floppy-isdn4linux Version 3.6.2 - Fli4l

3. Basiskonfiguration
PF_INPUT_REJ_LIMIT PF_INPUT_UDP_REJ_LIMIT Definiert, wie häufig bei einer
Ablehnung eines reinkommenden Paketes auch ein entsprechendes Reject-Paket generiert
wird, die Häufigkeit wird analog zur Limit-Einschränkung als n pro Zeiteinheit mit
Bursts beschrieben, also z.B. ’3/minute:5’. Ist das Limit überschritten, wird das Paket
einfach gedroppt. Ist dieser Eintrag leer, wird der Standardwert ’1/second:5’ verwendet,
enhält er ’none’, wird keine Limitierung durchgeführt.
PF_INPUT_ICMP_ECHO_REQ_LIMIT Definiert, wie häufig auf ein icmp echo request
reagiert werden soll, die Häufigkeit wird analog zur Limit-Einschränkung als n pro Zeiteinheit
mit Bursts beschrieben, also z.B. ’3/minute:5’. Ist das Limit überschritten, wird
das Paket einfach gedroppt. Ist dieser Eintrag leer, wird der Standardwert ’1/second:5’
verwendet, enhält er ’none’, wird keine Limitierung durchgeführt.
Die Forward-Liste
Über die Forward-Liste wird konfiguriert, welche Pakete vom Router weitergeleitet werden.
Trifft keine der Regeln der Forward-Liste zu, bestimmt die Default-Policy, was mit dem Paket
passieren soll und die Log-Variable, ob es bei einer Ablehnung ins System-Log geschrieben
werden soll.
Bei den verwendeten Parametern gibt es zwei Einschränkungen:
• MASQUERADE und SNAT können nicht als Aktion angegeben werden.
• REJECT kann (momentan noch) nicht als Aktion angegeben werden.
PF_FORWARD_POLICY Die Default Policy wird angewand, wenn keine der Regeln zutrifft.
Möglich sind:
• ACCEPT
• DROP
PF_FORWARD_ACCEPT_DEF Bestimmt, ob der Router Pakete akzeptiert, die zu bestehenden
Verbindungen gehören. Steht diese Variable auf ‘yes’, generiert fli4l automatisch
eine Regel, die Pakete mit dem entsprechenden Zustand akzeptiert
’state:ESTABLISHED,RELATED ACCEPT’,
sowie eine Regel, die Pakete mit gefälschten IP-Adressen verwirft
’state:NEW 127.0.0.1 DROP BIDIRECTIONAL’.
Zusätzlich generieren die anderen Subsysteme auch noch Standardregeln – eine Konfiguration
ohne Standardregeln mit Portforwarding, DMZ und OpenVPN würde mindestens
folgende Regeln enthalten:
PF_FORWARD_ACCEPT_DEF=’no’
PF_FORWARD_N=’5’
PF_FORWARD_1=’state:ESTABLISHED,RELATED ACCEPT’
PF_FORWARD_2=’state:NEW 127.0.0.1 DROP BIDIRECTIONAL’
PF_FORWARD_3=’pfwaccess-chain’
PF_FORWARD_4=’dmz-chain’
PF_FORWARD_5=’ovpn-chain’
59