Файрвол-невидимка

Andrey Matveev

Хакер, номер #079, стр. 079-100-5

Настройка сводится к приведению файла терминальных сессий /etc/ttys и конфига загрузчика /etc/boot.conf (по умолчанию не существует) к следующему виду:

# vi /etc/ttys

/* Включаем коммуникационный терминал */

console "/usr/libexec/getty std.9600" vt220 on secure

# vi /etc/boot.conf

/* Устанавливаем скорость порта равной 9600 bps */

stty com0 9600

/* Нуль-модемный кабель подключен к первому последовательному порту */

set tty com0

/* Игнорируем пятисекундную задержку при загрузке ОС */

boot

Можно на свой страх и риск установить скорость порта равной 19200 bps, но только после перекомпиляции ядра с опциями:

option PCCOMCONSOLE

option CONSPEED=19200

Теперь перезагружай мост, а на ноуте (или на обычном компьютере, играющем роль терминала) открывай SecureCRT, создавай новое подключение по протоколу serial, отключай аппаратное управление потоком и в комбобоксах выбирай 9600/8/None/1. С этого момента весь консольный вывод будет идти на терминал по нуль-модемному кабелю:

>> OpenBSD/i386 BOOT 2.08

com0: 9600 baud

switching console to com0

[пользовательские радости]

Но вернемся к нашим бриджам. С помощью системных вызовов ioctl(2) утилита brconfig(8) позволяет не только запрашивать у ядра состояние помещенных в мост сетевых интерфейсов, но и производить их конфигурирование. Перечислю некоторые интересные опции brconfig:

maxaddr размер — количество записей в кэше моста.

timeout время — таймаут, в течение которого записи будут истекать.

static ифейс адрес — занесение клиентского MAC-адреса в кэш.

deladdr адрес — удаление клиентского MAC-адреса из кэша

blocknonip ифейс — блокировка трафика, отличного от IP, например соединения по протоколам IPX или NETBEUI (постарайся использовать эту опцию при первой возможности).

rule запись — добавить правило фильтрации.

Пример предоставления доступа беспроводному клиенту с привязкой IP к MAC:

# vi /etc/bridgename.bridge0

static ral0 00:0f:ea:91:43:f6

up

rule pass in on ral0 src 00:0f:ea:91:43:f6 tag andrushock

rule block in on ral0

# echo 'block in quick on ral0 from ! 192.168.1.21/32 to any tagged andrushock' >> /etc/pf.conf

В итоге, собрав по кусочкам необходимые переменные вместе, получим конфиг для транспарентного бриджа, работающего в параноидальном режиме. Будь осторожен: это достаточно агрессивная конфигурация, которая может не заработать в твоем случае.

# vi /etc/bridgename.bridge0

add fxp0

add ral0

blocknonip fxp0

blocknonip ral0

-learn fxp0 ral0

-discover fxp0 ral0

static ral0 00:0f:ea:91:43:f6

maxaddr 10

timeout 0

up

rule pass in on ral0 src 00:0f:ea:91:43:f6 tag andrushock