[Précédent : Listes et Macros] [Index] [Suivant : Règles de Filtrage]

PF : Tables

Table des Matières

• Introduction
• Configuration
• Manipulation des Tables avec pfctl
• Spécification des Adresses
• Recherche des Adresses Correspondantes

Introduction

• adresse source et/ou destination dans les règles de filtrage, scrub, NAT, et redirection.
• adresse de traduction dans les règles NAT.
• adresse de redirection dans les règles de redirection.
• adresse de destination dans les options des règles de filtrage route-to, reply-to, et dup-to.

Une table peut être créée dans pf.conf ou en utilisant pfctl(8).

Configuration

• const - le contenu de la table ne peut être modifié une fois la table créée. Lorsque cet attribut n'est pas spécifié, pfctl(8) peut être utilisé pour ajouter ou supprimer des adresses de la table à n'importe quel moment, même lorsque le système utilise un securelevel(7) de deux ou supérieur.
• persist - conduit le noyau à garder la table en mémoire même lorsqu'aucune règle ne s'y réfère. Sans cet attribut, le noyau supprimera automatiquement la table lorsque la dernière règle s'y référant est supprimée.

Exemple :

table <goodguys> { 192.0.2.0/24 }
table <rfc1918> const { 192.168.0.0/16, 172.16.0.0/12, \
   10.0.0.0/8 }
table <spammers> persist

block in on fxp0 from { <rfc1918>, <spammers> } to any
pass  in on fxp0 from <goodguys> to any

Les adresses peuvent aussi être spécifiées en utilisant l'opérateur de négation (ou "not"). Voici un exemple :

table <goodguys> { 192.0.2.0/24, !192.0.2.5 }

La table goodguys contient alors toutes les adresses dans le réseau 192.0.2.0/24 excepté 192.0.2.5.

Notez que les noms de tables sont toujours entourées des caractères < et >.

Les tables peuvent aussi être peuplées à partir de fichiers texte contenant une liste d'adresses et de réseaux IP :

table <spammers> persist file "/etc/spammers"

block in on fxp0 from <spammers> to any

Le fichier /etc/spammers doit contenir une liste d'adresses IP et/ou des blocs réseau en notation CIDR, une entrée par ligne. Toute ligne commençant par # est traitée comme un commentaire. Elle est donc ignorée.

Manipulation des Tables avec pfctl

# pfctl -t spammers -Tadd 218.70.0.0/16

Ceci aura aussi pour effet de créer la table <spammers> si elle n'existe pas encore. Pour afficher le contenu d'une table :

# pfctl -t spammers -Tshow

# pfctl -t spammers -Tdelete 218.70.0.0/16

Pour plus d'informations concernant la manipulation des tables avec pfctl, veuillez consulter pfctl(8).

Spécification des Adresses

Recherche des Adresses Correspondantes

table <goodguys> { 172.16.0.0/16, !172.16.1.0/24, 172.16.1.100 }

block in on dc0 all
pass  in on dc0 from <goodguys> to any

Tout paquet arrivant vers dc0 verra son adresse source recherchée dans la table <goodguys>:

• 172.16.50.5 - l'entrée la plus proche est 172.16.0.0/16; le paquet a une entrée correspondante dans la table donc il passe
• 172.16.1.25 - l'entrée la plus proche est !172.16.1.0/24; le paquet a une entrée correspondante mais celle-ci est en négation (l'opérateur "!" est utilisé); le paquet n'a donc aucune entrée correspondante et sera bloqué
• 172.16.1.100 - l'entrée la plus proche est 172.16.1.100; le paquet a une entrée correspondante dans la table donc il passe
• 10.1.4.55 - n'a aucune adresse correspondante dans la table. Il sera bloqué

[Précédent : Listes et Macros] [Index] [Suivant : Filtrage de Paquets]