内核支持
- 方式一：静态編译进内核
-
options IPFIREWALL # enables IPFW options IPFIREWALL_VERBOSE # enables logging for rules with log keyword
options IPDIVERT # enables NAT
options DUMMYNET # enables DUMMYNET - 方式二：动态装载模块
-
# /boot/loader.conf ipfw_load="YES"
配置文件
- /etc/rc.conf[.local]
-
firewall_enable="YES" firewall_logging="YES" # 在 /usr/local/etc/rc.d 下自定义开机脚本或在此添加以下任意一条 firewall_type="/PATH.../RULE_FILE" #指定包含自定义配置规则的文件 firewall_script="/PATH.../IPFW_SCRIPT" #指定具有执行权限的 ipfw rule 脚本
SYSCTL
- sysctl net.inet.ip.fw.default_to_accept=1 #默认为 0，即 deny 所有连接；此项为 readonly 参数，只能在 loader.conf 中设定
- sysctl net.inet.ip.fw.enable=0 #停用 ipfw，相当于 ipfw disable firewall，系统安全級别为 3 时，无法关闭
- sysctl net.inet6.ip6.fw.enable=0 #同上，针对 ipv6
- sysctl net.inet.ip.fw.verbose=0 #停止记录详细信息
- sysctl net.inet.ip.fw.verbose_limit=0 #同一连接的消息重复记录的次数，设为 0 表示不限制
- sysctl net.inet.ip.fw.tables_sets=9 #设置默认情况下 RULE 的归属集合(SET)，默认是 0，即第一个 SET，可以设置为 0-30 之间的数字
語法概要
- ipfw add RULE_NUMBER set SET_NUMBER ACTION log LOG_AMOUNT PROTO from SRC SRC_PORT to DST DST_PORT OPTIONS
- 规则执行順序(优先級)：按 RULE_NUMBER(1-65534) 顺序执行，若多条规则拥有同样的规则号码，则按创建的时间順序执行
- SET_NUMBER：规则集合序号(0-31)，多条规则作为一組形成一个集合 SET
- ACTION：可以为 pass(放行)、drop(丢弃)、check-state(检查 keep-state 创建的动态规则)、count(仅用作计数，不做为匹配成功的条件)、skipto ANOTHER_RULE(在规则之间进行逻辑跳转)、divert ANOTHER_PORT(端口间转发，不改变地址)等
- LOG_AMOUNT：ipfw 可以通过 syslogd 将信息写到日志文件的 security facility 中，可在创建规则时指定每条规则可以记录的最大日志数量，若不指定，则取 net.inet.ip.fw.verbose_limit 的值为准，可以通过 ipfw resetlog 命令清空计数
- PROTO：指定当前规则针对的网络协议，如 tcp、udp、icmp、sctp 等几乎所有现存协议均适用，all 或 ip 指作用于所有协议
- SRC：源地址(IPv4、IPv6)，可以为单个地址(10.0.0.2)、整个子网(e.g,10.0.0.0/16)、包含多个地址的 table、me(本机 IPv4)、me6(本机 IPv6) 等
- SRC_PORT：端口号(/etc/services 中列出的知名服务可以以其名称代替端口号)，留空则表示针对所有端口
- OPTIONS：可选项，值可以为 in(仅针对流入的报文)、out(仅针对流出的报文)、limit(src-addr src-port、dst-addr dst-port 等，用于限制源 IP 或 目标 IP 的连接数量)、icmptypes(仅在 PROTO 的位置指定为 icmp 时有效，如 ping 用的是类型 0，重定向用的是类型 5...)、keep-state(创建动态规则，允许当前规则对应的返回报文通过 ipfw)、via(指定网卡) 、setup(仅对 tcp 协议有效，这是 “tcpflags syn,!ack” 的别名简写，指本主机主动发起的对外连接请求可以通过，但本机响应外部主机请求的报文不能通过)等
語法详解
- FIREWALL CONFIGURATION
- ipfw [-q] add rule #-q 静默模式，不显示任何回应信息
- ipfw [-defnNStT] [set N] show [rule | first-last ...] #-d 同时显示动态规则，-e 显示已经失效(expired)的动态规则，-f 返回任何信息，-n 仅测试語法不真正执行，-N 尝试解析地址与服务名，-S 显示指定规则所属的集合序号，-t 显示时间，-T 显示 UNIX 记元至今的秒数
- ipfw [-f | -q] [set N] flush #清空指定集合内的所有规则，默认是序号为 0 的集合
- ipfw [-q] [set N] {delete | zero | resetlog} [number ...] #删除集合中指定的规则或清空其计数
- ipfw set [disable number ...] [enable number ...] #禁用或启用指定的规则集合
- ipfw set move [rule] number to number #将集合中的全部或指定规则追加至目标集合
- ipfw set swap number number #交换两个集合的序号
- SYSCTL SHORTCUTS
- ipfw enable {firewall | altq | one_pass | debug | verbose | dyn_keepalive} #启用指定的功能模块
- ipfw disable {firewall | altq | one_pass | debug | verbose | dyn_keepalive} #禁用
- LOOKUP TABLES
- ipfw [set N] table name create create-options
- ipfw [set N] table name destroy
- ipfw [set N] table name modify modify-options
- ipfw [set N] table name swap name
- ipfw [set N] table name add table-key [value]
- ipfw [set N] table name add [table-key value ...]
- ipfw [set N] table name atomic add [table-key value ...]
- ipfw [set N] table name delete [table-key ...]
- ipfw [set N] table name lookup addr
- ipfw [set N] table name lock
- ipfw [set N] table name unlock
- ipfw [set N] table {name | all} list
- ipfw [set N] table {name | all} info
- ipfw [set N] table {name | all} detail
- ipfw [set N] table {name | all} flush
- DUMMYNET CONFIGURATION (TRAFFIC SHAPER AND PACKET SCHEDULER)
- ipfw {pipe | queue | sched} number config config-options
- ipfw [-s [field]] {pipe | queue | sched} {delete | list | show} [number ...]
- INTERNAL DIAGNOSTICS
- ipfw internal iflist
- ipfw internal talist
- ipfw internal vlist
Tips
- 若不指定 in 与 out，ipfw 同时作用于出入报文
- 规则中可以使用 and、or、not 等逻辑判断
- 多个网址或端口可以复合书写，最外层的 { ... } 与其中内容之间必須留有空格
- ipfw add pass all from { 10.1.2.0/24{20,35,66,18} or 10.2.3.0/28{6,3,11} } to any
示例一：
试验场景——本机开启路由功能，充当内网的 Gateway
-
#!/bin/sh #更改默认的 65535 条规则为 accept sysctl net.inet.ip.fw.default_to_accept=1 # 清空旧规则 ipfw -q -f flush # 设置变量 CMD="ipfw -q add" InterFace="alc0" # 网卡名称 # alc1 指连接内部安全网络的网卡名称 $CMD 00005 allow all from any to any via alc1 # 放行回环网口 $CMD 00010 allow all from any to any via lo0 ######## 如下为流出报文控制策略 ############################ # 监测动态规则 $CMD 00101 check-state # 允许訪问 DNS 服务器并生成动态规则允许对端响应报文通过 $CMD 00110 allow tcp from any to ntp1.nl.net 53 out via $InterFace setup keep-state $CMD 00111 allow udp from any to ntp1.nl.net 53 out via $InterFace keep-state # 同上，允许 DHCP 服务通过 $CMD 00120 allow tcp from any to 113.11.1.3 67 out via $InterFace setup keep-state $CMD 00120 allow udp from any to 113.11.1.3 67 out via $InterFace keep-state # 同上，允许 HTTP 与 HTTPs 通过 $CMD 00200 allow tcp from any to any 80 out via $InterFace setup keep-state $CMD 00220 allow tcp from any to any 443 out via $InterFace setup keep-state # 同上，允许 MAIL 服务通过 $CMD 00230 allow tcp from any to any 25 out via $InterFace setup keep-state $CMD 00231 allow tcp from any to any 110 out via $InterFace setup keep-state # 允许所有内网主动发起的对外 icmp 证求，如 ping 等 $CMD 00250 allow icmp from any to any out via $InterFace keep-state # 允许 NTP 服务请求通过并返回結果 $CMD 00260 allow tcp from any to any 123 out via $InterFace setup keep-state $CMD 00260 allow udp from any to any 123 out via $InterFace keep-state # 允许对外发出 SSH 请求 $CMD 00280 allow tcp from any to any 22 out via $InterFace setup keep-state # 丢弃所有不在以上规则范围内的流出报文 $CMD 00299 deny log all from any to any out via $InterFace ############ 如下为流入报文控制策略 ########################### # 拒绝所有来自不可路由的私有 IP 地址的报文 $CMD 00300 deny all from 192.168.0.0/16 to any in via $InterFace #内网 IP 段 $CMD 00301 deny all from 172.16.0.0/12 to any in via $InterFace #同上 $CMD 00302 deny all from 10.0.0.0/8 to any in via $InterFace #同上 $CMD 00303 deny all from 127.0.0.0/8 to any in via $InterFace #回环口 $CMD 00304 deny all from 0.0.0.0/8 to any in via $InterFace #回环口别名 $CMD 00305 deny all from 169.254.0.0/16 to any in via $InterFace #DHCP 自定义地址 $CMD 00306 deny all from 192.0.2.0/24 to any in via $InterFace #科学文档测试地址 $CMD 00307 deny all from { 204.152.64.0/23 or 20.20.20.0/24 } to any in via $InterFace #已被收购的 SUN 公司远古时代的預留测试地址 $CMD 00308 deny all from 224.0.0.0/3 to any in via $InterFace #D类与E类組播地址 # 丢弃所有 icmp 请求报文 $CMD 00310 deny icmp from any to any in via $InterFace # 113 端口是用于 Windows 一种 tcp 认証服务 $CMD 00315 deny tcp from any to any 113 in via $InterFace # 丢弃所有 Windows Netbios 域服务请求 $CMD 00320 deny tcp from any to any 137 in via $InterFace $CMD 00321 deny tcp from any to any 138 in via $InterFace $CMD 00322 deny tcp from any to any 139 in via $InterFace $CMD 00323 deny tcp from any to any 81 in via $InterFace # 丢弃所有到达的非首段分片报文(分片攻击：通过将端口号从第一个分片中剥离绕过防火墙) $CMD 00330 deny all from any to any frag in via $InterFace # 丢弃所有不符合动态规则的 tcp 响应报文 $CMD 00332 deny tcp from any to any established in via $InterFace # 允许连接本机的 webserver，但限制每个源 IP 至多能建立两个连接 $CMD 00400 allow tcp from any to me 80 in via $InterFace setup limit src-addr 2 # 允许连接本机 SSH 服务，但限制至多建立两个连接 $CMD 00410 allow tcp from any to me 22 in via $InterFace setup limit src-addr 2 # 丢弃不符合以上任一规则的流入报文并将信息记入日志 $CMD 00499 deny log all from any to any in via $InterFace ... # 如果同时设置多个网口的规则，统一丢弃规则外报文 $CMD 00999 deny log all from any to any
示例二：
带宽及延迟控制
-
# 指定网络流入的数据包全部转发至本机 5000 端口 ipfw divert 5000 ip from 192.168.2.0/24 to any in # 所有发往本机 77 端口的报文，转交給第 1000 条规则进行处理，第 10 条规则仅定义跳转的条件 ipfw add 10 skipto 1000 all from any to me 77 in # 限制 outbound 方向的最小延迟为 250ms，最大带宽为 1Mbit/s ipfw add pipe 1 ip from any to any out ipfw pipe 1 config delay 250ms bw 1Mbit/s
...