From owner-p4-projects@FreeBSD.ORG Sun Feb 24 13:33:43 2008 Return-Path: Delivered-To: p4-projects@freebsd.org Received: by hub.freebsd.org (Postfix, from userid 32767) id AFA6316A40A; Sun, 24 Feb 2008 13:33:42 +0000 (UTC) Delivered-To: perforce@FreeBSD.org Received: from mx1.freebsd.org (mx1.freebsd.org [IPv6:2001:4f8:fff6::34]) by hub.freebsd.org (Postfix) with ESMTP id 70D4E16A407 for ; Sun, 24 Feb 2008 13:33:42 +0000 (UTC) (envelope-from pgj@FreeBSD.org) Received: from repoman.freebsd.org (repoman.freebsd.org [IPv6:2001:4f8:fff6::29]) by mx1.freebsd.org (Postfix) with ESMTP id 57C9813C4EB for ; Sun, 24 Feb 2008 13:33:42 +0000 (UTC) (envelope-from pgj@FreeBSD.org) Received: from repoman.freebsd.org (localhost [127.0.0.1]) by repoman.freebsd.org (8.14.1/8.14.1) with ESMTP id m1ODXgL8043779 for ; Sun, 24 Feb 2008 13:33:42 GMT (envelope-from pgj@FreeBSD.org) Received: (from perforce@localhost) by repoman.freebsd.org (8.14.1/8.14.1/Submit) id m1ODXehp043776 for perforce@freebsd.org; Sun, 24 Feb 2008 13:33:40 GMT (envelope-from pgj@FreeBSD.org) Date: Sun, 24 Feb 2008 13:33:40 GMT Message-Id: <200802241333.m1ODXehp043776@repoman.freebsd.org> X-Authentication-Warning: repoman.freebsd.org: perforce set sender to pgj@FreeBSD.org using -f From: Gabor Pali To: Perforce Change Reviews Cc: Subject: PERFORCE change 136080 for review X-BeenThere: p4-projects@freebsd.org X-Mailman-Version: 2.1.5 Precedence: list List-Id: p4 projects tree changes List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Sun, 24 Feb 2008 13:33:43 -0000 http://perforce.freebsd.org/chv.cgi?CH=136080 Change 136080 by pgj@disznohal on 2008/02/24 13:32:54 Add initial Hungarian translation of Chapter 28: Firewalls. Affected files ... .. //depot/projects/docproj_hu/books/handbook/firewalls/chapter.sgml#4 edit Differences ... ==== //depot/projects/docproj_hu/books/handbook/firewalls/chapter.sgml#4 (text+ko) ==== @@ -4,581 +4,790 @@ $FreeBSD: doc/en_US.ISO8859-1/books/handbook/firewalls/chapter.sgml,v 1.80 2008/01/17 17:50:30 remko Exp $ --> - + + + Joseph J. Barbish - Contributed by + Írta: Brad Davis - Converted to SGML and updated by + SGML formátumra alakította és + aktualizálta: - Firewalls + Tûzfalak - firewall + tûzfalak - security - - firewalls + biztonság + tûzfalak - Introduction + Bevezetés - Firewalls make it possible to filter - incoming and outgoing traffic that flows through your system. - A firewall can use one or more sets of rules to - inspect the network packets as they come in or go out of your - network connections and either allows the traffic through or - blocks it. The rules of a firewall can inspect one or more - characteristics of the packets, including but not limited to the - protocol type, the source or destination host address, and the - source or destination port. + A tûzfalakkal a rendszerünkön + keresztülfolyó bejövõ és kimenõ + forgalmat tudjuk szûrni. A tûzfalak egy vagy több + szabályrendszer alapján + vizsgálják az éppen érkezõ vagy + távozó hálózati csomagokat, és + vagy továbbengedik ezeket vagy + megállítják. A tûzfalak + szabályai a csomagok egy vagy több + jellemzõjét veszik szemügyre, amik lehetnek + mondjuk a protokoll típusa, a forrás vagy cél + hálózati címe, esetleg a forrás- vagy + a célport. - Firewalls can greatly enhance the security of a host or a - network. They can be used to do one or more of - the following things: + A tûzfalak jelentõs mértékben + képesek gyarapítani egy gép vagy egy + hálózat védelmét. Leginkább a + következõkre tudjuk felhasználni ezeket: - To protect and insulate the applications, services and - machines of your internal network from unwanted traffic - coming in from the public Internet. + a belsõ hálózatunkban futó + alkalmazások, szolgáltatások, gépek + megvédésére és + elszigetelésére az internetrõl + érkezõ nem kívánt forgalom + ellen - To limit or disable access from hosts of the internal - network to services of the public Internet. + a belsõ hálózatban levõ + gépek elérését tudjuk + korlátozni vagy letiltani az interneten + elérhetõ szolgáltatások + felé - To support network address translation - (NAT), which allows your internal network - to use private IP addresses and share a - single connection to the public Internet (either with a - single IP address or by a shared pool of - automatically assigned public addresses). + a hálózati címfordítás + (Network Address Translation, NAT) + beállításához, ahol a belsõ + hálózatunk privát + IP-címeket használnak + és egy közös kapcsolaton keresztül + érik el az internetet (vagy egyetlen + IP-cím, vagy pedig automatikusan + kiosztott publikus címekkel). - After reading this chapter, you will know: + A fejezet elolvasása során + megismerjük: - How to properly define packet filtering rules. + hogyan adjuk meg helyesen a csomagok + szûrését leíró + szabályokat - The differences between the firewalls - built into &os;. + a &os;-be épített tûzfalak közti + különbségeket - How to use and configure the OpenBSD - PF firewall. + hogyan állítsuk be és + használjuk az OpenBSD PF + tûzfalát - How to use and configure - IPFILTER. + hogyan állítsuk be és + használjuk az IPFILTER + tûzfalat - How to use and configure - IPFW. + hogyan állítsuk be és + használjuk az IPFW + tûzfalat - Before reading this chapter, you should: + A fejezet elolvasása elõtt ajánlott: - Understand basic &os; and Internet concepts. + a &os;-hez és az internethez kötõdõ + alapvetõ fogalmak ismerete - Firewall Concepts + Röviden a tûzfalakról - firewall + tûzfalak + szabályrendszerei + - rulesets - + A tûzfalak szabályrendszereit alapvetõen + kétféleképpen tudjuk + összeállítani: inkluzív, + vagyis megengedõ, illetve exkluzív + vagyis kizáró módon. Az exkluzív + tûzfalak minden forgalmat átengednek, amirõl nem + rendelkeznek a tûzfal szabályai. Az inkluzív + tûzfalak ennek pontosan az ellenkezõjét teszik. + Csak azt a forgalmat engedik át, amirõl van + szabály és minden mást blokkolnak. - There are two basic ways to create firewall rulesets: - inclusive or exclusive. An - exclusive firewall allows all traffic through except for the - traffic matching the ruleset. An inclusive firewall does the - reverse. It only allows traffic matching the rules through and - blocks everything else. + Az inkluzív tûzfalak általában + biztonságosabbak az exkluzív társaiknál, + mivel esetükben jelentõs mértékben + visszaszorul az átfolyó nem kívánatos + forgalom. - Inclusive firewalls are generally safer than exclusive - firewalls because they significantly reduce the risk of allowing - unwanted traffic to pass through the firewall. + A védelem még tovább fokozható az + állapottartó tûzfalak (stateful + firewall) használatával. Ilyenkor a tûzfal + szemmel tartja a rajta keresztül megnyitott kapcsolatokat, + és vagy csak a már meglevõ kapcsolathoz + tartozó forgalmat engedi át vagy nyit egy + újat. Az állapottartó tûzfalak + hátránya, hogy a Denial of Service + (DoS) típusú + támadásokkal szemben sokkal + sérülékenyebbek, amikor az új + kapcsolatok nagyon gyorsan jönnek létre. A + legtöbb tûzfal esetében azonban tudjuk + vegyíteni az állapottartó és nem + állapottartó viselkedést, és ezzel egy + ideális beállítást + kialakítani. - Security can be tightened further using a stateful - firewall. With a stateful firewall the firewall keeps - track of which connections are opened through the firewall and - will only allow traffic through which either matches an existing - connection or opens a new one. The disadvantage of a stateful - firewall is that it can be vulnerable to Denial of Service - (DoS) attacks if a lot of new connections are - opened very fast. With most firewalls it is possible to use a - combination of stateful and non-stateful behavior to make an - optimal firewall for the site. - Firewall Packages + Tûzfalak + + A &os; alaprendszerébe három + különbözõ tûzfalat építettek + be. Ezek: az IPFILTER (másik + nevén IPF), az + IPFIREWALL (más néven + IPFW) és az OpenBSD + csomagszûrõje (Packet Filter, azaz + PF). A forgalom + szabályozására (vagyis alapvetõen a + sávszélesség + kihasználtságának + vezérlésére) a &os; két + beépített csomagot tartalmaz: ez az &man.altq.4; + és a &man.dummynet.4;. Általában a Dummynet + az IPFW, míg az ALTQ + a PF partnere. Az IPFILTER + esetében maga az IPFILTER végzi a + címfordítást és a szûrést, + a sávszélességet pedig az + IPFW a &man.dummynet.4; + vagy a PF az + ALTQ segítségével. Az + IPFW és a PF + szabályokkal rendelkezik a rendszerünkbe + érkezõ vagy onnan távozó + csomagokról, habár megoldásaik teljesen + máshogy mûködnek és a szabályok + felírási módja is eltér. - &os; has three different firewall packages built - into the base system. They are: IPFILTER - (also known as IPF), - IPFIREWALL (also known as IPFW), - and OpenBSD's PacketFilter (also known as - PF). &os; also has two built in packages for - traffic shaping (basically controlling bandwidth usage): - &man.altq.4; and &man.dummynet.4;. Dummynet has traditionally been - closely tied with IPFW, and - ALTQ with - PF. Traffic shaping for IPFILTER can currently - be done with IPFILTER for NAT and filtering and - IPFW with &man.dummynet.4; - or by using PF with - ALTQ. - IPFW, and PF all use rules to control the access of packets to and - from your system, although they go about it different ways and - have different rule syntaxes. + A &os; azért tartalmaz egyszerre ennyi tûzfalat, + mert az emberek elvárásai és igényei + egyénenként eltérnek. Egyikõjük + sem tekinthetõ a legjobbnak. - The reason that &os; has multiple built in firewall packages - is that different people have different requirements and - preferences. No single firewall package is the best. + A szerzõ egyébként az IPFILTER + megoldását részesíti elõnyben, + mivel egy hálózati címfordítást + alkalmazó környezetben sokkal könnyebb vele + megfogalmazni az állapottartó szabályokat, + valamint tartalmaz egy beépített FTP proxy-t is, + amivel a kimenõ FTP kapcsolatok + beállítása tovább + egyszerûsödik. - The author prefers IPFILTER because its stateful rules are - much less complicated to use in a NAT - environment and it has a built in ftp proxy that simplifies the - rules to allow secure outbound FTP usage. + Mivel az összes tûzfal a csomagok + fejlécének bizonyos mezõinek alapján + dolgozik, ezért a tûzfal + szabályrendszerét megalkotó egyénnek + teljesen tisztában kell lennie a + TCP/IP + mûködésével, továbbá azzal, + hogy ezekben a mezõkben milyen értékek + szerepelhetnek és ezeket hogyan használják + egy átlagos kapcsolat alatt. Ebben a témában + a + címen találhatunk egy remek ismertetõt + (angolul). - Since all firewalls are based on inspecting the values of - selected packet control fields, the creator of the firewall - rulesets must have an understanding of how - TCP/IP works, what the different values in - the packet control fields are and how these values are used in a - normal session conversation. For a good explanation go to: - . - The OpenBSD Packet Filter (PF) and + <title>Az OpenBSD csomagszûrõje (PF) és az <acronym>ALTQ</acronym> - firewall - + tûzfalak PF - As of July 2003 the OpenBSD firewall software application - known as PF was ported to &os; and was made - available in the &os; Ports Collection; the first release that - contained PF as an integrated part of the - base system was &os; 5.3 in November 2004. - PF is a complete, fully featured firewall - that has optional support for ALTQ (Alternate - Queuing). ALTQ provides Quality of Service - (QoS) bandwidth shaping that allows - guaranteeing bandwidth to different services based on filtering - rules. The OpenBSD Project does an outstanding job of - maintaining the PF User's Guide that it will not be made part of - this handbook firewall section as that would just be duplicated - effort. + 2003. júliusában az OpenBSD + PF néven ismert + csomagszûrõjét átírták + &os;-re és elérhetõvé tették a + &os; Portgyûjteményének + részeként. A PF programot + beépítetten tartalmazó elsõ + kiadás pedig 2004. novemberében a &os; 5.3 + volt. A PF egy teljes, mindentudó + tûzfal, ami támogatja az ún. + ALTQ (Alternate Queuing, vagyis a + váltóbesorolás) + megoldást. Az ALTQ lehetõvé + teszi a sávszélesség + korlátozását a szolgáltatás + minõsége (Quality of Service, QoS) + alapján, aminek köszönhetõen a + különbözõ szolgáltatások a + szûrési szabályok mentén garanált + sávszélességhez juthatnak. Az OpenBSD + projekt kiváló munkát végez a PF + felhasználói útmutatójának + karbantartásával, amit így most nem is + teszük be a kézikönyvbe, mivel ezzel csak + feleslegesen másolnánk. - More info can be found at the PF for &os; web site: . + A PF &os;-n történõ + használatáról a honlapon + olvashatunk többet (angolul). - Enabling PF + A PF engedélyezése - PF is included in the basic &os; install for versions newer - than 5.3 as a separate run time loadable module. The system - will dynamically load the PF kernel loadable module when the - rc.conf statement pf_enable="YES" is used. - The loadable module was created with &man.pflog.4; logging - enabled. + A PF a &os; 5.3 verziója utáni + kiadásokban az alaprendszer része, amit a rendszer + mûködése közben egy külön modul + betöltésével aktiválhatunk. Ha az + rc.conf állományban megadjuk + a pf_enable="YES" sort, akkor a rendszer + magától be is tölti a PF-hez tartozó + rendszermag modult. Ez a betölthetõ modul + egyébként még a &man.pflog.4; + felületen keresztüli naplózást is + engedélyezi. - The module assumes the presence of options - INET and device bpf. Unless - NOINET6 for &os; prior to 6.0-RELEASE and - NO_INET6 for later releases (for example in - &man.make.conf.5;) was defined during the build, it also - requires options INET6. + A modul feltételezi a options + INET és device bpf sorok + jelenlétét. Hacsak nem adtuk meg &os; + 6.0-RELEASE elõtti verzióban a + NOINET6, ill. az utáni + következõ verziókban a + NO_INET6 beállítást + (például a &man.make.conf.5; + állományban) a rendszer + fordítására vonatkozóan, akkor a + options INET6 + beállításra is szükség + lesz. - Once the kernel module is loaded or the kernel is statically - built with PF support, it is possible to enable or disable - pf with the pfctl - command. + Ahogy betöltõdött a modul, vagy ha már + eleve a rendszermagba építettük a PF + támogatását, a + pf használatát a + pfctl paranccsal tudjuk engedélyezni + vagy letiltani. - This example demonstrates how to enable - pf: + Ebben a példában a + pf engedélyezését + láthatjuk: &prompt.root; pfctl -e - The pfctl command provides a way to work - with the pf firewall. It is a good - idea to check the &man.pfctl.8; manual page to find out more - information about using it. + A pfctl parancs + segítségével könnyedén lehet + irányítani a pf + mûködését. A + használatáról többet úgy + tudhatunk meg, ha elolvassuk a &man.pfctl.8; man oldalt. + - Kernel options + A rendszermag beállításai - kernel options - + a rendszermag + beállításai device pf - kernel options - + a rendszermag + beállításai device pflog - kernel options - + a rendszermag + beállításai device pfsync - It is not a mandatory requirement that you enable PF by - compiling the following options into the &os; kernel. It is - only presented here as background information. Compiling PF - into the kernel causes the loadable module to never be - used. + Egyáltalán nem fontos a PF + támogatását beépíteni a + rendszermagba. Az itt szereplõ információk + csupán kiegészítésként + szerepelnek. Ha a PF használatát beletesszük + a rendszermagba, akkor a modulra már nincs + szükségünk. - Sample kernel config PF option statements are in the - /usr/src/sys/conf/NOTES kernel source and - are reproduced here: + A rendszermag forrásai között + található + /usr/src/sys/conf/NOTES + állományban a PF + beállításaira vonatkozó + utasítások így foglalhatóak + össze: device pf device pflog device pfsync - device pf enables support for the - Packet Filter firewall. + A device pf engedélyezi a + csomagszûrõ tûzfalat. + + A device pflog megadásával + keletkezik egy &man.pflog.4; pszeudo hálózati + eszköz, amivel egy &man.bpf.4; leíróra + érkezõ forgalmat tudunk naplózni. A + &man.pflogd.8; démon használható + ezután tõle származó naplózott + adatok rögzítésére. - device pflog enables the optional - &man.pflog.4; pseudo network device which can be used to log - traffic to a &man.bpf.4; descriptor. The &man.pflogd.8; daemon - can be used to store the logging information to disk. + A device pfsync engedélyezi a + &man.pfsync.4; pszeudo hálózati eszköz + létrejöttét, ami az ún. + állapotváltások + megfigyelésére alkalmas. Mivel ez nem + része a betölthetõ modulnak, ezért egy + saját rendszermagot kell készíteni a + használatához. - device pfsync enables the optional - &man.pfsync.4; pseudo network device that is used to monitor - state changes. As this is not part of the - loadable module one has to build a custom kernel to use - it. + Ezek a beállítások csak akkor + lépnek érvénybe, ha fordítunk + velük egy saját rendszermagot és + telepítjük azt. - These settings will take effect only after you have built - and installed a kernel with them set. - Available rc.conf Options + Az <filename>rc.conf</filename> állományban + elérhetõ beállítások + + Az /etc/rc.conf + állományba a következõket kell + betennünk ahhoz, hogy a PF a rendszer + indítása során + aktivizálódjon: - You need the following statements in - /etc/rc.conf to activate PF at boot - time: + pf_enable="YES" # a PF engedélyezése (a modul betöltése, ha kell) +pf_rules="/etc/pf.conf" # a pf szabályait tartalmazó állomány +pf_flags="" # a pfctl indításához szükséges további paraméterek +pflog_enable="YES" # a pflogd(8) elindítása +pflog_logfile="/var/log/pflog" # hol tartsa a pflogd az naplóit +pflog_flags="" # a pflogd indításához szükséges paraméterek - pf_enable="YES" # Enable PF (load module if required) -pf_rules="/etc/pf.conf" # rules definition file for pf -pf_flags="" # additional flags for pfctl startup -pflog_enable="YES" # start pflogd(8) -pflog_logfile="/var/log/pflog" # where pflogd should store the logfile -pflog_flags="" # additional flags for pflogd startup + Ha a tûzfalunk mögött egy helyi + hálózat is meghúzódik, akkor az ott + levõ gépek számára valamilyen + módon tudni kell továbbítani a csomagokat + vagy címfordítást kell végezni, + így ez a beállítás is + mindenképpen kelleni fog: - If you have a LAN behind this firewall and have to forward - packets for the computers in the LAN or want to do NAT, you - have to enable the following option as well: + gateway_enable="YES" # az átjárói funkciók engedélyezése - gateway_enable="YES" # Enable as LAN gateway - Enabling <acronym>ALTQ</acronym> + Az <acronym>ALTQ</acronym> engedélyezése - ALTQ is only available by compiling the - options into the &os; Kernel. ALTQ is not - supported by all of the available network card drivers. Please - see the &man.altq.4; manual page for a list of drivers that are - supported in your release of &os;. The following options will - enable ALTQ and add additional - functionality. + Az ALTQ kizárólag csak + úgy érhetõ el, ha belefordítjuk a &os; + rendszermagjába. Az ALTQ nem minden + hálózati kártya részérõl + támogatott. Az &man.altq.4; man oldalán + megtalálhatjuk a &os; aktuális + kiadásában szereplõ támogató + meghajtók listáját. A következõ + beállítások az ALTQ + további lehetõségeit igyekeznek + engedélyezni. options ALTQ -options ALTQ_CBQ # Class Bases Queuing (CBQ) -options ALTQ_RED # Random Early Detection (RED) -options ALTQ_RIO # RED In/Out -options ALTQ_HFSC # Hierarchical Packet Scheduler (HFSC) -options ALTQ_PRIQ # Priority Queuing (PRIQ) -options ALTQ_NOPCC # Required for SMP build +options ALTQ_CBQ # osztályozás alapú besorolás (Class Bases Queuing, CBQ) +options ALTQ_RED # véletlen korai észlelés (Random Early Detection, RED) +options ALTQ_RIO # RED befele/kifele +options ALTQ_HFSC # hiearchikus csomagütemezõ (Hierarchical Packet Scheduler, HFSC) +options ALTQ_PRIQ # prioritásos besorolás (Priority Queuing, PRIQ) +options ALTQ_NOPCC # az SMP esetén kell + + Az options ALTQ az + ALTQ rendszert engedélyezi. - options ALTQ enables the - ALTQ framework. + Az options ALTQ_CBQ engedélyezi a + osztályozás alapú besorolást (Class + Based Queuing, CBQ). A + CBQ használatával a + kapcsolatunkhoz tartozó + sávszélességet + különbözõ osztályokra vagy sorokra + tudjuk szedni, és a szûrési + szabályoknak megfelelõen osztályozni + segítségükkel a forgalmat. - options ALTQ_CBQ enables Class Based - Queuing (CBQ). CBQ - allows you to divide a connection's bandwidth into different - classes or queues to prioritize traffic based on filter - rules. + Az options ALTQ_RED a véletlen + korai észlelés (Random Early Detection, + RED) használatát + engedélyezi. A RED a + hálózati forgalomban keletkezõ + torlódások elkerülésére + alkalmas. A RED ezt a + problémát úgy oldja meg, hogy méri a + sorok hosszát és összeveti a + hozzátartozó minimális és + maximális küszöbértékekkel. Ha a + sor hossza meghaladja a számára elõírt + maximális értéket, akkor az új + csomagokat eldobja. Nevéhez hûen a + RED az eldobásra ítélt + csomagokat véletlenszerûen választja + ki. - options ALTQ_RED enables Random Early - Detection (RED). RED is - used to avoid network congestion. RED does - this by measuring the length of the queue and comparing it to - the minimum and maximum thresholds for the queue. If the - queue is over the maximum all new packets will be dropped. - True to its name, RED drops packets from - different connections randomly. + Az options ALTQ_RIO engedélyezi a + RED használatát mind a + két irányba, tehát be- és + kifelé. - options ALTQ_RIO enables Random Early - Detection In and Out. + Az options ALTQ_HFSC a pártatlan + hierachikus szolgáltatási görbe alapú + csomagütemezõt (Hierarchical Fair Service Curve Packet + Scheduler, HFSC) engedélyezi. Vele + kapcsolatban a + címen találhatunk bõvebben + olvasnivalót (angolul). - options ALTQ_HFSC enables the - Hierarchical Fair Service Curve Packet Scheduler. For more - information about HFSC see: . + Az options ALTQ_PRIQ a prioritásos + besorolást (Priority Queuing, PRIQ) + teszi elérhetõvé. A PRIQ + mindig elsõként a nagyobb értékû + sorban levõ forgalmat továbbítja. - options ALTQ_PRIQ enables Priority - Queuing (PRIQ). PRIQ - will always pass traffic that is in a higher queue - first. + Az options ALTQ_NOPCC az + ALTQ SMP, vagyis + többprocesszoros támogatását adja meg. + Ilyen típusú rendszerekben ez + kötelezõ. - options ALTQ_NOPCC enables - SMP support for ALTQ. - This option is required on SMP - systems. - Creating Filtering Rules + A szûrési szabályok + megfogalmazása - The Packet Filter reads its configuration rules from the - &man.pf.conf.5; file and it modifies, drops or passes packets - according to the rules or definitions specified there. The &os; - installation comes with a default - /etc/pf.conf which contains useful examples - and explanations. + A csomagszûrõ a &man.pf.conf.5; + állományból olvassa be a szabályokat + és a benne szereplõ szabályok vagy + definíciók alapján módosítja, + eldobja vagy átengedi a csomagokat. A &os; + telepítésében alapértelmezés + szerint az /etc/pf.conf + állomány látja el ennek szerepét, + ami számos hasznos példát és + magyarázatot tartalmaz. - Although &os; has its own /etc/pf.conf - the syntax is the same as one used in OpenBSD. A great - resource for configuring the pf - firewall has been written by OpenBSD team and is available at - . + Noha a &os; saját /etc/pf.conf + állománnyal rendelkezik, a + felépítése mégis + tökéletesen megegyezik az OpenBSD-ben + használatossal. A pf + tûzfal beállításával az OpenBSD + csapat által írt nagyszerû írás + foglalkozik, ami a címrõl + érhetõ el (angolul). - When browsing the pf user's guide, please keep in mind that - different versions of &os; contain different versions of pf. The - pf firewall in &os; 5.X is at the level - of OpenBSD version 3.5 and in &os; 6.X is at the level of OpenBSD - version 3.7. + A pf felhasználói + útmutatóját olvasgatva azonban soha nem + szabad elfelejtenünk, hogy &os; egyes változatai a + pf különbözõ + verzióit tartalmazzák. A &os; 5.X + ágában az OpenBSD 3.5 + pf tûzfalát, míg + a &os; 6.X változataiban az OpenBSD 3.7 szerinti + verzióját találjuk. - The &a.pf; is a good place to ask questions about - configuring and running the pf - firewall. Do not forget to check the mailing list archives - before asking questions. + A &a.pf; kitûnõ hely a + pf + beállításával és + mûködtetésével kapcsolatos + kérdések feltevésére. Viszont + mielõtt itt kérdeznénk, ne felejtsük el + átnézni a levelezési lista + archívumait sem. + - The IPFILTER (IPF) Firewall + Az IPFILTER (IPF) tûzfal - firewall - + tûzfalak IPFILTER - This section is work in progress. The contents might - not be accurate at all times. + Ez a szakasz fejlesztés alatt áll. Ennek + megfelelõen a tartalma nem minden esetben pontos. - The author of IPFILTER is Darren Reed. IPFILTER is not - operating system dependent: it is an open source application and - has been ported to &os;, NetBSD, OpenBSD, &sunos;, HP/UX, and - &solaris; operating systems. IPFILTER is actively being - supported and maintained, with updated versions being released - regularly. + Az IPFILTER szerzõje Darren Reed. Az IPFILTER nem + kötõdik egyik rendszerhez sem: ez egy olyan nyílt + forráskódú alkalmazás, amit + átírtak &os;, NetBSD, OpenBSD, &sunos;, HP/UX + és &solaris; operációs rendszerekre. Az + IPFILTER karbantartása és támogatása + pillanatnyilag is aktív, folyamatosan jelennek meg + újabb változatai. - IPFILTER is based on a kernel-side firewall and - NAT mechanism that can be controlled and - monitored by userland interface programs. The firewall rules can - be set or deleted with the &man.ipf.8; utility. The - NAT rules can be set or deleted with the - &man.ipnat.1; utility. The &man.ipfstat.8; utility can print - run-time statistics for the kernel parts of IPFILTER. The - &man.ipmon.8; program can log IPFILTER actions to the system log - files. + Az IPFILTER egy rendszermag oldalán + mûködõ tûzfalazási és egy + címfordítási mechanizmusra alapszik, amit + felhasználói programokkal tudunk felügyelni + és vezérelni. A tûzfal szabályai a + &man.ipf.8; segédprogrammal + állíthatóak be vagy + törölhetõek. A hálózati + címfordításra vonatkozó + szabályokat a &man.ipnat.1; segédprogrammal + állíthatjuk be vagy törölhetjük. A + &man.ipfstat.8; segédprogram képes futás + közben statisztikákat készíteni az + IPFILTER rendszermagban elhelyezkedõ részeinek + viselkedésérõl. A &man.ipmon.8; program pedig + az IPFILTER cselekvéseit képes a + rendszernaplókba feljegyezni. - IPF was originally written using a rule processing logic of - the last matching rule wins and used only - stateless type of rules. Over time IPF has been enhanced to - include a quick option and a stateful keep - state option which drastically modernized the rules - processing logic. IPF's official documentation covers the legacy - rule coding parameters and the legacy rule file processing - logic. The modernized functions are only included as additional - options, completely understating their benefits in producing a - far superior secure firewall. + Az IPF eredetileg olyan szabályfeldolgozási + módszer szerint készült, amiben az + utolsó egyezõ szabály nyer és + csak állapotnélküli szabályokat ismert. + Az idõ múlásával az IPF + részévé vált a quick + opció és a keep state opción + keresztül az állapottartás is, melyek + drámai mértékben + korszerûsítették a szabályok + feldolgozásának elvét. Az IPF hivatalos + dokumentációja tartalmazza a régi + szabályok létrehozását és azok + feldolgozásának leírását. A + korszerûsített funkciók csak + kiegészítésképpen jelennek meg, + és az általuk felkínált + elõnyök megértése egy sokkal magasabb + szintû és biztonságosabb tûzfal + megépítését teszik + lehetõvé. - The instructions contained in this section are based on - using rules that contain the quick option and the - stateful keep state option. This is the basic - framework for coding an inclusive firewall rule set. + A szakaszban szereplõ utasításokban olyan + szabályok szerepelnek, amik kihasználják a + quick és keep state + opciókat. Ezek az inkluzív + tûzfalszabályok létrehozásának + alapjai. - + Az inkluzív tûzfalak csak olyan csomagokat + engednek keresztül, amik megfelelnek a szabályoknak. + Ezen módon képesek vagyunk megmondani, hogy a + tûzfal mögül milyen szolgáltatások + érhetõek el az interneten és + segítségével azt is megadhatjuk, hogy az + internetrõl a belsõ hálózatunkon milyen + szolgáltatásokat érhetnek el. A tûzfal + alapból minden mást visszautasít és + naplóz. Az inkluzív tûzfalak sokkal de sokkal + megbízhatóbbak az exkluzív + tûzfalaknál, ezért itt most csak ilyenekkel + foglalkozunk. - An inclusive firewall only allows packets matching the rules - to pass through. This way you can control what services can - originate behind the firewall destined for the public Internet - and also control the services which can originate from the - public Internet accessing your private network. Everything else - is blocked and logged by default design. Inclusive firewalls are - much, much more secure than exclusive firewall rule sets and is - the only rule set type covered herein. + A régi típusú szabályokról + a + és + címeken olvashatunk (angolul). - For detailed explanation of the legacy rules processing - method see: - and . + Az IPF gyakran ismételt kérdései a címen + érhetõek el (angolul). - The IPF FAQ is at . - - A searchable archive of the open-source IPFilter mailing list is - available at . + A nyílt forrású IPFilter + levelezési list kereshetõ archívumait a + címen találjuk (angolul). - Enabling IPF + Az IPF engedélyezése IPFILTER + engedélyezés + - enabling - + Az IPF megtalálható a &os; + alaptelepítésében mint menet közben + külön betölthetõ modul. Ha az + rc.conf állományba + beírjuk a ipfilter_enable="YES" sort, + akkor ez a modul dinamikusan betöltõdik. A + betölthetõ modul alapból naplóz + és a default pass all + beállítást tartalmazza. Ha helyette a >>> TRUNCATED FOR MAIL (1000 lines) <<<