Разрешить Samba-соединения * только * из внутренней локальной сети (PF firewall)?

Question

Существует машина FreeBSD 11.1-RELEASE с 1 сетевой картой, обслуживающая общие ресурсы Samba за брандмауэром PF на том же сервере.

Мне нужно разрешить подключения только от клиентов, подключающихся из внутренней сети (/24).

В настоящее время это может работать:

# Default deny policy
block in log all

# allow Samba connections only from internal IPs
pass in quick on $ext_if inet proto tcp from $ext_if:network to $ext_if:network port {135, 137, 138, 139, 445}
pass in quick on $ext_if inet proto udp from $ext_if:network to $ext_if:network port {135, 137, 138, 139, 445}

Правда ли, что это правильно и достаточно?

Есть ли лучший, более идиоматический способ разрешать подключения Samba только из внутренней локальной сети, используя межсетевой экран PF?

Answer 1

добавьте другой интерфейс к вашей установке pf-sense. или если доступен коммутатор с поддержкой VLAN, он предоставит вам дополнительные виртуальные интерфейсы в смысле pf.

вы бы поместили свой общий ресурс samba во второй интерфейс, чтобы дать ему новую подсеть (что-то вроде 10.10.10.0 /24), все будет работать, вам просто нужно, чтобы это была другая подсеть от пользователей локальной сети, которыми вы хотите управлять

Теперь настройте правила доступа пользователей ко второй подсети ЛВС. или, в частности, какие пользователи имеют доступ к вашему общему ресурсу самбы по ip.

РЕДАКТИРОВАТЬ: в PF (Фильтрация), чтобы сделать это: после правила блокировки по умолчанию>

Теперь трафик должен быть явно пропущен через брандмауэр, иначе он будет отброшен политикой запрета по умолчанию. Это где критерии пакета, такие как порт источника / назначения, адрес источника / назначения и протокол вступают в игру. Всякий раз, когда трафику разрешено проходить через брандмауэр, правило (правила) должно быть написано как можно более ограничительным. Это необходимо для того, чтобы разрешить пропуск предполагаемого трафика и только предполагаемого трафика.

«# Передача трафика на dc0 из локальной сети, 192.168.0.0/24, в OpenBSD»

msgstr "# IP-адрес машины 192.168.0.1. Также передавайте обратный трафик на dc0. "

перейти на dc0 с 192.168.0.0/24 до 192.168.0.1

вырубить на dc0 с 192.168.0.1 по 192.168.0.0/24

«#Pass TCP-трафик на веб-сервер, работающий на машине OpenBSD.»

передать исходящий протокол TCP от любого к выходному порту www

используйте имя вашего интерфейса, добавьте свои подсети, и вы должны быть в порядке, используйте правила ip. это сделает это намного проще.

Я вижу только два правила прохода в вашем посте, я полагаю, что вам понадобится вход / выход с tcp и udp.