https://www.opennet.ru/openforum/vsluhforumID1/90678.html вот моя проблема, на шлюзе я к основному ип адресу я добавил 2ва алиаса (адреса реальные, пинговались). мне нужно настроить брэндмауэр таким образом,<br>чтобы трафик, попадая на один из внешних адресов ( 77.37.888.888), перенаправлялся на машину во внутренней сети с ip адресом 172.18.1.18 ,<br>а поведение трафика, попадающего на другой алиас (77.37.999.999), должно быть таким, чтобы весь трафик с 443 порта внешнего интерфейса перенаправлялся на 443 порт<br>внутреннего компьютера, с ip адресом 172.18.1.18. Трафик наружу должен выходить через тот же интерфейс через который попал вовнутрь.<br><br><br>К сожалению, мне никак не удается это настроить. Трафик на внутренние интерфейсы не перенаправляется.<br>Снаружи алиасы не пингуются. Изнутри тоже у этих внутренних компьютеров (172.18.1.20 и 172.18.1.18) доступа в инет нет<br><br>То что у меня в конфиге адреса типа 77.37.888.888 и 77.37.999.999 не должно смущать, я просто немного замаскировал реальные ip адреса своего сервера<br><br><br>вот вывод настроек моего брэндмауэра при помощи ком https://www.opennet.ru/openforum/vsluhforumID1/90678.html#5 Sat, 08 Jan 2011 12:40:23 GMT <br>До сих пор бьюсь не получается :( :( :(<br><br>Вот решил убрать natd и использовать ipnat<br><br><br> $ipfw -at show<br> 00001 835546 172092829 Sat Jan 8 15:20:36 2011 skipto 3 ip from any to any layer2 in<br> 00001 806814 174181305 Sat Jan 8 15:20:36 2011 skipto 8 ip from any to any not layer2 in<br> 00001 991057 1124616689 Sat Jan 8 15:20:36 2011 skipto 8 ip from any to any not layer2 out<br> 00001 987261 1120645608 Sat Jan 8 15:20:36 2011 skipto 3 ip from any to any layer2 out<br> 00003 0 0 deny log logamount 100 ip from any to any MAC any 00:24:8c:76:07:28 in layer2<br> 00003 0 0 deny log logamount 100 ip from any to any MAC any 00:22:41:f6:bd:8f in layer2<br> 00003 0 0 deny log logamount 100 ip from any to any MAC any 00:22:15:40:f7:4f in layer2<br> 00004 835533 172090652 Sat Jan 8 15:20:36 2011 allow ip from any to any layer2 in<br> 00005 987245 1120638943 Sat Jan 8 15: https://www.opennet.ru/openforum/vsluhforumID1/90678.html#4 Thu, 06 Jan 2011 17:44:57 GMT Большое спасибо за ответ<br><br>&gt; Доброе утро.<br>&gt; Вы же не написали, что Вам надо UDP :) <br><br>да моя вина :(<br><br><br>&gt; Я бы, на вашем месте попробовал это реализовать на pf вмето ipfw. <br><br>может и сделаю , НО все это мне нужно настроить что бы хоть как то работало во время праздников. Дело в том что я бывало с ipfw попадал что во время настройки брэндмауэра наглухо блокировал доступ к серверо и мне приходилось топать и вручную разблокировать. к сожелению у меня нет доступа (физического) к серверу (и не будет до окончания праздников) , я очень боюсь наглухо заблокировать сервак.<br><br>Я тут использовал немного другую конфигурацию брэндмауэра, тоже не работает :((( , хотя немного по другому<br><br>ipfw -a show<br><br>00001 902 825579 allow ip from any to any via lo*<br>00001 38 3344 allow ip from 192.168.254.0/24 to 192.168.254.0/24<br>00001 35659 13926580 skipto 3 ip from any to any layer2 in<br>00001 32364 13761059 skipto 8 ip from any to any not layer2 in<br>00001 29979 14719424 skipto 8 ip from any to any not layer2 out<br>0 https://www.opennet.ru/openforum/vsluhforumID1/90678.html#3 Thu, 06 Jan 2011 06:35:49 GMT Доброе утро.<br>Вы же не написали, что Вам надо UDP :)<br>Я бы, на вашем месте попробовал это реализовать на pf вмето ipfw. В свое время, аналогичную задачу я смог решить только так.<br>Правила будут выглядеть где-то так:<br><br>#redirect ports in PF <br>rdr on tun0 proto { tcp, udp } from any to реальный_адрес -&gt; серый адрес<br>nat on tun0 proto { tcp, udp } from to any серый_адрес-&gt; реальный_адрес<br>pass in log on внешний_интерфейс proto { tcp, udp } from any to серый_адрес keep state <br> <br><br><br><br>&gt;[оверквотинг удален]<br>&gt; options=389b&lt;RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,WOL_UCAST,WOL_MCAST,WOL_MAGIC&gt; <br>&gt; ether 00:14:d1:15:38:af <br>&gt; inet 95.84.777.777 netmask 0xffffff80 broadcast 95.84.777.777 <br>&gt; inet 77.37.999.999 netmask 0xfffffff8 broadcast 77.37.999.999 <br>&gt; inet 77.37.888.888 netmask 0xfffffff8 broadcast 77.37.888.999 <br>&gt; inet 77.37.777.777 netmask 0xfffffff8 broadcast 77.37.777.777 <br>&gt; media: Ethernet autoselect (100baseTX &lt;full-duplex&gt;) <br>&gt; status: active <br>&gt;&gt; 4. tcpdump иди trafshow (есть в https://www.opennet.ru/openforum/vsluhforumID1/90678.html#2 Wed, 05 Jan 2011 18:38:46 GMT Большое спасибо за ответ<br><br>&gt; Как вариант, могу посоветовать следующее: <br>&gt; 1. Убрать проброс из IPFW и сделать с помощью rintetd (есть в <br>&gt; портах).<br><br>но он вроде не может udp перебрасывать , я тут изучаю http://www.opennet.ru/openforum/vsluhforumID1/85701.html и здесь http://linux.die.net/man/8/rinetd<br>а у меня на том интерфейсе должен быть переброс интерфейса на интерфейс ms sharepoint сервер (т.е. sip )<br><br>Я сейчас думаю об ipnate - вроде он лучше natd, единственное что боюсь - дело в том что если напортачу с настройками к серверу (физически) я смогу добратся только после праздников а проблема в том что надо все настроить во время праздников :(((((((<br><br>&gt; 2. Понять почему алиасы снаружи не пингуются. Убрать все запрещаюшие правила на <br>&gt; них, временно.<br><br>я убираю все свои нововедения (наты) и пингуются<br><br>&gt; 3. Неплохо бы было показать ifconfig <br><br>Уж извините но реальные ip адреса сервера я замаскировал<br><br>lan: flags=8943&lt;UP,BROADCAST,RUNNING,PROMISC,SIMPLEX,MULTICAST&gt; metric 0 mtu 1500<br>options=389 https://www.opennet.ru/openforum/vsluhforumID1/90678.html#1 Wed, 05 Jan 2011 13:01:50 GMT <br>Как вариант, могу посоветовать следующее:<br>1. Убрать проброс из IPFW и сделать с помощью rintetd (есть в портах).<br>2. Понять почему алиасы снаружи не пингуются. Убрать все запрещаюшие правила на них, временно.<br>3. Неплохо бы было показать ifconfig<br>4. tcpdump иди trafshow (есть в портах) посмотреть состояние пакетов. Увидите причину.<br>Удачи.<br><br><br><br><br><br><br>&gt;[оверквотинг удален]<br>&gt; Accept TCP 74.82.163.3:3329 172.18.1.20:445 in via wan_nks <br>&gt; Jan 3 21:11:46 gw kernel: ipfw: 1525 <br>&gt; Accept TCP 88.50.67.7:2956 172.18.1.20:445 in via wan_nks <br>&gt; Jan 3 21:11:49 gw kernel: ipfw: 1525 <br>&gt; Accept TCP 88.50.67.7:2956 172.18.1.20:445 in via wan_nks <br>&gt; буду очень благодарен за помощь , уже почти неделю бьюсь над этой <br>&gt; задачей.<br>&gt; P.S.<br>&gt; Если нужно уточнить какие либо параметры , что то проверить - пишите <br>&gt; - ОБЯЗАТЕЛЬНО УТОЧНЮ И ПРОВЕРЮ <br><br>