Уважаемые посетители!

dim_s · 08.01.2011 19:58:52

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

В общем имеется сервер на платформе freeBSD 8.0!
Сервер выполняет функцию роутера + на нём ещё висит verlihub и прочие атрибутики сети,
нужные современным студентам) Сервак стоит в общежитии и организует сеть на 2 общежития!
На сервере 3 интерфейса:
Первые 2 интерфейса em0 192.168.132(3).0/24
em1 192.168.130(1).0/24
А вот 3-й em2 192.168.129.2/24 идёт на роутер cisco, расположенный в университете,
и вот собственно управление университета заставляет сделать жёсткое привязку к мак адресу
клиента уникального IP адреса, тем самым исключить проникновение в сеть левых компьютеров!
В сети около 700 пользователей! И вот на каждый мак адрес нужно повесить IP адрес!
На сервере стоит dhcpd-server и раздаёт IP адреса, сроком на 4 месяца в рандомном порядке,
т.е. если даже поставить статический IP адрес, можно будет спокойно пользоваться всеми услугами сети!
Народ! Расскажите плз, начну я в конфиге dhcpd сервера писать маки и присваивать им IP
адреса, а вот как отключить раздачу IP адресов тем, которых нету в этом конфиге,
т.е. чтобы dhcpd сервер читал только эти маки??
Чтобы , когда кто-нибудь поставит стат. IP он не мог ничем пользоваться?
Где-то слышал что нужно добавлять правила в файерволл ipfw, но я особо толком
им пользоваться не умею, перелопатил много мануалов, был на офсайте фри, но ничего
толком и не узнал!
Расскажите плз!!

zOrg · 09.01.2011 04:42:41

zOrg
Новичок
Неактивен

Зарегистрирован: 21.02.2010
Сообщений: 13
Репутация : [ 0 | 0 ]

задача не слишком сложная...
если не ошибаюсь(полгода фри не видел), то у ipfw есть параметр для мак адреса.
Тоесть если использовать ipfw+tables будет выглядеть примерно так:

ipfw add allow ip from mac table(1) to any
ipfw table(1) add aa:bb:cc:dd:11:22

не помешает костыле-скрипт который выдернет мак и соответствующий ему ип и всунет в таблицы фаервола. если необходимо открыть сеть только для соответствующих маков+ипов то следующая конструкция:

ipfw add 1000 skipto 2000 all from table(1) to any
ipfw table(1) add 192.168.0.0
ipfw add 1010 deny all from not table(1) to any
ipfw add 2000 allow all from any mac table(2) to any

повторюсь: фри не видел полгода, в синтаксисе могу ошибаться.

dim_s · 09.01.2011 15:17:18

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

Начал писать вот так вот :

host myhost1
{
hardware ethernet 00:00:00:00:00:00;
fixed-address 192.168.1.2;
}

Но не в конфиге самого dhcpd сервера, а в
файлике, с именем "filter" в моей дом. папке,
вот только как к нему сделать обращение
дхцп и файерволла, т.е. строго привязать
ему видеть только из этого файлика маки
и выдавать на маки закреплённые ip адреса.

i2ks · 19.01.2011 08:54:21

i2ks
Участник Форума
Неактивен

Зарегистрирован: 20.02.2010
Сообщений: 6,983
Репутация : [ 101 | 1 ]

dim_s пишет:

Но не в конфиге самого dhcpd сервера, а в
файлике, с именем "filter" в моей дом. папке,
вот только как к нему сделать обращение
дхцп и файерволла

в /usr/local/etc/dhcpd.conf добавить строчку:
include /home/username/file_host // где /home/username - путь к файлу. file_host файл содержащий запись вида:

dim_s пишет:

host myhost1
{
hardware ethernet 00:00:00:00:00:00;
fixed-address 192.168.1.2;
}

По поводу ipfw используйте table, пример вам привили уже выше, кстати, значения table так же можно указывать в файле.

...
ipfw table 1 add /etc/ip_host
...

По поводу dhcp что бы он раздавал только тем кто в файле file_host, ЕМНИП закоментируй строчку вида: range 10.5.5.26 10.5.5.30;

It is good day to die ...
MS Windows 10
Заметки о главном...

dim_s · 19.04.2011 23:03:09

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

с дхцп разобрался, сделал привязку в отдельном файле.
но вот с ipfw непонятно, ввожу правила все эти , выкидывает везде ошибки...

Remedy · 20.04.2011 12:23:25

Remedy
Пользователь
Неактивен

Откуда: Saint Petersburg
Зарегистрирован: 28.11.2010
Сообщений: 271
Репутация : [ 15 | 0 ]

Какие правила вводите? В какой функции скрипта? Согласно Вашему скрипту, добавлять правила надо в ф-ию enable_our_network() перед разрешающими правилами. Правилам можно присвоить один и тот же номер, если нет желания ломать нумерацию правил.

"Если вы уже пытались поработать с Linux, но нашли ее слишком запутанной и непонятной — расслабьтесь. Если вы умеете вскипятить чайник или завести будильник, то вы уже можете стать пользователем Linux (кроме шуток!)." ©

+ dim_s

dim_s · 20.04.2011 16:42:03

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

По поводу dhcp что бы он раздавал только тем кто в файле file_host, ЕМНИП закоментируй строчку вида: range 10.5.5.26 10.5.5.30;

Можно и через параметр в дхцп : deny unknown-clients;

А по поводу правил пишу в скрипт:
ipfw add 05025 allow ip from mac table(1) to any
ipfw table 1 add /etc/ip_host

хотя понимаю, что неправильно делаю, не знаю какая последовательность...
с настройкой файервола у меня проблемы))))
и как сделать обращение ipfw к стороннему файлу, например к /home/user/mac_ipfw ?

Remedy · 22.04.2011 00:39:52

Remedy
Пользователь
Неактивен

Откуда: Saint Petersburg
Зарегистрирован: 28.11.2010
Сообщений: 271
Репутация : [ 15 | 0 ]

Итак, у Вас есть некоторый файл (пусть это будет /home/dim_s/filter)сопоставляения мак-адресов IP-адресам для dhcpd. Вытащим из него мак-адреса в файл /etc/ip_host

Консоль:

grep 'hardware ethernet' /home/dim_s/filter|awk '{ print$3 }'|sed -e 's/;//' > /etc/ip_host

"Если вы уже пытались поработать с Linux, но нашли ее слишком запутанной и непонятной — расслабьтесь. Если вы умеете вскипятить чайник или завести будильник, то вы уже можете стать пользователем Linux (кроме шуток!)." ©

dim_s · 22.04.2011 01:06:22

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

Вытащил из /home/dimon/mac_dhcpd:

grep 'hardware ethernet' /home/dimon/mac_dhcpd | awk '{ print$3 }' | sed -e 's/;//' > /home/dimon/mac_ipfw

В итоге, пока у меня только 5 закреплённых маков, т.к. идёт автоматическая раздача IP:

00:22:64:51:a1:51
00:21:91:f4:33:88
00:23:8B:1B:63:29
00:21:91:06:5e:27
1C:BD:B9:46:DC:00

После этого что следует писать в скрипт файерволла?

Remedy · 22.04.2011 01:15:53

Remedy
Пользователь
Неактивен

Откуда: Saint Petersburg
Зарегистрирован: 28.11.2010
Сообщений: 271
Репутация : [ 15 | 0 ]

Далее в Вашем rc.firewall создаём ещё функцию, пусть это будет mac_filter

mac_filter () {
     ${ipfw} table 2 flush
     cat /home/dimon/mac_ipfw | while read mac; do
     ${ipfw} table 2 add ether $mac
     done
     ${ipfw} add 4000 deny all from not 'table(2)' to any layer2
}

И добавляем её в правила

start_firewall() {

        ${ipfw} -f flush
        setup_loopback
        setup_default
        dhcp_enable
        mac_filter
        enable_our_network
        setup_no_hostel3_to_hostel4
        enable_host4_for_net3
        counter_strike
}
start_firewall

Пришлось перерыть кучу литературы, потому как самому поэкспериментрировать негде, так что костыли будем собирать вместе.

"Если вы уже пытались поработать с Linux, но нашли ее слишком запутанной и непонятной — расслабьтесь. Если вы умеете вскипятить чайник или завести будильник, то вы уже можете стать пользователем Linux (кроме шуток!)." ©

dim_s · 22.04.2011 01:30:01

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

Почему-то всё-равно разрешается доступ к серверу...
Вот мои правила в ipfw через ipfw show:

04000      0         0 deny ip from not table(2) to any layer2
04080      0         0 allow ip from 192.168.132.0/23 to 192.168.130.1
04090      0         0 allow ip from 192.168.130.1 to 192.168.132.0/23
04100     23      1076 allow udp from any to any dst-port 27015-27025 in
04200      0         0 allow udp from any to any dst-port 27015-27025 out
04300      0         0 allow udp from any 27015-27025 to any in
04400      0         0 allow udp from any 27015-27025 to any out
05000    196     21622 allow ip from any to any via lo0
05001      0         0 deny ip from any to 127.0.0.0/8
05002      0         0 deny ip from 127.0.0.0/8 to any
05010      0         0 allow udp from any 67 to 192.168.130.1 in via em1
05011      0         0 allow udp from 192.168.130.1 68 to any out via em1
05012      0         0 allow udp from any 67 to 192.168.132.1 in via em0
05013      0         0 allow udp from 192.168.132.1 68 to any out via em0
05020     63      5418 deny ip from 192.168.130.0/23 to 192.168.132.0/23
05021     84      8499 deny ip from 192.168.132.0/23 to 192.168.130.0/23
05030 434264  62011592 allow ip from 192.168.130.0/23 to any
05031 504056 122702692 allow ip from 192.168.132.0/23 to any
05032 935528 786553205 allow ip from 217.21.42.0/24 to any
05033 147900 159936978 allow ip from 172.31.1.0/24 to any
05034   5825    347097 allow ip from 192.168.129.0/30 to any
65535   5255    344109 allow ip from any to any

В нём же правила читаются снизу-вверх??

Remedy · 22.04.2011 01:55:21

Remedy
Пользователь
Неактивен

Откуда: Saint Petersburg
Зарегистрирован: 28.11.2010
Сообщений: 271
Репутация : [ 15 | 0 ]

правила читаются снизу-вверх??

Сверху вниз.
Суть токова: dhcpd раздаёт фиксированные IP-адреса по мак-адресам 5 машинам в сети. Если какой-нибудь кульхацкер захочет подключиться к Вашей сети, IP-адреса он не получит. И даже если он пропишет своей машине статический IP-адрес, доступа он всё равно не получит, поскольку доступ открыт только 5 машинам, указанным в конфиге dhcp.

"Если вы уже пытались поработать с Linux, но нашли ее слишком запутанной и непонятной — расслабьтесь. Если вы умеете вскипятить чайник или завести будильник, то вы уже можете стать пользователем Linux (кроме шуток!)." ©

dim_s · 22.04.2011 02:15:41

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

IP-адреса не раздаются, но если прописать статически - есть доступ к сети...
Ведь доступ к сети закрывает файерволл..

Может нужно перемещать скрипт после enable_our_network ???

Remedy · 22.04.2011 17:33:55

Remedy
Пользователь
Неактивен

Откуда: Saint Petersburg
Зарегистрирован: 28.11.2010
Сообщений: 271
Репутация : [ 15 | 0 ]

Попробуйте изменить функцию mac_filter следующим образом

mac_filter () {
     ${ipfw} table 2 flush
     grep 'hardware ethernet' /home/dim_s/filter|awk '{ print$3 }'|sed -e 's/;//' | while read mac; do
     ${ipfw} table 2 add ether $mac
     done
     ${ipfw} add 4000 deny all from any to any mac any not 'table(2)' layer2
}

"Если вы уже пытались поработать с Linux, но нашли ее слишком запутанной и непонятной — расслабьтесь. Если вы умеете вскипятить чайник или завести будильник, то вы уже можете стать пользователем Linux (кроме шуток!)." ©

dim_s · 23.04.2011 00:30:28

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

.

dim_s · 26.04.2011 18:34:32

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

Правило

${ipfw} add 4000 deny all from any to any mac any not 'table(2)' layer2

при перезагрузке не добавилось, и при ручном вводе в ipfw выбивает ошибку:

> ipfw add 4000 deny all from any to any mac any not 'table(2)' layer2
ipfw: Incorrect MAC address

может нужно пересобрать ядро, с другими функциями?

нашёл в нете подобную тему, напишите плз, что мне оттуда нужно..
http://forum.lissyara.su/viewtopic.php? … mp;start=0

Remedy · 27.04.2011 12:13:02

Remedy
Пользователь
Неактивен

Откуда: Saint Petersburg
Зарегистрирован: 28.11.2010
Сообщений: 271
Репутация : [ 15 | 0 ]

Продолжаем извращаться.

mac_filter () {
     ${ipfw} add 4000 deny from any to any mac any not { `grep 'hardware ethernet' /home/dim_s/filter|awk '{ print$3 }' |  tr ";\n" ","` }
}

"Если вы уже пытались поработать с Linux, но нашли ее слишком запутанной и непонятной — расслабьтесь. Если вы умеете вскипятить чайник или завести будильник, то вы уже можете стать пользователем Linux (кроме шуток!)." ©

dim_s · 27.04.2011 12:39:14

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

Закинул в скрипт

mac_filter () {
     ${ipfw} add 4000 deny from any to any mac any not { `grep 'hardware ethernet' /home/dim_s/filter|awk '{ print$3 }' |  tr ";\n" ","` }
}

Перезагрузил, в итоге ничего в ipfw show с правилом 4000 он не добавляет,
при ручном вводе выкидывает ошибку именно на mac:

ipfw: Incorrect MAC address

i2ks · 27.04.2011 12:50:25

i2ks
Участник Форума
Неактивен

Зарегистрирован: 20.02.2010
Сообщений: 6,983
Репутация : [ 101 | 1 ]

в конец правила добавьте еще mac-type ipv4

It is good day to die ...
MS Windows 10
Заметки о главном...

dim_s · 27.04.2011 16:40:27

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

В общем, вот что я получаю при добавлении правил:

> ipfw add 4000 deny from any to any mac any not { `grep 'hardware ethernet' /home/dimon/mac_dhcpd|awk '{ print$3 }' |  tr ";\n" ","` }
ipfw: unrecognised option [-1] from

> ipfw add 4000 deny from any to any mac any not mac-type ipv4 { `grep 'hardware ethernet' /home/dimon/mac_dhcpd|awk '{ print$3 }' |  tr ";\n" ","` }
ipfw: unrecognised option [-1] from

> ipfw add 4000 deny from any to any mac any not  { `grep 'hardware ethernet' /home/dimon/mac_dhcpd|awk '{ print$3 }' |  tr ";\n" ","` mac-type ipv4}
ipfw: unrecognised option [-1] from

i2ks · 27.04.2011 17:24:41

i2ks
Участник Форума
Неактивен

Зарегистрирован: 20.02.2010
Сообщений: 6,983
Репутация : [ 101 | 1 ]

dim_s пишет:

ipfw: unrecognised option [-1] from

возможно в конце строчки надо еще добавить интерфейс. em0(1,2) или что там у вас.

It is good day to die ...
MS Windows 10
Заметки о главном...

dim_s · 27.04.2011 21:07:13

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

Безрезультатно, та же ошибка:

ipfw: unrecognised option [-1] from

i2ks · 27.04.2011 21:26:46

i2ks
Участник Форума
Неактивен

Зарегистрирован: 20.02.2010
Сообщений: 6,983
Репутация : [ 101 | 1 ]

dim_s, опции ядра ipfw покажите тогда

It is good day to die ...
MS Windows 10
Заметки о главном...

dim_s · 27.04.2011 21:41:08

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

Консоль:

uname -a

FreeBSD 192.168.132.1 8.0-RELEASE FreeBSD 8.0-RELEASE #4: Mon Apr 18 00:15:27 EEST 2011     root@192.168.132.1:/usr/obj/usr/src/sys/MYKERNEL  i386

А вот конфиг из /usr/src/sys/i386/conf

options      IPFIREWALL                  # сам файрвол
options      IPFIREWALL_VERBOSE          # логгинг пакетов, если в правиле 
                                         # написано `log`
options      IPFIREWALL_VERBOSE_LIMIT=5  # ограничение логов (повторяющихся) - на 
                                         # случай атак типа флудинга
                                        
options      IPFIREWALL_FORWARD          # перенаправление (форвардинг) пакетов
                                         # например, для прозрачного прокси
options      IPDIVERT                    # если нужен NAT (трансляция адресов)
options      DUMMYNET                    # если понадобится ограничивать скорость 
                                         # инета пользователям (обычно - да)
options      IPFIREWALL_DEFAULT_TO_ACCEPT  # дефолтовое правило (последнее)
                                         # будет разрешающим (во всех других)
                                         # случаях - запрещающее

Или полная версия MYKERNEL:

+ открыть спойлер

#
# GENERIC -- Generic kernel configuration file for FreeBSD/i386
#
# For more information on this file, please read the config(5) manual page,
# and/or the handbook section on Kernel Configuration Files:
#
#    http://www.FreeBSD.org/doc/en_US.ISO8859-1/books/handbook/kernelconfig-config.html
#
# The handbook is also available locally in /usr/share/doc/handbook
# if you've installed the doc distribution, otherwise always see the
# FreeBSD World Wide Web server (http://www.FreeBSD.org/) for the
# latest information.
#
# An exhaustive list of options and more detailed explanations of the
# device lines is also present in the ../../conf/NOTES and NOTES files.
# If you are in doubt as to the purpose or necessity of a line, check first
# in NOTES.
#
# $FreeBSD: src/sys/i386/conf/GENERIC,v 1.519.2.4.2.2 2009/11/09 23:48:01 kensmith Exp $

cpu        I486_CPU
cpu        I586_CPU
cpu        I686_CPU
ident        MYKERNEL

# To statically compile in device wiring instead of /boot/device.hints
#hints        "GENERIC.hints"        # Default places to look for devices.

# Use the following to compile in values accessible to the kernel
# through getenv() (or kenv(1) in userland). The format of the file
# is 'variable=value', see kenv(1)
#
# env        "GENERIC.env"

makeoptions    DEBUG=-g        # Build kernel with gdb(1) debug symbols

options     SCHED_ULE        # ULE scheduler
options     PREEMPTION        # Enable kernel thread preemption
options     INET            # InterNETworking
options     INET6            # IPv6 communications protocols
options     SCTP            # Stream Control Transmission Protocol
options     FFS            # Berkeley Fast Filesystem
options     SOFTUPDATES        # Enable FFS soft updates support
options     UFS_ACL            # Support for access control lists
options     UFS_DIRHASH        # Improve performance on big directories
options     UFS_GJOURNAL        # Enable gjournal-based UFS journaling
options     MD_ROOT            # MD is a potential root device
options     NFSCLIENT        # Network Filesystem Client
options     NFSSERVER        # Network Filesystem Server
options     NFSLOCKD        # Network Lock Manager
options     NFS_ROOT        # NFS usable as /, requires NFSCLIENT
options     MSDOSFS            # MSDOS Filesystem
options     CD9660            # ISO 9660 Filesystem
options     PROCFS            # Process filesystem (requires PSEUDOFS)
options     PSEUDOFS        # Pseudo-filesystem framework
options     GEOM_PART_GPT        # GUID Partition Tables.
options     GEOM_LABEL        # Provides labelization
options     COMPAT_43TTY        # BSD 4.3 TTY compat (sgtty)
options     COMPAT_FREEBSD4        # Compatible with FreeBSD4
options     COMPAT_FREEBSD5        # Compatible with FreeBSD5
options     COMPAT_FREEBSD6        # Compatible with FreeBSD6
options     COMPAT_FREEBSD7        # Compatible with FreeBSD7
options     SCSI_DELAY=5000        # Delay (in ms) before probing SCSI
options     KTRACE            # ktrace(1) support
options     STACK            # stack(9) support
options     SYSVSHM            # SYSV-style shared memory
options     SYSVMSG            # SYSV-style message queues
options     SYSVSEM            # SYSV-style semaphores
options     P1003_1B_SEMAPHORES    # POSIX-style semaphores
options     _KPOSIX_PRIORITY_SCHEDULING # POSIX P1003_1B real-time extensions
options     PRINTF_BUFR_SIZE=128    # Prevent printf output being interspersed.
options     KBD_INSTALL_CDEV    # install a CDEV entry in /dev
options     HWPMC_HOOKS        # Necessary kernel hooks for hwpmc(4)
options     AUDIT            # Security event auditing
options     MAC            # TrustedBSD MAC Framework
options        FLOWTABLE        # per-cpu routing cache
#options     KDTRACE_HOOKS        # Kernel DTrace hooks

# To make an SMP kernel, the next two lines are needed
options     SMP            # Symmetric MultiProcessor Kernel
device        apic            # I/O APIC

# CPU frequency control
device        cpufreq

# Bus support.
device        acpi
device        eisa
device        pci

# Floppy drives
device        fdc

# ATA and ATAPI devices
device        ata
device        atadisk        # ATA disk drives
device        ataraid        # ATA RAID drives
device        atapicd        # ATAPI CDROM drives
device        atapifd        # ATAPI floppy drives
device        atapist        # ATAPI tape drives
options     ATA_STATIC_ID    # Static device numbering

# SCSI Controllers
device        ahb        # EISA AHA1742 family
device        ahc        # AHA2940 and onboard AIC7xxx devices
options     AHC_REG_PRETTY_PRINT    # Print register bitfields in debug
                    # output.  Adds ~128k to driver.
device        ahd        # AHA39320/29320 and onboard AIC79xx devices
options     AHD_REG_PRETTY_PRINT    # Print register bitfields in debug
                    # output.  Adds ~215k to driver.
device        amd        # AMD 53C974 (Tekram DC-390(T))
device        hptiop        # Highpoint RocketRaid 3xxx series
device        isp        # Qlogic family
#device        ispfw        # Firmware for QLogic HBAs- normally a module
device        mpt        # LSI-Logic MPT-Fusion
#device        ncr        # NCR/Symbios Logic
device        sym        # NCR/Symbios Logic (newer chipsets + those of `ncr')
device        trm        # Tekram DC395U/UW/F DC315U adapters

device        adv        # Advansys SCSI adapters
device        adw        # Advansys wide SCSI adapters
device        aha        # Adaptec 154x SCSI adapters
device        aic        # Adaptec 15[012]x SCSI adapters, AIC-6[23]60.
device        bt        # Buslogic/Mylex MultiMaster SCSI adapters

device        ncv        # NCR 53C500
device        nsp        # Workbit Ninja SCSI-3
device        stg        # TMC 18C30/18C50

# SCSI peripherals
device        scbus        # SCSI bus (required for SCSI)
device        ch        # SCSI media changers
device        da        # Direct Access (disks)
device        sa        # Sequential Access (tape etc)
device        cd        # CD
device        pass        # Passthrough device (direct SCSI access)
device        ses        # SCSI Environmental Services (and SAF-TE)

# RAID controllers interfaced to the SCSI subsystem
device        amr        # AMI MegaRAID
device        arcmsr        # Areca SATA II RAID
device        asr        # DPT SmartRAID V, VI and Adaptec SCSI RAID
device        ciss        # Compaq Smart RAID 5*
device        dpt        # DPT Smartcache III, IV - See NOTES for options
device        hptmv        # Highpoint RocketRAID 182x
device        hptrr        # Highpoint RocketRAID 17xx, 22xx, 23xx, 25xx
device        iir        # Intel Integrated RAID
device        ips        # IBM (Adaptec) ServeRAID
device        mly        # Mylex AcceleRAID/eXtremeRAID
device        twa        # 3ware 9000 series PATA/SATA RAID

# RAID controllers
device        aac        # Adaptec FSA RAID
device        aacp        # SCSI passthrough for aac (requires CAM)
device        ida        # Compaq Smart RAID
device        mfi        # LSI MegaRAID SAS
device        mlx        # Mylex DAC960 family
device        pst        # Promise Supertrak SX6000
device        twe        # 3ware ATA RAID

# atkbdc0 controls both the keyboard and the PS/2 mouse
device        atkbdc        # AT keyboard controller
device        atkbd        # AT keyboard
device        psm        # PS/2 mouse

device        kbdmux        # keyboard multiplexer

device        vga        # VGA video card driver

device        splash        # Splash screen and screen saver support

# syscons is the default console driver, resembling an SCO console
device        sc

device        agp        # support several AGP chipsets

# Power management support (see NOTES for more options)
#device        apm
# Add suspend/resume support for the i8254.
device        pmtimer

# PCCARD (PCMCIA) support
# PCMCIA and cardbus bridge support
device        cbb        # cardbus (yenta) bridge
device        pccard        # PC Card (16-bit) bus
device        cardbus        # CardBus (32-bit) bus

# Serial (COM) ports
device        uart        # Generic UART driver

# Parallel port
device        ppc
device        ppbus        # Parallel port bus (required)
device        lpt        # Printer
device        plip        # TCP/IP over parallel
device        ppi        # Parallel port interface device
#device        vpo        # Requires scbus and da

# If you've got a "dumb" serial or parallel PCI card that is
# supported by the puc(4) glue driver, uncomment the following
# line to enable it (connects to sio, uart and/or ppc drivers):
#device        puc

# PCI Ethernet NICs.
device        de        # DEC/Intel DC21x4x (``Tulip'')
device        em        # Intel PRO/1000 Gigabit Ethernet Family
device        igb        # Intel PRO/1000 PCIE Server Gigabit Family
device        ixgb        # Intel PRO/10GbE Ethernet Card
device        le        # AMD Am7900 LANCE and Am79C9xx PCnet
device        ti        # Alteon Networks Tigon I/II gigabit Ethernet
device        txp        # 3Com 3cR990 (``Typhoon'')
device        vx        # 3Com 3c590, 3c595 (``Vortex'')

# PCI Ethernet NICs that use the common MII bus controller code.
# NOTE: Be sure to keep the 'device miibus' line in order to use these NICs!
device        miibus        # MII bus support
device        ae        # Attansic/Atheros L2 FastEthernet
device        age        # Attansic/Atheros L1 Gigabit Ethernet
device        alc        # Atheros AR8131/AR8132 Ethernet
device        ale        # Atheros AR8121/AR8113/AR8114 Ethernet
device        bce        # Broadcom BCM5706/BCM5708 Gigabit Ethernet
device        bfe        # Broadcom BCM440x 10/100 Ethernet
device        bge        # Broadcom BCM570xx Gigabit Ethernet
device        dc        # DEC/Intel 21143 and various workalikes
device        et        # Agere ET1310 10/100/Gigabit Ethernet
device        fxp        # Intel EtherExpress PRO/100B (82557, 82558)
device        jme        # JMicron JMC250 Gigabit/JMC260 Fast Ethernet
device        lge        # Level 1 LXT1001 gigabit Ethernet
device        msk        # Marvell/SysKonnect Yukon II Gigabit Ethernet
device        nfe        # nVidia nForce MCP on-board Ethernet
device        nge        # NatSemi DP83820 gigabit Ethernet
#device        nve        # nVidia nForce MCP on-board Ethernet Networking
device        pcn        # AMD Am79C97x PCI 10/100 (precedence over 'le')
device        re        # RealTek 8139C+/8169/8169S/8110S
device        rl        # RealTek 8129/8139
device        sf        # Adaptec AIC-6915 (``Starfire'')
device        sis        # Silicon Integrated Systems SiS 900/SiS 7016
device        sk        # SysKonnect SK-984x & SK-982x gigabit Ethernet
device        ste        # Sundance ST201 (D-Link DFE-550TX)
device        stge        # Sundance/Tamarack TC9021 gigabit Ethernet
device        tl        # Texas Instruments ThunderLAN
device        tx        # SMC EtherPower II (83c170 ``EPIC'')
device        vge        # VIA VT612x gigabit Ethernet
device        vr        # VIA Rhine, Rhine II
device        wb        # Winbond W89C840F
device        xl        # 3Com 3c90x (``Boomerang'', ``Cyclone'')

# ISA Ethernet NICs.  pccard NICs included.
device        cs        # Crystal Semiconductor CS89x0 NIC
# 'device ed' requires 'device miibus'
device        ed        # NE[12]000, SMC Ultra, 3c503, DS8390 cards
device        ex        # Intel EtherExpress Pro/10 and Pro/10+
device        ep        # Etherlink III based cards
device        fe        # Fujitsu MB8696x based cards
device        ie        # EtherExpress 8/16, 3C507, StarLAN 10 etc.
device        sn        # SMC's 9000 series of Ethernet chips
device        xe        # Xircom pccard Ethernet

# Wireless NIC cards
device        wlan        # 802.11 support
options     IEEE80211_DEBUG    # enable debug msgs
options     IEEE80211_AMPDU_AGE # age frames in AMPDU reorder q's
options     IEEE80211_SUPPORT_MESH    # enable 802.11s draft support
device        wlan_wep    # 802.11 WEP support
device        wlan_ccmp    # 802.11 CCMP support
device        wlan_tkip    # 802.11 TKIP support
device        wlan_amrr    # AMRR transmit rate control algorithm
device        an        # Aironet 4500/4800 802.11 wireless NICs.
device        ath        # Atheros pci/cardbus NIC's
device        ath_hal        # pci/cardbus chip support
options     AH_SUPPORT_AR5416    # enable AR5416 tx/rx descriptors
device        ath_rate_sample    # SampleRate tx rate control for ath
device        ral        # Ralink Technology RT2500 wireless NICs.
device        wi        # WaveLAN/Intersil/Symbol 802.11 wireless NICs.
#device        wl        # Older non 802.11 Wavelan wireless NIC.

# Pseudo devices.
device        loop        # Network loopback
device        random        # Entropy device
device        ether        # Ethernet support
device        tun        # Packet tunnel.
device        pty        # BSD-style compatibility pseudo ttys
device        md        # Memory "disks"
device        gif        # IPv6 and IPv4 tunneling
device        faith        # IPv6-to-IPv4 relaying (translation)
device        firmware    # firmware assist module

# The `bpf' device enables the Berkeley Packet Filter.
# Be aware of the administrative consequences of enabling this!
# Note that 'bpf' is required for DHCP.
device        bpf        # Berkeley packet filter

# USB support
device        uhci        # UHCI PCI->USB interface
device        ohci        # OHCI PCI->USB interface
device        ehci        # EHCI PCI->USB interface (USB 2.0)
device        usb        # USB Bus (required)
#device        udbp        # USB Double Bulk Pipe devices
device        uhid        # "Human Interface Devices"
device        ukbd        # Keyboard
device        ulpt        # Printer
device        umass        # Disks/Mass storage - Requires scbus and da
device        ums        # Mouse
device        rum        # Ralink Technology RT2501USB wireless NICs
device        ural        # Ralink Technology RT2500USB wireless NICs
device        uath        # Atheros AR5523 wireless NICs
device        zyd        # ZyDAS zb1211/zb1211b wireless NICs
device        urio        # Diamond Rio 500 MP3 player
# USB Serial devices
device        u3g        # USB-based 3G modems (Option, Huawei, Sierra)
device        uark        # Technologies ARK3116 based serial adapters
device        ubsa        # Belkin F5U103 and compatible serial adapters
device        uftdi        # For FTDI usb serial adapters
device        uipaq        # Some WinCE based devices
device        uplcom        # Prolific PL-2303 serial adapters
device        uslcom        # SI Labs CP2101/CP2102 serial adapters
device        uvisor        # Visor and Palm devices
device        uvscom        # USB serial support for DDI pocket's PHS
# USB Ethernet, requires miibus
device        aue        # ADMtek USB Ethernet
device        axe        # ASIX Electronics USB Ethernet
device        cdce        # Generic USB over Ethernet
device        cue        # CATC USB Ethernet
device        kue        # Kawasaki LSI USB Ethernet
device        rue        # RealTek RTL8150 USB Ethernet
device        udav        # Davicom DM9601E USB

# FireWire support
device        firewire    # FireWire bus code
#device        sbp        # SCSI over FireWire (Requires scbus and da)
device        fwe        # Ethernet over FireWire (non-standard!)
device        fwip        # IP over FireWire (RFC 2734,3146)
device        dcons        # Dumb console driver
device        dcons_crom    # Configuration ROM for dcons
options      IPFIREWALL                  # сам файрвол
options      IPFIREWALL_VERBOSE          # логгинг пакетов, если в правиле 
                                         # написано `log`
options      IPFIREWALL_VERBOSE_LIMIT=5  # ограничение логов (повторяющихся) - на 
                                         # случай атак типа флудинга
                                      
options      IPFIREWALL_FORWARD          # перенаправление (форвардинг) пакетов
                                         # например, для прозрачного прокси
options      IPDIVERT                    # если нужен NAT (трансляция адресов)
options      DUMMYNET                    # если понадобится ограничивать скорость 
                                         # инета пользователям (обычно - да)
options      IPFIREWALL_DEFAULT_TO_ACCEPT  # дефолтовое правило (последнее)
                                         # будет разрешающим (во всех других)
                                         # случаях - запрещающее

i2ks · 28.04.2011 09:51:40

i2ks
Участник Форума
Неактивен

Зарегистрирован: 20.02.2010
Сообщений: 6,983
Репутация : [ 101 | 1 ]

dim_s, а если так: ipfw add 4000 deny from any to any mac any <здесь пишем мак адрес> mac-type ipv4 via em0(1,2) так правило пройдет?

It is good day to die ...
MS Windows 10
Заметки о главном...

dim_s · 28.04.2011 12:52:06

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

Та же ошибка:

> ipfw add 4000 deny from any to any mac any 00:22:64:51:a1:51 mac-type ipv4 via em0
ipfw: unrecognised option [-1] from

i2ks · 28.04.2011 13:10:41

i2ks
Участник Форума
Неактивен

Зарегистрирован: 20.02.2010
Сообщений: 6,983
Репутация : [ 101 | 1 ]

dim_s пишет:

ipfw: unrecognised option [-1] from

не могу понять, где-то ошибка в синтаксе ipfw :o

It is good day to die ...
MS Windows 10
Заметки о главном...

i2ks · 28.04.2011 13:14:09

i2ks
Участник Форума
Неактивен

Зарегистрирован: 20.02.2010
Сообщений: 6,983
Репутация : [ 101 | 1 ]

могу и ошибаться, если еще добавить: in via em0 , пройдет ли такое или нет.

It is good day to die ...
MS Windows 10
Заметки о главном...

dim_s · 28.04.2011 13:18:33

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

Аналогично

> ipfw add 4000 deny from any to any mac any 00:22:64:51:a1:51 mac-type ipv4 in via em0
ipfw: unrecognised option [-1] from

Писал выше, нашёл похожую тему, может в ней будет что полезное http://forum.lissyara.su/viewtopic.php? … mp;start=0

dim_s · 29.04.2011 02:25:25

dim_s
Новичок
Неактивен

Откуда: Belarus/Minsk
Зарегистрирован: 23.11.2010
Сообщений: 46
Репутация : [ 0 | 0 ]

Всё же, может у меня файерволл собран с некоторыми недостающими опциями??

Уважаемые посетители!

Привязка IP адреса к маку (Страница 1 из 2)

Сообщений с 1 по 30 из 41

1 Тема от dim_s 08.01.2011 19:58:52 (08.01.2011 20:29:59 отредактировано dim_s)

2 Ответ от zOrg 09.01.2011 04:42:41

3 Ответ от dim_s 09.01.2011 15:17:18

4 Ответ от i2ks 19.01.2011 08:54:21

5 Ответ от dim_s 19.04.2011 23:03:09

6 Ответ от Remedy 20.04.2011 12:23:25

7 Ответ от dim_s 20.04.2011 16:42:03 (20.04.2011 18:52:51 отредактировано dim_s)

8 Ответ от Remedy 22.04.2011 00:39:52

9 Ответ от dim_s 22.04.2011 01:06:22

10 Ответ от Remedy 22.04.2011 01:15:53 (22.04.2011 01:17:33 отредактировано Remedy)

11 Ответ от dim_s 22.04.2011 01:30:01

12 Ответ от Remedy 22.04.2011 01:55:21

13 Ответ от dim_s 22.04.2011 02:15:41 (22.04.2011 14:15:50 отредактировано dim_s)

14 Ответ от Remedy 22.04.2011 17:33:55

15 Ответ от dim_s 23.04.2011 00:30:28 (26.04.2011 18:34:24 отредактировано dim_s)

16 Ответ от dim_s 26.04.2011 18:34:32

17 Ответ от Remedy 27.04.2011 12:13:02

18 Ответ от dim_s 27.04.2011 12:39:14

19 Ответ от i2ks 27.04.2011 12:50:25

20 Ответ от dim_s 27.04.2011 16:40:27

21 Ответ от i2ks 27.04.2011 17:24:41 (27.04.2011 17:25:20 отредактировано i2ks)

22 Ответ от dim_s 27.04.2011 21:07:13

23 Ответ от i2ks 27.04.2011 21:26:46

24 Ответ от dim_s 27.04.2011 21:41:08 (28.04.2011 01:23:20 отредактировано dim_s)

25 Ответ от i2ks 28.04.2011 09:51:40

26 Ответ от dim_s 28.04.2011 12:52:06

27 Ответ от i2ks 28.04.2011 13:10:41

28 Ответ от i2ks 28.04.2011 13:14:09 (28.04.2011 13:15:51 отредактировано i2ks)

29 Ответ от dim_s 28.04.2011 13:18:33

30 Ответ от dim_s 29.04.2011 02:25:25 (30.04.2011 00:19:46 отредактировано dim_s)

Сообщений с 1 по 30 из 41

Просматривают тему: 1 гость, 0 пользователей