Jak wczytać i przetestować konfigurację pf?

Najpierw sprawdź składnię bez wdrażania: pfctl -nf /etc/pf.conf. Jeśli nie ma błędów, wczytaj reguły: pfctl -f /etc/pf.conf. Stan zapory podejrzysz przez pfctl -sr (reguły) i pfctl -si (statystyki). Zawsze testuj na połączeniu, które nie odetnie Ci dostępu do serwera.

Jak nie zablokować sobie dostępu SSH przy wdrażaniu pf?

Przed wczytaniem reguł upewnij się, że jest reguła pass dla portu SSH z Twojego adresu, a najlepiej wdrażaj zmiany przez konsolę KVM lub z osobnej, już otwartej sesji. Pomocne jest też tymczasowe zadanie cron, które po kilku minutach przywróci poprzednią konfigurację, gdyby nowa odcięła dostęp.

Generator pf.conf (OpenBSD, FreeBSD)

Strona główna / Narzędzia

Czym jest pf i jak działa pf.conf

pf (Packet Filter) to zapora sieciowa wywodząca się z OpenBSD, dostępna także we FreeBSD i pochodnych. Konfiguruje się ją deklaratywnie w pliku pf.conf, którego siłą jest czytelna, zwięzła składnia i bardzo dobra wydajność na dużym ruchu. Plik czyta się od góry do dołu, a o losie pakietu decyduje ostatnia pasująca reguła, chyba że wcześniejsza reguła użyła słowa quick. Typowy, bezpieczny układ to: makra, opcje globalne (set), normalizacja (scrub lub match scrub), reguły antyspoofingu, domyślny block all, a na końcu reguły pass dopuszczające konkretne usługi. Ten konfigurator generuje plik w takim właśnie, sprawdzonym porządku.

Co składa się na bezpieczną konfigurację serwera

Polityka default-deny Punkt wyjścia każdej dobrej zapory: block all, a następnie jawne pass tylko dla potrzebnych usług. Wszystko nieprzewidziane jest domyślnie odrzucane.

Stan połączeń pf domyślnie śledzi stan (keep state), więc wystarczy dopuścić ruch w jedną stronę, a odpowiedzi przechodzą automatycznie. To upraszcza reguły i zwiększa bezpieczeństwo.

Antyspoofing i bogony Reguła antispoof i blokada adresów prywatnych oraz niealokowanych na interfejsie publicznym odcinają ruch z podrobionym źródłem.

Ochrona brute-force Limity max-src-conn i max-src-conn-rate z mechanizmem overload przerzucają nadaktywne adresy do tabeli i blokują je. Skuteczne wobec ataków na SSH.

Normalizacja (scrub) Składanie fragmentów i porządkowanie pakietów chroni przed częścią ataków opartych na nietypowych pakietach i ułatwia spójne filtrowanie.

OpenBSD a FreeBSD: kluczowe różnice składni

FreeBSD korzysta ze starszej gałęzi pf niż OpenBSD, dlatego część zapisów się różni, a generator dostosowuje je do wybranego systemu. Najważniejsza różnica dotyczy translacji adresów: w OpenBSD NAT i przekierowania zapisuje się słowami nat-to i rdr-to wewnątrz reguł match lub pass, podczas gdy we FreeBSD nadal używa się osobnych reguł nat on i rdr on umieszczanych przed regułami filtrowania. Różni się też zapis normalizacji (match ... scrub w OpenBSD wobec scrub we FreeBSD). Składnię swojego systemu zawsze potwierdzisz w podręczniku man pf.conf.

Najczęstsze pytania o pf.conf

Czym jest pf i plik pf.conf?+

pf (Packet Filter) to zapora systemów BSD, z OpenBSD i FreeBSD. Konfiguruje się ją w pliku pf.conf: makra, opcje globalne, normalizacja i reguły pass/block. pf słynie z czytelnej składni i wydajności.

Czym różni się pf w OpenBSD i FreeBSD?+

FreeBSD ma starszą gałąź pf. W OpenBSD translację zapisuje się jako nat-to i rdr-to wewnątrz match/pass, a w FreeBSD osobnymi regułami nat on i rdr on. Generator dostosowuje składnię do systemu.

Jak wczytać i przetestować pf?+

Najpierw sprawdź składnię: pfctl -nf /etc/pf.conf. Potem wczytaj: pfctl -f /etc/pf.conf. Reguły podejrzysz przez pfctl -sr, statystyki pfctl -si. Testuj na połączeniu, które Cię nie odetnie.

Jak nie zablokować sobie SSH?+

Upewnij się, że jest pass dla portu SSH z Twojego adresu, wdrażaj z konsoli KVM lub drugiej sesji. Pomocne jest tymczasowe zadanie cron przywracające poprzednią konfigurację, gdyby nowa odcięła dostęp.

Czy generator wysyła konfigurację na serwer?+

Nie. Plik pf.conf składany jest w przeglądarce w JavaScript. Wpisane adresy, porty i interfejsy nie są nigdzie wysyłane ani zapisywane poza Twoim urządzeniem.

Narzędzie i opracowanie: Marcin Szewczyk-Wilgan, WebOptimo. Składnia oparta na podręczniku pf.conf i praktyce konfiguracji zapór na serwerach OpenBSD i FreeBSD. Wygenerowaną konfigurację przetestuj przed wdrożeniem. Generator działa w przeglądarce, bez wysyłania danych.

Kontakt

Skonfigurujemy zaporę Twojego serwera

Projektujemy i wdrażamy reguły pf, hardening serwerów OpenBSD i FreeBSD oraz opiekę nad infrastrukturą. Bez zobowiązań, konkretna propozycja po krótkiej rozmowie.

Telefon