Ipfw как посмотреть бан лист

6

Ipfw как посмотреть бан лист

/sbin/ipfw -q add 201 allow all from any to any 22
/sbin/ipfw -q add 202 allow all from any 22 to any
/sbin/ipfw -q add 203 allow all from any to any 21
/sbin/ipfw -q add 204 allow all from any 21 to any
/sbin/ipfw -q add 307 allow all from any to any 80
/sbin/ipfw -q add 308 allow all from any 80 to any
/sbin/ipfw -q add 60000 deny ip from any to any

ipfw table 1 add 1.1.1.1/32
ipfw table 1 delete 1.1.1.1/32
ipfw table 1 add 1.1.1.1
ipfw tabe 1 delete 1.1.1.1

Файрвол IPFW в ОС FreeBSD

Привет всем, кому интересна ОС FreeBSD! После летне-отпускного отсутствия начинаю новый цикл статей. Надеюсь, будет занимательно и полезно.

Для тех, кто тут впервые, поясню, что являюсь разработчиком российского Интернет-шлюза Интернет Контроль Сервер, реализованного на базе FreeBSD. А потому, изнанка этой операционки, ее фишки и тонкости администрирования — то, с чем я сталкиваюсь ежедневно и делюсь с вами.

В предыдущей серии статей мы рассмотрели файрвол PF. Оценили возможности и настроили его для разных ролей. В новом цикле сделаем то же для файрвола IPFW. Как и с PF, начнем с краткого обзора и создания простой конфигурации для защиты веб сервера. В следующий статьях будем погружаться и усложнять конфигурацию постепенно, вводя новые типы правил и добавляя «мяса».

Ipfirewall — open source модуль, портированный на многие ОС. В этом списке FreeBSD, NetBSD, OpenBSD, SunOS, HP/UX и Solaris, Mac OS и даже Windows. Кроме того, часто используется для различных встраиваемых систем. Впервые появился в FreeBSD версии 2.0.

обработчик правил на уровне ядра, включающий систему учета пакетов

ipstealth (механизм редактирования TTL полей, защита от traceroute)

основанные на ALTQ средства управления QoS

механизмы управления пропускной способностью

основанная на таблице маршрутов система анти-спуффинга

встроенный NAT, PAT и LSNAT

поддержка IPv6 (с некоторыми ограничениями)

ipfw — пользовательская утилита для управления ipfirewall. С помощью этой утилиты происходит взаимодействие с модулем ядра. В дальнейшем я буду использовать ipfw и как имя утилиты, и как сокращение названия ipfirewall, для краткости и простоты, ну и просто потому, что так принято на просторах Интернета.

В ipfw конфигурация состоит из пронумерованных правил. Пакет проходит по правилам, начиная с меньшего номера к большему, до первого действия (к примеру allow или deny), после чего обработка прекращается. Чем-то похоже на iptables в Linux.

Управление и полезные настройки

Для включения ipfw в rc.conf необходимо добавить следующие строки:

ipfw с пустой конфигурацией по умолчанию блокирует все соединения. Чтобы не потерять доступ к серверу дополнительно нужно добавить в rc.conf

Эта строка укажет ipfw добавить в конфигурацию строку

ipfw list # вывод всех правил

ipfw -d list # вывести все правила, включая динамические

ipfw -de list # вывести все правила, включая динамические, в том числе истёкшие

ipfw -t list # вывести все правила, второй колонкой — время последнего совпадения

ipfw -a list # вывести все правила, второй и третьей колонкой будут счетчики входящих и исходящих совпадений

Добавление правил происходит командой

Добавить простое правило, под номером 100, разрешающее весь трафик на всех интерфейсах

Структура правил, основные параметры

Общая структура правила не отличается особой сложностью:

Номер — порядковый номер правила, предпочтительно в конфигурации использовать номера не подряд, это позволит без проблем добавлять правила во время работы файрвола. Возможно добавление нескольких правил под одним номером. В этом случае они будут срабатывать в порядке добавления и ipfw delete удалит их все.

Действие назначенное совпавшему пакету. В этой статье мы рассмотрим

Эти действия равнозначны. Пропустить пакет, обработка завершается. Я буду использовать allow, для единообразия.

Так же равнозначны. Отбросить пакет. Буду использовать deny

Проверяет пакет по таблице динамических правил (соединений), никаких дополнительных опций не предполагает.

Протокол — tcp, udp, icmp, или любой другой протокол, описанный в /etc/protocols

Источник и Назначение — ip адреса, без комментариев. Кючевое слово all означает любой адрес. Ключевое слово me означает локальный адрес хоста.

Порт — номер порта для tcp и udp. Можно использовать имена сервисов, описанные в /etc/services

in|out — означают совпадение с входящими или исходящими пакетами.

via IF — совпадение с трафиком только одного интерфейса IF.

keep-state — ключевое слово, указывающее о необходимости создания динамического правила, которое разрешит обмен пакетами между источником и назначением.

limit — разрешать только N соединений, соответствующих правилу. Создаёт динамические правила подобно keep-state. Нельзя в одном правиле использовать limit и keep-state.

Простейшая конфигурация

Возьмем простейший веб-сервер в вакууме. Нам нужно открыть порты 22, 80, 443 для доступа извне. Исходящие соединения разрешим все.

Для сохранения конфигурации и загрузки правил мы будем использовать shell скрипт, указанный в rc.conf опцией firewall_script.

Фактически, этот shell скрипт содержит набор команд ipfw. Что позволяет использовать в написании конфигурации все преимущества shell. Особенно пригодятся переменные. К примеру:

При запуске файрвола будет выполнен этот скрипт, и соответствующие правила будут загружены.

Заключение

Мы разобрались с тем, что такое ipfw и запустили его. Рассмотрели простейшие правила фильтрации и научились с ними работать. А так же создали простую, но вполне рабочую конфигурацию файрвола, способную защитить наш сервер от угроз извне.

В следующей статье мы рассмотрим дополнительные опции фильтрации, усовершенствуем конфигурацию для защиты нашего веб-сервера. А пока у вас есть отличная возможность потестировать Интернет Контроль Сервер, тем более что полнофункциональная демо-версия доступна в течение 35 дней, а версия до 9 пользователей вообще бесплатная.

Ipfw как посмотреть бан лист

Чтобы красиво логировать файрвол ipfw в FreeBSD нам надо сделать следующее…

Добавить ключ log в ipfw, например:

Для ведения логов ядро должно быть собрано с IPFIREWALL_VERBOSE или нужно
выставить “sysctl -w net.inet.ip.fw.verbose=1”.

Далее проверить чтобы в /etc/syslog.conf было упоминание LOG_SECURITY:

Через параметр logamount передается число записей которые будет записано в лог,
после превышения записи перестанут появляться в логе, до тех пор пока не будет вызвана команда
“ipfw resetlog”. Максимальное число сообщений можно также установить
через sysctl net.inet.ip.fw.verbose_limit.
Для отмены лимитирования на число записей, нужно установить атрибут в 0.

– Перед правилом блокировки нужно вставить “log” правило:

Ipfw как посмотреть бан лист

В составе FreeBSD есть штатный файрволл — IPFW. К сожалению, раздел хандбука, ему посвящённый, до сих пор не переведён. зато в английской части эта тема неплохо окучена 🙂 Кстати, во многом именно по этому начинающим он тяжело даётся — сам помню, как ковырялся почти две недели, пытаясь настроить его — ничё не получалось. Зато потом был миг озарения, когда я пришёл утром на работу, и, неторопясь, набрал все правила, придумывая их находу из головы. После чего отправил комп в перезагрузку и пошёл курить — абсолютно уверенный что всё работает. И оно работало. Это был момент перехода количества в качество.
Эта статья является скорее кратким переводом той аглицкой статьи из хандбука, щедро разбавленное собственным видением происходящего 🙂
Итак. Для включения файрволла придётся пересобрать ядро со следующими опциями:

Кстати, ядро можно и не пересобирать — достаточно загрузить модуль при старте системы, для этого внесём строку firewall_enable="YES" в файл /etc/rc.conf и после перезагрузки файрволл заработает. Никто, кстати, не мешает сделать это и находу, без перезагрузки (советую подумать, если вы сидите на машине, по ssh прежде чем выполнять — по дефолту будет одно правило — запрещено всё), загрузив соответствующий модуль:

Управляется загруженный на ходу файрволл также как и обычный, некоторые специфические опции включаемые в ядро при статической сборке есть в sysctl:

Это был вывод с тестовой машины. Кстати ipfw, статически собранный в ядре, также прекрасно рулится через sysctl:

Учтите — эти изменения живут ровно до первой перезагрузки, если хотите чтобы они остались насовсем, то читайте тут. Вообще, глубокий смысл вкомпиляции файрволла в ядро — на мой взгляд, повышение быстродействия, и опции недоступные через sysctl.
Если собирали ядро без опции IPFIREWALL_DEFAULT_TO_ACCEPT , или грузили его модулем, то изначально правило только одно — запрещающее. В rc.conf есть несколько опций касающихся файрволла:
firewall_enable="YES" — если файрволл грузится модулем
firewall_type="/etc/rc.firewall" — файл с правилами файрволла
firewall_logging="YES" — единственное что делает эта строка — устанавливает значение net.inet.ip.fw.verbose равным 1. Не забудте поставить лимиты, через sysctl.
Для просмотра установленных правил файрволла есть следующие команды (а если быть точным — ключи, потому как для всего используется одно приложение):
ipfw list — показывает список правил
ipfw show — тоже показывает список правил, но вместе с числом пакетов и байт, что попали под эти правила. Очень удобно при отдладке — смотрим на чём зарубаются пакеты.
ipfw zero — обнуление всех счётчиков. Если вести в виде ipfw zero №_правила то будет обнулён только счётчик правила с этим номером.
Вот пример простого файрволла для обычнейшей ситуации — сервер организации, одним интерфейсом смотрит в локалку, другим торчит наружу, на нём крутится почта, и работает www сервер:

Такой вот несложный, и логически понятный файрволл. Надо заметить, что для внутренней локалки в этом фаере всё разрешено. Все могут ходить в инет и пользоваться всеми сетевыми службами. Если такой необходимости нет, то можно сделать чуть иначе:

По файрволлам всё. Да, забыл — это всё описано для статически скомпиленных в ядро файрволлов, если грузите модулем — могут быть некоторые отличия (Хотя, с какого перепугу?). Также, необходимо заметить, что сам файл файрволла, по сути является shell-скриптом, — со всеми вытекающими плюсами — типа регулировка траффика день/ночь, в последнем примере.
Осталось объяснить — что такое NAT и как его поднять. NAT — это Network Address Translation — подделка сетевых адресов, если по нашему. Есть т.н. частные сети — диапазоны IP-адресов которые запрещено применять в интернете, и они применяются организациями (ну, и, частными лицами) для адресации внутренних сетей организации. Но — несмотря на то, что сеть внутренняя — сотрудники хотят шариться по инету, смотреть порнушку и т.д. 🙂 К тому же, `белых` (не частных) IP адресов не так уж и много — всем не выдашь, одних китайцев полтора миллиарда, а вот IP-шников всего 256*4=4294967296 (4 миллиарда, с копейками, в идеале. минус частные сети, минус всякие америкосовские институты, да вояки заграбаставшие себе по нескольку сетей класса A), поэтому приходится применять частные адреса. Для того чтобы все пользователи серых адресов могли ходить в инет и существует NAT — он подделывает адрес отправителя, как будто пакет шёл от машины, на которой крутится NAT, а не от машины в частной сети. Ответ тоже приходит на эту машину, и всё тот же NAT разбирает кому он предназначен, снова подделывает адрес, будто он шёл не ему, а машине с частным адресом.
Итак. Для выполнения вышеописанных `фокусов` с IP адресами в FreeBSD существует natd — Network Address Translation daemon — демон. Для его запуска надо пересобрать ядро со следующими опциями:

После чего добавляем следующие строки в /etc/rc.conf :

Вот теперь всё. 🙂
P.S. Для просмотра pipe, которые уже есть в системе, пользуйтесь командой

размещено: 2006-01-18,
последнее обновление: 2006-05-22,
автор: lissyara

У меня ядро как есть, за пускаю фаервол через rc.conf как написано,
firewall_enable="YES" — если файрволл грузится модулем
firewall_script="/etc/rc.firewall" — файл с правилами
firewall_logging="YES"
но сеть как была закрыта так и есть закрыта правили взял из первого примера. Где? и Что? не так не пойму по команде sh /etc/rc.firewall он запускается (вобщем я ни фига не понял от 4ей попы яйца ) НУЖНА СРОЧНО ПОМОЩЬ.

lissyara, 2006-01-25 в 16:19:03

Создай тему в форуме — не надо тут спамить 🙂
Кнопку отправить надо жать один раз, а не долбить по три 🙂
Насчёт вопроса:
firewall_type="/etc/rc.firewall"
а не
firewall_script="/etc/rc.firewall"
Это не моя ошибка, а хандбука. Причём навыерно даже не ошибка — надо сравнить как оно в разных версиях FreeBSD — может поменяли.

DeadLoco, 2006-02-16 в 12:08:10

В скрипте настоятельно рекомендую заменить вот эту строку:

Ключ "-q" подавляет вербозный вывод при отработке команды ipfw, что нехорошо при запуске скрипта с терминала, если первой командой скрипта стоит флаш, а файрволл по умолчанию блокирующий.

Вообще, общеупотребительно добрый совет: прописывая в переменную имя программы, ВСЕГДА добавляйте пару пробелов в конце. Например:

Этим вы гарантируетесь, что все последующие переменные будут восприняты, как аругменты, а не получится, что-то вроде ipfqadd.

dsa, 2006-02-17 в 0:08:12

# открываем снаружи 25 порт (SNMP) если на машине крутится почта
опечаточка вышла 25 — SMTP порт 🙂

lissyara, 2006-02-17 в 9:02:09

пьяная была, не помню :)))

На самом деле, о чём думаешь — о том и пишешь. А за ошибку — спасибо! Щас поправлю.

StepaniDOS, 2006-03-31 в 10:42:40

работы NAT обязательно присутствие строки gateway_enable="YES" в rc.conf
по крайней мере для 6-ки

nikola, 2006-04-20 в 18:36:14

firewall_type="/etc/rc.firewall" в 5.3 неработает выдаёт ошибку о неправилном аргументе FwCMD="/sbin/ipfw". Ей нужен firewall_script="/etc/rc.firewall"

Dmitry, 2006-06-06 в 7:43:21

День добрый!
установил FreeBSD_6, на фре имеется 2 интерфейса — внутренняя и внешняя сеть; пересобрал ядро. В ядре включил IPFIREWALL_DEFAULT_TO_ACCEPT. Но фря ни как не хочет выпускать во внешнюю сеть. 🙁
Что только не пробовал — и ipnat и natd ни в какую
подскажите пожалуйста, что делаю не так? и как можно исправить такую беду.

Marshall, 2006-07-02 в 18:32:29

А зачем в примере "простого файрволла для обычнейшей ситуации" еще вот эта строка:
$ add divert natd ip from any to $ in via $
?
Просто я как-то без нее всю жизнь обходился

P.S.
ИМХО вообще-то проще пользовать IPNAT

Sergey, 2006-07-12 в 22:55:10

Вот эти три строки:
# разрешаем весь tcp траффик внутри локалки (на внутреннем интерфейсе)
$ add allow tcp from any to any via $
# разрешаем весь udp траффик внутри локалки (на внутреннем интерфейсе)
$ add allow udp from any to any via $
# разрешаем весь icmp траффик внутри локалки (на внутреннем интерфейсе)
$ add allow icmp from any to any via $

видимо можно заменить на одну:
$ add allow all from any to any via $

Статья интересная, спасибо большое. Правда я настраивал по другой, http://www.bsdportal.ru/kb.php?mode=article&k=76.

Да еще, по личному опыту. На машину хожу по ssh и поначалу открыл стандартный 22 порт. В логах была куча попыток авторизации. неудачных естественно =) Чтобы юные дарования, освоившие nmap шли лесом повесил ssh на нестандартный порт. Попыток авторизации больше нет =)

maxim, 2006-09-12 в 16:29:06

Грамотная статья, но но не нашел как сделать так чтобы на одной машине крутилось два NAT-а (бывает же у людей несколько сетевых карт на машине). Я это решил так
в /etc новый файл rc.local
natd -p 8668 -n xl0
natd -p 8778 -n xl1
а в firewall вместо natd написал 8668 и 8778

ita, 2006-09-28 в 10:15:25

$ add allow tcp from $.100 to not $ in via $ setup
не хочет у меня работать такое правило.
работает
$ add allow tcp from $.100 to any via $ setup

reLax, 2006-12-09 в 9:10:18

Не работало правило $ add fwd 127.0.0.1,3128 tcp from $ to any 80 via $ . Заработало только в таком виде — $ add fwd $,3128 tcp from $ to any 80 via $

Олег, 2007-01-19 в 5:37:56

Искренне благодарен .
Таких как ты не много!

sergio, 2007-01-25 в 19:08:20

Для FreeBSD 6.0:
В /etc/rc.conf должно быть:
firewall_script="/etc/rc.firewall"

Ванёк, 2007-02-02 в 12:19:39

$ add divert natd ip from $/$ to any out via $
$ add divert natd ip from any to $ in via $
Вторая строчка безсмысленна, я када то то наступил уже на эти грабли =) Это хорошо работает только если у тебя ести 1 белый адрес на сетку, а если тебе нужно вывеси в инет сервак, который лежит в локалке (тупой начальник не захотел дать 2 метра кабеля и свитч =) урод. ) Например:
IpOut="222.222.222"
$ add divert 8868 ip from $.111 to any out via $
$ add divert 8868 ip from any to $.1 in via $
$ add divert 8869 ip from $.222 to any out via $
$ add divert 8869 ip from any to $.2 in via $
Ничего не работает =) Всмысле юзеры с нета не видят сервак из твоей локалки. В большинстве мануалов приведен именно такой пример (почему не знаю), в строчках
$ add divert 8868 ip from any to $.1 in via $ и $ add divert 8869 ip from any to $.2 in via $ нужно ставить in via $ вместо $. Это логически понятно, но новички могут запутатся. Надеюсь кому то поможет =)

Ванёк, 2007-02-02 в 13:23:42

Совсем забыл. Демон nat’a запускается с ключём redirect_address <белый ip> <локальный ip>ну и port соответственно 8868 и 8869

Any, 2007-02-09 в 9:19:06

$ add divert 8668 ip from any to any via bfe0

Mikle, 2007-02-12 в 10:49:01

firewall_script="/etc/rc.firewall" #название скрипта
firewall_type="SIMPLE" #название группы правил в скрипте,их
#может быть несколько

Меня когда то учили, что в целях оптимизации по правилу нужно пропускать пакет setup, типа:
$ add allow tcp from $ 1024-65535 to $ 22 in via $ setup
остальные пакеты пойдут по правилу established. Соответственно правило established должно находится выше всех разрешающих правил. Это для нагруженных серверов, ес-но.
Из минусов — статистика по правилам будет некорректна.

KaMa-CyTpA, 2007-03-02 в 19:01:30

Сорри, только что проверил — многие серверы КС с порта 27010 начинаются.
Ну это так. Просто.

OMG!, 2007-04-01 в 5:45:33

Цитата (http://www.freebsd.org/doc/en_US.ISO8859-1/books/handbook/firewalls-ipfw.html):
Enable the firewall:
firewall_enable="YES"

Эта строка должна быть обязательна, а не "если файрволл грузится модулем", как у вас в статье. Благодарю, из-за этого сегодня сервер (естественно, просто тестовый, на живом я бы тысячу раз перед пересбокой ядра подумал =)) ушёл в даун. Тем не менее, спасибо за ваш труд. Жаль, что такие неточности исправляются только 21 комментарием =\

OMG!, 2007-04-01 в 5:47:09

*** "обязательна" следует читать как "обязательно" ^^

hz, 2007-05-28 в 11:37:51

# рубаем мультикастовые рассылки
$ add deny ip from any to 224.0.0.0/4 in via $
# рубаем мультикастовые рассылки
$ add deny ip from any to 240.0.0.0/4 in via $

два раза подряд чтоб уж наверняка =)
видимо в первом или во втором правиле имелось в виду LanIn

lissyara, 2007-05-28 в 15:25:22

Советую обратить внимание на то, что между ними, и перечитать man ipfw — это взято именно оттуда, насколько я помню.

Reshek, 2007-06-14 в 6:03:52

Почему-то если эта строка всё портит. ТЕ firewall , начинает блокировать всё что поступает с внешнего интерфейса.
$ add divert natd ip from any to $ in via $
А СТАТЬЯ СУПЕР!

rootd, 2007-06-14 в 15:23:43

$ add allow tcp from $ to any out via $ setup

А разве вот это правило не позволит пользователям юзать инет и асю и вообще любые tcp подключения ?

rootd, 2007-06-26 в 16:38:54

"Кстати, ядро можно и не пересобирать — достаточно загрузить модуль при старте системы, для этого внесём строку firewall_enable="YES" в файл /etc/rc.conf и после перезагрузки файрволл заработает."

Потратил час пока не понял что FORWARD работает только с пересборкой ядра.

Ckopnuo, 2007-07-18 в 17:48:38

Так все правила пишутся в /etc/rc.firewall? Или куда? Просто после пересборки ядра файлик этот уже есть и он не пустой. Получается надо оттуда все удалить и написать свои правила?
Спасибо

Ckopnuo, 2007-07-19 в 11:41:32

Сорри, все, понял уже:)

begemoto, 2007-07-24 в 21:09:22

если есть check-state должен быть keep-state или limit, а их то я в этом конфиге и не вижу.
например:
$ add allow tcp from $.151 to not $ in via $ setup

а какое правило разрешает обратные пакеты? Или я не догоняю?

lissyara, 2007-07-24 в 21:43:36

# разрешаем tcp-пакеты по уже установленным соединениям
$ add allow tcp from any to any established

*DEAD*Zmey, 2007-07-25 в 14:20:00

lissyara, спасибо огромное за все те материалы, которые у Вас здесь выложены! На мой взгляд — Мегасайт (по классификации Гоблина :D)
Многие из статей попробовал, и очень многое выручило. 🙂

В строке "# Разрешаем весь траффик по внутреннему интерфейсу (петле)"
$ add allow ip from any to any via lo0
разрешаем всё через lo0, или, что тоже самое
$ add allow all from any to any via lo0
далее
# Вводим запреты:
# рубим попытки lo0 куда-то лезть и откуда-то лезть на lo0 (вот честно — ни
# одного пакета по этим правилам не зарубилось за всё время. Может в этом
# моё счастье? :))
$ add deny ip from any to 127.0.0.0/8
$ add deny ip from 127.0.0.0/8 to any

Мы уже разрешили ВЕСЬ трафик, в первом правиле, так что "Запреты" наверное можно убрать? Ну и соответственно потому и "не рубится". Или я не прав?

lissyara, 2007-07-25 в 14:29:03

Прав. Надо правила местами поменять 🙂

begemoto, 2007-07-25 в 21:16:22

так все таки зачем check-state?

и еще: почему не обьеденить правила:
$ add deny ip from any to 10.0.0.0/8 in via $
и
$ add deny ip from 10.0.0.0/8 to any out via $

в одно:
$ add deny ip from 10.0.0.0/8 to any via $

lissyara, 2007-07-25 в 22:06:18

когда будешь ковырять — почему что-то не работает — удобней когда так.
=============
и прочти наконец текст в окошке для ввода комментов, до того как стираешь его.

skoval, 2007-08-13 в 11:07:57

По-моему в явном виде тут никто так и не написал про firewall_type и firewall_script.
В хендбуке написано, что в firewall_type помимо параметров для /etc/rc.firewall (open, simple etc.) можно указать абсолютный путь к файлу с правилами для фаервола, т.е.
add block in all
add block out all
а в firewall_script указывается абсолютный путь к командам для /bin/sh, т.е.
ipfw add block in all
ipfw add block out all.
Это два основных способа написания своих правил для фаервола.

Nadz Goldman, 2007-08-20 в 12:22:05

Фря 6.0
IPFW+NAT
Ядро собрано с опциями:
options IPFIREWALL
options IPFIREWALL_VERBOSE
options IPFIREWALL_VERBOSE_LIMIT=5
options IPFIREWALL_FORWARD
options IPDIVERT
options DUMMYNET
options IPFIREWALL_DEFAULT_TO_ACCEPT

Но все правила, в которых указана опция SETUP попросту неработают.

urgor, 2007-08-21 в 14:06:22

> Мы уже разрешили ВЕСЬ трафик, в первом правиле,
Мы разрешили на интерфейсе lo, а для пакетов что пришли на него с fxp0 отработают запреты.
2 liss: ничего менять не надо, у тя все прально.

Kolesya, 2007-09-07 в 17:19:40

>hz, 2007-05-28 в 11:37:51
>
># рубаем мультикастовые рассылки
>$ add deny ip from any to 224.0.0.0/4 in via >$
># рубаем мультикастовые рассылки
>$ add deny ip from any to 240.0.0.0/4 in via >$

>два раза подряд чтоб уж наверняка =)
>видимо в первом или во втором правиле имелось в виду >LanIn

224 и 240 не совпадают 🙂 так что Лис правильно написал

kolesya, 2007-09-07 в 19:44:10

[b]Статья Лиса, последний пример(типа не самый простой файрвол)
># Разрешаем траффик внутренней сети на внутреннем >интерфейсе (входящий)
>$ add allow ip from any to $ in via $
># Разрешаем траффик внутренней сети на внутреннем интерфейсе (исходящий)
>$ add allow ip from $ to any out via $

Если у когото успользуется чтот типа tun-интерфейс(VPN и т.д.), правила приведенные выше,при условии что сети доверенные, нужно поменять на:

$ add allow ip from any to $,$ in via $
$ add allow ip from $,$ to any out via $

barsykoff, 2007-09-12 в 14:15:57

А разве не оптимальней было сделать так:
1. Разрешить трафик по локальной сети и петле
2. NAT, fwd
3. Разрешить некоторый трафик снаружи
4. Запретить все.
Ведь тогда не надо писать так много запретов.

Kolesya, 2007-10-02 в 20:39:08

> barsykoff, 2007-09-12 в 14:15:57
Если можно подробнее

torki, 2007-10-18 в 1:15:16

lissyar-e, опять земной поклон! Статья супер! Спасибы множественные! Хвати пить пиво, обеспеч себе старость(шутка). Пиши Книгу, материал уже набрался!

artem, 2007-11-16 в 18:19:28

Из мелочей: обновление подправленного файла rc.firewall-
#root#>sh /etc/rc.firewall
я пока не догадался reboot писал 🙂

lisergey, 2007-11-16 в 18:59:59

по идее, еще правильне обновлять правила фаервола так
# /etc/rc.d/ipfw restart &

этот вариант проверит и переменные из /etc/rc.conf
и при необходимости запустит NAT, и правильно выберет скрипт для фаервола в зависимости от того, как он прописан в /etc/rc.conf

в простейшем же случае это будет эквивалентно тому же самому
# sh /etc/rc.firewall

f0s, 2007-12-06 в 17:10:30

курил сегодня хендбук. там написано следующее:

# Deny all inbound traffic from non-routable reserved address spaces
$cmd 00300 deny all from 192.168.0.0/16 to any in via $pif
$cmd 00301 deny all from 172.16.0.0/12 to any in via $pif
$cmd 00302 deny all from 10.0.0.0/8 to any in via $pif
$cmd 00303 deny all from 127.0.0.0/8 to any in via $pif
$cmd 00304 deny all from 0.0.0.0/8 to any in via $pif
$cmd 00305 deny all from 169.254.0.0/16 to any in via $pif
$cmd 00306 deny all from 192.0.2.0/24 to any in via $pif
$cmd 00307 deny all from 204.152.64.0/23 to any in via $pif
$cmd 00308 deny all from 224.0.0.0/3 to any in via $pif

а у теб в статье тоже самое от них к any, но не ‘in’, a ‘out’ почему-то

artem, 2007-12-21 в 14:32:28

советую еще почитать здесь особенно про DUMMYNET

smilealex, 2007-12-21 в 14:44:05

2artem. вот я туп.. и? уважаемый.. неужели труда составляет выразить своё пренебрежение выкладыванием ссылки вместо обоснованного комментария с доводами и примерами?
Честь имею!
ЗЫ пусть к стыду — но по ссылке даже не пройдусь, ибо довольствуюсь малым.

lissyara, 2007-12-21 в 15:12:23

Он ТИЦ и ПР сайта своего повышает.
Чтоб ссылки дороже продавались =)
Тока вот неучёл, что специально для таких я ссылки сделал через редирект.
===========
оффтоп — по меркам интернета и поисковиков, эта конкретная страница — очень жирная. По запросу IPFW — она в первой пятёрке всех крупных поисковиков. Периодически на первое место лезет, но ниже пятёрки — не падает.
Вот поэтому, такой ерундой и занимаются.
=============
"Остапа понесло" 🙂

artem, 2008-01-10 в 16:04:22

у кого о чем голова болит, а я DUMMYNET прикручивал а так как тут он рассмотрен вскольз то оставил ссылку дабы помочь остальным и себе если забуду 🙂

Reshek, 2008-01-10 в 16:38:33

DarkHost, 2008-01-15 в 15:44:30

Jail на машине c ipfw не хочет пускать по SSH, хотя стот allow ip from 195.14.56.XXX to me 22. На основную машину войти могу, в Jail-нет. Порт открытый вижу, а при генерации DSA ключа — замирает и отваливается по timeout(логи).

KaMa-CyTpA, 2008-02-29 в 15:39:54

Народ!
В 7 IPFW переделан сильно насколько я понял.
Правила по поводу НАТ-а не работают — ну это на сайте написано что тни просто НАТ в IPFW включили.
А вот форвардинг у меня тоже типа обломался почему-то.
Буит описалово аль как?

Reshek, 2008-02-29 в 15:51:01

Да. Интересно. Иду ковырять 7-ку.

dimts, 2008-03-02 в 13:05:10

В коментах тут увидел про перезагрузку правил.
Правильно перезапускать их этим скриптом:
/usr/share/examples/ipfw/change_rules.sh
только не забудьте дать права на выполнение

ffzema, 2008-04-10 в 11:29:05

Настроил ipfw.
Вот решил задачу выхода во внешнюю сеть на сервер провайдера, в котором лежит репозитарий
Но в инет пользователей не пустил
вот кусочек моего

$ add 140 deny ip from 127.0.0.0/8 to any
#следующим 2 правилам нужно сделать так чтоб пропускалось следующее за ними правило
#. проверить

$ add 145 skipto 160 ip from $ to $ out via $ #Разрешаем соединение с сервером р-телекома
$ add skipto 110 ip from $ to $ #Разрешаем соединение сервера р-телекома с компами

#Разрешил в инет, если нужно еще кому, то нужно добавить через запятую его ip адрес или лучше прописать в переменной
#$ add 150 deny ip from not $ to any out via $ # Этим адресам можно в инет

# Вводим запреты:
# режем частные сети на внешнем интерфейсе — по легенде он у нас
# смотрит в интернет, а значит пакетам этим браться не откуда на нём.
# рубим частные сeти
$ add 160 deny ip from any to 10.0.0.0/8 in via $

artem, 2008-04-10 в 14:11:43

а текст прочитать осилил прежде чем стереть??
для тебя повторю:
Для вопросов есть форум!

Z-16-H, 2008-04-11 в 5:06:14

Кому интересно, нашёл более-менее правильно переведённый MAN по IPFW. Правда для FreeBSD 4.4.

pwlad, 2008-04-17 в 8:34:56

>barsykoff, 2007-09-12 в 14:15:57
>А разве не оптимальней было сделать так:
>1. Разрешить трафик по локальной сети и петле
>2. NAT, fwd
>3. Разрешить некоторый трафик снаружи
>4. Запретить все.
>Ведь тогда не надо писать так много запретов.

Действительно, ведь последнее правило запрещает всё, что не разрешено.
Или я чего-то не догоняю?

Black, 2008-06-03 в 17:06:44

Большое спасибо lissyara .

KnyaZ, 2008-06-06 в 13:51:24

Респект и уважуха автору

Sun, 2008-07-29 в 8:29:14

Ребят а кто-то из вас книги по BSD читал или нет? Тем более если вы по английски читать не можете, хандбук например — как вы бсд то юзать будете?? OMG 🙂

cheshire_cat, 2008-09-05 в 0:53:20

Во втором конфиге два раза повторяются строчки

# открываем снаружи 20,21 порт — для активного FTP
$ add allow tcp from any to $ 20,21 in via $ setup

eXo, 2008-10-03 в 12:31:42

А я так и не понял. открываю файл /etc/rc.firewall для редактирования правил а там такая околесица написана. все удалить и внести вышесказанное или под ним дописать.
И еще у мен PPPoE ADSL инет с динамическим IP как для него правила переделать.

kottyara, 2008-10-03 в 12:56:11

В поле "внешнего" айпи вводится адрес сетевой карточки, которая "смотрит" на ADSL модем (соединение Ethernet’ом). Смысл файервола — защищать комп, а не модем 😉

Damon_X, 2008-11-19 в 13:37:55

$ add allow tcp from $ to any out via $ setup
$ add allow tcp from any to $ in via $ setup
Не понимаю совсем этих строчек!! Зачем они там ? кто растолкует

Rassadin, 2008-11-27 в 0:55:34

Во FreeBSD 7 ядерный NAT включается в /etc/rc.conf
firewall_nat_enable="YES"
firewall_nat_interface="if0" # if0 = внешний интерфейс
firewall_nat_flags="" # можно вставить redirect_port, если надо пробросить.
natd_enable="NO" # natd соответственно не нужен

В конфиге ядра должны быть
options IPFIREWALL_NAT
options LIBALIAS

Кажется модулем не подключить, надо пересобирать.

Rassadin, 2008-11-27 в 0:57:57

Это все, конечно, если использован штатный /etc/rc.firewall

WatchYourBalls, 2008-12-08 в 16:48:17

По причине криворукости настроить в FreeBSD 8.0-CURRENT nat через IPFIREWALL_NAT не удалось.
Поэтому попробовал сделать по вашей статье. Спасибо, всё работает отлично.

svol, 2008-12-16 в 14:39:35

в правило
$ add allow ip from $ to any out xmit $
я бы еще добавил keep-state

Zar, 2008-12-17 в 12:48:16

Ам. а только у меня skype лезет спокойно в Нет и работает? через свои порты?

ЗЫ правило $ add fwd 127.0.0.1,3128 tcp from $ to any 80 via $
не использую.

WildVlad, 2008-12-23 в 23:55:23

Rassadin, спасибо! 5 часов потерял, не понимая почему правила с divert просто не принимают ни одного пакета.
Пересобрал ядро, поправил rc.conf — все заработало.

WildVlad, 2008-12-24 в 0:50:38

Сорри, в предыдущем сообщении не правильно сказал, не работает. еще где-то косячу.

qwe, 2009-01-14 в 7:18:35

Бред какой то, не может тут все правильно работать. тут в всех примерах все все могут.

smile, 2009-01-27 в 8:40:53

$ add allow tcp from any to $ 49152-65535 via $ — вот это советую закрыть
мне с какого то ip адреса шли пакеты на 65535 порт,
в итоге 64гб накрутило.
по чему так получилось сейчас выясняю.
вот он расхититель казенного имущество 128.31.0.34

tite, 2009-01-29 в 4:26:33

Да тут от всего отказываться надо, файрвол дырявый.

GoraCIO, 2009-04-02 в 18:10:29

howto отличный,
единственное не понял: $ add allow tcp from any to $ 49152-65535 via $ — смысл?
лично у ся закоментил.

daggerok, 2009-05-22 в 0:55:08

# открываем снаружи 20,21 порт — для активного FTP
$ add allow tcp from any to $ 20,21 in via $ setup
# разрешаем входящую почту
$ add allow tcp from any to $ 25 in via $ setup
# разрешаем SSH
$ add allow tcp from any to $ 22 in via $ setup
# открываем снаружи 20,21 порт — для активного FTP
$ add allow tcp from any to $ 20,21 in via $ setup

похоже дублекат — первая и последняя сточки одинаковы

mike, 2009-05-26 в 13:01:01

автору респект, но вот вопрос на счет почты, как быть?
подскажите плиз

Smith, 2009-08-23 в 17:51:22

Ман хороший, многое объясняет, но с NAT’ом ситауция несколько неясная.

Хендбук настоятельно рекомендует другую структуру конфига при использовании NAT — с употреблением skip to.

Кстати, глава хендбука про IPFW на русском есть здесь же, в разделе "Документация"

ImperatorX, 2009-10-17 в 5:49:47

единственно прошу добавить коммент в статью если этот роутер берёт инет с модема-роутера а там обычно сеть 192.168.1.0/24 то правила в твоём лис конфиге а конкретно:
$ add deny ip from any to 192.168.0.0/16 in via $ и $ add deny ip from 192.168.0.0/16 to any out via $

должны быть под коментарием иначе нет сети. =) сам долго тупил почему не не на серваке и в сети инета 😀

Mike, 2010-04-29 в 11:39:26

Спасибо за конфиг!
Зачемание: вместо sysctl %var_name% | awk ‘‘ можно писать sysctl -n %var_name%
Выдержка из man sysctl:
-n Show only variable values, not their names.

Vsay, 2010-05-31 в 1:19:29

Афтар лох,пиши исчо.

В нормальном виде нельзя было выложить рабочий конфиг?

В примере всё через жопу и разумеется работать не будет.

artem, 2010-06-01 в 15:22:01

Так и запишем школота с ником Vsay статью не смогла осилить,
а копипаст. о горе. не заработал. плак-плак

adre, 2010-06-10 в 16:14:13

Vsya пользуйся BolgenOS. Там говрят прикрутят скоро новые фичи и нинадо больше использовать одинаковые рисунки на рабочем столе и можно будет не покупать ворд у мелкософта, т.к. поповОфис быстрее и надежнее ворда.

Vsay, 2010-07-09 в 3:04:03

Я сама писала конфиг и всё пашет, а вот по статье нет и не будет, потому что реально через жопу.

adre ,TupakOS себе поставь, там говорят даже дауны в состоянии в пасьянс раскладывать.

Alex Keda, 2010-07-09 в 7:12:31

Мадама, идите детей воспитывайте, а не выступайте с глупостями.
Эти конфиги срисованы с севреров которые до сих пор работают.
с 4.11 FreeBSD.
и конфиг файрволла на них — всё тот же, за 5 лет его даже менять не потребовалось.

Vsya, видимо тебе часто говорили, что девушка админом быть не может ты затаила большую обиду на мужчин админов и пришла полить грязью человека, который в плане ИТ-сообщества рунета сделал большое дело ввиде сие ресурса, где многие находили и находят ответы на свои вопросы.
P.S. У меня заработало 😉 ИМХО: девушка не может быть админом, спасибо что помогла в этом убедиться 😉 .

Outsider, 2010-08-31 в 13:25:22

Касательно — P1003_1B_SEMAPHORES
options P1003_1B_SEMAPHORES —
Поддержка семафоров POSIX. В ветке 8.1 имеет статус very xperimental.

—————————————-
# p1003_1b_semaphores are very experimental,
# user should be ready to assist in debugging if problems arise.
—————————————-

Outsider, 2010-08-31 в 13:27:29

Не в тот пост написал, это касательно сборки ядра.
(P1003_1B_SEMAPHORES)
ссори))

ups91, 2010-09-10 в 19:55:17

Приведенный конфиг файрвола достаточно точно представляет собой перевод
файла /etc.rc.firewall для случая "simple".
Автор сделал только дополнение с пайпами, контру и
еще парочку НЕ УДАЧНЫХ "исправлений" для ДНС.
Для хостов ЗА таким файрволом будет доступен ТОЛЬКО ДНС сервер на ЭТОЙ ЖЕ машине (а если его там нет — то имена развязываться НЕ БУДУТ).

ups91, 2010-09-10 в 20:07:38

2 Alex Keda: "конфиг с рабочего сервака"
Для клиентов ЗА таким файрволом будет доступен ТОЛЬКО один ДНС сервер (тот, который на этом же сервере).
Правила для выпуска обращений к внешним серверам — некорректны. Они не пропустят ответ внешнего ДНС (после ната) во внутр. сеть.
Сравни, хотя бы с правилами для контры на внешних серверах (она так же работает по UDP но на других портах)

tak zashel, 2010-10-11 в 14:35:08

Друзья, коллеги, хорошие люди, мадам, недруги и пр.. статья еще актуальна? Стоит по ней настраивать фаер на 8.1?

Alexandr_A, 2010-10-12 в 7:16:36

tak zashel
а ты проверь, потом отпишиешься )
P.S. А че бы и не работать?!

tak zashel, 2010-10-12 в 13:55:05

проверил.. второй пример.. что-то пользователей сети не пускает в инет через сквид.. (правда правила чуть изменил).. открыл порт для openfire, заработал через инет. открыл также 1194 для openvpn — не заработал.
Сканировал NMAPом, порт для openfirе видит, а 1194 нет

Alexandr_A, 2010-10-13 в 2:57:00

tak zashel
Думаю пора писать на форум )

Fobos, 2010-12-20 в 19:04:17

Запустил сей конфиг на фре 8.1, работает всё как бы, но за этим фаерволом из венды невозможно подк.ючиться в ВПН по РРТР, непонятно как то, по правилас gre не идут вооще никакие пакеты.

gpnoz, 2011-01-03 в 1:58:49

Товарищщи! все тут правильно и все работает. просто обратите внимание на регистр. т.е в штатном rc.firewall пишется . обращайте внимание на мелкие недочеты. как описано, так и работает.

Для вопросов есть форум!

tokito, 2011-07-13 в 12:40:12

уже неделю мучаюсь с натом , не хочет он раздавать инет по сети 🙁
перепробовал уже кучу инструкций:(

Fobos, 2011-07-14 в 0:17:00

Какая версия ОС?

time, 2011-08-28 в 18:33:04

я не совсем понял, вот это правило

$ add allow udp from any 53 to any via $

разрешает с локального порта 53 отправлять udp пакеты в любых направлениях?

Fobos, 2011-08-29 в 0:15:13

С любого хоста за натом разрешает отправлять запросы на 53ий порт любого хоста вне сети, вообще то говря правило лишнее, но на всякий случай типа.

time, 2011-09-20 в 11:46:18

вот не понимаю, это правильно значит что с удаленного 53 порта можно коннектиться к любым локальным портам моей тачки? это ведь не дело!

tehnikpc, 2011-11-28 в 21:13:09

"Учтите — эти изменения живут ровно до первой перезагрузки, если хотите чтобы они остались насовсем, то читайте тут."-а что собственно читать, то, что просто нужно прописать нужное значение в /etc/sysctl.conf? Странно.

tehnikpc, 2011-11-28 в 21:19:28

Зачем делать открытый фаерволл тоже не пойму.

bilcic, 2011-12-14 в 20:29:26

если внешний адресс выдется провайдером по DHCP то

IpOut=`ifconfig $LanOut | grep inet | awk \’\’`

SkiNNi, 2012-01-10 в 11:57:17

я только начинаю разбираться в BSD, так что может глупый вопрос но:
$ add allow ip from any to any via lo0
# рубим попытки lo0 куда-то лезть и откуда-то лезть на lo0 (вот честно — ни
# одного пакета по этим правилам не зарубилось за всё время. Может в этом
# моё счастье? :))
$ add deny ip from any to 127.0.0.0/8
$ add deny ip from 127.0.0.0/8 to any

первое правило разве не разрешает выходить всем пакетам через lo0? И до остальных не доходит?

SkiNNi , 2012-01-10 в 11:59:23

Извеняюсь было уже спрошенно и отвеченно. Удалите плиз. 🙁

Vsey, 2012-06-25 в 12:29:31

Alex Keda,Alexandr_A,adre,artem Вы криворукие балбесы.

Конфиг фаервола приведённый выше мало того что раком написан так ещё и не рабочий.

Alex Keda, 2012-06-25 в 19:36:07

эх вася, вася.
высокоинтеллектуальный вы наш пионер на каникулах.
прочтите комментарий от 2007-07-25 в 14:29:03

а статья от 2006 года. прошло больше шести лет, и файрволл этот, в этой же конфигурации работаеет на этой же машине.

учитесь вася, читать комментарии, думать.
а комбинацию Ctrl+C && Ctrl+V лучше сразу забыть.

tehnikpc, 2012-07-30 в 8:24:42

"разрешаем весь исходящий траффик"
Правило просто шикарное. Может тогда просто сразу сделать "$ add allow ip from any to any"?

МОРЖ, 2014-11-29 в 0:44:29

Alex Keda — ТЫ ОЛЕНЬ

Alex Keda, 2014-11-29 в 0:50:00

вот честное слово, мне — похуй =)

возраст детских обид на дурачков из интернета — давно уже прошёл. да и не было его наверное, иначе бы закрыл камменты ещё на первом таком комментарии, лет 8 назад.

2admin2, 2014-12-24 в 19:49:26

Т2овар2ищ2щи2! 2Это 2пол2я для вв2ода ком2мент2ар2иев к 2статье, 2а не для 2воп2рос2ов. 22Сю2да пиш2ите2 н2ай2де2нны2е 2баги2, и2ли ка2к2ие-т2о2 2фи2чи :2)2
Д2л2я2 воп2ро2сов2 ес2ть2 фо2рум2!

Alex Keda, 2014-12-24 в 19:51:21

Гот честное слово, мне — похуй =)

возраст детских обид на дурачков из интернета — давно уже прошёл. да и не было его наверное, иначе бы закрыл камменты ещё на первом таком комментарии, лет 8 назад.

2014-07-27, lissyara
gmirror
Удалённое создание софтверного зеркала средствами gmirror, на диске разбитом с использованием gpart. Использование меток дисков для монтирования разделов. 2013-08-20, zentarim
Scan+Print server FreeBSD 9
Настройка сервера печати и сервера сканирования под управлением операционной системы FreebSD 9 для МФУ Canon PIXMA MP540 2011-11-20, BlackCat
Разъём на WiFi-карту
Делаем съёмной несъёмную антену на WiFi-карте путём установки ВЧ-разъёма 2011-09-14, manefesto
Настройка git+gitosis
Настройка системы контроля версия исходного кода в связке git+gitosis+ssh 2011-08-14, zentarim
Wi-FI роутер + DHCP + DNS
Настройка Wi-Fi роутера на Freebsd 8 + DNS сервер + DHCP сервер: чтобы Wi-Fi клиенты были в одной подсети с проводными, проводные и беспроводные клиенты получали адреса автоматически по DHCP, кэширующ 2011-06-15, -ZG-
Охранная система на FreeBSD+LPT
В этой статье описана попытка реализации простой охранной системы на базе FreeBSD с подключением к ней охранных устройтсв на LPT порт и видеорегистрацией. 2011-03-13, terminus
ng_nat
Описание работы ng_nat, практическое использование, достоинства и недостатки в сравнении с ipfw nat 2011-02-20, Капитан
Nagios+Digitemp
Статья описывает создание системы оповещения о превышении температуры в специальных помещениях на основе Nagios с использованием программы Digitemp. 2011-02-17, Le1
Zyxel Configuration
Скрипт для массового изменения конфига свичей Zyxel. Берет из файла iplist список ip-шек, заходит последовательно на каждый и выполняет комманды из файла commands, записывая происходящее в лог файл. 2011-02-16, fox
hast carp zfs ucarp cluster
HAST (Highly Available Storage), CARP, UCARP, ZFS, Cluster настройка и одаптация плюс личные размышления… 2011-02-04, BlackCat
Восстановление ZFS
История о том, как был восстановлен развалившийся RAIDZ ZFS-пул (перешедший в FAULTED) с помощью скотча и подручных средств. Или о том, какие приключения ожидают тех, кто не делает резервных копий. 2011-02-03, Капитан
1-Wire
Статья описывает самостоятельное изготовление контроллера DS9097 для съёма показаний с датчиков температуры DS1820 с помощью программы Digitemp. 2011-01-28, Капитан
Температура в серверной
Статья описывает построение системы наблюдения за температурой в помещении серверной с использованием программы Digitemp и выводом графиков в MRTG 2011-01-21, m4rkell
Syslog server
Как то буквально на днях, у нас завалилось, что то в еве) или не в еве не суть. Суть в том, что когда захотели снять логи с хостов esx обнаружили, что хранят эти негодяи логии только за последнии сутк 2011-01-07, lissyara
Canon/gphotofs
Монтирование цифровых фотоаппаратов Canon (PTP) как файловой системы, автоматизация этого процесса через события devd и внешние скрипты. 2010-12-13, Al
IPSec
Описание принципов работы IPSEC и способов аутентификации. 2010-12-07, manefesto
FreeBSD on flash
Было принято решении переехать на USB Flash и установить минимальный джентельменский набор для работы своего роутера. Делаем =) 2010-12-05, Fomalhaut
root ZFS, GPT
Инструкция по установке FreeBSD с использованием в качестве таблицы разделов GPT и в качестве основной файловой системы — ZFS 2010-09-05, Cancer
Настройка аудиоплеера на ximp3
Цели: Простенький аудиоплеер, для того что бы тетя продавец в магазине утром пришла нажала на кнопку Power и заиграла в зале музыка, так же был доступ по сети, общая шара куда можно заливать музыку, к 2010-08-31, Cancer
Установка и настройка OpenVPN
На днях появилась задача — объединить головной офис и 3 филиала в одну сеть через интернет посредством OpenVPN, чтобы люди могли подключаться через RDP к базам 1С на серверах. 2010-08-25, manefesto
freebsd lvm
Использование linux_lvm для работы с LVM разделами из-под FreeBSD. Проблемы которые возники при монтирование lvm раздела 2010-04-30, gonzo111
proftpd file auth&quota
Proftpd — квоты и авторизация из файлов, без использования базы данных и/или системных пользователей 2010-04-22, lissyara
tw_cli
Пошаговая инструкция по восстановлению RAID на контроллере 3ware, из которого выпал один диск. Настройка мониторинга состояния рейда и отчётов о его состоянии на email. 2010-04-14, fox
MySQL Master+Master
MySQL (Master Master) and (Master Slave) Как настроить репликацию… 2010-03-09, terminus
DNS zones
Краткий ликбез про управление DNS зонами. Примеры проведения делегирования прямых и обратных DNS зон. 2010-03-09, aspera
Squid+AD (group access)
Настройка прокси сервера SQUID с автроризацией пользователей в AD. Разделение пользователей на группы 2010-03-02, BlackCat
Шлюз: Часть 4
Настройка дополнительных сервисов: синхронизация времени (OpenNTPD), клиент DynDNS.org. 2010-03-01, BlackCat
Шлюз: Часть 3
Настройка DHCP и DNS серверов для работы внутри частной сети, c поддержкой внутренних (частных зон) DNS, а так же интеграция DHCP и DNS сервисов. 2010-03-01, BlackCat
Шлюз: Часть 2
Конфигурация МСЭ pf для проброса портов с изменением порта назначения и без, а так же поддержки активного режима FTP и ограничения максимального размера сегмента 2010-03-01, BlackCat
Шлюз: Часть 1
Быстрая настройка шлюза/маршрутизатора с установлением PPPoE-соединения, поддержкой NAT и DNS-forwarding. 2010-02-23, Morty
darkstat
Простая считалка траффика, со встроенным веб-сервером. Очень маленькая, может делать отчеты трафика по хостам, портам, протоколам, а также строить графики 2010-01-23, gonzo111
squid+sams+sqstat
Пилим squid и sams — примеры конфигов с объяснениями. Установка SqStat. 2009-12-19, schizoid
mpd5 + radius + ng_car + Abills
Настройка pppoe-сервера с биллинговой системой Abills и шейпером ng_car 2009-11-16, lissyara
UFS->ZFS
Удалённая миграция с UFS на ZFS. Загрузка с раздела zfs. Настройка для работы с малым количеством памяти под архитектурой i386. 2009-11-13, gx_ua
fusefs-ntfs
Установка, настройка и использование fusefs-ntfs, драйвер NTFS, предназанченного для монтирования NTFS разделов под FreeBSD 2009-11-12, Morty
LiveCD
Создание собственного LiveCD с необходимыми вам изменениями, автоматизирование данного процесса, а так же вариант скоростной сборки СД. 2009-09-27, lissyara
Samba как PDC
Контроллер домена — аналог M$ NT4 домена под самбой, без использования LDAP и прочей хиромантии. Просто и быстро =) 2009-08-30, terminus
ipfw nat
Подробное руководство по ipfw nat, сложные случаи конфигурации. 2009-08-24, levantuev
HotSpot
Установка Hotspot системы в общественное заведение. 2009-08-18, lissyara
diskless
Создание бездисковых терминалов под управлением FreeBSD — с загрузкой по сети. Используются для старта rdesktop и подключения к виндовому серверу терминалов. 2009-07-29, BAV_Lug
Видеонаблюдение
Настройка бюджетного варианта видеонаблюдения на удаленном объекте 2009-07-22, Cancer
OpenLDAP адресная книга
Настройка и создание адресной книги на базе OpenLDAP + phpLDAPadmin 2009-06-30, SergeySL
AimSniff
Руководство по созданию системы мониторинга ICQ-переписки на базе AimSniff, использующей базу данных MySQL для хранения и Web-интерфейс WAS (Web Aim Sniff) для просмотра перехваченных сообщений 2009-06-25, atrium
Управление правами доступа
Полномочия пользователей и файлов, принадлежащих им, формирует концепцию ОС UNIX.
вверх