Разрешить подключения Samba *только* из внутренней локальной сети (брандмауэр PF)?

есть FreeBSD 11.1-RELEASE машина только с 1 NIC, обслуживающая Samba за PF firewall on тот же сервер.

Мне нужно Разрешить подключения только из клиентов, подключающихся из внутренней сети (/24).

в настоящее время это, кажется, работает:

# Default deny policy
block in log all

# allow Samba connections only from internal IPs
pass in quick on $ext_if inet proto tcp from $ext_if:network to $ext_if:network port {135, 137, 138, 139, 445}
pass in quick on $ext_if inet proto udp from $ext_if:network to $ext_if:network port {135, 137, 138, 139, 445}

хотя это правильное и достаточно?

есть ли лучший, более идиоматичный способ разрешить соединения Samba только из внутреннего Локальной сети с помощью брандмауэра ПФ?

29
задан gsl
08.11.2022 14:16 Количество просмотров материала 2515
Распечатать страницу

1 ответ

добавить еще один интерфейс для установки PF-sense. или, если VLAN способный коммутатор доступен, это даст вам дополнительные виртуальные интерфейсы в PF-смысле.

вы поставили бы свою долю самбу на второй интерфейс, дают ему новую подсеть (что-то типа 10.10.10.0 /24) и все получится нужно только быть в другой подсети с пользователями сети вы хотите контролировать.

теперь настройте правила доступа пользователей ко второй подсети локальной сети. или конкретно, какие пользователи иметь доступ к вашему ресурсу samba по ip.

EDIT: in PF (фильтрация), чтобы сделать это: после правила блокировки по умолчанию >

трафик теперь должен быть явно передан через брандмауэр, иначе он будет удален политикой запрета по умолчанию. Это где критерии пакета, такие как порт источника / назначения, адрес источника / назначения и протокол вступают в игру. Всякий раз, когда трафик разрешается проходить через брандмауэр, правила должны быть написаны как можно более строгими. Это обеспечить что предназначенное движение, и только предназначенное движение, позволено пройти.

"# Pass трафик на dc0 из локальной сети, 192.168.0.0/24, в OpenBSD"

"# IP-адрес машины 192.168.0.1. Кроме того, передайте обратный трафик на dc0."

переходите на dc0 с 192.168.0.0 / 24 на 192.168.0.1

обморок на dc0 от 192.168.0.1 до 192.168.0.0 / 24

" #передавать TCP-трафик на веб-сервер, работающий на Машина OpenBSD."

передать на выходе proto tcp от любого к выходному порту www

используйте свое имя интерфейса, добавьте свои подсети, и вам будет хорошо идти, используйте правила ip. это сделает все намного проще.

Я вижу только два правила прохода в вашем сообщении, я считаю, что вам понадобится вход / выход как с tcp, так и с udp.

1
отвечен Tim_Stewart 2022-11-09 22:04

Постоянная ссылка на данную страницу: [ Скопировать ссылку | Сгенерировать QR-код ]

Ваш ответ

Опубликуйте как Гость или авторизуйтесь

Имя

Похожие вопросы про тегам:

firewall
freebsd
networking
pf
samba
Вверх