PF: Pierwsze kroki

Spis treści

Aktywacja
Konfiguracja
Kontrola

Aktywacja

PF może być uruchamiane przy każdym starcie systemu automatycznie, w tym celu wystarczy dodać następującą linię:

pf=YES

do pliku /etc/rc.conf.local.

Przeładuj system, aby zmiany odniosły skutek.

Możesz także włączać i wyłączać PF dzięki programowi pfctl(8) :

# pfctl -e # pfctl -d

-e (ang. enable) włącz oraz -d (ang. disable) wyłącz. Zauważ, że żadne z powyższych poleceń nie powodują wczytania zestawu reguł, który musi zostać załadowany oddzielnie, przed lub po włączeniu PF.

Konfiguracja

PF wczytuje swoje reguły konfiguracyjne z pliku /etc/pf.conf podczas startu systemu, o ile jest uruchamiany przez skrypty startowe. Pomimo tego, że plik /etc/pf.conf przetwarzany jest jak skrypty systemowe, nadal pozostaje on zwykłym, tekstowym plikiem, który jest interpretowany przez pfctl(8), a następnie przenoszony do pf(4). W niektórych przypadkach wygodniejsze może być używanie innych plików konfiguracyjnych. Podobnie jak większość aplikacji systemu UNIX, PF, dzięki swej przemyślanej konstrukcji, oferuje użytkownikowi niezwykłą elastyczność.

Jest siedem rodzajów instrukcji w pf.conf:

Makra: Zdefiniowane przez zmienne, które mogą przechowywać adres IP, nazwę interfejsu sieciowego, itp.
Tabele: Struktura wykorzystywana do przechowywania list adresów IP.
Opcje: Różne opcje dostrajające działanie PF.
Scrub: Przetwarzanie pakietów w celu ich normalizacji i defragmentacji.
Kolejkowanie: Zapewnia kontrolę przepustowości i priorytetowanie pakietów.
Translacja: Kontrola translacji adresów (NAT) i przekierowywania pakietów.
Reguły filtrowania: Pozwala na selektywne filtrowanie lub blokowanie pakietów podczas ich przechodzenia przez dowolny interfejsów sieciowy.

Z wyjątkiem makr i tabel, każda sekcja powinna pojawiać się w powyższej kolejności w pliku konfiguracyjnym, mimo iż nie wszystkie sekcje muszą istnieć w danej konfiguracji.

Puste linie są ignorowane, a linie zaczynające się od # są traktowane jako komentarze.

Kontrola

Po starcie systemu, praca PF może być kontrolowana przy pomocy programu pfctl(8) . Oto kilka przykładowych komend:


     # pfctl -f /etc/pf.conf     Ładuje plik pf.conf
     # pfctl -nf /etc/pf.conf    Przetwarza plik, ale nie ładuje go
     # pfctl -Nf /etc/pf.conf    Ładuje z pliku jedynie reguły NAT
     # pfctl -Rf /etc/pf.conf    Ładuje z pliku jedynie reguły filtrujące

     # pfctl -sn                 Wyświetla obecne reguły NAT 
     # pfctl -sr                 Wyświetla obecne reguły filtrujące
     # pfctl -ss                 Wyświetla obecne tabele stanów połączeń
     # pfctl -si                 Wyświetla statystyki oraz liczniki filtra
     # pfctl -sa                 Wyświetla WSZYSTKIE możliwe informacje

Kompletną listę komend znajdziesz na stronach podręcznika systemowego programu pfctl(8).

[Spis treści] [Dalej: Listy i makra]

www@openbsd.org
$OpenBSD: config.html,v 1.19 2007/11/12 20:29:59 saad Exp $