Ein paar Probleme mit PF

A

alex27

Well-Known Member
Hallo, ich habe heute von IPFW auf PF umgestellt und im grossen und ganzen läuft auch das meiste, aber ein paar Probleme habe ich noch.

Dieses ist meine momentane pf.conf :

Code: 
tcp_in_pass = "{ 21 22 25 53 80 465 995 10011 30033 }"
tcp_out_pass = "{ 21 22 53 }"

udp_in_pass = "{ 53 995 9987 }"
udp_out_pass = "{ 53 }"

ext_if = "bge0"

icmp_types = "{ echoreq, unreach }"

scrub in on $ext_if all fragment reassemble

block in all

pass out keep state

block in quick from urpf-failed

set skip on lo0
antispoof log for $ext_if

pass out on $ext_if inet proto udp from any to any port 33433 >< 33626 keep state

pass out on $ext_if proto tcp to any port $tcp_out_pass keep state
pass in on $ext_if proto tcp to any port $tcp_in_pass keep state

pass out on $ext_if proto tcp to any port $udp_out_pass keep state
pass in on $ext_if proto tcp to any port $udp_in_pass keep state

Meine Probleme sind wie folgt, zum einen kann ich den Teamspeak 3 Server nicht mehr ansprechen, dieser benötigt UDP 9987 und TCP 10011 + 30033. Ich sehe nicht warum es nicht funktioniert. Mit IPFW habe ich folgendes benutzt:
Code: 
$IPF 500 allow udp from any to any 9987 in
$IPF 510 allow tcp from any to any 30033 in
$IPF 520 allow tcp from any to any 10011 in

und das hat einwandfrei funktioniert.

Ausserdem kann ich keine IP's blocken, wenn ich z.B. pfctl -t fail2ban -T add IP ausführe, dann bekomme ich die Meldung das die IP hinzugefügt wurde aber wenn ich mit pfctl -s all gucke, dann ist zwar der Table fail2ban vorhanden aber ohne gelistete IP und die IP kann auch noch immer auf den Server connecten.

Das einzige was ich als mögliches Problem sehe ist:

No ALTQ support in kernel
ALTQ related functions disabled

Aber kann sich das derartig auswirken ?
 
alex27 schrieb:
Hallo, ich habe heute von IPFW auf PF umgestellt
Zum Vergrößern anklicken....

Gab es mit IPFW Probleme, oder warum hast du das umgestellt? Unter FreeBSD ist IPFW die bessere Wahl, da PF nur sehr stiefmütterlich betreut wird.

alex27 schrieb:
Ausserdem kann ich keine IP's blocken, wenn ich z.B. pfctl -t fail2ban -T add IP ausführe, dann bekomme ich die Meldung das die IP hinzugefügt wurde aber wenn ich mit pfctl -s all gucke, dann ist zwar der Table fail2ban vorhanden aber ohne gelistete IP und die IP kann auch noch immer auf den Server connecten.
Zum Vergrößern anklicken....

In der Config steht gar nichts von einer Tabelle, und eine Regel, die Einträge blockiert gibt es auch nicht.

ALTQ hat damit jedenfalls nichts zu tun.
 
Code: 
pass out on $ext_if proto[B] tcp[/B] to any port $udp_out_pass keep state
pass in on $ext_if proto [B]tcp[/B] to any port $udp_in_pass keep state

Wenn du udp statt tcp einsetzt, sollte es gehen.

MfG
morph
 
hi
alos die pass out regeln kann mal alle loessen sollange es die
pass out keep state


muss fuer ausgehene verbindungen ggf noch nat gemacht werden ?

holger
 
oenone schrieb:
Gab es mit IPFW Probleme, oder warum hast du das umgestellt? Unter FreeBSD ist IPFW die bessere Wahl, da PF nur sehr stiefmütterlich betreut wird.
Zum Vergrößern anklicken....

Ich konnte mich nicht so recht entscheiden welche Firewall ich nehmen soll, darum habe ich mit Google nach einem Vergleich der beiden gesucht und alle Vergleiche die ich gefunden habe inklusive der links von forums.freebsd.org kamen zu dem Schluss das PF die bessere Firewall sei.
 
Es kommt darauf an, was man machen will. Will man nur einen einzelnen Rechner oder ein kleines LAN filtern, ist pf eine gute Wahl. Ist eben einfacher zu begreifen als IPFW. Will man aber mehr, kommt man um IPFW kaum mehr herum.
 
Naja... ich bin da anderer Meinung. Ich habe früher ipfw eingesetzt (da gab es pf noch gar nicht) und dann als pf Standard wurde, auch pf genommen.

Ob ein Netz groß oder klein ist, ist glaube ich, Wurscht. Es geht eher um die Features, die ipfw hat und pf nicht (und umgekehrt). ipfw scheint mir etwas fetter zu sein und hat einige interessante Sachen bezüglich Jails. Aber pflog finde ich ebenfalls sehr cool und das Gefühl der Robustheit durch die Lightweight-Erscheinung von pf ist auch irgendwie angenehm.
 
hi
man bin ich froh das ich mich nicht entscheiden muss unter openbsd ;)

und pf ist sehrwohl gut in grossen netzen einsetzbar.
nur ist die situation pf und freebsd nicht gerade gluecklich da die implemtation um jahre zurueck haengt , selbst wenn man die neuere variante pf nimmt die auf obsd 4.5 basiert.

holger
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Zurück
Oben