31.3.PF

从 FreeBSD 5.3 开始，OpenBSD 的 PF 防火墙的移植版本就作为基本系统的集成部分被包含进来了。PF 是一个功能齐全的完整防火墙，具有对 ALTQ（备用队列）的可选支持，后者提供服务质量 （QoS）。

OpenBSD 项目在 PF FAQ 中维护了 PF 的权威参考。Peter Hansteen 在 http://home.nuug.no/\~peter/pf/ 维护着一个全面的 PF 教程。

警告
在阅读 PF FAQ 时，请记住，多年来，FreeBSD 的 PF 版本与上游的 OpenBSD 版本有很大的不同。并非所有功能在 FreeBSD 上的工作方式都与在 OpenBSD 中的工作方式相同，反之亦然。

FreeBSD 数据包过滤器邮件列表 是询问有关配置和运行 PF 防火墙的问题的好地方。在提出问题之前，请检查邮件列表存档，因为它可能已经得到解答。

手册的这一部分重点介绍与 FreeBSD 相关的 PF。它演示了如何启用 PF 和 ALTQ。它还提供了几个在 FreeBSD 系统上创建规则集的示例。

31.3.1. 启用 PF

要使用 PF，必须首先加载其内核模块。本节介绍可以添加到 /etc/rc.conf 以启用 PF 的条目。

首先添加 pf_enable=yes 到 /etc/rc.conf：

  1. # sysrc pf_enable=yes

pfctl（8） 中描述的其他选项可以在启动时传递给 PF。在 /etc/rc.conf 中添加或更改此条目，并在两个引号 （""） 之间指定任何必需的标志：

  1. pf_flags=""                     # additional flags for pfctl startup

如果 PF 找不到其规则集配置文件，则 PF 将不会启动。默认情况下，FreeBSD 不附带规则集，并且没有 /etc/pf.conf。示例规则集可以在 /usr/share/examples/pf/ 中找到。如果自定义规则集已保存在其他位置，请在 /etc/rc.conf 中添加一行，指定文件的完整路径：

  1. pf_rules="/path/to/pf.conf"

PF 的日志记录支持由 pflog（4） 提供。要启用日志记录支持，请添加 pflog_enable=yes 到 /etc/rc.conf：

  1. # sysrc pflog_enable=yes

还可以添加以下行来更改日志文件的默认位置，或指定在启动时传递给 pflog（4） 的任何其他标志：

  1. pflog_logfile="/var/log/pflog"  # where pflogd should store the logfile
  2. pflog_flags=""                  # additional flags for pflogd startup

最后，如果防火墙后面有 LAN，并且需要为 LAN 上的计算机转发数据包，或者需要 NAT，请启用以下选项：

  1. gateway_enable="YES"            # Enable as LAN gateway

保存所需的编辑后，可以通过键入以下内容来启动 PF 并具有日志记录支持：

  1. # service pf start
  2. # service pflog start

默认情况下，PF 从 /etc/pf.conf 读取其配置规则，并根据此文件中指定的规则或定义修改、丢弃或传递数据包。FreeBSD 安装包括几个位于 /usr/share/examples/pf/ 中的样本文件。有关 PF 规则集的完整覆盖范围，请参阅 PF 常见问题解答。

要控制 PF，请使用 pfctl。有用的 pfctl 选项总结了此命令的一些有用选项。有关所有可用选项的描述，请参阅 pfctl（8） ：

命令 目的
pfctl -e 启用 PF。
pfctl -d 禁用 PF。
pfctl -F all -f /etc/pf.conf 刷新所有 NAT、筛选器、状态和表规则，然后重新加载 /etc/pf.conf。
`pfctl -s [ rules nat
pfctl -vnf /etc/pf.conf 检查 /etc/pf.conf 是否存在错误，但不要加载规则集。
小技巧
security/sudo 对于运行 pfctl 需要提升权限的命令非常有用。它可以从端口集合安装。

若要监视通过 PF 防火墙的流量，请考虑安装 sysutils/pftop 包或端口。安装后，可以运行 pftop 以类似于 top（1） 的格式查看正在运行的流量快照。

31.3.2. PF 规则集

本节演示如何创建自定义规则集。它从最简单的规则集开始，并使用几个示例在其概念的基础上，以演示 PF 的许多功能的实际使用情况。

最简单的规则集适用于不运行任何服务且需要访问一个网络（可能是 Internet）的单个计算机。要创建此最小规则集，请编辑 /etc/pf.conf，使其如下所示：

  1. block in all
  2. pass out all keep state

默认情况下，第一个规则拒绝所有传入流量。第二条规则允许此系统创建的连接传出，同时保留这些连接的状态信息。此状态信息允许这些连接的返回流量回传，并且应仅在可信任的计算机上使用。该规则集可以使用以下命令加载：

  1. # pfctl -e ; pfctl -f /etc/pf.conf

除了保持状态之外，PF 还提供列表和宏，可以定义这些 列表 和 宏 以用于创建规则。宏可以包含列表，需要在使用前进行定义。例如，在规则集的最顶部插入以下行：

  1. tcp_services = "{ ssh, smtp, domain, www, pop3, auth, pop3s }"
  2. udp_services = "{ domain }"

PF 理解端口名称和端口号，只要这些名称列在 /etc/services 中即可。此示例创建两个宏。第一个是包含七个 TCP 端口名的列表，第二个是一个 UDP 端口名。定义后，可以在规则中使用宏。在此示例中，除了此系统为七个指定的 TCP 服务和一个指定的 UDP 服务启动的连接之外，所有流量都被阻止：

  1. tcp_services = "{ ssh, smtp, domain, www, pop3, auth, pop3s }"
  2. udp_services = "{ domain }"
  3. block all
  4. pass out proto tcp to any port $tcp_services keep state
  5. pass proto udp to any port $udp_services keep state

尽管 UDP 被认为是无状态协议，但 PF 能够跟踪一些状态信息。例如，当传递一个 UDP 请求，询问域名服务器有关域名的信息时，PF 将监视响应以将其传递回去。

每当对规则集进行编辑时，都必须加载新规则，以便可以使用它们：

  1. # pfctl -f /etc/pf.conf

如果没有语法错误，pfctl 则不会在规则加载期间输出任何消息。在尝试加载规则之前，还可以对其进行测试：

  1. # pfctl -nf /etc/pf.conf

包含 -n 会导致规则仅被解释，但不会加载。这提供了更正任何错误的机会。在任何时候，都将强制执行加载的最后一个有效规则集，直到禁用 PF 或加载新规则集。

小技巧
在 pfctl 规则集验证或加载中添加 -v，将显示完全解析过的规则，与它们将被加载的方式完全一致。这在调试规则时是非常有用的。

31.3.2.1. 具有 NAT 的简单网关

本节演示如何配置运行 PF 的 FreeBSD 系统作为至少一台其他机器的网关。网关至少需要两个网络接口，每个接口连接到单独的网络。在此示例中，xl0 连接到互联网，xl1 连接到内部网络。

首先，启用网关，让计算机将其在一个接口上收到的网络流量转发到另一个接口。此系统堆栈设置将转发 IPv4 数据包：

  1. # sysctl net.inet.ip.forwarding=1

要转发 IPv6 流量，请使用：

  1. # sysctl net.inet6.ip6.forwarding=1

要在系统启动时启用这些设置，请使用 sysrc（8） 将它们添加到 /etc/rc.conf：

  1. # sysrc gateway_enable=yes
  2. # sysrc ipv6_gateway_enable=yes

ifconfig命令可以验证两个接口是否已启动并正在运行。

接下来，创建 PF 规则以允许网关传递流量。虽然以下规则允许来自内部网络主机的有状态流量传递到网关，但 to 关键字不保证从源到目标的一直传递：

  1. pass in on xl1 from xl1:network to xl0:network port $ports keep state

该规则仅允许流量传入内部接口上的网关。要让数据包走得更远，需要一个匹配的规则：

  1. pass out on xl0 from xl1:network to xl0:network port $ports keep state

虽然这两个规则将起作用，但很少需要这种特定的规则。对于繁忙的网络管理员，可读的规则集是更安全的规则集。本节的其余部分演示如何使规则尽可能简单，以提高可读性。例如，这两个规则可以替换为一个规则：

  1. pass from xl1:network to any port $ports keep state

interface:network 符号可以用一个宏来代替，使规则集更易读。例如，$localnet 宏可以被定义为直接连接到内部接口的网络（$xl1:network）。另外，$localnet 的定义可以改为 IP 地址/网络掩码符号来表示一个网络，比如 192.168.100.1/24 表示一个私有地址的子网。

如果需要，$localnet 甚至可以被定义为一个网络的列表。不管具体的需求是什么，一个合理的 $localnet 定义可以在一个典型的通行规则中使用，如下：

  1. pass from $localnet to any port $ports keep state

以下示例规则集允许由内部网络上的计算机发起的所有流量。它首先定义两个宏来表示网关的外部和内部 3COM 接口。

注意
对于拨号用户，外部接口将使用 tun0。对于 ADSL 连接，特别是那些使用以太网 PPP （PPPoE） 的连接，正确的外部接口是 tun0，而不是物理以太网接口。 
  1. ext_if = "xl0"    # macro for external interface - use tun0 for PPPoE
  2. int_if = "xl1"    # macro for internal interface
  3. localnet = $int_if:network
  4. # ext_if IP address could be dynamic, hence ($ext_if)
  5. nat on $ext_if from $localnet to any -> ($ext_if)
  6. block all
  7. pass from { lo0, $localnet } to any keep state

这个规则集引入了 nat 规则，用来处理从内部网络的不可路由地址到分配给外部接口的IP地址的网络地址转换。当外部接口的 IP 地址被动态分配时，nat 规则的最后一部分 （$ext_if） 周围的括号被包括在内。它可以确保即使外部 IP 地址发生变化，网络流量的运行也不会出现严重中断。

请注意，此规则集可能允许从网络中传出的流量超过所需的流量。一个合理的设置可以创建此宏：

  1. client_out = "{ ftp-data, ftp, ssh, domain, pop3, auth, nntp, http, \
  2.     https, cvspserver, 2628, 5999, 8000, 8080 }"

在主传递规则中使用：

  1. pass inet proto tcp from $localnet to any port $client_out \
  2.     flags S/SA keep state

可能需要一些其他的通过规则。这个在外部接口上启用 SSH：

  1. pass in inet proto tcp to $ext_if port ssh

此宏定义和规则允许内部客户端使用 DNS 和 NTP：

  1. udp_services = "{ domain, ntp }"
  2. pass quick inet proto { tcp, udp } to any port $udp_services keep state

注意这个规则中的 quick 关键字。由于规则集由多个规则组成，因此了解规则集中规则之间的关系很重要。规则从上到下，按照它们的编写顺序进行评估。对于 PF 评估的每个数据包或连接，规则集中最后一个匹配的规则是被应用的。然而，当一个数据包与包含 quick 关键字的规则相匹配时，规则处理就会停止，数据包将按照该规则处理。当需要对一般规则进行例外处理时，这非常有用。

31.3.2.2. 创建 FTP 代理

由于 FTP 协议的性质，配置有效的 FTP 规则可能会有问题。FTP 比防火墙早了几十年，并且在设计上是不安全的。反对使用 FTP 的最常见观点包括：

  • 密码以明文形式传输。
  • 该协议要求在单独的端口上使用至少两个 TCP 连接（控制和数据）。
  • 建立会话后，使用随机选择的端口进行数据通信。

所有这些要点都带来了安全挑战，甚至在考虑客户端或服务器软件中的任何潜在安全漏洞之前也是如此。存在更安全的文件传输替代方案，例如 sftp（1） 或 scp（1），它们都具有身份验证和通过加密连接传输数据的功能。

对于需要 FTP 的情况，PF 提供 FTP 流量的重定向到一个名为 ftp-proxy（8） 的小型代理程序，它包含在 FreeBSD 的基本系统中。代理的作用是使用一组锚点在规则集中动态插入和删除规则，以正确处理 FTP 流量。

要启用 FTP 代理，请将此行添加到 /etc/rc.conf：

  1. ftpproxy_enable="YES"

然后通过运行 service ftp-proxy start 启动代理。

对于基本配置，需要将三个元素添加到 /etc/pf.conf 中。首先，代理将用于插入它为 FTP 会话生成的规则的锚点：

  1. nat-anchor "ftp-proxy/*"
  2. rdr-anchor "ftp-proxy/*"

其次，需要传递规则来允许 FTP 流量进入代理。

第三，重定向和 NAT 规则需要在过滤规则之前定义。在 NAT 规则之后立即插入这个 rdr 规则。

  1. rdr pass on $int_if proto tcp from any to any port ftp -> 127.0.0.1 port 8021

最后，允许重定向的流量通过：

  1. pass out proto tcp from $proxy to any port ftp

其中，$proxy 扩展到代理守护程序绑定到的地址。

保存 /etc/pf.conf，加载新规则，然后从客户端验证 FTP 连接是否正常工作：

  1. # pfctl -f /etc/pf.conf

此示例介绍了一个基本设置，其中本地网络中的客户端需要联系其他位置的 FTP 服务器。此基本配置应该适用于 FTP 客户端和服务器的大多数组合。如 ftp-proxy（8） 所示，通过向行中添加 ftpproxy_flags= 选项，可以通过多种方式更改代理的行为。某些客户端或服务器可能具有必须在配置中补偿的特定怪癖，或者可能需要以特定方式集成代理，例如将 FTP 流量分配给特定队列。

要运行受 PF 和 ftp-proxy（8） 保护的 FTP 服务器，请在具有自己的重定向传递规则的单独端口上使用 -R 以反向模式配置单独的 FTP 服务器。

31.3.2.3. 管理 ICMP

用于调试或排除 TCP/IP 网络故障的许多工具都依赖于 Internet 控制消息协议 （ICMP），该协议是专门为调试而设计的。

ICMP 协议在主机和网关之间发送和接收 控制消息，主要是为了向发送方提供有关前往目标主机途中的任何异常或困难情况的反馈。路由器使用 ICMP 协议来协商包的大小和其他传输参数，这个过程通常被称为路径 MTU 发现。

从防火墙的角度来看，某些 ICMP 控制消息容易受到已知攻击媒介的攻击。此外，让所有诊断流量无条件通过使调试更容易，但也使其他人更容易提取有关网络的信息。由于这些原因，以下规则可能不是最佳规则：

  1. pass inet proto icmp from any to any

一种解决方案是让来自本地网络的所有 ICMP 流量通过，同时停止来自网络外部的所有探测：

  1. pass inet proto icmp from $localnet to any keep state
  2. pass inet proto icmp from any to $ext_if keep state

其他选项也可用，这些选项展示了 PF 的一些灵活性。例如，可以指定 ping（8） 和 traceroute（8） 使用的消息，而不是允许所有 ICMP 消息。首先为该类型的消息定义一个宏：

  1. icmp_types = "echoreq"

以及使用宏的规则：

  1. pass inet proto icmp all icmp-type $icmp_types keep state

如果需要其他类型的 ICMP 数据包，可以将 icmp_type 扩展为这些数据包类型的列表。输入更多的 /usr/src/sbin/pfctl/pfctl_parser.c 来查看 PF 支持的 ICMP 消息类型列表。关于每种消息类型的解释，请参考 http://www.iana.org/assignments/icmp-parameters/icmp-parameters.xhtml。

由于 Unix 的 traceroute 默认使用 UDP，所以需要另一条规则来允许 Unix 的 traceroute 。

  1. # allow out the default range for traceroute(8):
  2. pass out on $ext_if inet proto udp from any to any port 33433 >< 33626 keep state

由于微软 Windows 系统上的 TRACERT.EXE 使用 ICMP 回声请求信息，所以只需要第一条规则就可以允许来自这些系统的网络追踪。Unix 的 traceroute 也可以被指示使用其他协议，如果使用 -I，将使用 ICMP echo request 消息。详情请查看 traceroute（8） 手册页以了解详细信息。

31.3.2.3.1. 路径 MTU 发现

Internet 协议被设计为与设备无关，设备独立的一个后果是，无法始终可靠地预测给定连接的最佳数据包大小。数据包大小的主要约束是 最大传输单位 （MTU），它设置接口数据包大小的上限。键入 ifconfig 以查看系统网络接口的 MTU。

TCP/IP 使用称为路径 MTU 发现的过程来确定连接的正确数据包大小。此过程发送设置了 “Do not fragment” 标志集的不同大小的数据包，当达到上限时，预计 ICMP 将返回 “type 3, code 4” 的数据包。“type 3” 表示“目标无法访问”，“type 4” 是“需要碎片，但设置了不分段标志”的缩写。要允许路径 MTU 发现以支持与其他 MTU 的连接，请将类型 destination unreachable 添加到 icmp_types 宏中：

  1. icmp_types = "{ echoreq, unreach }"

由于传递规则已使用该宏，因此无需对其进行修改即可支持新的 ICMP 类型：

  1. pass inet proto icmp all icmp-type $icmp_types keep state

PF 允许对 ICMP 类型和代码的所有变体进行过滤。可能的类型和代码列表记录在 icmp（4） 和 icmp6（4） 中。

31.3.2.4. 使用表格

某些类型的数据与给定时间的筛选和重定向相关，但它们的定义太长，无法包含在规则集文件中。PF 支持使用表，表是定义的列表，无需重新加载整个规则集即可对其进行操作，并且可以提供快速查找。表名始终括在 < > 中，如下所示：

  1. table <clients> { 192.168.2.0/24, !192.168.2.5 }

在此示例中，网络是 192.168.2.0/24 表的一部分，但 192.168.2.5 地址除外，该地址使用 ! 运算符将其排除。还可以从每个项目位于单独行上的文件中加载表，如以下示例 /etc/clients 所示：

  1. 192.168.2.0/24
  2. !192.168.2.5

要引用该文件，请按如下方式定义表：

  1. table <clients> persist file "/etc/clients"

定义表后，可以通过规则引用它：

  1. pass inet proto tcp from <clients> to any port $client_out flags S/SA keep state

可以使用 pfctl 实时操作表的内容。以下示例向表中添加另一个网络：

  1. # pfctl -t clients -T add 192.168.1.0/16

注意，以这种方式做出的任何改变都会立即生效，使其成为测试的理想选择，但在断电或重启后将无法继续。要使这些变化成为永久性的，请修改规则集中的表的定义，或者编辑表所指向的文件。我们可以使用 cron（8） 工作来维护磁盘上的表的副本，该工作会定期将表的内容转储到磁盘上，使用的命令有：pfctl -t clients -T show >/etc/clients。另外，/etc/clients 也可以用内存中的表内容进行更新。

  1. # pfctl -t clients -T replace -f /etc/clients

31.3.2.5. 使用重载表来保护 SSH

在外部接口上运行 SSH 的用户可能在身份验证日志中看到过类似这样的内容：

  1. Sep 26 03:12:34 skapet sshd[25771]: Failed password for root from 200.72.41.31 port 40992 ssh2
  2. Sep 26 03:12:34 skapet sshd[5279]: Failed password for root from 200.72.41.31 port 40992 ssh2
  3. Sep 26 03:12:35 skapet sshd[5279]: Received disconnect from 200.72.41.31: 11: Bye Bye
  4. Sep 26 03:12:44 skapet sshd[29635]: Invalid user admin from 200.72.41.31
  5. Sep 26 03:12:44 skapet sshd[24703]: input_userauth_request: invalid user admin
  6. Sep 26 03:12:44 skapet sshd[24703]: Failed password for invalid user admin from 200.72.41.31 port 41484 ssh2

这表明有人或某些程序试图发现用户名和密码，这将让他们进入系统。

如果合法用户需要外部 SSH 访问，则更改 SSH 使用的默认端口可以提供一些保护。但是，PF 提供了一个更优雅的解决方案。Pass 规则可以包含对连接主机可以执行的操作的限制，并且可以将违规者放逐到被拒绝部分或全部访问的地址表中。甚至可以从超出限制的计算机中删除所有现有连接。

要对此进行配置，请在规则集的表部分中创建此表：

  1. table <bruteforce> persist

然后，在规则集的早期某个位置，添加规则以阻止暴力访问，同时允许合法访问：

  1. block quick from <bruteforce>
  2. pass inet proto tcp from any to $localnet port $tcp_services \
  3.     flags S/SA keep state \
  4.     (max-src-conn 100, max-src-conn-rate 15/5, \
  5.     overload <bruteforce> flush global)

括号中的部分定义了限制，应更改数字以满足本地要求。可以这样理解：

max-src-conn 是允许从一台主机同时连接的次数。

max-src-conn-rate 是每秒数 （5） 允许来自任何单个主机 （15） 的新连接速率。

overload <bruteforce> 意味着任何超过这些限制的主机都会被添加到 bruteforce 表中。该规则集阻止来自 bruteforce 表中的地址的所有流量。

最后，flush global 表示，当一个主机达到限制时，该主机的所有 （global） 连接将被终止 （flush）。

注意
这些规则 不会 阻止速度较慢的暴力破解程序，如 http://home.nuug.no/\~peter/hailmary2013/ 中所述。

此示例规则集主要用作说明。例如，如果通常需要大量的连接，但在涉及 ssh 时希望更加严格，请在规则集的早期用如下内容补充上述规则：

  1. pass quick proto { tcp, udp } from any to any port ssh \
  2.     flags S/SA keep state \
  3.     (max-src-conn 15, max-src-conn-rate 5/3, \
  4.     overload <bruteforce> flush global)
可能没有必要阻止所有重载器： 值得注意的是，重载机制是一种通用技术，不仅适用于 SSH，并且完全阻止违规者的所有流量并不总是最佳的。

例如，重载规则可用于保护邮件服务或 Web 服务，重载表可用于在规则中将违规者分配到具有最小带宽分配的队列或重定向到特定网页。|

随着时间的推移，表将被重载规则填充，其大小将逐渐增长，占用更多内存。有时，被阻止的 IP 地址是动态分配的 IP 地址，此后已分配给具有正当理由与本地网络中的主机通信的主机。

对于这样的情况，pfctl 提供了使表项过期的能力。例如，该命令将删除 86400 秒内未被引用的 <bruteforce> 表项。

  1. # pfctl -t bruteforce -T expire 86400

security/expiretable 也提供了类似的功能，它删除了在指定时间段内未被访问的表条目。

安装后，可以运行 expiretable 来删除 <bruteforce> 表中超过指定期限的表条目。本示例删除所有早于 24 小时的条目：

  1. /usr/local/sbin/expiretable -v -d -t 24h bruteforce

31.3.2.6. 防止垃圾邮件

不要与与 spamassassin 捆绑在一起的垃圾邮件守护程序混淆，mail/spamd 可以使用 PF 进行配置，以提供针对垃圾邮件的外部防御。此垃圾邮件使用一组重定向挂接到 PF 配置中。

垃圾邮件发送者倾向于发送大量邮件，垃圾邮件主要来自少数垃圾邮件发送者友好的网络和大量被劫持的计算机，这两者都会相当快地报告到 阻止列表 中。

当收到来自阻止列表中某个地址的 SMTP 连接时，spamd 会显示其标题，并立即切换到一种模式，在该模式下，它一次一个字节地应答 SMTP 通信。这种技术旨在将尽可能多的时间浪费在垃圾邮件发送者这一端，称为 缓送。使用一个字节 SMTP 答复的特定实现通常称为断断续续。

此示例演示了使用自动更新的阻止列表设置垃圾邮件的基本过程。有关详细信息，请参阅随 mail/spamd 一起安装的手册页。

过程：配置垃圾邮件

  1. 安装 mail/spamd 包或端口。要使用 spamd 的灰名单功能，fdescfs（5） 必须挂载在 /dev/fd。将以下行添加到 /etc/fstab：

    1.  fdescfs /dev/fd fdescfs rw 0 0

    然后，挂载文件系统：

    1. #  mount fdescfs

  2. 接下来，编辑 PF 规则集以包括：

    1. table <spamd> persist
    2. table <spamd-white> persist
    3. rdr pass on $ext_if inet proto tcp from <spamd> to \
    4.     { $ext_if, $localnet } port smtp -> 127.0.0.1 port 8025
    5. rdr pass on $ext_if inet proto tcp from !<spamd-white> to \
    6.     { $ext_if, $localnet } port smtp -> 127.0.0.1 port 8025

    两个表 <spamd> 和 <spamd-white> 是必不可少的。来自 <spamd> 中所列但不在 <spamd-white> 中的地址的 SMTP 流量被重定向到在 8025 端口监听的 spamd 守护进程。

  3. 下一步是在 /usr/local/etc/spamd.conf 中配置 spamd，并添加一些 rc.conf 参数。

mail/spamd 的安装包括一个示例配置文件 （/usr/local/etc/spamd.conf.sample） 和一个 spamd.conf 的手册页。有关此示例中所示选项之外的其他配置选项，请参阅这些选项。

  1. 配置文件中不以 `#` 注释符号开头的第一行包含了定义 `all` 列表的块，它指定了要使用的列表。
  3. ```
  4. all:\
  5.     :traplist:allowlist:
  6. ```
  8. 此条目添加所需的区块列表，以冒号(:)分隔。要使用白名单从黑名单中减去地址，请在该黑名单的名称之后 _紧跟_ 添加白名单的名称。例如：`:blocklist:allowlist:`
  10. 后跟指定的黑名单的定义：
  12. ```
  13. traplist:\
  14.     :black:\
  15.     :msg="SPAM. Your address %A has sent spam within the last 24 hours":\
  16.     :method=http:\
  17.     :file=www.openbsd.org/spamd/traplist.gz
  18. ```
  20. 其中第一行是封杀名单的名称，第二行是指定名单类型。`msg` 字段包含了在 SMTP 对话中显示给被封杀的发送者的信息。`method` 字段指定 `spamd-setup` 如何获取列表数据；支持的方法有 `http`、`ftp`、挂载文件系统中的 `file` 和通过外部程序的 `exec`。最后，`file` 字段指定了 spamd 期望接收的文件的名称。
  22. 指定白名单的定义类似，但省略了该字段，因为不需要消息 `msg`：
  24. ```
  25. allowlist:\
  26.     :white:\
  27.     :method=file:\
  28.     :file=/var/mail/allowlist.txt
  29. ```
  31. | 小技巧                                                                                       |
  32. | ----------------------------------------------------------------------------------------- |
  33. | **谨慎选择数据源：** 使用示例 **spamd.conf** 中的所有阻止列表将阻止互联网的大块区域。管理员需要编辑该文件以创建使用适用数据源并在必要时使用自定义列表的最佳配置。|
  35. 接下来，将此条目添加到 **/etc/rc.conf**。注释指定的手册页中描述了其他标志：
  37. ```
  38. spamd_flags="-v" # use "" and see spamd-setup(8) for flags
  39. ```
  41. 完成后，重新加载规则集，通过输入 `service obspamd start` 启动 `spamd`，并使用 `spamd-setup` 完成配置。最后，创建一个 [cron（8）](https://www.freebsd.org/cgi/man.cgi?query=cron\&sektion=8\&format=html) 工作，在合理的时间间隔内调用 `spamd-setup` 来更新这些表。

在邮件服务器前面的典型网关上，主机很快就会在几秒钟到几分钟内开始陷入困境。

PF 还支持 灰名单，这会暂时拒绝来自具有 45n 代码的未知主机的邮件。来自灰名单主机的消息在合理时间内再次尝试，将被允许通过。来自设置为在 RFC 1123 和 RFC 2821 设置的限制范围内运行的发件人的流量将立即通过。

有关灰名单技术的更多信息，请访问 greylisting.org 网站。除了简单之外，灰名单最令人惊奇的事情是它仍然有效。垃圾邮件发送者和恶意软件编写者在适应绕过这种技术方面非常缓慢。

配置灰名单的基本过程如下：

过程：配置灰名单

  1. 确保 fdescfs（5） 已按照上一过程的步骤 1 中所述进行挂载。

  2. 要在灰名单模式下运行垃圾邮件，请将此行添加到 /etc/rc.conf：

    1. spamd_grey="YES"  # use spamd greylisting if YES

    有关其他相关参数的说明，请参阅垃圾邮件手册页。

  3. 要完成灰名单设置：

    1. #  service obspamd restart
    2. #  service obspamlogd start

在幕后，spamdb 数据库工具和 spamlogd 白名单更新程序执行灰名单功能的基本功能。spamdb 是管理员通过 /var/db/spamdb 数据库的内容管理块、灰名单和允许列表的主要界面。

31.3.2.7. 网络维护

本节描述如何使用 block-policy 、scrub 和 antispoof 来使规则集的行为正常。

block-policy 选项，可以在 options 规则集的一部分中设置，该部分位于重定向和过滤规则之前。此选项确定 PF 向被规则阻止的主机发送哪些反馈（如果有）。该选项有两个可能的值：drop 没有反馈的被阻止数据包，并 return 返回状态代码，如 Connection refused。

如果未设置 drop，则缺省策略为 block-policy，要更改，请指定所需的值：

  1. set block-policy return

在 PF 中，scrub 是启用网络数据包规范化的关键字。此过程将重新组合碎片数据包并丢弃具有无效标志组合的 TCP 数据包。启用 scrub 功能提供了一种针对基于不正确处理数据包片段的某些类型攻击的保护措施。有许多选项可用，但最简单的形式适用于大多数配置：

  1. scrub in all

某些服务（如 NFS）需要特定的片段处理选项。有关详细信息，请参阅 https://home.nuug.no/\~peter/pf/en/scrub.html。

本示例重新组合片段，清除 “do not fragment” 位，并将最大段大小设置为 1440 字节：

  1. scrub in all fragment reassemble no-df max-mss 1440

antispoof 机制可防止来自欺骗或伪造 IP 地址的活动，主要是通过阻止出现在接口上和逻辑上不可能的方向上的数据包。

这些规则清除了来自世界其他地区的欺骗性流量以及源自本地网络的任何欺骗性数据包：

  1. antispoof for $ext_if
  2. antispoof for $int_if

31.3.2.8. 处理不可路由的地址

即使使用正确配置的网关来处理网络地址转换，也可能必须补偿其他人的错误配置。一个常见的错误配置是让具有不可路由地址的流量流向 Internet。由于来自不可路由地址的流量可以在多种 DoS 攻击技术中发挥作用，因此请考虑显式阻止来自不可路由地址的流量通过外部接口进入网络。

在此示例中，定义了一个包含不可路由地址的宏，然后将其用于阻止规则。进出这些地址的流量会悄悄地丢弃在网关的外部接口上。

  1. martians = "{ 127.0.0.0/8, 192.168.0.0/16, 172.16.0.0/12, \
  2.           10.0.0.0/8, 169.254.0.0/16, 192.0.2.0/24, \
  3.           0.0.0.0/8, 240.0.0.0/4 }"
  5. block drop in quick on $ext_if from $martians to any
  6. block drop out quick on $ext_if from any to $martians

31.3.3. 启用 ALTQ

在 FreeBSD 上，ALTQ 可以与 PF 一起使用，以提供服务质量 （QOS）。启用 ALTQ 后，可以在规则集中定义队列，以确定出站数据包的处理优先级。

在启用 ALTQ 之前，请参考 altq（4） 以确定系统上安装的网卡的驱动程序是否支持它。

ALTQ 不能用作可加载的内核模块。如果系统的接口支持 ALTQ，那么使用 配置 FreeBSD 内核中的说明创建一个自定义内核。以下内核选项可用。需要第一个来启用 ALTQ。至少需要一个其他选项来指定排队调度程序算法：

  1. options         ALTQ
  2. options         ALTQ_CBQ        # Class Based Queuing (CBQ)
  3. options         ALTQ_RED        # Random Early Detection (RED)
  4. options         ALTQ_RIO        # RED In/Out
  5. options         ALTQ_HFSC       # Hierarchical Packet Scheduler (HFSC)
  6. options         ALTQ_PRIQ       # Priority Queuing (PRIQ)

以下调度程序算法可用：

  • CBQ

    基于类的队列 （CBQ） 用于将连接的带宽划分为不同的类或队列，以根据过滤规则确定流量的优先级。

  • RED

    随机早期检测 （RED） 用于通过测量队列的长度并将其与队列的最小和最大阈值进行比较来避免网络拥塞。当队列超过最大值时，将随机丢弃所有新数据包。

  • RIO

    在随机早期检测入库和出库 （RIO） 模式下，RED 保持多个平均队列长度和多个阈值，每个 QOS 级别一个阈值。

  • HFSC

    分层公平服务曲线数据包调度程序 （HFSC） http://www-2.cs.cmu.edu/\~hzhang/HFSC/main.html 中进行了说明。

  • PRIQ

    优先级队列 （PRIQ） 始终首先传递较高队列中的流量。

有关调度算法和示例规则集的更多信息，请访问 OpenBSD 的 Web 存档。