Может это и баян но некоторые не в курсе!
Раньше pf не понимал доменные имена теперь понимает =)
Надо было мне двум хостам в сети разрешить 25(smtp) порт для отправки отчётов через "mail.ru", не знаю почему так, но пенсионный фонд предпочёл этот сервис, дело их.
Таблица mailru:
(pts/0)[ttys@adi:~]>sudo grep mailru /etc/pf.conf table <mailru> persist file "/etc/pfacl/pf.mailru"
(pts/0)[ttys@adi:~]> sudo cat /etc/pfacl/pf.mailru smtp.mail.ru smtp.list.ru smtp.bk.ru smtp.inbox.ru
(pts/0)[ttys@adi:~]> sudo pfctl -t mailru -T show 94.100.177.1 94.100.177.2 94.100.177.3 94.100.177.4
Раньше приходилось по извращенски свой IP вытягивать (т.к. он динамический)
sudo cat /scripts/ttysip.sh #!/bin/sh date=`/bin/date '+%Y/%m/%d %H:%M.%S'` myip=`/usr/bin/host dtulyakov.dyndns.org | /usr/bin/awk '{print $4}'` touch /var/log/ttyshost.log echo "########################## ttys" >> /var/log/ttyshost.log echo $date >> /var/log/ttyshost.log if [ ${myip} != "found:" ]; then /sbin/pfctl -t sshblock -T delete $myip /sbin/pfctl -t goodip -T expire 800 /sbin/pfctl -t goodip -T add $myip else /sbin/pfctl -t goodip -T expire 60 echo "ERROR" >> /var/log/ttyshost.log fi echo "ttys.dyndns.org" ${myip} >> /var/log/ttyshost.log
Сейчас этого не надо =) по крайней мере пока.
PS: Ещё проверяю как это работает на динамическом IP адресе.
PPS: Вот тут есть сравнение 3х фаерволов
сделал так:
grep -v ^# /scripts/ttysip.sh date=`/bin/date '+%Y/%m/%d %H:%M.%S'` myip=`/usr/bin/host dtulyakov.dyndns.org | /usr/bin/awk '{print $4}'` touch /var/log/ttyshost.log echo "########################## ttys" >> /var/log/ttyshost.log echo $date >> /var/log/ttyshost.log if [ ${myip} != "found:" ]; then /sbin/pfctl -t goodip -T expire 800 /sbin/pfctl -t goodip -T add dtulyakov.dyndns.org else /sbin/pfctl -t goodip -T expire 60 echo "ERROR" >> /var/log/ttyshost.log fi echo "ttys.dyndns.org" ${myip} >> /var/log/ttyshost.log
Theme by Danetsoft and Danang Probo Sayekti inspired by Maksimer
не так то всё просто =)
оказалось что при таком раскладе PF не загружает правила =(
ругается на то что не знает что такое "smtp.mail.ru" кароче пока днс не поднялся не получается добавить., выхода 2 или заполнять таблицу через rc.local,
что то на подобии:
хотя можно при загрузке указать для чтения
или же по старому вбивать ипы.