主页 / server / 问题 / 867854
Accepted
djsumdog
Asked: 2017-08-10 19:48:49 +0800 CST

FreeBSD 上的 PF 防火墙，用于允许 SSH 和 OpenVPN 流量

  • 772

我正在尝试为 FreeBSD 11.1-RELEASE 上的数据包过滤器创建一个简单的 ansible 模板。我有vtnet0（公共），vtnet1（私人，10.10 地址）和tun0（openvpn，从客户端到我网络上的节点的完全工作/测试）。

我的 rc.conf 如下所示：

hostname="bastion"
sshd_enable="YES"
static_routes="linklocal"
ifconfig_vtnet0="DHCP"
ifconfig_vtnet0_ipv6="inet6 accept_rtadv"
ipv6_activate_all_interfaces="YES"
rtsold_enable="YES"
rtsold_flags="-aF"
ifconfig_vtnet1="inet 10.10.6.20 netmask 255.255.255.0"
gateway_enable="YES"
openvpn_enable="YES"
pf_enable="YES"

我的云提供商通过 DHCP 为我提供了 ipv4/ipv6 公共地址。

我查看了 FreeBSD 文档和其他 ansible 剧本，并提出了这个基本的 pf.conf：

block all
set skip on lo0
set skip on tun0
pass out all keep state
tcp_services = "{ ssh }"
udp_services = "{ openvpn }"
pass in proto tcp to any port $tcp_services keep state
pass in proto udp to any port $udp_services keep state

但是，使用此配置，我阻止了所有 ssh 和 openvpn 访问，并且必须通过 VM Web 控制台登录到我的盒子。

我的目标是让这个盒子只允许来自公共接口的 openvpn (udp) 和 ssh，允许通过 vpn (tun0) 的所有流量和来自内部的所有流量。

firewall

1 个回答

  1. Best Answer

    设置pf可能有点麻烦。您需要了解，它pf绝对平等地对待所有接口，并且不存在源自盒子本身的数据包的概念，就像在iptables--OUTPUT链中一样。我将从这些方面开始，并以此为基础：

    # allow all from host itself
pass out inet all keep state
pass out inet6 all keep state
# allow all from private
pass in quick on vtnet1 inet from any to any keep state
# openvpn
pass in quick proto udp to vtnet0 port openvpn keep state
pass in quick on tun0 inet from any to any keep state
# ssh
pass in quick proto tcp to vtnet0 port ssh flags S/SA keep state

    警告：不要使用标准的 openvpn 和 ssh 端口。

    • 3

相关问题