PF

De Wikipedia, la enciclopedia libre

PF (Packet filter) es el filtro de paquetes o cortafuegos basado en configuración dinámica (stateful rules) de OpenBSD escrito por Daniel Hartmeier. Reemplazó al filtro de Darren Reed IPFilter en OpenBSD debido a problemas con la licencia, en concreto que Reed tenía que dar autorización a los desarrolladores de OpenBSD para cambiar el código.

Theo de Raadt dijo cuando se eliminó el IPFilter que "el software que OpenBSD utiliza y distribuye debe ser libre para todos (tanto usuarios como compañías), para cualquier fin que quiera dársele, incluyendo su modificación, uso, mear sobre él o incluso su integración en máquinas trituradoras de bebés o en bombas atómicas para arrojar en Australia". Debido a la incomodidad del equipo de OpenBSD con la licencia de Reed, se optó por reemplazar todo el paquete antes que perder más tiempo intentando negociar la cuestión.

El PF se ha desarrollado desde entonces muy rápidamente, y en OpenBSD 3.8 ya tenía mucha ventaja sobre otras opciones de cortafuegos. La sintaxis de filtrado es muy similar a la de IPFilter, aunque se modificó para hacerla más clara. La traducción de direcciones de red (NAT) y calidad del servicio (QoS) se integraron perfectamente en PF, para permitir mayor flexibilidad. Se alcanzó el QoS integrando colas alternativas (ALTQ) en el propio PF.

El PF puede utilizarse para montar dispositivos cortafuegos de gran flexibilidad, ya que incluye características como pfsync y protocolo de redundancia para direcciones comunes (CARP), authpf (Identificador de sesión), un proxy ftp y otros extras relacionados con el PF.

Se ha portado PF al NetBSD 3.0 por itojun, se instala en la configuración por defecto de FreeBSD desde la versión 5.3 y aparece en DragonFlyBSD desde la versión 1.2.

[editar] Comandos y opciones

pfctl -e -> activa PF
pfctl -d -> desactiva PF
pfctl -f <archivo> -> si no aparecen errores de sintaxis en <archivo>, se cargan reglas nuevas en PF

[editar] Ejemplo de un archivo pf.conf

## Macros

# Interfaz interna (conectada a la red local).
int_if="xl0"

## Opciones

# Se ajusta la política por defecto para devolver RSTs o ICMPs para tráfico bloqueado
set block-policy return

# Ignorar la interfaz loopback por completo.
set skip on lo0

## Reglas de translados

# El tráfico NAT de la interfaz en el grupo por defecto de interfaz egress
# (al que se asigna el destino de la salida del interfaz) desde la red local
nat on egress from $int_if:network to any -> (egress)

## Reglas de filtrado

# Regla de denegación por defecto, todos los paquetes bloqueados registrados en log
block log all

# Pasa todo el tráfico desde y hacia la red local, utilizando quick para que
# después no se evalúen las reglas para este caso. Algunas reglas restringirán el
# tráfico local mucho más.
pass quick on $int_if all

# Permite la salida de todo el tráfico, manteniendo el estado para que las respuestas
# pasen automáticamente. Muchas reglas tendrán aquí más reglas, restringiendo el 
# tráfico de entrada y salida en la interfaz externa (egress).
pass out keep state

[editar] Registro

El registro PF se configura por reglas dentro de pf.conf. Los logs se manejan en el formato binario de tcpdump/pcap.

Se puede acceder a los logs a través del pseudodispositivo de red llamado 'pflog' mediante una utilidad como tcpdump. Alternativamente la utilidad 'pflogd' puede recoger y colocar logs en el archivo binario de log /var/log/pflog, que también puede manejarse con tcpdump, Ethereal y otras aplicaciones similares.

El formato tcpdump/pcap ha sido modificado ligeramente para archivar las estadísticas de reglas del firewall, estados de paso/bloqueo, interfaces utilizadas, información que sólo está disponible con utilidades que tienen en cuenta esta codificación particular, incluyendo las versiones recientes de tcpdump y Ethereal.