URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID1
Нить номер: 89419
[ Назад ]

Исходное сообщение
"ipfw"
Отправлено dellin , 21-Июл-10 16:58

Есть шлюз, на нём две сетевых интерфейса: re0 и ue0.
Первый смотрит в сеть, второй, соответственно, в локалку.
Как правильно составить правила для субжа с использованием natd, чтобы не запрещать ни одного пакета локалка\сеть и наебарот, а на шлюзе оставить открытыми только нужные порты?
1024k# cat /usr/local/etc/ipfw.rules
#!/bin/sh
natd -n re0
/sbin/ipfw -f flush
/sbin/ipfw add check-state
/sbin/ipfw add allow ip from any to any via lo0
/sbin/ipfw add deny ip from any to 127.0.0.0/8
/sbin/ipfw add deny ip from 127.0.0.0/8 to any
/sbin/ipfw add allow icmp from any to any
#/sbin/ipfw add deny icmp from any to any frag
#/sbin/ipfw add deny log icmp from any to 255.255.255.255 in via re0
#/sbin/ipfw add deny log icmp from any to 255.255.255.255 out via re0
#/sbin/ipfw add divert natd all from 192.168.0.0/24 to any out via re0
#/sbin/ipfw add divert natd all from any to 78.36.105.207 in via re0
/sbin/ipfw add divert natd all from any to any via re0
#/sbin/ipfw add divert natd all from any to any out via re0
#/sbin/ipfw add nat 1 config log if re0 reset same_ports
#/sbin/ipfw add nat 1 ip from any to any via re0

/sbin/ipfw add allow all from any to any via ue0
/sbin/ipfw add allow all from any to any established
/sbin/ipfw add allow all from 78.36.105.207 to any out xmit re0
/sbin/ipfw add allow udp from any 53 to any via re0
/sbin/ipfw add allow udp from any to any 53 via re0
/sbin/ipfw add allow udp from any to any 123 via re0
/sbin/ipfw add allow all from any to any 27015,35084 via re0
/sbin/ipfw add allow tcp from any to 78.36.105.207 21 via re0
/sbin/ipfw add allow icmp from any to any icmptypes 0,8,11
#/sbin/ipfw add allow tcp from any to 78.36.105.207 80 via re0
/sbin/ipfw add allow tcp from any to 78.36.105.207 25 via re0
/sbin/ipfw add allow tcp from any to 78.36.105.207 22 via re0
/sbin/ipfw add allow tcp from any to 78.36.105.207 110 via re0
/sbin/ipfw add allow tcp from any to 78.36.105.207 143 via re0
/sbin/ipfw add allow ip from any to 78.36.105.207 9091,49152,49153,51413,10000,64738 via re0
#/sbin/ipfw all allow all from any to any
/sbin/ipfw add allow all from any to any

Содержание

ipfw,OLG, 07:47 , 22-Июл-10
- ipfw,dellin, 14:48 , 22-Июл-10
  - ipfw,imya, 11:48 , 23-Июл-10
    - ipfw,dellin, 13:41 , 23-Июл-10
      - ipfw,universite, 03:40 , 24-Июл-10
      - ipfw,OLG, 12:26 , 24-Июл-10
ipfw,running_man, 17:35 , 26-Июл-10

Сообщения в этом обсуждении

"ipfw"
Отправлено OLG , 22-Июл-10 07:47

>Как правильно составить правила
У вас что-то не работает, или вы так, чтобы сообщество не дремало?

"ipfw"
Отправлено dellin , 22-Июл-10 14:48

>>Как правильно составить правила
>
>У вас что-то не работает, или вы так, чтобы сообщество не дремало?
>
Таки да, не работает. С включёным ipwf с этим конфигом не работает в локалке icq, skype, steam и прочие нужности. Сёрфить получается, но не более.

"ipfw"
Отправлено imya , 23-Июл-10 11:48

>Таки да, не работает.
А пинги-то, пинги ходят?

"ipfw"
Отправлено dellin , 23-Июл-10 13:41

>>Таки да, не работает.
>
>А пинги-то, пинги ходят?
Нет, не ходют =(

"ipfw"
Отправлено universite , 24-Июл-10 03:40

>>>Таки да, не работает.
>>
>>А пинги-то, пинги ходят?
>
>Нет, не ходют =(
покажите
uname -a
ipfw show
ipfw llist

"ipfw"
Отправлено OLG , 24-Июл-10 12:26

>Нет, не ходют =(
Короче без пингов нельзя!!!! Надо пинги чинить!!!!! У вас какой антивириус???

"ipfw"
Отправлено running_man , 26-Июл-10 17:35

NetIn="192.168.0.0/24"
LanOut="внешний_интерфейс"

# NAT
/sbin/ipfw add 1 allow ip from any to any via lo0
/sbin/ipfw add 2 allow ip from ${NetIn} to ${NetIn}
/sbin/ipfw add 3 divert natd ip from ${NetIn} to any via ${LanOut}
/sbin/ipfw add 4 divert natd ip from not ${NetIn} to me via ${LanOut}
-- здесь пишешь что надо разрешить
/sbin/ipfw add 100 deny ip from any to any