# FreeBSD # Смена shell на zsh #### Установка пакетов ```bash sudo pkg install zsh ohmyzsh zsh-antigen zsh-autosuggestions zsh-completions zsh-navigation-tools zsh-syntax-highlighting ``` #### Копирование шаблона конфигурации ohmyzsh в локальный профиль ```bash sudo cp /usr/local/share/ohmyzsh/templates/zshrc.zsh-template ~/.zshrc ``` #### Включаем автоматическое дополнение В конфигурационный файл `~/.zshrc` добавляем `source /usr/local/share/zsh-autosuggestions/zsh-autosuggestions.zsh` #### Меняем shell пользователя ```bash sudo chsh -s zsh ``` # Управление пользователями ### Вывод списка групп пользователя ```bash id ``` ### Вывод списка пользователей группы ```bash pw group show ``` ### Добавление пользователя в группу ``` pw useradd -G ``` ### Добавление пользователя в группу с сохранением членства в других ``` pg group mod -m , ``` ### Добавление пользователя в группу с заменой существующего членства ``` pw usermod -G , ``` ### Список используемых источников - [FreeBSD add a user to group](https://www.cyberciti.biz/faq/freebsd-add-a-user-to-group/) # Межсетевые экраны # Ipfw Когда-то давно мы настраивали фаервол в Linux с помощью iptables. При этом отмечалось, что утилиту iptables я нахожу исключительно неудобной по сравнению с FreeBSD’шным ipfw. Сегодня мы наконец-то познакомимся с этим ipfw и постараемся ответить на вопрос, действительно ли он удобнее. Отмечу, что на момент написания этих строк FreeBSD предлагает аж *три* фаервола на выбор — ipfw, pf и ipf. Однако по моим представлениям из них ipfw используется чаще всего. Описанные в этом посте действия были проверены мной на FreeBSD 10.3, но по идее не должны ничем отличаться в других версиях FreeBSD. Итак, первое, что требуется выполнить при настройке ipfw — это команду: ```shell sudo kenv net.inet.ip.fw.default_to_accept=1 ```

По умолчанию ipfw запрещает передачу вообще всех пакетов. Если вы сидите на сервере по ssh, что весьма вероятно, и просто включите ipfw, то на сервер вы больше не зайдете до следующего ребута. Приведенная команда временно меняет поведение ipfw на «разрешить всем и все», тем самым решая описанную проблему.

Теперь включаем ipfw: ```shell sudo kldload ipfw ```

При этом в /var/log/messages мы должны увидеть что-то вроде:

```shell ipfw2 (+ipv6) initialized, divert loadable, nat loadable, default to accept, logging disabled ```

Как видите, ipfw представляет собой обычный модуль ядра.

Давайте посмотрим на текущий список правил: ``` sudo ipfw list ```

Должны увидеть:

```shell 65535 allow ip from any to any ```

Приведенный синтаксис довольно очевидный — номер правила, резрешить / запретить, название протокола, от кого, к кому. Тут мы видим правило с номером 65535, разрешающее передачу входящих и исходящих IP пакетов от кого угодно кому угодно на всех интерфейсах.

Также можно посмотреть время, когда правило последний раз срабатывало: ```shell sudo ipfw -t list ```

Давайте попробуем добавить парочку правил. Например, запретим пинги:

```shell # флаг -q выполняет команду в "тихом" режиме, без вывода sudo ipfw -q add 00100 deny icmp from any to any sudo ipfw list ```

Как видите, указывая номер правила, мы знаем точно, на какую позицию оно встанет. Принцип простой. При получении новых пакетов сначала проверяются правила с меньшими номерами, потом с большими. Когда находится совпавшее по условиям правило, оно срабатывает, а следующие за ним правила игнорируются.

Попытаемся что-нибудь пингануть и убедимся, что пинги больше не ходят. Теперь, когда мы осознали свою ошибку, удаляем правило: ```shell sudo ipfw -q delete 00100 ```

Заметьте, что ipfw позволяет создавать множество правил с одинаковыми номерами. В этом случае их можно удалить одной командой. Также можно удалить вообще все правила, оставив только правило по умолчанию:

```shell sudo ipfw -q -f flush ```

Перед тем, как реально добавлять правило, не лишним бывает собрать статистику о том, как много пакетов ему соответствует:

```shell sudo ipfw -q add 00100 count udp from me to any out via em0 sudo ipfw -q add 00200 count udp from any to me in via em0 ```

Как видите, тут демонстрируется не только новое действие (count), но и расширенный синтаксис с частью in/out и указанием конкретного сетевого интерфейса. Кстати, при срабатывании count-правила следующие за ним правила *продолжают* применяться.

Теперь посмотрим количество пакетов с их суммарным размером в байтах, соответствующих правилу:

```shell sudo ipfw -a list # или: sudo ipfw show ```

Счетчики можно при желании обнулить так:

```shell # для конкретного правила sudo ipfw zero 00200 # для всех правил sudo ipfw zero ```

В правилах можно использовать не только слова `me` и `any`, но и указывать конкретные хосты или подсети:

```shell sudo ipfw -q add 00100 deny tcp from any to 192.168.0.1 sudo ipfw -q add 00200 deny tcp from any to 192.168.0.1/24 ```

Также можно указывать порты или диапазоны портов:

```shell sudo ipfw -q add 00100 deny tcp from any to 192.168.0.1/24 80 sudo ipfw -q add 00200 deny tcp from any to 192.168.0.1/24 1-1024 ```

Помимо сбора статистики о срабатывании правил, их также можно логировать:

```shell sudo ipfw enable verbose ```

Пример добавления логируемых правил:

```shell sudo ipfw -q add 00200 deny log \ tcp from any to 212.193.240.1/24 80 sudo ipfw -q add 00200 deny log logamount 3 \ tcp from any to 212.193.240.1/24 80 ```

Если теперь несколько раз попытаться прителнетиться к хосту из используемой выше сети и заглянуть в /var/log/security, то увидим что-то вроде:

```shell ipfw: 200 Deny TCP 10.0.2.15:41738 212.193.240.242:80 out via em0 ipfw: 200 Deny TCP 10.0.2.15:43564 212.193.240.242:80 out via em0 ipfw: 200 Deny TCP 10.0.2.15:55804 212.193.240.242:80 out via em0 ipfw: limit 3 reached on entry 200 ```

Логирование можно глобально включать и выключать таким образом:

```shell sudo sysctl net.inet.ip.fw.verbose=1 sudo sysctl net.inet.ip.fw.verbose=0 ```

Если в правиле не указывается logamount, используется следующее значение:

```shell sudo sysctl net.inet.ip.fw.verbose_limit=5 ```

Значение по умолчанию равно нулю, что означает отсутствие ограничений.

Сбросить счетчики логирования можно так: ```shell sudo ipfw resetlog ``` ```shell Для сохранения правил при перезагрузке системы создадим файл /etc/ipfw.rules следующего содержания: #!/bin/sh fwcmd="ipfw -q add" ipfw -q -f flush $fwcmd 00100 deny log tcp from any to 1.2.3.0/24 $fwcmd 00200 deny log tcp from any to 4.5.6.0/24 $fwcmd 65000 allow ip from any to any ```

**Важно!** Если хотите подключиться к машине после перезагрузки, обязательно добавьте последнее правило. Сейчас оно добавляется автоматически, благодаря описанному выше хаку с `net.inet.ip.fw.default_to_accept`. Однако после ребута вернется поведение фаервола по умолчанию, при котором запрещается вообще все.

Заметьте, что только что мы написали обыкновенный шелл скрипт. Следовательно, в нем можно использовать сокращения имен команд, как продемонстрировано выше, а также условные операторы, процедуры и вот это все. Проверяем скрипт: ```shell sudo sh /etc/ipfw.rules sudo ipfw list ```

Если все ОК, в /etc/rc.conf дописываем:

```shell firewall_enable="YES" firewall_script="/etc/ipfw.rules" firewall_logging="YES" ```

Если решили включить логирование, убедитесь, что вы не забыли дописать в /etc/sysctl.conf что-то вроде:

```shell net.inet.ip.fw.verbose_limit=5 ```

Проверяем:

```shell sudo kldunload ipfw sudo service ipfw start sudo ipfw list ```

Если все было сделано правильно, долждны увидеть наши правила. Кроме того, они должны сохраняться и после перезагрузки.

Это все, о чем я хотел рассказать. Подробности вы найдете в `man 8 ipfw`. Маны во FreeBSD, как всегда, классные. В частности, из мана вы узнаете про такие элементы синтаксиса правил ipfw, оставшиеся за рамками поста, как skipto, tag / untag и другие. Неправда ли, синтаксис в ipfw куда более читаемый, чем вот эти все `-A`, `-p`, `-j`, `--sport` и `-m multiport` в iptables? ## Список используемых источников - [Настраиваем фаервол во FreeBSD при помощи ipfw](https://eax.me/freebsd-ipfw/)