Привет!

У меня такой вопрос.
После правила
divert natd all from <моя внутреняя сетка> to any out via <внешний интерфейс>
по цепочке идут пакеты еще с адресом с внутренней сети, или уже нат их подменил на адресс внешнего интерфейса?

• Natd и ipfw,A Clockwork Orange, 18:00 , 09-Авг-04
  • Natd и ipfw,johnny, 18:15 , 09-Авг-04
    • Natd и ipfw,jr, 18:19 , 09-Авг-04
      • Natd и ipfw,johnny, 18:29 , 09-Авг-04
      • Natd и ipfw,johnny, 18:49 , 09-Авг-04
        • Natd и ipfw,jr, 10:56 , 10-Авг-04
          • Natd и ipfw,A Clockwork Orange, 12:11 , 10-Авг-04

После выполнения правила, ip_src подменен

>После выполнения правила, ip_src подменен

Тогда я не пойму, почему в многих примерах по настройке правил,
после диверта стоят правила которые придназначены для адресов из внутренней сети.
Что же тогда фильтровать?
  

>>После выполнения правила, ip_src подменен
>
>Тогда я не пойму, почему в многих примерах по настройке правил,
>после диверта стоят правила которые придназначены для адресов из внутренней сети.
>Что же тогда фильтровать?
>

ну так ведь пакеты, придя в интернетовский иннтерфейс, выходят из пользовательского интерфейса, и от пользователей они приходят с внутренними ip ;)

>ну так ведь пакеты, придя в интернетовский иннтерфейс, выходят из пользовательского интерфейса,
>и от пользователей они приходят с внутренними ip ;)

Что-то я не пойму.
Давай по полочкам.

Клиент из внутренней сети посылает пекет на шлюз, скажем на интерфейс "rl1", потом пакет идет по цепочке правил, доходит до диверт, нат модернизирует его и дальше пакет уже имеет другой ip_src и применять для него привила типа (если до этого у него был ip_src =192.168.1.1)
deny all from 192.168.1.1 to any уже не должны действовать.

Так ли это или я ошибаюсь?

>>>После выполнения правила, ip_src подменен
>>
>>Тогда я не пойму, почему в многих примерах по настройке правил,
>>после диверта стоят правила которые придназначены для адресов из внутренней сети.
>>Что же тогда фильтровать?
>>
>
>ну так ведь пакеты, придя в интернетовский иннтерфейс, выходят из пользовательского интерфейса,
>и от пользователей они приходят с внутренними ip ;)

Спасибо за помощь, меня кажется осенило, ведь трафик проверяется дважды при вхождении на один интерфейс и при выходе с другого
и первый раз когда он входит на внутренний интерфейс диверт на него не подействует.

>Спасибо за помощь, меня кажется осенило, ведь трафик проверяется дважды при вхождении
>на один интерфейс и при выходе с другого
>и первый раз когда он входит на внутренний интерфейс диверт на него
>не подействует.

именно так :)

Три раза