Port Guard
os-portguard · Koruma
Bir cihazı güvenlik duvarında MAC adresiyle engeller - güvenlik duvarının portları için katman 2 kurallarının ilk parçası.
Menüde
- os-xgs-npu kuruluyken: XGS: Port Guard
- os-xgs-npu olmadan: Firewall: Port Guard
Engellenen cihazlar bir MAC adresi listesidir; her biri tam bir adres ya da ilk üç ila beş baytıdır - yani bir üreticinin tüm cihazları. Eklenti listeden tek bir MAC takma adı, portguard_blocked, tutar; OPNsense bunu, ARP ve NDP tablolarının ya da host keşfinin her cihazın kullandığını gördüğü IPv4 ve IPv6 adreslerine çözer ve güncel tutar.
Kuralları eklenti her filtre yeniden yüklemesinde kaydeder: listedeki bir cihazdan gelen hiçbir şey, hiçbir arayüzde güvenlik duvarından geçmez ve güvenlik duvarı üzerinden ona hiçbir şey ulaşmaz. Kurallar, anti-lockout kuralı dahil arayüz kurallarından önce gelir ve sahibin kendi kurallarına asla eklenmez. Bir cihaz listelenip uygulanana kadar hiçbir şey engellenmez.
OPNsense bir eklentinin Ethernet kuralı kaydetmesine izin vermez; bu yüzden aynı anahtarın (switch) arkasındaki iki cihaz hâlâ birbirine ulaşır - çerçeveleri güvenlik duvarına hiç gelmez - ve çerçeve türüne göre eşleştirme henüz yapılamaz. Bir Sophos XGS'te hedef, engellenen cihazın portta durdurulması için ön portların anahtarında tutulan kurallardır; henüz yazılmadılar.
Özellikler
-
Adrese ya da üreticiye göre
Tam bir MAC adresi ya da bir üreticinin tüm cihazları için ilk üç ila beş baytı.
-
Tek bir MAC takma adı
OPNsense'in her cihazın kullandığı IPv4 ve IPv6 adreslerine çözüp güncel tuttuğu portguard_blocked.
-
Diğerlerinden önce gelen kurallar
Her filtre yeniden yüklemesinde, her arayüzde, arayüz kurallarından ve anti-lockout kuralından önce kaydedilir; sahibin kurallarına asla yazılmaz.
-
Görülen cihazlar
Güvenlik duvarının son bir günde gördüğü cihazlar, arayüzleri, adresleri ve üreticileriyle; her biri engellenmeye bir tık uzaklıkta. Sayfa önce bunun şu anda kullanılan cihaz olabileceği konusunda uyarır.
-
Özet kartları
Listedeki cihazlardan kaçının mevcut olduğu, pf'nin şu anda kaç adresi engellediği, engellenen paketler ve görülen cihazlar.
Kurulum ve güncelleme
os-xgs-npu'nun 0.1.0-alpha.7.1'den sonraki sürümünden itibaren XGS: Updates onu Plugins sekmesinde listeler - kurulu kopya orada elle güncellenir, eksik olduğu yerde de oradan kurulur - ve o sürümden oluşturulan hazır imajlar onu içerir; o zamana kadar aşağıdaki gibi kurulur ve güncellenir. Güncellemeyi hiçbir cron girdisi çalıştırmaz. Bir XGS cihazında ya da başka herhangi bir OPNsense'te root olarak kurulur: deponun bir checkout'undan sh install/install.sh ile - sayfayı os-xgs-npu varken XGS altına, yokken Firewall altına koyar ve yeniden çalıştırıldığında ayarları korur - ya da sürümün paketi os-portguard-1.0.0.pkg'den, SHA256SUMS ile doğrulanıp pkg ile eklenerek. Bu yolla kurulan kopya kendi self-update.py betiğiyle güncellenir. Eklentiyi kaldırmak kurallarını pf'den çıkarır; portguard_blocked takma adı Firewall: Aliases içinde hiçbir şeyi engellemeden kalır. OPNsense eklenti deposunda yer almaz.
Sınırlar ve henüz test edilmeyenler
- Takma adın sayfadan yazılması (config.xml'i kaydeden apply.php).
- Bu eklenti üzerinden engellenen bir cihaz.
- Henüz yazılmadı: aynı anahtarın arkasındaki iki cihaz arasında engelleme, çerçeve türüne (EtherType) göre eşleştirme ve bir Sophos XGS'in anahtarında tutulan kurallar.
- MAC adresini değiştiren bir cihaz, örneğin özel Wi-Fi adresleriyle, yalnızca listedeki adresiyle engellenir.
- tools/make-package.sh ile derlenip pkg ile eklenen paket.
- os-xgs-npu olmadan bir OPNsense'e kurulum.
- Plugins sekmesi veya self-update.py ile güncelleme: 1.0.0 ilk sürüm olduğundan henüz hiçbiri kurulu bir kopyanın önüne geçmedi.
Depo
İlk sürüm: 2026-10-25