https://opennet.dev/openforum/vsluhforumID1/79819.html всем - драсЬте!...<br><br>есть локалка: 10.0.0.0/24<br>есть DMZ: 10.10.10.10/24<br><br>между ними стоит FreeBSD 6.3, которая одним интерфейсом смотрит в Инет. На него же она принимает почтовые запросы и пересылает их к почтовому серверу в DMZ.<br>Правила пакетного фильтра следующие:<br><br>ext_if="tun0" - внешний интерфейс<br>int_if="lnc1" - локалка<br>vir_if="lnc2" - DMZ<br><br><br>mail_server = "10.10.10.123"<br>mail_ports = "{ smtp, pop3 }"<br><br>...<br><br>rdr on $ext_if proto tcp from any to any port $web_ports -&gt; $web_server<br><br>...<br><br>=======================================================================<br><br><br>помогите написать правила, разрешающие пользователям из локалки (10.0.0.0/24) забирать почту с почтового сервера 10.10.10.123<br><br>я пробовал написать так:<br><br>...<br><br>$office_net="10.0.0.0/24"<br>$vir_net="10.10.10.10/24"<br><br>...<br><br>nat on $int_if from $office_net to $vir_net -&gt; ($vir_if)<br><br>rdr on $int_if proto tcp from any to $mail_server port 8110 -&gt; 10.10.10.123 port 110<br><br>...<br><br><br>...но при попытке получить почту с локального компа https://opennet.dev/openforum/vsluhforumID1/79819.html#11 Mon, 07 Apr 2014 17:41:05 GMT int_if="bge0" # внутренний интерфейс, имеет адрес 192.168.0.254 192.168.0.0/24 <br>dmz_if="bge1" # DMZ интерфейс, имеет адрес 10.0.1.254<br>ext_if1="bge3" # внешний интерфейс, имеет адрес XXX.XXX.XXX.XXX<br><br>int_net="192.168.0.0/24"<br>dmz_net="10.0.0.0/24"<br><br>mail_server="10.0.1.235"<br><br>nat on $ext_if1 inet from { $int_net, $dmz_net } \<br> to { !$int_net, !$dmz_net } -&gt; ($ext_if1)<br><br>nat on $dmz_if inet from $int_net to $dmz_net -&gt; ($dmz_if)<br><br><br>rdr on $ext_if1 inet proto tcp from any to $ext_if1 port 25 -&gt; $mail_server port 25<br>rdr on $ext_if1 inet proto tcp from any to $ext_if1 port 465 -&gt; $mail_server port 465<br>rdr on $ext_if1 inet proto tcp from any to $ext_if1 port 993 -&gt; $mail_server port 993<br>rdr on $ext_if1 inet proto tcp from any to $ext_if1 port 995 -&gt; $mail_server port 995<br><br>block in log from any to any<br>block out log from any to any<br><br>pass out on $int_if proto tcp from any to any flags S/SA modulate state<br>pass out on $int_if proto { udp, icmp } from any to any keep state<br><br>pass out on $ext_if1 pr https://opennet.dev/openforum/vsluhforumID1/79819.html#10 Sun, 17 Aug 2008 12:16:35 GMT &gt;подскажите пожайлуста, куда копать... <br><br>http://house.hcn-strela.ru/BSDCert/BSDA-course/apcs02.html#pf-nat<br><br>копать внимательно в этом пункте<br>C.2.1.6.4. Перенаправление и отражение<br><br>проверено, работает<br> https://opennet.dev/openforum/vsluhforumID1/79819.html#9 Tue, 15 Apr 2008 09:55:27 GMT &gt;Сети с адресом 10.10.10.10/24 НЕ СУЩЕСТВУЕТ. <br>&gt;<br>&gt;УЧИТЕ ТЕОРИЮ!<br><br>упс - ОЧЕПЯТКА... <br><br>10.10.10.0/24<br> https://opennet.dev/openforum/vsluhforumID1/79819.html#8 Tue, 15 Apr 2008 09:44:37 GMT Сети с адресом 10.10.10.10/24 НЕ СУЩЕСТВУЕТ.<br><br>УЧИТЕ ТЕОРИЮ!<br> https://opennet.dev/openforum/vsluhforumID1/79819.html#7 Tue, 15 Apr 2008 09:03:13 GMT &gt;...млин!!! <br><br>прошу прощение за наглость, но может у кого нибудь есть готове решение о том как организовать почтовый сервер в DMZ с применением правил PF?.. а то почта на него сваливается, но принять получается только через интерфейс, подключеный к локалке напрямую... :(((<br><br><br> https://opennet.dev/openforum/vsluhforumID1/79819.html#6 Tue, 15 Apr 2008 07:50:49 GMT &gt;[оверквотинг удален]<br>&gt;<br>&gt;... <br>&gt;<br>&gt;но почтовый клиент при попытке получить почту задумывается на пару секунд и <br>&gt;выдаёт ошибку о невозможности соединиться с почтовым серверов, а pftop выдаёт <br>&gt;в момент коннекта: <br>&gt;<br>&gt;In 10.0.0.2:1924 <br>&gt; 10.10.10.123:110 <br>&gt; CLOSED:SYN_SENT <br><br>убрал:<br><br>rdr on $int_if proto tcp from any to $mail_server port 8110 -&gt; 10.10.10.123 port 110<br><br>заменил:<br><br>pass in quick on $int_if from $office_net to $vir_net<br><br>на<br><br>pass in quick on $int_if from $office_net to $vir_net flags S/SA synproxy state<br><br>...и теперь почтовик непереставая принимает почту (по крайней мере делает вид, что получает...), а pftop выдаёт:<br><br>tcp In 10.0.0.2:3091 10.10.10.123:110 PROXY:DST<br><br>...млин!!!<br> https://opennet.dev/openforum/vsluhforumID1/79819.html#5 Tue, 15 Apr 2008 06:42:58 GMT &gt;&gt;&gt;&gt;может? <br>&gt;&gt;&gt;&gt;nat on $vir_if from $office_net to $vir_net -&gt; ($vir_if)<br>&gt;&gt;&gt;<br>&gt;&gt;&gt;не помогло и это!.. :( <br>&gt;&gt;<br>&gt;&gt;А может не городить весь этот огород и просто тупо <br>&gt;&gt;pass in quick on $local_if from $local_net to $dmz_net <br>&gt;<br>&gt;Правильно, НАТ в этом случае уже не нужен <br><br>добавил правило:<br><br>office_net="10.0.0.0/24" # local<br>vir_net="10.10.10.0/24" # DMZ<br><br>mail_server = "10.10.10.123"<br><br>...<br><br># mail<br>rdr on $int_if proto tcp from any to $mail_server port 8110 -&gt; 10.10.10.123 port 110<br><br>...<br><br>pass in quick on $int_if from $office_net to $vir_net<br><br>...<br><br>но почтовый клиент при попытке получить почту задумывается на пару секунд и выдаёт ошибку о невозможности соединиться с почтовым серверов, а pftop выдаёт в момент коннекта:<br><br>In 10.0.0.2:1924 10.10.10.123:110 CLOSED:SYN_SENT<br><br><br> https://opennet.dev/openforum/vsluhforumID1/79819.html#4 Tue, 15 Apr 2008 06:16:38 GMT &gt;&gt;&gt;может? <br>&gt;&gt;&gt;nat on $vir_if from $office_net to $vir_net -&gt; ($vir_if)<br>&gt;&gt;<br>&gt;&gt;не помогло и это!.. :( <br>&gt;<br>&gt;А может не городить весь этот огород и просто тупо <br>&gt;pass in quick on $local_if from $local_net to $dmz_net <br><br>Правильно, НАТ в этом случае уже не нужен<br> https://opennet.dev/openforum/vsluhforumID1/79819.html#3 Tue, 15 Apr 2008 05:37:45 GMT &gt;&gt;может? <br>&gt;&gt;nat on $vir_if from $office_net to $vir_net -&gt; ($vir_if)<br>&gt;<br>&gt;не помогло и это!.. :( <br><br>А может не городить весь этот огород и просто тупо<br>pass in quick on $local_if from $local_net to $dmz_net<br><br>