BSDPORTAL.RU

Посмотрите, исправте и добавте что-нибудь ( не работает гад )
#!/bin/sh
# Print Starting firewall..."
echo "Starting firewall..."

# IPFW
ipfw="/sbin/ipfw"

# Force a flushing of the current rules before we reload
$ipfw -f flush

# Configure ethernet
int_if="rl0"
int_ip="192.168.2.8"
int_net="192.168.2.0/24"

# loopback
$ipfw add allow all from any to any via lo0
$ipfw add drop all from any to 127.0.0.0/8
$ipfw add drop all from 127.0.0.0/8 to any

# ICMP frag
$ipfw add drop icmp from any to any frag

# ICMP
$ipfw add allow icmp from any to any

# DNS
$ipfw add allow udp from any to any 53

# HTTP, HTTPS
$ipfw add allow tcp from any 80,443 to any

# FTP
$ipfw add allow tcp from any 20,21 to any

# NETBIOS
$ipfw add allow tcp from any to any 139
$ipfw add allow udp from any 137,138 to any

# MICROSOFT-DS
$ipfw add allow tcp from any 445 to any

# ICQ
$ipfw add allow tcp from any 5190 to any

# CLOSE all
$ipfw add 65535 drop all from any to any

По-моему, номера портов после второго any пишутся

А вообще Х.З., я же не админ

А что именно не работает ? Симптомы ?
К стати у вас IP протокол явно запрещён (на сколько я помню в all входит и ip)

И вот это зачем ?

$ipfw add drop all from any to 127.0.0.0/8
$ipfw add drop all from 127.0.0.0/8 to any

И вообще по-моему следут доку по ipfw почитать, прежде чем такой конфиг делать

---
И вот это зачем ?

$ipfw add drop all from any to 127.0.0.0/8
$ipfw add drop all from 127.0.0.0/8 to any

так в rc.firewall написанно в setup_loopback


Доку я тоже читал только не хрена не понял..
Объясните зачем некоторых доках пишут:
add allow tcp from any to any PORT
add allow tcp from any PORT to any
а PORT одинаковый ??

по поводу 127.0.0.0/8 это нормально... т.е. разрешить только для lo0 ифейса, а всевозможные попытки обмануть фаер от разрешенной 127.0.0.0/8 но с внешних интерфейсов - запретить

по поводу портов нужно открыть дорогу для пакетов в обе стороны как с порта так и на него, потому и пишется так..

и всетаки непонятно, что неработает то ?

А можно за место
add allow tcp from any to any PORT
add allow tcp from any PORT to any

писать
add allow tcp from any PORT to any PORT ?

или это уже совсем другое ??

А можно за место
add allow tcp from any to any PORT
add allow tcp from any PORT to any

писать
add allow tcp from any PORT to any PORT ?

или это уже совсем другое ??

Нет, это уже другое

#!/bin/sh
# Print Starting firewall..."
echo "Starting firewall..."

# IPFW
ipfw="/sbin/ipfw"

# Force a flushing of the current rules before we reload
$ipfw -f flush

# Configure ethernet
int_if="rl0"
int_ip="192.168.2.8"
int_net="192.168.2.0/24"

# loopback
$ipfw add allow all from any to any via lo0
$ipfw add drop all from any to 127.0.0.0/8
$ipfw add drop all from 127.0.0.0/8 to any

# ICMP frag
$ipfw add drop icmp from any to any frag

# ICMP
$ipfw add allow icmp from any to any

# DNS
$ipfw add allow udp from any to any 53
$ipfw add allow udp from any 53 to any

# HTTP, HTTPS
$ipfw add allow tcp from any to any 80,443
$ipfw add allow tcp from any 80,443 to any

# FTP
$ipfw add allow tcp from any to any 20,21
$ipfw add allow tcp from any 20,21 to any

# NETBIOS
$ipfw add allow tcp from any to any 139
$ipfw add allow udp from any 137,138 to any

# MICROSOFT-DS
$ipfw add allow tcp from any 445 to any

# ICQ
$ipfw add allow tcp from any to any 5190
$ipfw add allow tcp from any 5190 to any

# CLOSE all
$ipfw add 65535 drop log all from any to any


Теперь вопрос, правильно ли здесь правила прописанны, а то мое сердце чует что здесь что-то не так только что понять не могу, ОБЪЯСНИТЕ ?? ) и скажите может здесь что-то лишнее или не хватает еще. и как сделать чтоб меня нельзя было пропинговать и в сети не видно было это же тоже фаерволом делается ???

чтоб пинговать нельзя было - надо резать icmp. Только не советую этого делать.

почему "не советую" ?
запретить пинги из мира к серваку, отличная обманка для начинающих типа хацкеров и всяких доморощенных любителей посканить

И кто меня вчера за язык тянул. Ведь знал же, что нельзя зарекаться. Уже практически админ. Блин.

паздравляю

1. А можно как-нибудь только Ping вырубидь а остальные icmp оставить ?? или от icmp толку мало ???
2. и везде ли надо писать
$ipfw add allow tcp from any to any !!!!20,21!!!!!
$ipfw add allow tcp from any !!!!!20,21!!! to any
там и там ?? или не для всех так надо писать ??? подскажите...

почитай http://ipfw.ism.kiev.ua/ многие вопросы отпадут

поставь вначале правило
$ipfw add allow ip from me to any keep-state
может поможет

Окончательный вариант (пока месть). МОЖНО ли обрубить ping не обрубая все icmp ??
И как сделать чтоб к самбе мог коннектиться только определенный комп ?

#!/bin/sh
# Print Starting firewall..."
echo "Starting firewall..."

# IPFW
ipfw="/sbin/ipfw"

# Force a flushing of the current rules before we reload
$ipfw -f flush

# loopback
$ipfw add allow all from any to any via lo0
$ipfw add drop all from any to 127.0.0.0/8
$ipfw add drop all from 127.0.0.0/8 to any

# ICMP frag
$ipfw add drop icmp from any to any frag

# ICMP
$ipfw add allow icmp from any to any

# DNS
$ipfw add allow udp from any to any 53
$ipfw add allow udp from any 53 to any

# HTTP, HTTPS
$ipfw add allow tcp from any to any 80,443
$ipfw add allow tcp from any 80,443 to any

# FTP
$ipfw add allow tcp from any to any 20,21
$ipfw add allow tcp from any 20,21 to any

# NETBIOS (Samba)
$ipfw add allow udp from any to any 137,138
$ipfw add allow udp from any 137,138 to any
$ipfw add allow tcp from any to any 139
$ipfw add allow tcp from any 139 to any

# MICROSOFT-DS
#$ipfw add allow tcp from any 445 to any

# ICQ
$ipfw add allow tcp from any to any 5190
$ipfw add allow tcp from any 5190 to any

# CLOSE all 65535
$ipfw add drop log logamount 10000 all from any to any

Вместо

${ipfw} add allow icmp from any to any in via rl0 icmptype 0,3,4,11
11 - это ping, не пиши его, и ping работать не будет