BSDPORTAL.RU

заметил странную особенность работы:
если в /etc/pf.conf добавить правило какое-либо с доменным именем (в том числе и с FQDN) например

то

ошибок не находит, а

загружает все правила и преобразует доменное имя в IP о чем свидетельствует

и вроде бы все нормально, но.....
если перезагрузить такой сервер, то правила pf просто не загружаются, как будто есть ошибка в pf.
если же убрать правило с доменным именем, то все ок
Как в pf использовать доменные имена, чтобы нормально загружались правила pf при перезагрузки?
В /etc/rc.conf и с прописанным путем pf_rules="/etc/pf.conf" и без,- ситуация одинаковая.
Что я сделал не так?
Такая вещь наблюдаю в FreeBSD 12 и FreeBSD 11.2

В конфигах firewall'ов нельзя использовать доменные имена, потому что во время настройки firewall'а резолвинг может не работать. Да и вообще это ущербная идея, учитывая динамическую природу DNS.

Странно, в man написано обратное, да и тут: https://www.opennet.ru/base/net/pf_faq.txt.html

Это как это?

Так подскажите правильное решение задачи: разрешения входа на сервис только с какого-либо хоста , использующего DDNS.

уточню:не загружается вообще ни одно правило.

Это так, как вам и написали: во время старта ОС файервол может стартовать раньше службы резолвинга. Как быть в таком случае?

_________________
"Винда съела дрова и резет здесь не фурычит"
"Все говорят, что у меня /dev/hands кривой и я всё делаю через /dev/ass. А у меня этих файлов вообще нет!"

Спасибо, из предыдущего поста мне было не очевидно:"как это"
Мне бы направление для решения

Включать pf после загрузки ОС (при этом убрать из rc.conf), например, через rc.local или в кроне, используя слово @reboot

_________________
"Винда съела дрова и резет здесь не фурычит"
"Все говорят, что у меня /dev/hands кривой и я всё делаю через /dev/ass. А у меня этих файлов вообще нет!"

Не надо так делать, вообще. firewall не должен ни при каких условиях зависеть от DNS.

Либо сразу прописывайте адреса, либо заведите таблицу и обновляйте её, например, из cron. Как-то так:

Выглядит как более правильное решение. Спасибо.