##################
#####HELP#########
##################

####################################################
#To view the logfiles:                             # 
#       tcpdump -n -e -ttt -r /var/log/pflog       #
####################################################
#To tail -f the logfile:                           #
#       tcpdump -n -e -ttt -i pflog0               # 
####################################################
#Use pfctl -s nat   to show the effective nat-rules#
####################################################
#Use pfctl -s rules to show your effective pf-rules#
####################################################
#Use pfctl -t <table -T show/flush to show/flush   #
####################################################





##################
#####MACROS#######
############################################################################################################################
############################################################################################################################
############################################################################################################################

#####INTERFACES###############
EXT_IF="pppoe0"	
INT_IF="vr1"
LO="lo0"
INT_NET="192.168.0.0/24"
##############################

#####MACHINES#################
LOCALHOST="127.0.0.1"
METEORA="192.168.0.1"
SILVERSTAR="192.168.0.2"
GALAXIA="192.168.0.3"
SOLARIS="192.168.0.4"
CELESTIALNEXUS="192.168.0.5"
WII="192.168.0.51"
XBOX="192.168.0.52"
PS3="192.168.0.55"
##############################

####PORTS##################################################################################
SILVERSTARFWD="{ www, ftp }"   ###80/HTTP###25/SMTP###110/POP3###22/SSHD###21/FTP###
BITTORRENT="6881:6889"
AIM="5190"
ICMP_TYPES="{ echoreq, unreach }"
SSH="{ 22 2022 }"
IM="{ 1863 5190 5222 }"
WWW="{ www, https, pop3, smtp, ftp, ftp-data, rsync }"
###########################################################################################################################
###########################################################################################################################
###########################################################################################################################





###########################################################################################################################
####GENERAL################################################################################################################
###########################################################################################################################

######TABLES####################################
table <bruteforce> persist
table <noroute> const { 192.168.0.0/16, 127.0.0.0/8, 172.16.0.0/12, 10.0.0.0/8, 0.0.0.0/8, 169.254.0.0/16, 192.0.2.0/24, 204.152.64.0/23, 224.0.0.0/3, 255.255.255.255/32 }
################################################


#####OPTIONS####################################
set block-policy drop
set loginterface $EXT_IF
set optimization aggressive
set ruleset-optimization basic
set skip on lo0
################################################

#####SCRUB##################################################### 
scrub on $EXT_IF all fragment reassemble random-id max-mss 1488 
###############################################################

##########################################################################################################################
##########################################################################################################################
##########################################################################################################################





##########################################################################################################################
#####QUEUEING#############################################################################################################
##########################################################################################################################

#####ALTQ##PRIQ############################################################################
altq on $EXT_IF priq bandwidth 800Kb queue { std_out, www_out, httpd_out, ssh_im_out, dns_out, tcp_ack_out }
queue std_out     priq(default)
queue www_out     priority 3 priq(red)
queue httpd_out   priority 4 priq(red)
queue ssh_im_out  priority 5 priq(red)
queue dns_out     priority 6
queue tcp_ack_out priority 7
###########################################################################################

#####ALTQ##CBQ#############################################################################
#altq on $INT_IF cbq bandwidth 16Mb queue { std_in, ssh_im_in, dns_in, clients_in }
#queue std_in    bandwidth 600Kb cbq(default)
#queue ssh_im_in bandwidth 200Kb priority 4
#queue dns_in    bandwidth 200Kb priority 5
#queue clients_in bandwidth 15Mb { silverstar_in, galaxia_in, solaris_in, celestialnexus_in, wii_in, xbox_in, ps3_in }
# queue silverstar_in bandwidth 1Mb cbq(borrow)
# queue galaxia_in bandwidth 1Mb cbq(borrow)
# queue solaris_in bandwidth 5Mb cbq(borrow)
# queue celestialnexus_in bandwidth 5Mb cbq(borrow)
# queue wii_in bandwidth 1Mb cbq(borrow)
# queue xbox_in bandwidth 1Mb cbq(borrow)
# queue ps3_in bandwidth 1Mb cbq(borrow)
#########################################################################################################################
#########################################################################################################################
#########################################################################################################################





############################################################################################################################
#####NAT&REDIRECTS##########################################################################################################
############################################################################################################################

#####NAT###############################################
nat on $EXT_IF from $INT_IF:network to any -> ($EXT_IF)
#######################################################

#####FTP#PROXY################################################################
nat-anchor "ftp-proxy/*"
rdr-anchor "ftp-proxy/*"
rdr pass on $INT_IF proto tcp from any to any port ftp -> 127.0.0.1 port 8021
##############################################################################


#####FORWARDING##SERVER##############################################################
rdr on $EXT_IF proto tcp from any to ($EXT_IF) port $SILVERSTARFWD -> $SILVERSTAR
#####################################################################################

#####FORWARDING#CLIENTS###############################################################
rdr on $EXT_IF proto tcp from any to ($EXT_IF) port $BITTORRENT -> $SOLARIS
rdr on $EXT_IF proto { tcp, udp } from any to ($EXT_IF) port $AIM -> $CELESTIALNEXUS
######################################################################################

############################################################################################################################
############################################################################################################################
############################################################################################################################




##################
#####DEBUG########
##################

###################
#pass in quick all
#pass out quick all
###################



############################################################################################################################
#####DEFAULTS###############################################################################################################
############################################################################################################################

######DEFAULT########################
block log
block log quick from <bruteforce>
#####################################

#####INTERNAL#NETWORK##########
pass quick on $INT_IF no state
###############################

#####PORTSCAN#######################
block log quick proto tcp flags  /S
block log quick proto tcp flags A/A
####################################

####ANTI#SPOOF#############################################
antispoof for { $EXT_IF, $INT_IF } inet
block out log quick on $EXT_IF inet from !($EXT_IF) to any
block drop in quick on $EXT_IF from <noroute> to any
block drop out quick on $EXT_IF from any to <noroute>
###########################################################

##Allow#incoming#traffic#to#ftp#proxy###################
anchor "ftp-proxy/*"
########################################################

#######################################################################################################################
#######################################################################################################################
#######################################################################################################################





#######################################################################################################################
############OUTGOING##CONNECTIONS##&##INTERNET##PROTOCOLS##############################################################
#######################################################################################################################

#####UDP#ICMP############################################################################################
pass out quick on $EXT_IF inet proto { tcp udp } from ($EXT_IF) to any port domain queue dns_out
pass out quick on $EXT_IF inet proto { udp icmp } from ($EXT_IF) to any queue std_out
#########################################################################################################

#####TCP#OUT#############################################################################################
pass out quick on $EXT_IF inet proto tcp from ($EXT_IF) to any port $WWW queue(www_out, tcp_ack_out)
pass out quick on $EXT_IF inet proto tcp from ($EXT_IF) to any port $IM queue(ssh_im_out, tcp_ack_out)
pass out quick on $EXT_IF inet proto tcp from ($EXT_IF) to any port $SSH queue(std_out, ssh_im_out)
pass out quick on $EXT_IF inet proto tcp from ($EXT_IF) to any modulate state queue(std_out, tcp_ack_out)
#########################################################################################################


#######################################################################################################################
#######################################################################################################################
#######################################################################################################################





################################################################################################################
#####INCOMING#SILVERSTAR########################################################################################
################################################################################################################

######INCOMING###ICMP#############################################################
pass in quick inet proto icmp all icmp-type $ICMP_TYPES
##################################################################################

######INCOMING###SSH###BRUTEFORCE#################################################
pass in log quick proto { tcp, udp } from any to ($EXT_IF) port ssh \
        synproxy state \
        (max-src-conn 15, max-src-conn-rate 5/3, \
        overload <bruteforce> flush global) \
        queue (std_out, ssh_im_out)
##################################################################################

######INCOMING###FTP###BRUTEFORCE#################################################
pass in log quick inet proto tcp from any to $SILVERSTAR port ftp \
        synproxy state \
        (max-src-conn 15, max-src-conn-rate 5/3, \
        overload <bruteforce> flush global) \
        queue (httpd_out, tcp_ack_out)
##################################################################################

###INCOMING###www###########BRUTEFORCE############################################
#pass in log quick inet proto tcp from any to $SILVERSTAR port www \
#        synproxy state \
#        (max-src-conn 300, max-src-conn-rate 100/1, \
#        overload <bruteforce> flush global) \
#        queue (httpd_out, tcp_ack_out)
pass in log quick inet proto tcp from any to $SILVERSTAR port www \
        synproxy state \
        queue (httpd_out, tcp_ack_out)
##################################################################################

################################################################################################################
################################################################################################################
################################################################################################################





################################################################################################################
#####INCOMING#CLIENTS###########################################################################################
################################################################################################################

#####INCOMING#CLIENTS###############################################################################################
pass in quick on $EXT_IF inet proto tcp from any to $SOLARIS port $BITTORRENT queue (std_out, tcp_ack_out)
pass in quick on $EXT_IF inet proto { tcp, udp } from any to $CELESTIALNEXUS port $AIM queue (std_out, tcp_ack_out)
####################################################################################################################

################################################################################################################
###EOF##########################################################################################################
################################################################################################################