OpenBSD tulemüür

OpenBSD tulemüür

Järgnevad tekstid eeldavad, et ollakse tuttav OpenBSD kui operatsioonisüsteemi kasutamisega ning on olemas mõõdukas ettekujutus TCP/IP protokollist.

OpenBSD operatsioonisüsteemi kasutamine võrgusõlmes on tema üheks oluliseks kasutusalaks. Sõltvualt konkreetsetest vajadustest võib OpenBSD tulemüüril olla realiseeritud selliseid funktsioone

• liikluse filtreerimine - pf, mitmesugustele tingimustele põhinevate piirangute seadmine sh automaatselt täituvad ja tühjenevad blacklistid, synproxy
• NAT - mitte-avalike aadressidega arvutitele interneti kättesaadavaks tegemine
• liikluse prioritiseerimine - altq
• koormusjaotur - pf, relayd
• tulemüüri kluster - mitmest erinevast füüsilisest arvutist koosnev üks loogiline tulemüür (nn active/passive või active/active režiimis; carp, pfsync)
• statistika ja andmete analüüsiks kogumine (pfctl, pftop, tcpstat, pflogd, tcpdump, symon, syweb)
• Sild (ingl. k. bridge)

Lisaks saab sõltuvalt vajadusest olla tulemüüril käivitada nt selliseid teenuseid, mis küll iseenesest ei tulemüürimisega seotud

• dhcp server
• nimeserver - bind
• VPN - IPsec, OpenVPN
• veebivahendaja - squid
• greylisting tarkvara - spamd
• tftp
• ntp

Teemad

Käesolev käsitlus esineb pigem reaalselt tõenäoliselt esinevatele probleemidele sobivate lahenduste väljapakkumisena kui keskendub tähestikulises järjekorras erinevate programmide manuaalide (ingl. k. manpages) ümberjutustamisele.

• Tulemüüri kasutamise vajadus
• Tulemüüri ettevalmistamiseks vajalik riistvara ja tarkvara
• Paketifiler
• Kahe võrgukaardiga ruutiv tulemüür
• Kahe võrgukaardiga aadressteisendav tulemüür
• Enam kui kahe võrgukaardiga tulemüür
• Liikluse prioritiseerimise ja koormusjaotusega tulemüür
• Mitme välisühendusega tulemüür
• Passive-active tulemüürikluster
• Active-active tulemüürikluster
• Sild

Märkused

• Paketifiltri abil ei saa kirjutada ümber OpenBSD arvutis lokaalselt genereeritud paketi dst ip aadressi ja porti.

Kasulikud lisamaterjalid

• http://home.nuug.no/~peter/pf/en/long-firewall.html
• Pf ja iptables ning ipfilter testid
• http://www.benzedrine.cx/pf-paper.html
• http://undeadly.org/cgi?action=article&sid=20060927091645 (kolmeosalise artikli esimene osas, viited teistele seal)