Для проверки служит ключ -n. Пример: # ipfw -n add 002010 deny all from 65.52.1.0/24 to me via eth0 02010 deny ip from 65.52.1.0/24 to me via eth0 В случае ошибки – ipfw выдаст соответствующее сообщение. Например: # ipfw -n add 002010 denyw all from 65.52.1.0/24 to me via eth0 ipfw: invalid action denyw
Сам IPFW уже включен в FreeBSD и нет нужды его устанавливать отдельно. Есть два варианта запуска IPFW – через запись в файле /etc/rc.conf: firewall_enable=”YES” Либо – пересобрать ядро с поддержкой модуля IPFW. как правило, достаточно первого способа, если только не потребуется поддержка NAT.
В статье FreeBSD: борьба с bruteforce — IPFW+Sshit уже упоминалось о добавлении динамической таблицы правил для IPFW. Т.к. там все описано довольно кратко – в этой статье более подробно будет описана работа с таблицами в IPFW.
Со временем надоедает смотреть на полотенца логов с записями типа: kira.website.co.ua login failures: Jan 19 02:00:09 akira sshd[12755]: Invalid user ant from 201.65.243.107 Jan 19 02:00:12 akira sshd[12757]: Invalid user office from 201.65.243.107 Jan 19 02:00:16 akira sshd[12759]: Invalid user pc from 201.65.243.107 Jan 19 02:00:17 akira sshd[12761]: Invalid user ant from 201.65.243.107
Некоторые из ICMP запросов могут быть использованы со всякими плохими мыслями, поэтому лучше запретить их выполнение. Полный список типов запросов/ответов приведен ниже: 0 – echo reply (echo-ответ, пинг) 3 – destination unreachable (адресат недосягаем) 4 – source quench (подавление источника, просьба посылать пакеты медленнее) 5 – redirect (редирект) 8 – echo request (echo-запрос, пинг)… Читать далее »
Недавно рыскал по просторам интернета в поисках интересных мануалов по настройке IPFW, и наткнулся на весьма любопытную статью Vadim Goncharov (nuclight), которую хочу сохранить и у себя для истории и вдумчевого чтения в ближайшем будущем. Оригинал статьи с комментариями можно почитать тут>>>. Нарисовал тут давеча в RU.UNIX.BSD схему прохождения пакета через ядро и ipfw,… Читать далее »