URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID10
Нить номер: 3440
[ Назад ]
Исходное сообщение
"Помогите разобраться с IPFW"
Отправлено progger , 04-Сен-07 15:54 
Здравствуйте.

Помогите мне пожалуйсто. Я только не давно начал занимться вопросами сети в FreeBSD.
Я прочитал массу информации о настройке ipfw, разобрался с принципами ввода комманд.
Скажу сразу, у меня сеть из нескольких машин где FreeBSD сервер, а все остальные машины к нему подключены. У меня ADSL интернет, но нет постоянного IP. ADSL модем ностроен как роутер с ip 192.168.1.1, в файле rc.conf у меня такие настройки:
if_config_rl0="inet 192.168.0.4 netmask 255.255.255.0" - смотрит в локалку
if_config_ed0="inet 192.168.1.3 netmask 255.255.255.0" - смотрит в интернет
defaultrouter="192.168.1.1" - т.е. ip модема т.к. нет постоянного ip.

Я пытаюсь указать файрволу, чтобы он перегонял пакеты на SQID (sqid я настроил и работает но нормально. Теперь я хочу настроить принудительный переход на прокси) и здесь я столкнулся с такими проблемами:
1. У меня в rc.cong установленно firewall_type="open". Т.е. как я понимаю открытый тип защиты,все разрешено. Я в коммандной строке ввожу -
#add fwd 127.0.0.1,3128 tcp from any to any http in via rl0
#add pass all from any to any
(rl0 - это сетевая, которая  смотрит в локальную сеть)
На другой машине захожу на любой сайт, без проблем т.е. sqid не сработал.
Что я делаю не так?

2. Я не могу разобраться с файлом rc.firewall, а точнее со строками:
  onet="" - я понимю, что здесь должен стоять ip, но чего? Сетевой, которая смотрит в  интернет или шлюза? Что за ip нужно вводить в iop? Тоже с inet и iip?

Помогите мен пожалуйсто советом или подскажите литературу, где все это можно прочитать.
Спасибо.


Содержание
Сообщения в этом обсуждении
"Помогите разобраться с IPFW"
Отправлено link_r , 04-Сен-07 18:41 
на сколько я понню сквид должен быть скомпилен с поддрежкой прозрачного проксирования. это раз.
мое личное ИМХО, для целей ната и перенаправления лучше использовать ipnat/ipfilter
а уже сам фаервол писать с помощью ipfw. это два.
плюс в ядре должны быть включены ipfw и ipfilter.
вот пример для ipfilter:
rdr em0 192.168.100.1/32 port 80 -> 192.168.100.1 port 80
rdr em0 0.0.0.0/0 port 80 -> 192.168.100.1 port 3128
map em1 192.168.100.1/24 -> внешний_ip/32 portmap tcp/udp auto
map em1 192.168.100.1/24 -> внешний_ip/32
"Помогите разобраться с IPFW"
Отправлено progger , 04-Сен-07 18:56 
>на сколько я понню сквид должен быть скомпилен с поддрежкой прозрачного проксирования.
>это раз.
>мое личное ИМХО, для целей ната и перенаправления лучше использовать ipnat/ipfilter
>а уже сам фаервол писать с помощью ipfw. это два.
>плюс в ядре должны быть включены ipfw и ipfilter.
>вот пример для ipfilter:
>rdr em0 192.168.100.1/32 port 80 -> 192.168.100.1 port 80
>rdr em0 0.0.0.0/0 port 80 -> 192.168.100.1 port 3128
>map em1 192.168.100.1/24 -> внешний_ip/32 portmap tcp/udp auto
>map em1 192.168.100.1/24 -> внешний_ip/32

Спсибо.
В общем мне не обязательно прозрачное проксирование. Мне б принудиловку включить.
В ядре у меня все установленно, а именно:
options IPFIREWALL
options IPFIREWALL_VERBOSE
options IPFIREWALL_VERBOSE_LIMIT=10
options IPFIREWALL_FROWARD
options IPDIVERT

Основная моя проблема в том, что ipfw не реагирует на команды (команды я ввожу правильно, ipfw возражений не высказывает но не реагирует).

"Помогите разобраться с IPFW"
Отправлено link_r , 04-Сен-07 19:03 
>[оверквотинг удален]
>В общем мне не обязательно прозрачное проксирование. Мне б принудиловку включить.
>В ядре у меня все установленно, а именно:
>options IPFIREWALL
>options IPFIREWALL_VERBOSE
>options IPFIREWALL_VERBOSE_LIMIT=10
>options IPFIREWALL_FROWARD
>options IPDIVERT
>
>Основная моя проблема в том, что ipfw не реагирует на команды (команды
>я ввожу правильно, ipfw возражений не высказывает но не реагирует).

прозрачное проксирование - это и есть принудительное заворачивание.
что значит не реагирует ? что тебе ipfw show говорит ?

"Помогите разобраться с IPFW"
Отправлено progger , 04-Сен-07 19:14 
>[оверквотинг удален]
>>options IPFIREWALL_VERBOSE
>>options IPFIREWALL_VERBOSE_LIMIT=10
>>options IPFIREWALL_FROWARD
>>options IPDIVERT
>>
>>Основная моя проблема в том, что ipfw не реагирует на команды (команды
>>я ввожу правильно, ipfw возражений не высказывает но не реагирует).
>
>прозрачное проксирование - это и есть принудительное заворачивание.
>что значит не реагирует ? что тебе ipfw show говорит ?

# ipfw show
00050 20428  7784294 divert 8668 ip from any to any via 192.168.1.3
00100  5380   940616 allow ip from any to any via lo0
00200     0        0 deny ip from any to 127.0.0.0/8
00300     0        0 deny ip from 127.0.0.0/8 to any
65000 56257 20024214 allow ip from any to any
65100     0        0 fwd 127.0.0.1,3128 tcp from any to any 80 in recv ed0
65200     0        0 allow ip from any to any
65535   159    11220 deny ip from any to any


"Помогите разобраться с IPFW"
Отправлено link_r , 04-Сен-07 19:17 
>[оверквотинг удален]
>00300     0      
> 0 deny ip from 127.0.0.0/8 to any
>65000 56257 20024214 allow ip from any to any
>65100     0      
> 0 fwd 127.0.0.1,3128 tcp from any to any 80 in
>recv ed0
>65200     0      
> 0 allow ip from any to any
>65535   159    11220 deny ip from any
>to any

ну блин... так конечно. ты же на счетчики пакетов смотри. из-за того что ты все разрешаешь ( 65000 ), пакеты до fwd ( 65100 ) просто не доходят.поменяй местами для начала.

"Помогите разобраться с IPFW"
Отправлено progger , 04-Сен-07 19:23 
>[оверквотинг удален]
>> 0 fwd 127.0.0.1,3128 tcp from any to any 80 in
>>recv ed0
>>65200     0      
>> 0 allow ip from any to any
>>65535   159    11220 deny ip from any
>>to any
>
>ну блин... так конечно. ты же на счетчики пакетов смотри. из-за того
>что ты все разрешаешь ( 65000 ), пакеты до fwd (
>65100 ) просто не доходят.поменяй местами для начала.

аааа я понял. Сейчас все работает. Спасибо ОООгромное