Configure o Filtro de Pacotes com lista branca e lista negra

Question

Estou tentando configurar o Filtro de pacotes em um servidor FreeBSD com uma lista negra de endereços / redes a serem bloqueados e uma lista de usuários confiáveis que não podem ser bloqueados (na lista negra).

Aqui está minha primeira tentativa:

table <white-list>         persist file "/etc/pf/white-list"
table <static-black-list>  persist file "/etc/pf/static-black-list"
table <dynamic-black-list> persist file "/etc/pf/dynamic-black-list"

block in all
block out all

block in log quick from { <static-black-list> <dynamic-black-list> !<white-list> }

# other rules...

(NB: existem duas listas negras, a estática contém redes asiáticas (especialmente chinesas) e os endereços dinâmicos banidos pelo próprio Fail2Ban ou PF.)

O problema é que, se um endereço IP listado em branco também estiver na lista negra, ele será bloqueado quando não deveria.

Aqui está um exemplo mais simples:

block in quick from { 192.168.0.50 !192.168.0.50 }

O endereço está bloqueado. Eu tentei inverter eles, mesmo resultado.

Como posso implementar este sistema de lista negra / lista branca?

    

Answer 1

adicione um pass in quick from { <white-list> } antes da regra de bloqueio.

ou

block in from { <black-list> }

pass in quick from { <white-list> } to any port 22