OpenForum RSS: NAT + ядерный IPFW + MPD5 Помогите найти ошибку. https://slinkov.ru/openforum/vsluhforumID1/95357.html Добрый день Коллеги! Помогите разобраться, что происходит с серваком, я в тупике!<br>Что имеем:<br>Сервер с двумя сетевыми картами на FreeBsd 9.2 amd 64.<br>Age0 &#8211; локальная сеть<br>Rl0 &#8211; сеть провайдера<br>Локалка постоянный IP 192.168.1.1 маска 255.255.255.0<br>Сеть провайдера подключение по DHCP, получаю внутренний IP сети провайдера, dns, gateway<br>После запуска на rl0 поднимается mpd5 соединение pptp до провайдера, получается реальный IP, добавляться правила IPFW для интерфейса ng0, поднимается на нем NAT.<br>Проходит все гладко и ровно, но тут начинаются чудеса&#8230;<br>Ping с клиента проходит, DNS обрабатываться, внешние сайты пингуются, но зайти через браузер не получается. Уже передрал все, что можно, но результата ноль! Помогите разобраться, где ошибка!<br>Конфиги:<br>Ядро собрано с опциями<br>optionsIPFIREWALL <br>optionsIPFIREWALL_FORWARD <br>optionsIPFIREWALL_VERBOSE<br>optionsIPFIREWALL_VERBOSE_LIMIT=50<br>optionsIPFIREWALL_DEFAULT_TO_ACCEPT <br>optionsIPFIREWALL_NAT<br>optionsROUTETABLES=2<br>optionsIPDIVERT<br> NAT + ядерный IPFW + MPD5 Помогите найти ошибку. (osaleks) https://slinkov.ru/openforum/vsluhforumID1/95357.html#10 Sun, 19 Jan 2014 17:33:28 GMT &gt;[оверквотинг удален]<br>&gt;&gt; 02000 473 102816 allow ip from 192.168.1.0/24 to any via age0 <br>&gt;&gt; 02001 204 52986 allow ip from any to 192.168.1.0/24 via age0 <br>&gt;&gt; 65000 175 10359 deny ip from any to any <br>&gt;&gt; 65535 1206 87578 allow ip from any to any <br>&gt; Счетчики на правилах 2000 и 2001 заработали.<br>&gt;&gt; вроде все работает, что ещё можете порекомендовать?<br>&gt; Ну так внести изменения в конфигурационные файлы.<br>&gt; Добавить в firewall.conf правила 2000 и 2001 <br>&gt; и убрать из /usr/local/etc/mpd5/up.sh правило 1010 <br>&gt; И контрольный reboot )) <br><br>Перенёс вроде всё работает! Спасибо!<br> NAT + ядерный IPFW + MPD5 Помогите найти ошибку. (михалыч) https://slinkov.ru/openforum/vsluhforumID1/95357.html#9 Sun, 19 Jan 2014 16:52:46 GMT &gt; 01000 391 99925 nat 2 ip from any to any via ng0 <br>&gt; 01030 976 189267 nat 1 ip from any to any via rl0 <br>&gt; 02000 473 102816 allow ip from 192.168.1.0/24 to any via age0 <br>&gt; 02001 204 52986 allow ip from any to 192.168.1.0/24 via age0 <br>&gt; 65000 175 10359 deny ip from any to any <br>&gt; 65535 1206 87578 allow ip from any to any <br><br>Счетчики на правилах 2000 и 2001 заработали.<br>&gt; вроде все работает, что ещё можете порекомендовать?<br><br>Ну так внести изменения в конфигурационные файлы.<br>Добавить в firewall.conf правила 2000 и 2001<br>и убрать из /usr/local/etc/mpd5/up.sh правило 1010<br>И контрольный reboot ))<br> NAT + ядерный IPFW + MPD5 Помогите найти ошибку. (osaleks) https://slinkov.ru/openforum/vsluhforumID1/95357.html#8 Sun, 19 Jan 2014 16:39:52 GMT &gt; ipfw delete 1010 <br>&gt; ?<br><br>Удалил 1010<br><br>Вот результат, вроде все работает, что ещё можете порекомендовать?<br><br>&gt; ipfw show<br><br>00101 82 11882 allow ip from any to any via lo0<br>00102 0 0 deny ip from any to 127.0.0.0/8<br>00103 0 0 deny ip from 127.0.0.0/8 to any<br>00110 0 0 check-state<br>00130 0 0 allow ip from any 1701 to me via rl0<br>00140 0 0 allow ip from me to any dst-port 1701 via rl0<br>00150 7 576 allow ip from any 1723 to me via rl0<br>00160 7 740 allow ip from me to any dst-port 1723 via rl0<br>00170 0 0 allow ip from any 5005 to me via rl0<br>00180 0 0 allow ip from me to any dst-port 5005 via rl0<br>00181 0 0 allow ip from any 953 to me via rl0<br>00182 0 0 allow ip from me to any dst-port 953 via rl0<br>00190 29 3364 allow ip from 91.238.48.224 53 to any out via ng0<br>00191 32 2200 allow ip from any to 91.238.48.224 dst-port 53 in via ng0<br>00192 0 0 allow ip from 91.238.48.224 123 to any out via ng0<br>00193 3 2 NAT + ядерный IPFW + MPD5 Помогите найти ошибку. (михалыч) https://slinkov.ru/openforum/vsluhforumID1/95357.html#7 Sun, 19 Jan 2014 16:16:38 GMT ipfw delete 1010<br>?<br> NAT + ядерный IPFW + MPD5 Помогите найти ошибку. (osaleks) https://slinkov.ru/openforum/vsluhforumID1/95357.html#6 Sun, 19 Jan 2014 16:07:36 GMT &gt; Смотрим фаерволл.<br>&gt; Правило 6500 на deny отрабатывает своё.<br>&gt; Выше, _до_правил_ для nat на allow ничего нет.<br>&gt; А локальную сеть 192.168.1.0/24 выпустить забыли?<br>&gt; Сделайте так. После поднятия mpd добавьте два правила: <br>&gt; ipfw add 2000 allow all from 192.168.1.0/24 to any via age0 <br>&gt; ipfw add 2001 allow all from any to 192.168.1.0/24 via age0 <br><br>Добавил, работает! Но логики я не понимаю правила нулевые!<br><br>&gt; ipfw show<br><br>00100 506 70470 allow ip from any to any via lo0<br>00110 0 0 deny ip from any to 127.0.0.0/8<br>00120 0 0 deny ip from 127.0.0.0/8 to any<br>00130 0 0 allow ip from any 1701 to me via rl0<br>00140 0 0 allow ip from me to any dst-port 1701 via rl0<br>00150 33 2136 allow ip from any 1723 to me via rl0<br>00160 20 1676 allow ip from me to any dst-port 1723 via rl0<br>00170 0 0 allow ip from any 5005 to me via rl0<br>00180 0 0 allow ip from me to any dst-port 5005 via rl0<br>00181 0 0 allow ip from any 953 to me NAT + ядерный IPFW + MPD5 Помогите найти ошибку. (михалыч) https://slinkov.ru/openforum/vsluhforumID1/95357.html#5 Sun, 19 Jan 2014 14:59:32 GMT Смотрим фаерволл.<br>Правило 6500 на deny отрабатывает своё.<br>Выше, _до_правил_ для nat на allow ничего нет.<br>А локальную сеть 192.168.1.0/24 выпустить забыли?<br><br>Сделайте так. После поднятия mpd добавьте два правила:<br>ipfw add 2000 allow all from 192.168.1.0/24 to any via age0<br>ipfw add 2001 allow all from any to 192.168.1.0/24 via age0<br> NAT + ядерный IPFW + MPD5 Помогите найти ошибку. (hizel) https://slinkov.ru/openforum/vsluhforumID1/95357.html#4 Sun, 19 Jan 2014 14:20:50 GMT &gt; По поводу gre первый раз слышу, если можно поподробней.<br><br>man pptp<br><br>&gt; Про nat в mpd читал но толкового описания как его использовать найти <br>&gt; не смог.<br><br>не нужно описание, просто работает<br><br> NAT + ядерный IPFW + MPD5 Помогите найти ошибку. (osaleks) https://slinkov.ru/openforum/vsluhforumID1/95357.html#3 Sun, 19 Jan 2014 12:59:49 GMT &gt; А что gre не надо на rl0 разрешать? И вообще отрубите deny <br>&gt; и смотрите tcpdump-ом. И еще set iface enable tcpmssfix впердольте mpd-ешке, <br>&gt; кстати он сам умеет в nat в режиме клиента.<br><br>По поводу gre первый раз слышу, если можно поподробней.<br>set iface enable tcpmssfix добавлю посмотрим что даст<br>Про nat в mpd читал но толкового описания как его использовать найти не смог.<br><br><br> NAT + ядерный IPFW + MPD5 Помогите найти ошибку. (hizel) https://slinkov.ru/openforum/vsluhforumID1/95357.html#2 Sun, 19 Jan 2014 12:04:07 GMT А что gre не надо на rl0 разрешать? И вообще отрубите deny и смотрите tcpdump-ом. И еще set iface enable tcpmssfix впердольте mpd-ешке, кстати он сам умеет в nat в режиме клиента.<br>