OpenBSD 5 som brandmur, router, webbserver och e-postserver

cp /etc/pf.conf /etc/pf.conf.orig
vi /etc/pf.conf

# Se pf.conf(5) for syntax and exemplar.
# Kom ihåg att sätta net.inet.ip.forwarding=1 och/eller net.inet6.ip6.forwarding=1
# i /etc/sysctl.conf för att nat ska fungera


# macros

ext_if="fxp0"	# Nätverkskort mot internet
int_if="xl0"    # Nätverkskort mot det lokala nätverket

# Nätverksadresser som inte  ska routas.
NoRouteIPs="{ 0.0.0.0/8, 10.0.0.0/8, 127.0.0.0/8, 169.254.0.0/16, \
	172.16.0.0/12, 192.0.2.0/24, 192.168.0.0/16, 204.152.64.0/23, 224.0.0.0/3 }"

# Lokala nätverket
localnet = "{ 192.168.1.0/24 }"

# Tjänster vi vill öppna upp porter för
tcp_services = "{ ssh, smtp, whois, domain, www, auth, https }"
udp_services = "{ domain, ntp }"   # DNS och tidserver

# Portar för diverse e-post klienter på lokala nätverket
email = "{ smtp, pop3, imap, imap3, imaps, pop3s }"

# Ping
icmp_types = "{ echoreq, unreach }"

# Tables
table <bruteforce> persist

# options
set skip on lo
set reassemble yes
set block-policy drop
set loginterface $ext_if
set fingerprints "/etc/pf.os"
set ruleset-optimization basic
set optimization aggressive

# FTP Proxy rules
# Redirect av FTP till proxy. Proxyservern aktiveras i rc.conf.local
anchor "ftp-proxy/*"
pass in quick on $int_if inet proto tcp to any port ftp divert-to 127.0.0.1 port 8021

# match rules
# NAT
match out on egress inet from !(egress) to any nat-to (egress:0)
# Scrub
match on $ext_if all scrub (random-id min-ttl 254 set-tos ef reassemble tcp max-mss 1452)

# Filter rules
# Vi börjar med att blockera och logga all ingående trafik, för att sedan successivt släppa på det vi vill.
block in log

# Blockera och logga "Bruteforce attacker" enlig nedanstående regel
block log quick from <bruteforce>  

# Blockera störande router snack från 24.0.0.0/3 som annars fyller log filen.
block in quick on $ext_if inet proto igmp all

# Blockera ej routbara nätverks adresser
block in log quick on $ext_if from $NoRouteIPs to any
block out log quick on $ext_if from any to $NoRouteIPs

block in quick from urpf-failed to any
block in on ! lo0 proto tcp to port 6000:6010
antispoof quick for { lo $int_if $ext_if }

# Öppna för ssh trafik från lokala nätverket
pass quick on $int_if inet proto tcp to port ssh

# Öppna för trafik från e-post klienterna på lokala nätverket
pass quick on $int_if inet proto { tcp, udp } to port $email

# Blockera "bruteforce attacker" på port 22. Justera frekvens efter behag
pass quick proto tcp from any to any port ssh flags S/SA keep state \
	(max-src-conn 15, max-src-conn-rate 5/3, overload <bruteforce> flush global))

# Blockera "bruteforce attacker" på dom tjänsterna vi har valt att öppna. Justera frekvens efter tycke och smak.
pass inet proto tcp from any to $localnet port $tcp_services flags S/SA keep state \
	(max-src-conn 100, max-src-conn-rate 15/5, overload <bruteforce> flush global)

# Öppna porter för dom tjänster vi vill köra. Definierat i macro ovan
pass in on egress inet proto tcp from any to (egress) port $tcp_services

# Öppna för ping
pass in inet proto icmp all icmp-type $icmp_types

# Underlätta för traceroute
pass out on $ext_if inet proto udp to port 33433 >< 33626

# Öppna för DNS och tidserver
pass quick inet proto { tcp, udp } to port $udp_services

# Tillåta all trafik in från lokala nätverket
pass in on $int_if

# Tillåta all trafik ut, och " Tro mig, i början vill du uppskatta detta. Senare kan det finjusteras."
pass out log all

cd /usr 
export CVSROOT=anoncvs@anoncvs1.ca.openbsd.org:/cvs
cvs -d$CVSROOT up -Pd src ports xenocara

cd /usr/src
export CVSROOT=anoncvs@anoncvs1.ca.openbsd.org:/cvs
cvs -d$CVSROOT up -Pd

cd /usr/src/sys/arch/i386/conf
config GENERIC

cd ../compile/GENERIC
make clean && make
[...massor av output...]
make install

rm -rf /usr/obj/*
cd /usr/src

make obj
cd /usr/src/etc && env DESTDIR=/ make distrib-dirs
cd /usr/src
make build

cd /usr/xenocara
rm -rf /usr/xobj/*
make bootstrap
make obj

make build

pkg_add -u

cp /var/named/etc/named.conf /var/named/etc/named.conf.orig
		vi /var/named/etc/named.conf

// Example file for a simple named configuration, processing both
		// recursive and authoritative queries using one cache.
		// Update this list to include only the networks for which you want
		// to execute recursive queries. The default setting allows all hosts
		// on any IPv4 networks for which the system has an interface, and
		// the IPv6 localhost address.
		//
		acl clients {
		localnets;
		::1;
		};
		
		options {
		allow-query { 127.0.0.1; 192.168.1/24; };
		allow-recursion { 127.0.0.1; 192.168.1/24; };
		forwarders { 195.54.122.200; 195.54.122.204; };
		listen-on { 127.0.0.1; 192.168.1.3; };
		listen-on-v6 { none; };
		version "Be Gone !";
		};
		
		//controls { };
		logging {
		category lame-servers { null; };
		};
		
		// Standard zones
		//
		zone "." {
		type hint;
		file "etc/root.hint";
		};
		
		zone "localhost" {
		type master;
		file "standard/localhost";
		allow-transfer { localhost; };
		};

zone "127.in-addr.arpa" {
		type master;
		file "standard/loopback";
		allow-transfer { localhost; };
		};

zone 
		"1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa" 
		{
		type master;
		file "standard/loopback6.arpa";
		allow-transfer { localhost; };
		};		

// Master zones
		//
		//zone "myzone.net" {
		// type master;
		// file "master/myzone.net";
		//};
		// Slave zones
		//
		//zone "otherzone.net" {
		// type slave;
		// file "slave/otherzone.net";
		// masters { 192.0.2.1; [...;] };
		//};

		zone "thorshammare.org" {
		type master;
		file "master/thorshammare.org";
		allow-update { none; };
		};		

zone "1.168.192.in-addr.arpa" {
		type master;
		file "master/1.168.192";
		allow-update { none; };
		};

thorshammare.org. 86400 IN SOA odin.thorshammare.org. root.odin.thorshammare.org. ( 1 10800 3600 6044800 86400 )		                                     
				86400 IN NS odin.thorshammare.org.		                       
				              
				      IN MX 30 odin.thorshammare.org.
		
thorshammare.org.           	86400 IN A 83.227.225.121
odin.thorshammare.org.		86400 IN A 192.168.1.3
obah.thorshammare.org.   	86400 IN A 192.168.1.10		

www                                   
IN CNAME odin.thorshammare.org.
ftp                               
    IN CNAME odin.thorshammare.org.

1.168.192.in-addr.arpa. 
		86400 IN SOA odin.thorshammare.org. root.odin.thorshammare.org. ( 1 
		10800 3600 6044800 86400 )

                                
       
		86400 IN NS odin.thorshammare.org.



3.1.168.192.in-addr.arpa.   86400 IN PTR odin.thorshammare.org.

10.1.168.192.in-addr.arpa. 86400 IN PTR obah.thorshammare.org.

rndc-confgen -a

named-checkconf 
/var/named/etc/named.conf

named_flags=""