Software, Support, Documentation
|
|
News,
Internal,
Projects,
Home Software, Support, Documentation |
On Wed, Jan 15, 2003 at 12:21:01PM +0900, JungSoo HA wrote:
>> On Wed, Jan 15, 2003 at 12:16:23PM +0900, Pyun YongHyeon wrote:
>>
>> > 최소한 현재 사용하는 pf룰은 알려 주셔야죠.
>>
>> 앗 죄송합니다. 첨부를 빼먹었습니다.
>>
>> --
>> 하정수
>>
>> # $OpenBSD: pf.conf,v 1.3 2001/11/16 22:53:24 dhartmei Exp $
>> #
>> # See pf.conf(5) for syntax and examples
>> # ep1 : external 10Mbps
>>
>> localnet = "211.xxx.yyy.zzz/ww"
>>
>> # normalize all packets
>> #scrub out all
>> #scrub in all
>>
>> # block private IP address space
>> block in log quick on ep1 from { 127.0.0.0/8, 192.168.0.0/16, \
>> 172.16.0.0/12, 10.0.0.0/8 } to any
>> block out log quick on ep1 from any to { 127.0.0.0/8, 192.168.0.0/16, \
>> 172.16.0.0/12, 10.0.0.0/8 }
>>
>> # block incoming broadcast packets
>> block in quick on ep1 from any to 255.255.255.255
>>
>> # now block and log all by default
>> block in log on ep1 all
>> block return-rst out log on ep1 inet proto tcp all
>> block return-rst in log on ep1 inet proto tcp all
>> block return-icmp out on ep1 inet proto udp all
>> block return-icmp in on ep1 inet proto udp all
>>
>> # ICMP ping
>> pass in on ep1 inet proto icmp all icmp-type 8 code 0 keep state
>> pass out on ep1 inet proto icmp all icmp-type 8 code 0 keep state
>>
>> # outgoing
>>
>> # UDP
>> pass out on ep1 inet proto udp all keep state
>>
>> # TCP
>> pass out on ep1 inet proto tcp all modulate state
>>
>> # finally pass incoming
>>
>> pass in on ep1 inet proto tcp from any to $localnet \
>> port 22 flags S/SA keep state
룰에 별다른 문제는 없어 보입니다.
다만 여러개의 lan카드가 있다면 이에 대한 부분이 명시되어야 합니다.
예를들면 ep0가 있다면 ep0, ep1사이는 무조건 통과시키는 부분등이 있어야
합니다.
소리바다와의 접속시 문제가 있다고 하셨는데 pfctl로 state를 확인해
보셨나요?
#pfctl -s s
접속된 서버와 상태가 만들어 졌는지 어떤 상태에 있는지 확인해 보세요.
제가 소리바다를 사용하지 않기 때문에 정확히는 잘 모르겠지만
UDP를 사용하는것으로 알고 있습니다.
이 부분은
"pass out on ep1 inet proto udp all keep state"에 의해서 state가 만들어
졌습니다. 따라서 외부의 새로운 접속은 허용하지 않지만 여기서 나간 접속의
경우는 state table에 의해서 접속이 허용됩니다.
그래도 동작하지 않으면 모든 rule에 log을 지정하고, tcpdump로 확인해
보시면 되겠습니다.
#tcpdump -i -e pflog0 "소리바다포트번호"
또는 tcpdump에서 ep1을 지정해서 직접 packet을 확인 할수도 있습니다.
--
============================================================
// Korea Telecom Internet Solutions, Inc.
// FreeBSD/Linux Professional Consulting/Tech. Support
//
// Pyun YongHyeon
//
// WWW: http://www.kt-is.co.kr/
// FTP: ftp://ftp.kt-is.co.kr/
//
// TEL: +82-2-364-0400
// FAX: +82-2-364-9119
============================================================
--
Please look and take part in KFUG FAQ: <http://www.kr.freebsd.org/FAQ-kr/>
To Unsubscribe: send mail to majordomo@kr.FreeBSD.org
with "unsubscribe questions" in the BODY of the message
|
Copyright © 1998-2005 Korea FreeBSD Users Group. All rights reserved. webmaster at kr.FreeBSD.org $Date: 2003/01/31 23:01:28 $ |
|