Диалапные радости рыбаков - Рулим модемом в собственной операционке
Andrushock
Xakep, номер #050, стр. 050-072-7
/* блокируем все входящие и исходящие запросы */
block in on $iface all
block out on $iface all
block return-rst in on $iface proto tcp all
block return-rst out on $iface proto tcp all
block return-icmp in on $iface proto udp all
block return-icmp out on $iface proto udp all
/* разрешаем исходящий трафик */
pass out on $iface inet proto tcp all flags S/SA keep state
pass out on $iface inet proto udp all keep state
pass out on $iface inet proto icmp all keep state
Если требуется разрешить, к примеру, входящие запросы для создания www и https-соединений, необходимо установить следующее правило:
pass in log-all quick on $iface inet proto tcp from any to any port { 80, 443 } flags S/FSRA modulate state
Если же ты преследуешь цель усложнить работу киддисам, сканирующим диапазоны айпишников nmap'ом и страстно жаждущим определить версию твоей операционки, то воспользуйся этим правилом:
block in log quick on $iface inet proto tcp from any to any flags FUP/FUP
Для включения брадмауэра pf достаточно прописать следующие строки в файл /etc/rc.conf:
pf=YES
pf_rules=/etc/pf.conf
Серфинг
А вот с выбором браузера в OpenBSD действительно могут возникнуть проблемы. Дело в том, что по умолчанию в системе присутствует только lynx. В портах для более комфортного серфинга идут нетшкафы, но один (версии 4.75) воркает через эмулятор BSDi (в ядре должны присутствовать директивы option COMPAT_43 и option COMPAT_BSDOS), а второй (версии 4.78) через эмулятор Red Hat Linux (в ядре необходима директива option COMPAT_LINUX плюс нужно поставить еще и сам эмулятор). Дерево портов можно получить, либо скачав архив ports.tar.gz, обновляемый разработчиками каждую ночь, либо воспользовавшись CVS.
Crush-тесты
Теперь попробуй позвонить провайдеру:
$ myppp up provider
Для проверки правильности установки PPP-соединения и работы DNS-клиента/DNS-сервера можно воспользоваться утилитами ifconfig и ping:
$ ifconfig -a
$ ping -vc3 dialup.provider.ru
Чтобы разорвать созданное соединение, достаточно уничтожить идентификатор процесса программы ppp:
$ myppp down
Производить мониторинг работы firewall'а можно с помощью pfctl:
# pfctl -s all
Вот, собственно, и все. Процесс конфигурирования считаем законченным. После перезагрузки ты сможешь насладиться новым коннектом. Конечно, диалап в мгновение ока не превратится в T1, но существенную разницу в скорости доступа я тебе обещаю. Да и уровень безопасности возрастет не на один порядок.