Authpf i OpenBSD
8 отговора
348 прегледа
Ta opisanieto na zadachata i problema
Poneje iavno OpenBSD i kombinaciqta authpf i PF ne e mnogo populiarna shte vi razkaja tova koeto narpavih az i tova koeto me pritesni.
Za paketno filtrirane OpenBSD izpolzva PF - packet filter. Authpf e user shell koito dobavia pravila v pf ruleset v nachaloto na sesiqta i gi maha v neinq krai. Tova e dosta polezno ako mrejoata arhitektura iziskva authentication gateway. Ideqta mi e da limitiram ili po skoro da definiram izpolzvaneto na internet ot potrebitelite na edna LAN mreja. Povecheto dostavchici go rpaviat s PPTP ili PPPoE. Spored men tova e nai sigurniq e lek za obslujvane i pozvane nachin. Ne sa neobhodimi nito specialni cklienti nitto puk kachestvoto na uslugata shte se vloshi ili shte se generira extra traffic.
Predi da prodalja iskam da kaja che opititie sa praveni v domashna sreda (laboratoriq) - a ne v produktivna mreja.
Instalirah OBSD i konfigurirah authpf i pf za rabota. Interesnoto i strannoto beshe che ako se opitam da napravq 2 konekcii ot 1 machina neshtata se razpadat - ili pravilata ne se advat korektno (imam predvid che ako se otorizirash 2 puti ednovremenno s 2 razlichni usera se advat samo pravilata na posledniq 2 puti, a ne pravilata na vseki user po otdelno po vednaj kakto triabva i da bude), kakto i che kogato prekasnesh sesiqta inicializirana ot ediniq user shella zatvaria i 2 te conekcii, kato ne vinagi korektno premahva pravilata ot filtera.
Ako niakoi ima nabliudeniq dali tova raboti za razlichni useri - molq da spodeli opit. V kashti imam samo 3 machini a te ne sa dostatachni za da simuliram vsichko korektno.
Za paketno filtrirane OpenBSD izpolzva PF - packet filter. Authpf e user shell koito dobavia pravila v pf ruleset v nachaloto na sesiqta i gi maha v neinq krai. Tova e dosta polezno ako mrejoata arhitektura iziskva authentication gateway. Ideqta mi e da limitiram ili po skoro da definiram izpolzvaneto na internet ot potrebitelite na edna LAN mreja. Povecheto dostavchici go rpaviat s PPTP ili PPPoE. Spored men tova e nai sigurniq e lek za obslujvane i pozvane nachin. Ne sa neobhodimi nito specialni cklienti nitto puk kachestvoto na uslugata shte se vloshi ili shte se generira extra traffic.
Predi da prodalja iskam da kaja che opititie sa praveni v domashna sreda (laboratoriq) - a ne v produktivna mreja.
Instalirah OBSD i konfigurirah authpf i pf za rabota. Interesnoto i strannoto beshe che ako se opitam da napravq 2 konekcii ot 1 machina neshtata se razpadat - ili pravilata ne se advat korektno (imam predvid che ako se otorizirash 2 puti ednovremenno s 2 razlichni usera se advat samo pravilata na posledniq 2 puti, a ne pravilata na vseki user po otdelno po vednaj kakto triabva i da bude), kakto i che kogato prekasnesh sesiqta inicializirana ot ediniq user shella zatvaria i 2 te conekcii, kato ne vinagi korektno premahva pravilata ot filtera.
Ako niakoi ima nabliudeniq dali tova raboti za razlichni useri - molq da spodeli opit. V kashti imam samo 3 machini a te ne sa dostatachni za da simuliram vsichko korektno.
Re: Ta opisanieto na zadachata i problema
Изправен съм пред дилемата дали да ползвам authpf или PPPoE. Но съм малко резервиран по отношение на authpf, защото четох, че имало накви проблеми все още. Иначе идеята е супер - ПФ всичко сам прави.
Настройвал ли си PPPoE server, отчитане на трафик, shaping под OpenBSD?
Настройвал ли си PPPoE server, отчитане на трафик, shaping под OpenBSD?
Re: Ta opisanieto na zadachata i problema
На прима виста бих казал, че имаш някакъв пропуск в конфигурацията. Какво имаш в /etc/authpf/ (файлове и съдържание)? А /etc/pf.conf?
Освен това, едно чисто логическо разсъждение: ако за user1 разрешаваш услуга на порт X, а за user2 разрешаваш услуга на порт Y, и ако user1 и user2 се свържат от един и същи IP адрес, тогава за този IP адрес ще са разрешени и двете услуги...
RTFM!
--sdg
Освен това, едно чисто логическо разсъждение: ако за user1 разрешаваш услуга на порт X, а за user2 разрешаваш услуга на порт Y, и ако user1 и user2 се свържат от един и същи IP адрес, тогава за този IP адрес ще са разрешени и двете услуги...
RTFM!
--sdg
Re: Authpf i OpenBSD
преди 2-3 дена се сдобих с "Building firewalls with OpenBSD and PF 2nd edition", където има 3-4 страници за authpf. Все още нямам време да я прочета, но мога да помогна да ги сканирам примерно и да ги пратя на pdf. Това е, което мога да направя по този въпрос засега.
shtepocherpim
:)) Ako ni pratish PDFka.
Kokoto do drugite vaprosi - puskal sam PPTP server za FreeBSD s RADIUS auth i tam nema tunga munga - sichko se broi - ama e tegavo.
Kolkoto do authpf configa v /etc/authpf/ direktoriqta imam authpf.conf deto sa opisami general rules i direktoriq /users kudeto v poddirektorii za vseki user ima po edin authpf.rules vav direktoriqta na vseki user. Shemata za auth e slednata
INTERNET | ----| FBSD Shaper | ---| Authpf OBSD Bridge | -----------| LAN USERS |
kato za da polzva internet se otorizira prez obsd brija i biva propuskan na vun. Tova e cialata rabota - spored mene e po secure ot pptp i po leko
Kokoto do drugite vaprosi - puskal sam PPTP server za FreeBSD s RADIUS auth i tam nema tunga munga - sichko se broi - ama e tegavo.
Kolkoto do authpf configa v /etc/authpf/ direktoriqta imam authpf.conf deto sa opisami general rules i direktoriq /users kudeto v poddirektorii za vseki user ima po edin authpf.rules vav direktoriqta na vseki user. Shemata za auth e slednata
INTERNET | ----| FBSD Shaper | ---| Authpf OBSD Bridge | -----------| LAN USERS |
kato za da polzva internet se otorizira prez obsd brija i biva propuskan na vun. Tova e cialata rabota - spored mene e po secure ot pptp i po leko