pf szabályok

FreeBSD-security

Hello

Segítséget szeretnék kérni tőletek.
Összedobtam otthonra még egy gépet és FreeBSD-t tettem rá.
Apache, Mysql, Php van rajta, amolyan próba gép féle.
Szeretnék összeállítani egy pf szabálylistát.
Ami kellene:

a 80,21,22 -es portok távolról való elérése ezen kívűl semmi más port nem kell. Kifele mehetne minden. Ja és a gép fix ip-vel rendelkezne, a hálókártyát rl0-nak látja.
Ha tudnátok segíteni benne, annak nagyon örülnék, mert semmi rutinom nincs benne.

Üdv.

( drastik | 2006. 02. 06., h – 17:03 )

ext_if = "rl0"
serv = "{ 21 22 80 }"
set optimization normal
set block-policy drop
scrub all
block log all
pass in on $ext_if inet proto { udp, tcp } from any to ($ext_if) port $serv keep state
pass out on $ext_if inet from any to any keep state

( csiga | 2006. 02. 06., h – 17:12 )

Ha alapból nem mehet semmi:

block return-rst in log proto tcp from any to any port = 113
pass in quick proto tcp from any to FIXIP/32 port = 21 keep state
pass in quick proto tcp from any to FIXIP/32 port = 22 keep state
pass in quick proto tcp from any to FIXIP/32 port = 80 keep state
pass out quick on rl0 proto udp from any to any keep state
pass out quick on rl0 proto tcp from any to any keep state
pass out quick on rl0 proto icmp from any to any keep state
pass out quick on lo0 proto udp from any to any keep state
pass out quick on lo0 proto tcp from any to any keep state
pass out quick on lo0 proto icmp from any to any keep state

Ha alapból mehet minden:

block in log proto tcp from any to any
block in log proto udp from any to any
block in log proto icmp from any to any
block return-rst in log proto tcp from any to any port = 113
pass in quick proto tcp from any to FIXIP/32 port = 21 keep state
pass in quick proto tcp from any to FIXIP/32 port = 22 keep state
pass in quick proto tcp from any to FIXIP/32 port = 80 keep state
pass out quick on rl0 proto udp from any to any keep state
pass out quick on rl0 proto tcp from any to any keep state
pass out quick on rl0 proto icmp from any to any keep state
pass out quick on lo0 proto udp from any to any keep state
pass out quick on lo0 proto tcp from any to any keep state
pass out quick on lo0 proto icmp from any to any keep state

Ha már elindult e téma, én is szeretnék pár dolgot kérdezni.
6.0FBSD. othoni szólógép adsl interneten.
1. ha azt mondom: block all és pass-olom a loop-ot. Nem megy az internet. Ha meg block (in és out) on ext_if (minden más ua), akkor meg megy. Miért?
2. Hogyan tehető gép stealth -é. Próbáltam a block policy-t variálni /return és drop/, de nem változik semmi.
A pinget, hogy lehet eldobni. Megpróbáltam block return in icmp , de nem megy.

( insight | 2006. 02. 06., h – 18:44 )

Nagyon köszönöm a segítséget így már boldogulni fogok szerintem.

Köszi még1x.