Packet Filter
De Diablotins.org.
| Le Pare-feu d'OpenBSD, chez FreeBSD
|
| ||
| Packet Filter, communément appelé pf(4) est le pare-feu d'OpenBSD.
Auparavant, il était présent en tant que port. |
Sommaire |
Installer
Il existe deux manière d'activer cet outil, dans le noyau et par modules.
Noyau
Ajoutez l'option suivante:
device pf
Je vous conseille d'activer aussi le journal, si vous êtes curieux de nature:
device pflog
Cette dernière option n'est utile que pour construire des pare-feux redondants.
device pfsync
Enfin, «ALTQ» est le gestionnaire de files d'attente et de bande passante:
options ALTQ options ALTQ_CBQ options ALTQ_RED options ALTQ_RIO options ALTQ_HFSC options ALTQ_PRIQ
Ajoutez cette dernière si votre machine a plusieurs processeurs:
options ALTQ_NOPCC # En SMP uniquement (machines multi-processeurs)
Attention, il n'est pas disponible pour toutes les cartes;Consultez altq(4).
Modules
Il suffit d'activer les options dans /etc/rc.conf du paragraphe suivant pour que les modules se chargent.
Notez que seuls PF et PFlog sont disponibles par ce biais.
Activer le pare-feu
Insérez dans /etc/rc.conf les entrées suivantes:
pf_enable="YES" # Charger PF pf_rules="/etc/pf.conf" # Règles, chemin par défaut par défaut. pf_flags="" # Bonus pflog_enable="YES" # démarrer le journal pflog_logfile="/var/log/pflog" # où trouver le journal pflog_flags="" # Bonus
Paramètres
Depuis la branche VII, copiez l'exemple de /usr/share/examples/pf/ dans /etc/pf.conf; auparavant, le fichier se trouvait déjà par défaut dans /etc.
Je vous laisse consulter les documentations issues d'OpenBSD,
ce sont eux qui en parle le mieux.
|
Depuis 2011, de fortes différences existent entre les syntaxe de PF d'OpenBSD et de FreeBSD (basé sur la version d'OpenBSD 4.1) : |
Piloter
Suivez le guide:
pfctl -e Activer pfctl -d Désactiver pfctl -F all -f /etc/pf.conf Annule toutes les règles et relecture des règles de «/etc/pf.conf» pfctl -vnf /etc/pf.conf Contrôle sans les enregistrer les règles de «/etc/pf.conf»
Consultez le journal
Tapez
sudo tcpdump -n -e -ttt -i pflog0
