Как включить PF?

[Trojan]

Прошу помочь разобраться с включением PF. Прописал в /etc/rc.conf строки

pf_enable="YES"
pf_rules="/etc/pf.conf"

Запускаю pfctl -f /etc/pf.conf, выходит следующее:

shlus# pfctl -f /etc/pf.conf
pfctl: /dev/pf: No such file or directory.

Что еще нужно сделать?

[dudu]

device pf в ядре есть?

[arachnid]

kldload pf ?!

[Trojan]

device pf в ядре есть?

Как это проверить?

kldload pf ?!

Вбиваю kldload pf. Выходит:

shlus# fldload pf
shlus# pfctl -f /etc/pf.conf
No ALTQ support in kernel
ALTQ related functions disabled
pfctl: /etc/pf: No such file or directory.

[ivan2ksusr]

Для начало включите "мозг", воспользуйтесь поиском по форуму или гуглом, в хандбуке есть раздел посвященный PF См. здесь

[arachnid]

абсолютно соглашусь с ivan2ksusr

читаем сюда http://www.freebsd.org/doc/ru/books/handbo...rnelconfig.html

http://www.freebsd.org/doc/ru/books/handbo...rewalls-pf.html

а так же http://www.freebsd.org/doc/ru/books/handbo...tuning-rcd.html и http://www.freebsd.org/doc/ru/books/handbo...g-services.html

ps. еще немного - и буду соглашаться и уже как модератор

[Trojan]

Из хэндбука:

Код: Выделить всё

Включение PF путем компиляции с ядром FreeBSD не является обязательным требованием, и описано здесь в качестве дополнительной информации. При компиляции PF с ядром загружаемый модуль не используется.

Пример параметров конфигурации ядра для включения PF находится в /usr/src/sys/conf/NOTES и показан здесь:
device pf
device pflog
device pfsync

Проблема в том, что у меня в /usr/src нет каталога sys ну и соответственно sys/conf/NOTES.

Что делать в этом случае?

[*Sasha*]

Проблема в том, что у меня в /usr/src нет каталога sys ну и соответственно sys/conf/NOTES.

Что делать в этом случае?

Читаем хэндбук

Код: Выделить всё

Замечание: Если в вашей системе отсутствует каталог /usr/src/sys, это означает, что исходные тексты ядра не были установлены. Наиболее простой способ установить их - запустить sysinstall как root, выбрать Configure, потом Distributions, потом src, потом base и sys. Если вы испытываете отвращение к sysinstall и у вас есть доступ к ''официальному'' FreeBSD CDROM, вы также можете установить исходные тексты при помощи командной строки:
# mount /cdrom
# mkdir -p /usr/src/sys
# ln -s /usr/src/sys /sys
# cat /cdrom/src/ssys.[a-d]* | tar -xzvf -
# cat /cdrom/src/sbase.[a-d]* | tar -xzvf -

[ivan2ksusr]

Я одного не могу понять, или вы через строчки читаете книгу как домохозяйка которая кашу варит или читать не умеете:
из ханбука:
//После загрузки модуля или пересборки ядра с поддержкой PF, функциональность pf может управляться при помощи команды pfctl.
//
//pf включается при помощи команды
//
//# pfctl -e
В вашем случае вы хотите включить поддержку pf в ядро, что есть хорошо, так как в случае с модулем Pf подгружает систему(могу и ошибаться , но такое было с ipwf еще в 5.4 версии bsd). Вам и так все разжевали и сказали где читать, за вас ни кто ни чего делать не будет. Уважайте себя и пользователей форума.

[Trojan]

Читаем хэндбук

Код: Выделить всё

Замечание: Если в вашей системе отсутствует каталог /usr/src/sys, это означает, что исходные тексты ядра не были установлены. Наиболее простой способ установить их - запустить sysinstall как root, выбрать Configure, потом Distributions, потом src, потом base и sys. Если вы испытываете отвращение к sysinstall и у вас есть доступ к ''официальному'' FreeBSD CDROM, вы также можете установить исходные тексты при помощи командной строки:
# mount /cdrom
# mkdir -p /usr/src/sys
# ln -s /usr/src/sys /sys
# cat /cdrom/src/ssys.[a-d]* | tar -xzvf -
# cat /cdrom/src/sbase.[a-d]* | tar -xzvf -

*Sasha*, если Вам не трудно скажите в какой главе написана цитата выше, потому что в главе 26.4 Packet Filter Firewall (PF, межсетевой экран OpenBSD) я этого не вижу.

И еще вот с этим помогите разобраться.

Код: Выделить всё

shlus# mount /cdrom
shlus# mkdir -p /usr/src/sys
shlus# ln -s /usr/src/sys /sys
shlus# cat /cdrom/src/ssys.[a-d]* | tar -xzvf -
cat: No match.
shlus# cd /cdrom
shlus# ls
7.1-RELEASE     HARDWARE.HTM    README.TXT      boot            docbook.css
ERRATA.HTM      HARDWARE.TXT    RELNOTES.HTM    boot.catalog    floppies
ERRATA.TXT      README.HTM      RELNOTES.TXT    cdrom.inf       packages

[dudu]

Как доберетесь до сборки ядра, так и найдете

http://www.freebsd.org/doc/ru/books/handbo...g-building.html

[Trojan]

Значит так: оказалось что в /etc директории самого pf.conf файла нет. А лежит он в /usr/share/example/pf.
Я его оттуда копирнул в /etc, и теперь на команду pfctl -f /etc/pf.conf получаю:

Код: Выделить всё

shlus# pfctl -f /etc/pf.conf
No ALTQ support in kernel
ALTQ related functions disabled
shlus# kldload pf
kldload: can't load pf: File exists

1. Видимо файл стал находится системой, но теперь нет поддержки ALTQ в ядре.
2. Почему kldload не может загрузить pf?

[arachnid]

Значит так: оказалось что в /etc директории самого pf.conf файла нет. А лежит он в /usr/share/example/pf.
Я его оттуда копирнул в /etc, и теперь на команду pfctl -f /etc/pf.conf получаю:

Код: Выделить всё

shlus# pfctl -f /etc/pf.conf
No ALTQ support in kernel
ALTQ related functions disabled
shlus# kldload pf
kldload: can't load pf: File exists

1. Видимо файл стал находится системой, но теперь нет поддержки ALTQ в ядре.
2. Почему kldload не может загрузить pf?

ща буду ругаться! Вы понимаете, что Вы делаете? что именно за команды вы выполняете и что они вам отписывают?

!	Предупреждение от модератора
	до тех пор, пока здесь от Вас не появиться объяснение Ваших действий и объяснение результата выполнения команд - все другие сообщения будут удаляться!

[ivan2ksusr]

2Trojan
Документация- "черным по белому": здесь

2arachnid - мой пост этот не затирай плз

[arachnid]

2Trojan
Документация- "черным по белому": здесь

2arachnid - мой пост этот не затирай плз

да ему не инструкция нужна, а понимание, что он делает!!!! а тут 0! полный!!!!

[Trojan]

Путем пересбора ядра я таки установил PF и ALTQ, НО мне интересно можно ли установить систему так чтобы после установки PF и ALTQ уже были включены, чтобы не нужно было пересобирать ядро?

[ivan2ksusr]

Путем пересбора ядра я таки установил PF и ALTQ, НО мне интересно можно ли установить систему так чтобы после установки PF и ALTQ уже были включены, чтобы не нужно было пересобирать ядро?

PF - OpenBSD Packet Filter - базовый firewall в OpenBSD. Начиная с версии 5.3 включен в базовую конфигурацию FreeBSD в качестве отдельного загружаемого модуля.

Существуют два варианта запуска:
- пересборка ядра
- инициализация через rc.conf

Замечание: в любом случае предполагается, что в конфигурации ядра системы содержаться строки:
options INET
device bpf

что здесь не понятного?

[izen.fire]

Прошу помочь разобраться с включением PF. Прописал в /etc/rc.conf строки

pf_enable="YES"
pf_rules="/etc/pf.conf"

Запускаю pfctl -f /etc/pf.conf, выходит следующее:

shlus# pfctl -f /etc/pf.conf
pfctl: /dev/pf: No such file or directory.

Что еще нужно сделать?

В FreeBSD, начиная с версии 5.3, пакетный фильтр PF идёт в комплекте с ядром GENERIC в качестве отдельного модуля — ничего вкомпилировать в ядро не нужно, если не нужны очереди приоритизации трафика (ALTQ).

1. Нужно прописать в /etc/rc.conf вот эти строчки:

Код: Выделить всё

#PF
pf_enable="YES"
pf_rules="/etc/pf.conf"
pf_program="/sbin/pfctl"
pf_flags=""
pflog_enable="NO"
pflog_logfile="/var/log/pf.log"
pflog_program="/sbin/pflogd"
pflog_flags=""
pfsync_enable="NO"
pfsync_syncdev=""
pfsync_ifconfig=""

2. Написать правила простейшего файервола в файл /etc/pf.conf:

Код: Выделить всё

#PF:2009-05-18
#-------------------
#1/Macros
# Сетевой интерфейс (ИЗМЕНИ_НАИМЕНОВАНИЕ_nfe0_НА_ИМЯ_СВОЕГО_ИНТЕРФЕЙСА!)
ext_if1="nfe0"
# Пространство адресов внутренней сети
lan_net="192.168.1.0/24"
# Разрешенные типы icmp сообщений
allowed_icmp_types="{ echoreq, unreach }"
# Разрешённые сервисы:
# 1. разрешить запросы к серверу NFS и RPCBIND только из локальной сети
# 2. обеспечить запуск с флагами mountd -p 883, rpc.lockd -p 884, rpc.statd -p 885 в rc.conf
# 3. выделенные порты для torrent и http/https/ssh-серверов доступны всем
allowed_lan_tcp_services="{ ssh, www, http, https, ntp, nfsd, rpcbind, 883, 884, 885, 6881:6991, 8080 }"
allowed_lan_udp_services="{ ntp, nfsd, rpcbind, 883, 884, 885, 6881:6991 }"
allowed_wan_tcp_services="{ ssh, www, http, https, 6881:6991, 8080 }"
allowed_wan_udp_services="{ ntp, 6881:6991 }"
#-------------------
#2/Tables: пока нет
#-------------------
#3/Options
# тем, кто лезет туда, куда не нужно, - бить по рукам
set block-policy drop
# на интерфейсах петли пакеты не фильтровать
set skip on { lo }
# укороченный таймаут для состояния установленного tcp соединения
set timeout { frag 10, tcp.established 2400 }
#-------------------
#4/Scrub
# Нормализовать все входящие пакеты
scrub in all
#-------------------
#5/Queueing: пока нет
#-------------------
#6/Translations
# Перенаправить tcp трафик с порта 80 на порт 8080 для пользовательского Web-сервера
rdr proto tcp from any to any port http -> self port 8080
#-------------------
#7/Filter Rules
# Антиспуффинг
antispoof for $ext_if1
# Блокировать всё, что не разрешено
block all
#-------------------
# Разрешить входящий ICMP (ping)
pass inet proto icmp all icmp-type $allowed_icmp_types
# Поэтапное открытие сервисов
# разрешающий доступ откуда угодно (ограниченные службы)
pass in on $ext_if1 proto tcp to port $allowed_wan_tcp_services
pass in on $ext_if1 proto udp to port $allowed_wan_udp_services
# разрешающий доступ из локальной сети (ограниченные службы)
pass in on $ext_if1 proto tcp from $lan_net to port $allowed_lan_tcp_services
pass in on $ext_if1 proto udp from $lan_net to port $allowed_lan_udp_services
# разрешить все исходящие соединения
pass out all

3. После этого перезагрузиться и командой pfctl -s all проверить действующие правила и опции пакетного фильтра.
4. Чтобы поменять правила пакетного фильтра на работающей машине, нужно сначала проверить новые правила на соответствие синтаксису, затем остановить фильтр, задать файл с новыми правилами и, наконец, включить фильтр:

Код: Выделить всё

% pfctl -nf /etc/pf.conf
% pfctl -d && pfctl -f /etc/pf.conf && pfctl -e

Всё должно работать.

[Trojan]

Включил PF, т.е. в ядро включил поддержку PF. В /etc/rc.conf прописал
pf_enable="YES"
pf_rules="/etc/pf.conf"

Запустил pfctl -f /etc/pf.conf и получил pfctl: /etc/pf.conf: No such file or directory.
Глянул в /etc а там нет файла pf.conf, как нет его и где либо в /usr.

Разве при включении PF файл /etc/pf.conf не создается автоматом?
Как правильно решается этот вопрос?

[arachnid]

лезешь вот сюда /usr/share/examples/pf/ и выбираешь пример