[Pøedchozí: Tabulky] [Obsah] [Dále: Scrub]

PF: Mo¾nosti (options)

Mo¾nosti (options) se pou¾ívají k ovlivòování èinnosti PF. Specifikují se v /etc/pf.conf pomocí direktivy set.

set block-policy

Nastaví defaultní chování pravidel filtru, které stanovují akci block.

• drop - paket je ti¹e zahozen
• return - pro zablokované TCP pakety je vrácen TCP RST paket a pro zablokované UDP pakety je vrácen ICMP UNREACHABLE. V¹echny ostatní pakety jsou ti¹e zahozeny.

Poznámka: Jednotlivá pravidla filtru mohou specifikovat jinou ne¾ defaultní odpovìï.

set limit

frags - maximální poèet polo¾ek v pamì»ovém poolu pou¾ívaném pro spojování fragmentovaných paketù (pravidla scrub). Default je 5000.

states - maximální poèet polo¾ek v pamì»ovém poolu pou¾ívaném pro stavové tabulky (pravidla filtru, které pou¾ívají keep state). Default je 10000.

set loginterface int

Urèuje rozhraní, pro které má PF shroma¾ïovat statistiky jako byty dovnitø/ven a pu¹tìné/zablokované pakety. Statistiky mohou být v danou chvíli shroma¾ïovány pouze pro jedno rozhraní. V¹imnìte si, ¾e poèitadla match, bad-offset apod. a poèitadla tabulky stavù jsou zaznamenávána bez ohledu na to, zda je loginterface nastaveno nebo ne.

set optimization

Optimalizuje PF pro jedno z následujících sí»ových prostøedí:

• normal - vhodné pro témìø v¹echny sítì. Toto je výchozí nastavení.
• high-latency - sítì s velkým zpo¾dìním jako jsou satelitní spojení.
• aggressive - agresivní vypr¹ení platnosti spojení v tabulce stavù. Toto znaènì sni¾uje pamì»ovou nároènost na vytí¾ených firewallech za cenu rizika pøedèasného zahození neèinných spojení.
• conservative - extrémnì konzervativní nastavení. Eliminuje zahození neèinných spojení za cenu vy¹¹í pamì»ové nároènosti a tro¹ku vy¹¹ího zatí¾ení procesoru.

set timeout

interval - poèet sekund mezi zahození expirovaných stavù a fragmentù paketu.

frag - poèet sekund po kterých nesestavený fragment expiruje.

Pøíklad:

set timeout interval 10 set timeout frag 30 set limit { frags 5000, states 2500 } set optimization high-latency set block-policy return set loginterface dc0

[Pøedchozí: Tables] [Obsah] [Dále: Scrub]