FreeBSD 上的 PF 防火牆，用於允許 SSH 和 OpenVPN 流量

我正在嘗試為 FreeBSD 11.1-RELEASE 上的數據包過濾器創建一個簡單的 ansible 模板。我有vtnet0（公共），vtnet1（私人，10.10 地址）和tun0（openvpn，從客戶端到我網路上的節點的完全工作/測試）。

我的 rc.conf 如下所示：

hostname="bastion"
sshd_enable="YES"
static_routes="linklocal"
ifconfig_vtnet0="DHCP"
ifconfig_vtnet0_ipv6="inet6 accept_rtadv"
ipv6_activate_all_interfaces="YES"
rtsold_enable="YES"
rtsold_flags="-aF"
ifconfig_vtnet1="inet 10.10.6.20 netmask 255.255.255.0"
gateway_enable="YES"
openvpn_enable="YES"
pf_enable="YES"

我的雲提供商通過 DHCP 為我提供了 ipv4/ipv6 公共地址。

我查看了 FreeBSD 文件和其他 ansible 劇本，並提出了這個基本的 pf.conf：

block all
set skip on lo0
set skip on tun0
pass out all keep state
tcp_services = "{ ssh }"
udp_services = "{ openvpn }"
pass in proto tcp to any port $tcp_services keep state
pass in proto udp to any port $udp_services keep state

但是，使用此配置，我阻止了所有 ssh 和 openvpn 訪問，並且必須通過 VM Web 控制台登錄到我的盒子。

我的目標是讓這個盒子只允許來自公共介面的 openvpn (udp) 和 ssh，允許通過 vpn (tun0) 的所有流量和來自內部的所有流量。

設置pf可能有點麻煩。您需要了解，它pf絕對平等地對待所有介面，並且不存在源自盒子本身的數據包的概念，就像在iptables–OUTPUT鏈中一樣。我將從這些方面開始，並以此為基礎：

# allow all from host itself
pass out inet all keep state
pass out inet6 all keep state
# allow all from private
pass in quick on vtnet1 inet from any to any keep state
# openvpn
pass in quick proto udp to vtnet0 port openvpn keep state
pass in quick on tun0 inet from any to any keep state
# ssh
pass in quick proto tcp to vtnet0 port ssh flags S/SA keep state

警告：不要使用標準的 openvpn 和 ssh 埠。

引用自：https://serverfault.com/questions/867854