cpu             HAMMER
        ident           ROUTER

        makeoptions     DEBUG=-g                # Build kernel with gdb( 1 ) debug symbols

        options         IPFIREWALL                   # собственно файрволл
        options         IPFIREWALL_VERBOSE           # логгинг пакетов, если в правиле написано log
        options         IPFIREWALL_VERBOSE_LIMIT= 100  # ограничение логов (повторяющихся)
        options         IPFIREWALL_DEFAULT_TO_ACCEPT # дефолтное правило - разрешающее
        options         IPDIVERT                     # необходимо для NAT
        options         IPFIREWALL_FORWARD           # перенаправление пакетов
        options         DUMMYNET                     # ограничение скорости

!/bin/sh


# Прежде, чем мы начнем, сбросим список
ipfw -q -f flush

# Установим префикс команды для набора правил
cmd="ipfw -q add"
skip="skipto 400"
wanip="10.0.2.86" # внешний IP
lannet="192.168.100.33"
eif="vr0" # внешний интерфейс

# Нет запретов внутри интерфейса смотрящего в локальную сеть
$cmd  010  allow all from any to any via re0

# Нет ограничений на Loopback интерфейсе
$cmd  020  allow all from any to any via lo0

# Рубим попытки lo0 куда-то лезть и откуда-то лезть на lo0
$cmd  030  deny ip from any to  127 . 0 . 0 . 0 / 8 
$cmd  040  deny ip from  127 . 0 . 0 . 0 / 8  to any

# отправляем всех на squid
$cmd  050  fwd  127 . 0 . 0 . 1 , 3128  tcp from $lannet to any  21 , 80 , 443 , 5190  out via $eif

# Входящий NAT
$cmd  060  divert natd ip from any to any in via $eif

# Позволяем пакету проходить, если предыдущий был добавлен в
# "динамическую" таблицу правил с разрешением состояния keep-state
$cmd  070  check-state

############## Outgoing ################

# Исходящий PING
$cmd  100  $skip icmp from any to any keep-state

# Исходящий NTP
$cmd  105  $skip udp from any to any  123  out via $eif keep-state

# Разрешаем DNS
$cmd  110  $skip udp from any to any  53  out via $eif keep-state
$cmd  111  $skip tcp from any to any  53  out via $eif setup keep-state

# Выпускаем пользователей в обход сквида
$cmd  150  $skip all from $lannet to any  3389  out via $eif setup keep-state
$cmd  160  $skip all from $lannet to any  25  out via $eif setup keep-state
$cmd  170  $skip all from $lannet to any  110  out via $eif setup keep-state

# Разрешаем полный выход с сервака
$cmd  190  $skip all from $wanip to any out via $eif setup keep-state

############# Incoming ################

# Запрещаем весь входящий трафик из зарезервированных адресных пространств
$cmd  200  deny all from  192 . 168 . 0 . 0 / 16   to any in via $eif  #RFC  1918  private IP
$cmd  201  deny all from  172 . 16 . 0 . 0 / 12    to any in via $eif  #RFC  1918  private IP
$cmd  202  deny all from  10 . 0 . 0 . 0 / 8       to any in via $eif  #RFC  1918  private IP
$cmd  203  deny all from  127 . 0 . 0 . 0 / 8      to any in via $eif  #loopback
$cmd  204  deny all from  0 . 0 . 0 . 0 / 8        to any in via $eif  #loopback
$cmd  205  deny all from  169 . 254 . 0 . 0 / 16   to any in via $eif  #DHCP auto-config
$cmd  206  deny all from  192 . 0 . 2 . 0 / 24     to any in via $eif  #reserved for docs
$cmd  207  deny all from  204 . 152 . 64 . 0 / 23  to any in via $eif  #Sun cluster
$cmd  208  deny all from  224 . 0 . 0 . 0 / 3      to any in via $eif  #Class D & E multicast

# Запрещаем ident
$cmd  215  deny tcp from any to any  113  in via $eif

# Запрещаем весь сервис Netbios.  137 =имя,  138 =дейтаграмма,  139 =сессия
$cmd  220  deny tcp from any to any  137  in via $eif
$cmd  221  deny tcp from any to any  138  in via $eif
$cmd  222  deny tcp from any to any  139  in via $eif
$cmd  223  deny tcp from any to any  81   in via $eif

# Входящий пинг, несколько типов
$cmd  300  allow icmp from any to $wanip in via $eif icmptypes  0 , 8 , 11  limit src-addr  2 


# Разрешаем входящую почту SMTP, если есть почтовый сервер
$cmd  330  allow tcp from any to $wanip  25  in via $eif setup limit src-addr  2 

# Разрешаем входящую почту POP3, если есть почтовый сервер
$cmd  340  allow tcp from any to $wanip  110  in via $eif setup limit src-addr  2 

########### Final ###############

# рубим все, что не ушло в скип
$cmd  399  deny log all from any to any

# Исходящий NAT
$cmd  400  divert natd ip from any to any out via $eif

# Выпускаем пакеты из скипа
$cmd  410  allow all from any to any

# Режем все лишнее с занесением в лог
$cmd  999  deny log all from any to any

# рубим все, что не ушло в скип
$cmd  399  deny log all from any to any

# Режем все лишнее с занесением в лог
$cmd  999  deny log all from any to any