evolix/wiki
22
0
Fork 0
Code Releases Activity

Autoriser une machine à communiquer avec une autre sur un port particulier

Browse source
This commit is contained in:
jdubois 2023-11-08 17:03:44 +01:00
parent 3c29e65efc
commit a40a5f2b2f
1 changed files with 25 additions and 0 deletions
Show stats Download patch file Download diff file Expand all files Collapse all files

25
HowtoOpenBSD/PacketFilter.md
View file

@ -157,6 +157,31 @@ On peut par exemple filtrer pour ne voir que les paquets bloqués, ou que ceux a
## Cas d'utilisation ## Cas d'utilisation
### Autoriser une machine à communiquer avec une autre sur un port particulier
Imaginons la politique de filtrage par défaut suivante :
- Tout est bloqué en entrée sur l'interface WAN
- Tout est autorisé en sortie sur les interfaces WAN et LAN
- Tout est autorisé en entrée sur l'interface LAN, pour les IP provenant du LAN
~~~
# Interfaces
lan_if = "em0"
ext_if = "em1"
# Politique par défaut
block all
pass out
pass in quick on $lan_if from ($lan_if:network) to any
~~~
Si on veut autoriser en entrée sur l'interface WAN l'IP `192.0.2.10` à communiquer vers les ports `22` et `443` de l'IP `198.51.100.50 :
~~~
pass in quick on $ext_if proto tcp from 192.0.2.10 to 198.51.100.50 port { 22, 443 }
~~~
### Limite d'état spécifique à une règle ### Limite d'état spécifique à une règle
Si une machine est souvent la cible d'attaques pouvant remplir la table d'états, une limite spécifique à une règle peut être mise en place afin de ne pas atteindre la limite globale qui bloquerait la création de nouveaux états. Si une machine est souvent la cible d'attaques pouvant remplir la table d'états, une limite spécifique à une règle peut être mise en place afin de ne pas atteindre la limite globale qui bloquerait la création de nouveaux états.