PF(PacketFillter)について

Question

###質問

現在、PFを使用し、許可したipのみにパケットを通し、
それ以外のものをブロックするという事をしたいのですが、

ipテーブルの作成し、ipテーブルのipに対しては、pass/block共に設定することはできるのですが、「指定したip以外」をblockする書き方がわかりません。

ご教示願います。

※当方の使用環境はMacです。FreeBSDなど他のBSD系で書き方が変わる場合は、Macで有効なものをお願いします。

Comments

[CHERRY]

Mac OS のバージョンは、いくつでしょうか？

[clows0]

10.12.6 になります

Answer 1

pf.confでは、あるいパケットに対してマッチするルールが複数ある場合、一番最後に書いてあるルールが有効になります。
例えば、特定のアドレスからの接続を許可したい場合は、

1 # 許可するアドレスのリスト
2 table <ok> { 192.168.1.0/24, 172.16.36.11 }
3 # フィルタリングのルール
4 pass out from any  to any  # 送信パケット(とその戻りパケット)は全て許可
5 block in from any  to any  # 受信パケットはすべて拒否
6 pass  in from <ok> to any  # 受信パケットは<ok>からのみ許可

のように書けばよいと思います(分かり易さのためこの例では、あえて冗長な書き方をしています)。

• 許可対象となる受信パケットは、5行目と6行目がマッチするので6行目が適用されます。
• それ以外の受信パケットは、5行目のみマッチするので拒否されます。
• 4行目を記述することで「stateful inspection」という機能が有効になります。これにより、5行目と6行目の記述に関係なく、自分が送信したパケットに対する応答パケットは自動的に許可されます。

PFはバージョンが進むにつれて機能が拡張され、pf.confの記述方法も変わっているのでお使いのOSのマニュアルページでpf.confやpfctlを参照するのが一番確実かな、と思います。
それができない場合は、https://man.openbsd.org/ が参考になります。

Answer 2

MACOSXのPFはOpenBSDから持ってきたものだと思いますが。だとしたら、IPアドレスリストで　『以外』を意味する！をつけた許可IPアドレスを並べるのでは駄目なんでしょうか？

Comments

[clows0]

ご回答有難うございます。
ちなみにテーブルの書き方としては、!192.168.◯◯.◯のような書き方で良いでしょうか？

[a_saitoh]

そのはずです。

table <goodguys> { 192.168.0.0/16, !192.0.2.5，!192.168.15.0/24 }
みたいなので行けるんじゃないかなぁ。

http://ftp.tuwien.ac.at/.vhost/www.openbsd.org/xxx/faq/pf/ja/tables.html

[ykaw]

a_saitohさんの例だと<goodguys>は、
・192.168.0.0/24
・又は、192.0.2.5以外の全てのアドレス
・又は、192.168.15.0/24以外の全てのアドレス
ということになって、結局全アドレスが許可対象になっちゃわないですか？