https://opennet.ru/openforum/vsluhforumID1/93752.html Здравствуйте,<br><br>помогите разобраться с ipfw и nat.<br><br>Есть скрипт ipfw:<br><br>#!/bin/sh<br>ipfw="/sbin/ipfw"<br>local_net="172.25.37.0/24"<br>local_interface="rl0"<br>inter_net="192.168.101.0/24"<br>inter_interface="vr0"<br><br><br>${ipfw} nat 1 config log if ${inter_interface} reset same_ports deny_in<br><br># Прозрачный сквид==============================================================================<br># Заворот в сквид<br>${ipfw} add fwd 127.0.0.1,3128 tcp from ${local_net} not dst-port 465,993,143,110,25,995 to any out via ${inter_interface}<br><br># Разрешаем сквиду ходить в интернет<br>${ipfw} add allow tcp from me to any out via ${inter_interface} uid squid # keep-state uid squid<br>${ipfw} add allow tcp from any to me via ${inter_interface} established # keep-state uid squid<br>#=======================================================================================<br><br>${ipfw} add nat 1 ip from any to any via ${inter_interface}<br><br># Тут разрешаем то, что можно===========================================================<br>#https<br>${ipf https://opennet.ru/openforum/vsluhforumID1/93752.html#6 Mon, 03 Sep 2012 08:34:28 GMT В результате получилось такое:<br><br>#!/bin/sh<br>ipfw="/sbin/ipfw"<br>local_net="172.25.37.0/24"<br>local_interface="rl0"<br>inter_net="192.168.1.0/24"<br>inter_interface="vr0"<br><br><br>#lo0<br>${ipfw} add allow all from any to any via lo0<br><br>#Локальной сети можно<br>${ipfw} add allow ip from any to any via ${local_interface}<br><br>#Нат<br>${ipfw} nat 1 config log if ${inter_interface} reset same_ports deny_in<br><br>#Transparent squid forward<br>${ipfw} add fwd 172.25.37.1,3128 tcp from ${local_net} to any 80 via ${inter_interface}<br><br>#заварачиваем в нат<br>${ipfw} add nat 1 ip from any to any via ${inter_interface}<br><br>Так работает, ограничение хождения в интернет на уровне прокси.<br><br>Есть еще вопросик, как разрешить именно сквиду ходить в интернет, пробовал<br><br>${ipfw} add nat 1 all from ${local_net} to any uid squid keep-state<br>и так<br>${ipfw} add all from ${local_net} to any uid squid keep-state<br>и так<br>${ipfw} add all from me 3128 to any keep-state<br><br>не работают правила, в них пакеты не попадают (keep-state для простоты, потом поменял-бы https://opennet.ru/openforum/vsluhforumID1/93752.html#5 Sat, 01 Sep 2012 04:42:30 GMT &gt;[оверквотинг удален]<br>&gt;&gt;&gt; указывать) в правило форвардинга не забегает ни одного пакета.<br>&gt;&gt; forward не должен зависеть от nat <br>&gt;&gt; выполнить ipfw (-de) show до и после поднятия pppoe и сравнить вывод <br>&gt;&gt;&gt; Получается два вопроса, почему форвардинг не срабатывает, и как отключить нат в ppp?<br>&gt;&gt; использовать для поднятия pppoe mpd и up / down скрипты в его <br>&gt;&gt; конфиге ?<br>&gt; Спасибо вам Михалыч за подсказки, в понедельник попробую.<br>&gt; И да, давно спросить хотел, опция в правилах keep-state работает без проблем? <br>&gt; Я имею ввиду, что она создает правила для каждого соединения, и если <br>&gt; их много проблем не будет?<br><br>Вообще keep-state в ipfw доволно примитивен. В sysctl можно ограничить кол-во созданых стейтов (точнее правил). Дефаулт - 8192.<br>Я бы вам не рекомендовал на нагруженом сервере использовать keep-state.<br> https://opennet.ru/openforum/vsluhforumID1/93752.html#4 Fri, 31 Aug 2012 17:41:52 GMT &gt;&gt; При удалении ната из правил ipfw интернет работает, но перестает работать форвард <br>&gt;&gt; на сквид (там кстати в правиле ошибку допустил, dst-port не нужно <br>&gt;&gt; указывать) в правило форвардинга не забегает ни одного пакета.<br>&gt; forward не должен зависеть от nat <br>&gt; выполнить ipfw (-de) show до и после поднятия pppoe и сравнить вывод <br>&gt;&gt; Получается два вопроса, почему форвардинг не срабатывает, и как отключить нат в ppp?<br>&gt; использовать для поднятия pppoe mpd и up / down скрипты в его <br>&gt; конфиге ?<br><br>Спасибо вам Михалыч за подсказки, в понедельник попробую.<br>И да, давно спросить хотел, опция в правилах keep-state работает без проблем?<br>Я имею ввиду, что она создает правила для каждого соединения, и если их много проблем не будет?<br> https://opennet.ru/openforum/vsluhforumID1/93752.html#3 Fri, 31 Aug 2012 16:44:35 GMT &gt; При удалении ната из правил ipfw интернет работает, но перестает работать форвард <br>&gt; на сквид (там кстати в правиле ошибку допустил, dst-port не нужно <br>&gt; указывать) в правило форвардинга не забегает ни одного пакета.<br><br>forward не должен зависеть от nat<br>выполнить ipfw (-de) show до и после поднятия pppoe и сравнить вывод<br><br>&gt; Получается два вопроса, почему форвардинг не срабатывает, и как отключить нат в ppp?<br><br>использовать для поднятия pppoe mpd и up / down скрипты в его конфиге ?<br><br> https://opennet.ru/openforum/vsluhforumID1/93752.html#2 Fri, 31 Aug 2012 15:26:20 GMT &gt;[оверквотинг удален]<br>&gt;&gt; ${ipfw} add fwd 127.0.0.1,3128 tcp from ${local_net} not dst-port 65,993,143,110,25,995 to any out via ${inter_interface} <br>&gt; Зачем всё-то заворачивать?<br>&gt; Этим правилом вы весь трафик завернули на сквид, кроме портов 65,993,143,110,25,995 <br>&gt; а вам нужно только http <br>&gt; Если уж так хочется использовать в правиле конструкцию с not <br>&gt; то попробуйте так <br>&gt; ${ipfw} add fwd 127.0.0.1,3128 tcp from ${local_net} to not me 80,443 in <br>&gt; recv ${local_interface} <br>&gt; ну а "классический" заворот выглядит так <br>&gt; fwd 127.0.0.1,3128 tcp from ${local_net} to any 80 <br><br>Спасибо за ваш ответ, обязательно попробую.<br><br>Возникла еще одна проблема, для подключения к провайдеру использую ppp (pppoe), в нем есть свой нат, поэтому после установки соединения интернета нет, пока не отключу в правилах ipfw ядерный нат, пробовал в конфиге ppp сделать enable_nat=no, не помогло.<br>При удалении ната из правил ipfw интернет работает, но перестает работать форвард на сквид (там кстати в правиле ошибку допустил, d https://opennet.ru/openforum/vsluhforumID1/93752.html#1 Fri, 31 Aug 2012 11:17:50 GMT &gt; # Заворот в сквид <br>&gt; ${ipfw} add fwd 127.0.0.1,3128 tcp from ${local_net} not dst-port 65,993,143,110,25,995 to any out via ${inter_interface} <br><br>Зачем всё-то заворачивать?<br>Этим правилом вы весь трафик завернули на сквид, кроме портов 65,993,143,110,25,995<br>а вам нужно только http<br>Если уж так хочется использовать в правиле конструкцию с not<br>то попробуйте так<br>${ipfw} add fwd 127.0.0.1,3128 tcp from ${local_net} to not me 80,443 in recv ${local_interface}<br><br>ну а "классический" заворот выглядит так<br>fwd 127.0.0.1,3128 tcp from ${local_net} to any 80<br>