Всем привет облазил кучу форумов много про это пишут но у меня не работают 2 канала из интернет.
Есть некоторое количество сервисов в локалке с серыми айпишниками, на которые необходимо редиректить соединения из вне... к примеру: 3389 и 4899. Необходимо, чтобы эти сервисы БЫЛИ ДОСТУПНЫ С ОБОИХ ВНЕШНИХ IP. Баллансировка пока не нужна.Есть гейт под управлением FreeBSD 6.3. C 3мя интерфейсами: firewall pf
rl0 # локалка
rl1 # лимитка это default
ext_if
rl2 # безлимитка
ext_if2в првилах pf.conf так
на default тут работает
rdr pass on $ext_if inet proto tcp from any to any port 3333 -> 10.0.0.104 port 3389
а на втором нет
rdr pass on $ext_if2 inet proto tcp from any to any port 3333 -> 10.0.0.104 port 3389и в низу после всех pass
pass in on $ext_if reply-to ( $ext_if $ext_if_gw ) inet proto tcp from any to 10.0.0.4 port {3333, 3389} flags S/SA keep state
pass in on $ext_if2 reply-to ( $ext_if2 $ext_if2_gw ) inet proto tcp from any to 10.0.0.104 port {3333,3389} flags S/SA keep stateПодсажите где не так очень прошу бьюсь уже месяц
>[оверквотинг удален]
>rdr pass on $ext_if2 inet proto tcp from any to any port 3333 -> 10.0.0.104 port 3389
>
>и в низу после всех pass
>pass in on $ext_if reply-to ( $ext_if $ext_if_gw ) inet proto tcp
>from any to 10.0.0.4 port {3333, 3389} flags S/SA keep state
>
>pass in on $ext_if2 reply-to ( $ext_if2 $ext_if2_gw ) inet proto tcp
>from any to 10.0.0.104 port {3333,3389} flags S/SA keep state
>
>Подсажите где не так очень прошу бьюсь уже месяц
Народ помогите плиззззз!!!!!
>pass in on $ext_if reply-to ( $ext_if $ext_if_gw ) inet proto tcp
>from any to 10.0.0.4 port {3333, 3389} flags S/SA keep state
>а что если IP поменять на 10.0.0.104? ;)
У меня такой и стоит 10.0.0.104 это (10.0.0.4)просто описался )))
Народ ну помогите прошу, что ни у кого не было таких проблем ((((
Попробуйте так, т.е. добавив nat, разрешив out, у меня примерно по такой схеме работает, причем $ext_if и $ext_if2 уменя не являются шлюзами по умолчанию.nat on $ext_if -> ($ext_if)
nat on $ext_if2-> ($ext_if2)rdr on $ext_if proto {tcp,udp} from any to any port 3333 -> 10.0.0.104 port 3389
rdr on $ext_if2 proto {tcp,udp} from any to any port 3333 -> 10.0.0.104 port 3389pass in on $ext_if reply-to($ext_if $ext_if_gw) proto {tcp,udp} from any to 10.0.0.104 port {3389} flags S/SA modulate state
pass out quick on $ext_if route-to($ext_if $ext_if_gw) proto {tcp,udp,gre} from any to any flags S/SA modulate state
pass in on $ext_if2 reply-to($ext_if2 $ext_if2_gw) proto {tcp,udp} from any to 10.0.0.104 port {3389} flags S/SA modulate state
pass out quick on $ext_if route-to($ext_if2 $ext_if2_gw) proto {tcp,udp,gre} from any to any flags S/SA modulate state
>Всем привет облазил кучу форумов много про это пишут но у меня
>не работают 2 канала из интернет.
>Есть некоторое количество сервисов в локалке с серыми айпишниками, на которые необходимо
>редиректить соединения из вне... к примеру: 3389 и 4899. Необходимо, чтобы
>эти сервисы БЫЛИ ДОСТУПНЫ С ОБОИХ ВНЕШНИХ IP. Баллансировка пока не
>нужна.думаю тут как всегда все бонально:
1) пакет пришел НЕ ЧЕРЕЗ дефалут
2) парет средиректился (точно также как на дефаулте, тут думаю все нормально)
3) вопрос - куда улетит ответный пакет?
Я думаю tcpdump и pflog скажет что куда уходит,
у меня 2 внешних ip, defaul route настроен на третий ip который по NAT и работает.
>Я думаю tcpdump и pflog скажет что куда уходит,я думаю надо для начала подумать и использовать здравый смысл))
>у меня 2 внешних ip, defaul route настроен на третий ip которыйеще раз внимательно читаем топ и ищем разницу между двумя КАНАЛАМИ и двумя АЙПИ
>по NAT и работает.третий айпи? дефаулт на нат? )) жесть ...
начнем с того что дефоулт настраивается не на твой айпи )))
>еще раз внимательно читаем топ и ищем разницу между двумя КАНАЛАМИ и
>двумя АЙПИ
>>по NAT и работает.
>
>третий айпи? дефаулт на нат? )) жесть ...
>начнем с того что дефоулт настраивается не на твой айпи )))А что делать? ISP выдает IP 10.8.37.4 шлюз 10.8.37.1 на внехе выходит через ххх.хх.хх.хх.
Остальные IP получаю по VPN, естественно что самый стабильный путь это на шлюз провайдера, т.к. VPN может разорвать и т.д. ну и т.к. этот канал пошустрее чем VPN
А насчет каналов могу добавить, т.к. внешние у меня доступны только через VPN то получаю соответсвенно ng0, ng1 интерфейсов. vlan5 - default gateway to isp.
>[оверквотинг удален]
>>начнем с того что дефоулт настраивается не на твой айпи )))
>
>А что делать? ISP выдает IP 10.8.37.4 шлюз 10.8.37.1 на внехе выходит
>через ххх.хх.хх.хх.
>Остальные IP получаю по VPN, естественно что самый стабильный путь это на
>шлюз провайдера, т.к. VPN может разорвать и т.д. ну и т.к.
>этот канал пошустрее чем VPN
>А насчет каналов могу добавить, т.к. внешние у меня доступны только через
>VPN то получаю соответсвенно ng0, ng1 интерфейсов. vlan5 - default gateway
>to isp.речь о двух независимых КАНАЛАХ
>речь о двух независимых КАНАЛАХпо вашему ng0, ng1 зависимые каналы? отчего? они зависят только от наличия связи на vlan5. tcpdum -i vlan5 ничего не покажет кроме gre до vpn серверов, а вот tcpdump -i ng0 или ng1 покажет какие пакеты туда сыпятся, такч то я счита что они ничем не отличаются от физических таких как re, rl и т.д.
у каждого ng имеется свой шлюз также как и у физических.
>>речь о двух независимых КАНАЛАХ
>
>по вашему ng0, ng1 зависимые каналы? отчего? они зависят только от наличия
>связи на vlan5. tcpdum -i vlan5 ничего не покажет кроме gre
>до vpn серверов, а вот tcpdump -i ng0 или ng1 покажет
>какие пакеты туда сыпятся, такч то я счита что они ничем
>не отличаются от физических таких как re, rl и т.д.
>у каждого ng имеется свой шлюз также как и у физических.зачем тебе два тунеля на отдном физическом?
>зачем тебе два тунеля на отдном физическом?см.выше.
>А что делать? ISP выдает IP 10.8.37.4 шлюз 10.8.37.1 на внехе выходит через ххх.хх.хх.хх.
>Остальные IP получаю по VPN,