evolix/wiki
22
0
Fork 0
Code Releases Activity

Autoriser une machine à communiquer avec une autre sur un port particulier

Browse source
This commit is contained in:
jdubois 2023-11-08 17:03:44 +01:00
parent 3c29e65efc
commit a40a5f2b2f
1 changed files with 25 additions and 0 deletions
Show stats Download patch file Download diff file Expand all files Collapse all files

25
HowtoOpenBSD/PacketFilter.md
View file

@ -157,6 +157,31 @@ On peut par exemple filtrer pour ne voir que les paquets bloqués, ou que ceux a
## Cas d'utilisation
### Autoriser une machine à communiquer avec une autre sur un port particulier
Imaginons la politique de filtrage par défaut suivante :
- Tout est bloqué en entrée sur l'interface WAN
- Tout est autorisé en sortie sur les interfaces WAN et LAN
- Tout est autorisé en entrée sur l'interface LAN, pour les IP provenant du LAN
~~~
# Interfaces
lan_if = "em0"
ext_if = "em1"
# Politique par défaut
block all
pass out
pass in quick on $lan_if from ($lan_if:network) to any
~~~
Si on veut autoriser en entrée sur l'interface WAN l'IP `192.0.2.10` à communiquer vers les ports `22` et `443` de l'IP `198.51.100.50 :
~~~
pass in quick on $ext_if proto tcp from 192.0.2.10 to 198.51.100.50 port { 22, 443 }
~~~
### Limite d'état spécifique à une règle
Si une machine est souvent la cible d'attaques pouvant remplir la table d'états, une limite spécifique à une règle peut être mise en place afin de ne pas atteindre la limite globale qui bloquerait la création de nouveaux états.