☰

FreeBSD 上的 PF 防火墙允许 SSH 和 OpenVPN 流量

tag-icon • tag-icon firewall openvpn freebsd pf
FreeBSD 上的 PF 防火墙允许 SSH 和 OpenVPN 流量

我正在尝试为 FreeBSD 11.1-RELEASE 上的数据包过滤器创建一个简单的 ansible 模板。我有vtnet0(公共)、vtnet1(私有，10.10 地址) 和tun0(openvpn，从客户端到我网络上的节点完全正常工作/测试)。

我的 rc.conf 如下所示：

hostname="bastion"
sshd_enable="YES"
static_routes="linklocal"
ifconfig_vtnet0="DHCP"
ifconfig_vtnet0_ipv6="inet6 accept_rtadv"
ipv6_activate_all_interfaces="YES"
rtsold_enable="YES"
rtsold_flags="-aF"
ifconfig_vtnet1="inet 10.10.6.20 netmask 255.255.255.0"
gateway_enable="YES"
openvpn_enable="YES"
pf_enable="YES"

我的云提供商通过 DHCP 为我提供 ipv4/ipv6 公共地址。

我查看了 FreeBSD 文档和其他 ansible 剧本，并得出了这个基本的 pf.conf：

block all
set skip on lo0
set skip on tun0
pass out all keep state
tcp_services = "{ ssh }"
udp_services = "{ openvpn }"
pass in proto tcp to any port $tcp_services keep state
pass in proto udp to any port $udp_services keep state

但是，使用此配置，我会阻止所有 ssh 和 openvpn 访问，并且必须通过 VM Web 控制台登录到我的机器。

我的目标是让这个盒子只允许从公共接口进入 openvpn（udp）和 ssh，允许通过 vpn（tun0）的所有流量和来自内部的所有流量。

答案1

设置pf可能有点麻烦。您需要了解，对pf所有接口都一视同仁，并且不存在数据包源自盒子本身的概念，因为存在iptables链OUTPUT。我将从以下方面开始，并在此基础上进行构建：

# allow all from host itself
pass out inet all keep state
pass out inet6 all keep state
# allow all from private
pass in quick on vtnet1 inet from any to any keep state
# openvpn
pass in quick proto udp to vtnet0 port openvpn keep state
pass in quick on tun0 inet from any to any keep state
# ssh
pass in quick proto tcp to vtnet0 port ssh flags S/SA keep state

警告：不要使用标准 openvpn 和 ssh 端口。

相关内容