Я хочу использовать OpenBSD 5.7 в качестве моста фильтрации перед моим маршрутизатором, и как часть того выполнения прозрачный прокси (сквид 3.5.1) для управления веб-доступом. Я настроил openbsd машину как мост, и это хорошо работает. Однако я не могу заставить pf отклонять веб-трафик к сквиду.
Это - то, как моя сеть смотрит
[Internet]
|
|
[OpenBSD]
|
|
[ (Router) ]
| |
| |
[Wired Workstations] [Wi-Fi]
Сквид работает правильно, если я подключаю машину OpenBSD к своей сети и вручную настраиваю рабочую станцию для использования его в качестве прокси. У меня есть следующее в моей конфигурации сквида для включения прозрачного перехвата
http_port 127.0.0.1:3129 tproxy
Это - моя pf конфигурация:
# internet facing
ext_if = "em1"
# internal facing
int_if = "em0"
#scrub provides a measure of protection against certain kinds of attacks based on incorrect handling of packet fragments
match in all scrub (no-df max-mss 1440)
# Prevent spoofing
antispoof log for $ext_if label "antispoof"
# Block anything coming form source we have no back routes for
block in log from no-route to any label "no back route"
# Proxy http
pass in quick on $int_if inet proto tcp to port www divert-to 127.0.0.1 port 3129
pass out quick from 127.0.0.1 divert-reply
pass in on $int_if
pass out on $int_if
pass in on $ext_if
pass out on $ext_if
Кто-либо знает, почему мой отклонять - для управления не работает? Я посмотрел в журналах
pass in quick on em0 inet proto tcp from any to any port = 80 flags S/SA divert-to 127.0.0.1 port 3129
[ Evaluations: 36248 Packets: 544 Bytes: 355122 States: 29 ]
[ Inserted: uid 0 pid 15666 State Creations: 29 ]
раздайте быстрый inet от 127.0.0.1 до любых флагов отклонять-ответ S/SA [Оценки: 72 399 Пакетов: 0 байтов: 0 состояний: 0] [Вставленный: Создания состояния uid 0 pid 15666: 0]
Я вижу, что правило 'работает', однако ничто не обнаруживается в журналах сквида, и я могу все еще получить доступ к веб-сайтам. Это - в основном правила, рекомендуемые сквидом как к. Я попытался использовать это правило вместо этого
pass in log quick on $int_if inet proto tcp from any to any port www rdr-to 127.0.0.1 port 3129
Когда я использую это, я вижу, что перенаправление правила происходит, однако ничто не обнаруживается в журналах сквида. Также запросы к тайм-ауту веб-сайтов.
pass in log quick on em0 inet proto tcp from any to any port = 80 flags S/SA rdr-to 127.0.0.1 port 3129
[ Evaluations: 25213 Packets: 8 Bytes: 496 States: 1 ]
Это - вывод от ifconfig
ifconfig
lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 32768
priority: 0
groups: lo
inet6 fe80::1%lo0 prefixlen 64 scopeid 0x4
inet6 ::1 prefixlen 128
inet 127.0.0.1 netmask 0xff000000
em0: flags=8b43<UP,BROADCAST,RUNNING,PROMISC,ALLMULTI,SIMPLEX,MULTICAST> mtu 1500
lladdr 00:e8:4c:68:1a:f1
priority: 0
groups: egress
media: Ethernet autoselect (1000baseT full-duplex,rxpause,txpause)
status: active
em1: flags=8b43<UP,BROADCAST,RUNNING,PROMISC,ALLMULTI,SIMPLEX,MULTICAST> mtu 1500
lladdr 00:e8:4c:68:1a:f2
priority: 0
media: Ethernet autoselect (100baseTX full-duplex,rxpause,txpause)
status: active
enc0: flags=0<>
priority: 0
groups: enc
status: active
bridge0: flags=41<UP,RUNNING>
groups: bridge
priority 32768 hellotime 2 fwddelay 15 maxage 20 holdcnt 6 proto rstp
em0 flags=7<LEARNING,DISCOVER,BLOCKNONIP>
port 1 ifpriority 0 ifcost 0
em1 flags=7<LEARNING,DISCOVER,BLOCKNONIP>
port 2 ifpriority 0 ifcost 0
pflog0: flags=141<UP,RUNNING,PROMISC> mtu 33144
priority: 0
groups: pflog
Как я могу заставить это работать? Что не так с моими правилами pf?
Это становится немного странным
Если я использую
pass in quick log on $int_if inet proto tcp to port 80 divert-to 127.0.0.1 port 3129
pass out quick log from 127.0.0.1 divert-reply
Я получаю следующее в журнале:
rule 3/(match) pass in on em0: 233.297.39.227.32880 > 153.94.152.119.87: S 2656450467:2656450467(0) win 65535 <mss 1460,nop,wscale 5,nop,nop,timestamp 605332037 0,[|tcp]> (DF)
Если я изменяю его на
pass in quick log on $int_if inet proto tcp to port 80 rdr-to 127.0.0.1 port 3129
pass out quick log from 127.0.0.1 divert-reply
Я получаю следующее в журнале, однако ничто не обнаруживается в журналах сквида и неудивительно запрашивает к веб-сайтам, испытывают таймаут
rule 3/(match) pass in on em0: 233.297.39.227.39091 > 127.0.0.1.3129: S 409217949:409217949(0) win 65535 <mss 1460,nop,wscale 5,nop,nop,timestamp 605394683 0,[|tcp]> (DF)
Если у вас OpenBSD 4.1 или 4.3 , вам нужно сделать:
rdr pass inet proto tcp from 192.168.231.0/24 to any port 80 -> 192.168.231.1 port 3129
block in
pass in quick on $int_if
pass in quick on $wi_if
pass out keep state
А если у вас OpenBSD 4.4 или выше , вам нужно сделать:
set skip on $int_if
set skip on $wi_if
IPv6:
pass in quick inet6 proto tcp from 2001:DB8::/32 to port www divert-to ::1 port 3129
pass out quick inet6 from 2001:DB8::/32 divert-reply
IPv4:
pass in quick on inet proto tcp from 192.0.2.0/24 to port www divert-to 127.0.0.1 port 3129
pass out quick inet from 192.0.2.0/24 divert-reply
ОБНОВЛЕНИЕ:
Конечно, вам понадобятся некоторые изменения в соответствии с вашими интерфейсами.