pf=YES

##### BEGIN CONFIG
############################################################################
##            The gateway1's pf ruleset BASIC v. 0.02a                    ##
############################################################################
# СЕКЦИЯ макросы, (фактически макросами называется то же самое что в языках
## программирования называется переменной)
## интерфейсы
int_if="xl0" # внутренний интерфейс, который "смотрит" ко мне в домашнюю
##  локалку.
ext_if_cheap="tun0"     ## виртуальный pppoe интерфейс, безлимит.
##  Здесь берется адрес интерфейса tun0.
## Это удобно, т.к. провайдер может назначать динамический адрес.
## Используя этот макрос нам не придется корректировать файл правил pf когда 
## провайдер по какой - то причине станет выдавать нам другой IP адрес.
ext_if_expensive="tun1" ## виртуальный pppoe интерфейс, помегабайтная оплата
game_ports="7777" ## порт игры Unreal Tournament
icmp_types="{ echoreq, unreach}" ## разрешенные типы icmp сообщений.
## Первое необходимо для работы UNIX traceroute (для win tracert этого
##  не требуется), а второе нужно когда пытаемся коннектиться 
## к хосту, который в дауне.

# сети и хосты
trusted_lan="192.168.0.0/24" ## доверенная домашняя локалка
untrusted_lan="10.0.0.0/8" ## внешняя локалка провайдера, 
## будем называть ее WAN
localnet="127.0.0.0/8" ## сеть интерфейса петли, ну это понятно
game_server="192.168.0.15/32" ## адрес игрового сервера в 
## домашней локалке
wan_services="{ 85.113.63.251/32, 85.113.59.8/32, 85.113.62.200/32 }" 
## серверы в WAN провайдера (игровые, файловые). 
## Если мы захотим добавить в этот список еще несколько серверов,
## например 1.1.1.1 и 2.2.2.2, то список будет выглядеть так 
## wan_services="{ 85.113.63.251/32, 85.113.59.8/32, 
## 85.113.62.200/32, 1.1.1.1/32,  2.2.2.2/32}"
## и править больше ничего не потребуется. Вот оно, удобство макросов.

# СЕКЦИЯ  глобальные опции
set block-policy return ## сбрасываем соединение вежливо,
##  по умолчанию стоит агрессивное drop
set skip on lo0 ## полностью пропускаем проверку на петле 
## (повзоляет сэкономить немного вычислительных ресурсов)
set skip on $int_if ## полностью пропускаем проверку на интерфейсе,
##  к которому подключена домашняя локалка. 
## Вредителей в ней у меня нет. (также повзоляет сэкономить немного
##  вычислительных ресурсов)

# СЕКЦИЯ параметры нормализации
scrub in all ## нормализуем все входящие пакеты на всех 
## интерфейсах. Что это значит?
## Пакеты приходят частями (фрагментами). scrub сначала собирает 
## пакет у себя на шлюзе и только потом передает его дальше, 
## во внутреннюю сеть. Позволяет защититься от некоторого
## вида dos атак сбрасывая фрагменты TCP с некорректно 
## установленными флагами.

# СЕКЦИЯ приоретизация и очереди ALTQ
## у меня пустая, т.к. не использую шейпинг и очереди. 
## Всем компам домашней сети доступна
## полная ширина канала без ограничений.

# СЕКЦИЯ  port forwarding & NAT
rdr on $ext_if_expensive proto { tcp, udp } from $untrusted_lan to \ 
$ext_if_expensive port $game_ports -> $game_server port $game_ports
## Здесь пробрасываем всех кто коннектится по интерфейсу 
## ext_if_expensive на порт
## game_ports НА game_server порт game_ports, т.е. :
## from 10.0.0.0/8 to ext_if_expensive:7777 ПРОБРОСИТЬ НА
## 192.168.0.15:7777
## вот что получается если посмотреть с точки зрения PF
## (команда pfctl -sa)
## rdr on tun1 inet proto tcp from 10.0.0.0/8 to 10.[censored]
## port = 7777 -> 192.168.0.15 port 7777
## rdr on tun1 inet proto udp from 10.0.0.0/8 to 10.[censored]
## port = 7777 -> 192.168.0.15 port 7777
## И....
## По просьбам трудящихся добавляю нат средствами PF 
nat on $ext_if_cheap from $trusted_lan to any -> ($ext_if_cheap) 
## делаем нат НА внешнем интерфейсе (интерфейс с инетом) от 
## доверенной сети (192.168.0.0/24) ко всем.
## Параметр после знака -> позволяет подписывать у 
## отправляемых в инет пакетов любой адрес отправителя,
## но здесь нам нет смысла его менять, поэтому ставим
## адрес внешнего интерфейса. Т.е. ($ext_if_cheap).

# СЕКЦИЯ правила фильтрации 
antispoof quick for $ext_if_cheap # включает простейший 
## антиспуфинг, который превращается в 2 правила :
## block drop in quick on ! tun0 inet from tun0 to any
## block drop in quick inet from tun0 to any    
## Что означает : сбрасывать все входящие пакеты с 
## адресом отправителя равным нашему
## Самое время рассказать о порядке срабатывания фильтрующих
## правил и о ключе quick.
## Все правила обрабатываются сверху вниз и приоритет имеет
## последнее правило, т.е. если написать сначала
## block all ## а потом
## pass all
## то сработает 
## pass all ## как если бы мы кроме него ничего не писали
## Ключ quick указывает на то, то нужно применить текущее 
## правило и прекратить дальнейшую обработку.
antispoof quick for $ext_if_expensive ## тоже самое и
## для второго интерфейса
## Честно говоря, полноценным антиспуфингом это сложно
## назвать, от части спуферов, конечно спасает
## но для реализации путевого антиспуфинга надо
## смотреть RFC 1918 и 3330 и явно запрещать пакеты с
## левых сетей типа 127.0.0.0, 240.0.0.0/4, 169.254.0.0/16 и т.д.


block all ## запрет всего по-умолчанию

##--everithing LOCAL
pass out on $ext_if_cheap from $ext_if_cheap to any keep state
## разрешаем весь исходящий трафик с
## локальной машины (на ней у меня клиент торент сетей)
##--everithing LOCAL

##--everithing for 192.168.0.0/24 LAN
pass out on $ext_if_cheap from $trusted_lan to any keep state 
## разрешаем весь трафик от нашей домашней сети
## здесь хочу сказать, что если бы мы включили фильтрацию для
## интерфейса xl0, то пришлось бы писать ДВА правила :
## одно на разрешение ВХОДящего трафика по xl0 от сети 192.168.0.0/24 
## другое на разрешение ИСХОДящего трафика по ext_if_cheap 
## от сети  192.168.0.0/24 
##--everithing for 192.168.0.0/24 LAN

##--direct connections from 192.168.0.0/24 LAN to 10.0.0.0/8 WAN
pass out on $ext_if_expensive from $trusted_lan to \ 
$untrusted_lan keep state ## разрешаем трафик от
## локалки 192.168.0.0/24 к сети провайдера по быстрому соединению
##--direct connections from 192.168.0.0/24 LAN to 10.0.0.0/8 WAN

##--WAN services
## out from 192.168.0.0/24 LAN to all WAN servers VIA fast connection
pass out on $ext_if_expensive from $trusted_lan to \ 
$wan_services keep state ## разрешаем трафик от
## локалки 192.168.0.0/24 к серверам провайдера по быстрому соединению
##--WAN services

## и теперь разрешаем входящий трафик по быстрому соединению,
## которые мы будем пробрасывать на 192.168.0.15:7777
pass in log on $ext_if_expensive proto { tcp, udp } from $untrusted_lan to \
$game_server port $game_ports keep state
## это локальный трафик, стоит недорого, а для игр очень важна 
## скорость и ширина канала, поэтому
## трафик пущен именно по быстрому соединению
## ВНИМАНИЕ! Долго ломал голову почему ко мне не могут присоединиться
## ребята из локальной сети, чтобы 
## поиграть в UT. Методом многочисленных проб удалось установить
## что в этом правиле требуется указать
## разрешение трафика к game_server, а не к ext_if_expensive,
## как сначала может показаться. Убил кучу
## времени на это, благо товарищ из локалки помог продиагностировать.
## Спасибо GrayCat ;-)

pass log inet proto icmp all icmp-type $icmp_types 
## разрешаем icmp трафик установленных типов.
##### END CONFIG

nat on $ext_if_expensive from $trusted_lan to any -> $spoofed_addr

размещено: 2008-05-22,
последнее обновление: 2010-08-24,
автор: Grishun_U_S