Archives pour la catégorie ‘Firewall Builder’

Firewall Builder : template pour serveur OpenVZ

Template de firewall pour un serveur OpenVZ : [Téléchargement introuvable].

Pour plus d’informations, je vous renvoie à l’article « OpenVZ : accès IPv6 en mode Virtual Ethernet (veth) ».

Firewall Builder : configuration pour un cluster de firewalls PF

Voici un exemple de fichier de règles firewall, généré avec Firewall Builder, dans le cas d’un cluster de deux firewalls PF sous FreeBSD.

Les règles PF employées couvrent quasiment toutes les fonctionnalités possibles :

  • le filtrage d’accès en IPv4 et IPv6
  • la redondance réseau avec CARP + PFSYNC
  • le filtrage des interfaces virtuelles (VLAN, TUN)
  • le filtrage par balisage des paquets (tagging)
  • la limitation des connexions avec blacklistage automatique
  • le load-balancing des connexions sortantes
  • la gestion de la QoS
  • la gestion FTP pour l’accès interne et externe

A noter que je n’ai pas utilisé la gestion cluster de Firewall Builder ; les règles sont donc dupliquées pour chaque noeud.

Fichier de configuration (format v 5.1) : Faille de sécurité ClamAV CVE-2008-5314 (un téléchargement)

Firewall Builder 4.1.3 : patch IPv6 forwarding

Un petit patch pour corriger les règles automatiques dans le cadre du IPv6 forwarding. Ce cas est injustement oublié par l’option « Add rules to accept IPv6 Neighbor Discovery packets » qu’il convient d’activer dans les paramètres de l’objet firewall.

Dans le cas où vous possédez une version 3, la mise à jour en version 4 est obligatoire.

--- /usr/local/share/fwbuilder-4.1.3/configlets/linux24/automatic_rules.old    2010-12-06 03:00:45.000000000 +0100
+++ /usr/local/share/fwbuilder-4.1.3/configlets/linux24/automatic_rules    2011-02-11 09:39:42.830967384 +0100
@@ -83,12 +83,24 @@
 # rules to permit IPv6 Neighbor discovery
 {{$begin_rule}} INPUT  -p ipv6-icmp -m icmp6 --icmpv6-type router-solicitation -m hl --hl-eq 255 -j ACCEPT {{$end_rule}}
 {{$begin_rule}} OUTPUT -p ipv6-icmp -m icmp6 --icmpv6-type router-solicitation -m hl --hl-eq 255 -j ACCEPT {{$end_rule}}
+{{if ipforw}}
+{{$begin_rule}} FORWARD -p ipv6-icmp -m icmp6 --icmpv6-type router-solicitation -m hl --hl-eq 255 -j ACCEPT {{$end_rule}}
+{{endif}}
 {{$begin_rule}} INPUT  -p ipv6-icmp -m icmp6 --icmpv6-type router-advertisement -m hl --hl-eq 255 -j ACCEPT {{$end_rule}}
 {{$begin_rule}} OUTPUT -p ipv6-icmp -m icmp6 --icmpv6-type router-advertisement -m hl --hl-eq 255 -j ACCEPT {{$end_rule}}
+{{if ipforw}}
+{{$begin_rule}} FORWARD -p ipv6-icmp -m icmp6 --icmpv6-type router-advertisement -m hl --hl-eq 255 -j ACCEPT {{$end_rule}}
+{{endif}}
 {{$begin_rule}} INPUT  -p ipv6-icmp -m icmp6 --icmpv6-type neighbour-solicitation -m hl --hl-eq 255 -j ACCEPT {{$end_rule}}
 {{$begin_rule}} OUTPUT -p ipv6-icmp -m icmp6 --icmpv6-type neighbour-solicitation -m hl --hl-eq 255 -j ACCEPT {{$end_rule}}
+{{if ipforw}}
+{{$begin_rule}} FORWARD -p ipv6-icmp -m icmp6 --icmpv6-type neighbour-solicitation -m hl --hl-eq 255 -j ACCEPT {{$end_rule}}
+{{endif}}
 {{$begin_rule}} INPUT  -p ipv6-icmp -m icmp6 --icmpv6-type neighbour-advertisement -m hl --hl-eq 255 -j ACCEPT {{$end_rule}}
 {{$begin_rule}} OUTPUT -p ipv6-icmp -m icmp6 --icmpv6-type neighbour-advertisement -m hl --hl-eq 255 -j ACCEPT {{$end_rule}}
+{{if ipforw}}
+{{$begin_rule}} FORWARD -p ipv6-icmp -m icmp6 --icmpv6-type neighbour-advertisement -m hl --hl-eq 255 -j ACCEPT {{$end_rule}}
+{{endif}}
 {{endif}}

 {{if drop_invalid}}
Haut de page