp from any to me 22

ниже "куда и что нажать"
в файле /etc/rc.conf пишешь примерно следующее
firewall_enable="YES"
firewall_script="/etc/fwrules"

создаешь файл /etc/fwrules с примерно таким содержанием:
#!/bin/sh -
ipfw add deny all from 192.168.3.10 to 192.168.0.0/24
ipfw add deny all from 192.168.0.50 to 192.168.3.0/24
ipfw add allow tcp from 192.168.3.100 to me 22
ipfw add deny tcp from any to me 22
#EOF >>

дальше ребутЪ и вроде должно работать.
ну и конечно rtfm по теме
успехов!

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

5. "Установка Firewall"  
Сообщение от ichard (ok) on 10-Апр-06, 12:39 
>>Существует домовая локальная сеть с сегментами 192.168.3.х и 192.168.0.х, между ними становлен
>>роутер на FreeBSD. Недавно возникла необходимость установить firewall. Для этого скомпилировал
>>и установил новое ядро с поддержкой firewall и NATD. Файервол установлен
>>по дефолту – options IPFIREWALL_DEFAULT_TO_ACCEPT. Опыта по установке Файервола нет, в
>>манах одна теория – не помогает, поэтому прошу поделиться конкретной информацией.
>>
>>
>>Сеть с IP 192.168.3.х приходит в сетевуху  rl1(192.168.3.1)
>>Сеть с IP 192.168.0.х приходит в сетевуху  rl0(192.168.0.159)
>>
>>Необходимо настроить файервол так:
>>1. Все IP из сегмента 192.168.3.х могут видеть всех IP соседнего 192.168.0.х.
>>(короче разрешить все пакеты на все порты)
>Это у тебя уже и так определено опцией options IPFIREWALL_DEFAULT_TO_ACCEPT
>
>>2. Запретить выход юзера с IP 192.168.3.10 в сегмент 192.168.0.х.
>ipfw add deny all from 192.168.3.10 to 192.168.0.0/24
>
>>3. Запретить вход юзера с IP 192.168.0.50 в сегмент 192.168.3.х
>ipfw add deny all from 192.168.0.50 to 192.168.3.0/24
>
>>4. Разрешить удаленное соединее с роутером по SSH (порт 22) только с
>>IP 192.168.3.100
>т.к. у тебя определена опция options IPFIREWALL_DEFAULT_TO_ACCEPT то прийдется нарисовать 2 правила
>подряд
>
>ipfw add allow tcp from 192.168.3.100 to me 22
>ipfw add deny tcp from any to me 22
>
>ниже "куда и что нажать"
>в файле /etc/rc.conf пишешь примерно следующее
>firewall_enable="YES"
>firewall_script="/etc/fwrules"
>
>создаешь файл /etc/fwrules с примерно таким содержанием:
>#!/bin/sh -
>ipfw add deny all from 192.168.3.10 to 192.168.0.0/24
>ipfw add deny all from 192.168.0.50 to 192.168.3.0/24
>ipfw add allow tcp from 192.168.3.100 to me 22
>ipfw add deny tcp from any to me 22
>#EOF >>
>
>дальше ребутЪ и вроде должно работать.
>ну и конечно rtfm по теме
>успехов!

зачем ребутить? :) cd /etc && ./netstart - перечитаются все правила в фаерволле...

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

6. "Установка Firewall"  
Сообщение от tony email(??) on 10-Апр-06, 19:59 
Огромный респект йцукен и ichard. Спасибо за помощь :)

Правка | Высказать мнение | Ответить | Cообщить модератору | Наверх

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]




Спонсоры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2022 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру