FAQ BSDConsultez toutes les FAQ

Dans la documentation française d'OpenBSD : http://www.openbsd.org/faq/pf/fr/index.html .

De nombreux facteurs entrent en ligne de compte : le système utilisé et sa version ainsi que l'interaction souhaitée avec le noyau (intégré ou sous forme de modules) :

• FreeBSD : une version 5.3 au minimum est requise. Vous pouvez ensuite soit utiliser les modules soit intégrer, en ajoutant les options adéquates, Packet Filter au noyau.
  
  Par contre, le support de la gestion de la bande passante (ALTQ) n'est pas disponible dans le cas de l'utilisation des modules.
• NetBSD : le support de Packet Filter n'est pas encore complet et dépend énormément de votre version :
  
  
  • Versions strictement inférieures à 2.0 : son utilisation n'est pas possible
  • Versions 2.X : seul un module, que vous pourrez installer via les paquetages, est disponible
  • Versions 3.X : vous avez le choix entre le module et l'intégration dans le noyau. En revanche un certain nombre de fonctionnalités sont indisponibles : ALTQ, carp et pfsync, le mot-clé group
  • Versions 4.X (en développement) : identique aux versions 3.X mais les fonctionnalités non supportées sont limitées à pfsync et le mot-clé group reste sans effet.
    
• OpenBSD : apparu à la version 3.0, Packet Filter fait partie de son système de base (enfin pour être précis : intégré par le biais du noyau appelé generic).
  
  

Avant de chercher à appliquer vos règles, il convient d'en vérifier au préalable leur syntaxe. Pour ce faire, combinez les options n (indiquant de les vérifier sans les charger) et f (suivie du fichier de règles à utiliser) de la commande pfctl :

pfctl -nf /root/pf.conf

La commande pfctl, liée à toutes les opérations sur Packet Filter prévoit une option pour désactiver le filtrage (comme le restant : translation d'adresse, etc) : il s'agit de -d.

pfctl -d

pfctl -e

• Déclarer dans la configuration de PF une table dont le contenu sera stocké dans un fichier (ici /etc/blacklist) :
  
  

  Code :

  Sélectionner tout

  table <blacklist> file "/etc/blacklist"

• Toujours dans la configuration de PF, on ajoute une règle, l'une des premières, en entrée sur l'interface externe :
  
  

  Code :

  Sélectionner tout

  1
  2
  # Ici l'interface externe est tun0 
  block in quick on tun0 from <blacklist>

• Enfin, pour ajouter dynamiquement une adresse sans avoir à redémarrer PF utiliser ces commandes (que vous pouvez simplifier en créant un script) :
  
  

  Code linux :

  Sélectionner tout

  1
  2
  3
  4
  5
  # Ici l'adresse IP à ajouter est 216.239.39.104 
  # Prise en compte dynamique de l'adresse IP par PF 
  pfctl -t blacklist -T add 216.239.39.104 
  # Ajout de la nouvelle adresse IP à la liste noire pour le prochain démarrage de la machine ou de PF 
  echo "216.239.39.104" >> /etc/blacklist

  
  

Il existe un petit logiciel appelé expiretable qui permet de supprimer toutes les adresses d'une table qui y ont été insérées depuis un certain délai.

• FreeBSD : ce programme est proposé par les ports dans la catégorie security. Il vous suffit donc de l'installer :
  
  

  Code linux :

  Sélectionner tout

  1
  2
  3
  4
  5
  6
  # Par les logiciels portés 
  cd /usr/ports/security/expiretable 
  make install 
   
  # Sous forme de paquet binaire 
  pkg_add expiretable

• NetBSD : n'offrant ni port ni paquet il faudra le compiler à la main et procéder à quelques modifications :
  
  

  Code linux :

  Sélectionner tout

  1
  2
  3
  ftp http://expiretable.fnord.se/expiretable-0.6.tar.gz 
  tar xzf expiretable-0.6.tar.gz 
  cd expiretable-0.6

  Editez expiretable.c, pour remplacer :
  
  

  Code c :

  Sélectionner tout

  #include <sys/limits.h>

  Par :
  
  

  Code c :

  Sélectionner tout

  1
  2
  3
  4
  5
  #ifndef __NetBSD__ 
  #include <sys/limits.h> 
  #else 
  #include <machine/limits.h> 
  #endif

  Ainsi que :
  
  

  Code c :

  Sélectionner tout

  1
  2
          if (setgroups(1, &pw->pw_gid) || setegid(pw->pw_gid) || setgid(pw->pw_gid) 
                          || seteuid(pw->pw_uid) || setuid(pw->pw_uid)) {

  Par :
  
  

  Code c :

  Sélectionner tout

  1
  2
          if (setgroups(1, &pw->pw_gid) || setgid(pw->pw_gid) || setegid(pw->pw_gid) 
                          || setuid(pw->pw_uid) || seteuid(pw->pw_uid)) {

  Lancez la compilation et installez-le :
  
  

  Code linux :

  Sélectionner tout

  1
  2
  make 
  make PREFIX=/usr/pkg install

• OpenBSD, propose lui aussi cet utilitaire par le biais des logiciels portés (catégorie sysutils). L'installation se fait comme suit :
  
  

  Code linux :

  Sélectionner tout

  1
  2
  3
  4
  5
  6
  # Par les logiciels portés 
  cd /usr/ports/sysutils/expiretable 
  make install 
   
  # Sous forme de paquet binaire 
  pkg_add expiretable

  
  

expiretable -d -p -t 1d http_bans

	La version 4.1 d'OpenBSD introduit la nouvelle sous-commande expire à la commande pfctl et son option -T, qui permet d'arriver aux mêmes résultats qu'expiretable mais manuellement (à moins d'utiliser cron). Exemple pour supprimer toutes les entrées qui ont plus de cinq minutes (300 secondes) :

pfctl -t une_table -T expire 300

Pour lire un journal généré par pflog (assimilable à la commande cat) :

tcpdump -n -e -ttt -r /var/log/pflog

tcpdump -n -e -ttt -i pflog0

tcpdump -n -e -ttt -i pflog0 inbound and dst port 80 and action pass

Packet Filter a prévu un moyen permettant de faire référence à l'adresse d'une interface qui est dynamiquement attribuée (tel DHCP). Il vous suffit en effet, là où une adresse est attendue, comme dans les parties from et to d'une règle de filtrage, d'entourer le nom de l'interface en question de parenthèses. Ainsi, Packet Filter se chargera de mettre à jour les règles et ne nécessitera aucune intervention de votre part. Illustration :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
##### Macros ##### 
tcpflags = "flags S/SFRA" 
if = "fxp0" # Nom de l'interface, ici elle est adressée par DHCP 
 
##### Règles ##### 
# Par défaut : tout bloquer 
block log all 
 
# Trafic sortant 
 
# DHCP (nous n'avons pas encore d'adresse d'où le any dans la partie from) 
pass out quick on $if inet proto tcp from any port bootpc \ 
    to any $tcpflags keep state 
 
# HTTP(S) 
pass out quick on $if inet proto tcp from ($if) \ 
    to any port { http https } $tcpflags keep state 
 
# DNS 
pass out quick on $if inet proto udp from ($if) \ 
    to any port domain keep state

	C'est le seul mécanisme offert par Packet Filter pour faire référence à une adresse dynamique. Les tables par exemple, contiendraient l'adresse de l'interface au moment de son insertion, elle ne sera jamais réactualisée par la suite.

L'ensemble de vos règles doit suivre un certain ordre. Certains types d'entre elles doivent apparaître avant d'autres. L'organisation à respecter est la suivante :

• • Les options (introduites par le mot clé set)
  • La normalisation des paquets (scrub)
    
• La gestion de la bande passante : configuration et déclarations (altq puis queue)
• • La traduction d'adresses (nat)
  • Les redirections de trafic (rdr)
    
• Le filtrage (pass et block)
  
  

Rules must be in order: options, normalization, queueing, translation, filtering