https://opennet.dev/openforum/vsluhforumID1/96817.html Я написал скрипт позволяющий проходить с локальной сети наружу только одному MAC адресу<br>#!/bin/sh -<br><br>fwcmd="/sbin/ipfw"<br>${fwcmd} -f flush<br>${fwcmd} table all flush<br>${fwcmd} nat 1 delete<br><br># NETWORK CONNECTIONS<br>if_inet="igb0"<br>if_lan="igb1"<br><br># Local<br>${fwcmd} add allow all from any to any via lo0<br>${fwcmd} add deny all from any to 127.0.0.0/8<br>${fwcmd} add deny all from 127.0.0.0/8 to any<br><br><br><br># NAT<br>${fwcmd} nat 1 config if ${if_inet} same_ports reset log<br>${fwcmd} add nat 1 ip from "table(0)" to any out via ${if_inet}<br>${fwcmd} add nat 1 ip from any to any in via ${if_inet}<br><br># TABLE (0):<br>${fwcmd} add allow ip from any to any<br>${fwcmd} table 0 add 10.44.5.55. #(это ip c нужным mac адресом)<br><br># MAC addresses to alow<br># These only take effect if sysctl net.link.ether.ipfw=1<br>GOOD_MACS_F=" { MAC any 00:1c:c0:f1:cb:c8 }"<br>GOOD_MACS_T=" { MAC 00:1c:c0:f1:cb:c8 any }"<br><br># Allow the ARP traffic from everyone<br>${fwcmd} add 4 allow ip from any to any layer2 mac-type arp<br><br># Allow traffic from specific https://opennet.dev/openforum/vsluhforumID1/96817.html#15 Fri, 10 Feb 2017 14:13:05 GMT &gt; А лярчик открывался но не так уж просто. Если dns-server прописать 8.8.8.8 <br>&gt; то всё работает. Моб твою ять. layer2 ложит local unbound <br><br>а если добавить в разрешающие правила mac-адреса своих сетевых карт?<br> https://opennet.dev/openforum/vsluhforumID1/96817.html#14 Fri, 10 Feb 2017 06:26:57 GMT А лярчик открывался но не так уж просто. Если dns-server прописать 8.8.8.8 то всё работает. Моб твою ять. layer2 ложит local unbound<br><br><br> https://opennet.dev/openforum/vsluhforumID1/96817.html#13 Thu, 09 Feb 2017 09:44:30 GMT &gt;&gt;&gt; я правильно понял, что когда вы устанавливаете переменную в 1, то все <br>&gt;&gt;&gt; работает так, как вы хотите? или начинает проходить вообще всё?<br>&gt;&gt; Когда я устанавливаю 1 то всё работает как надо, но в интернет <br>&gt;&gt; пакеты попадают с какой-то задержкой и сайт даёт отлуп по таймауту . Ping на сайт идёт нормальный ( если разрешен для интернета только 1 MAC то потерянных пакетов вообще нет) <br>&gt; Правда у меня стоит unbound в качестве dns-сервера, может ему что-то не <br>&gt; нравится при включенном layer2 Мне какжется что так оно и есть, ситуация храктерна для случая, когда dns-server не работает: ping на сайт идёт а url в браузере не работает . Эврика !! https://opennet.dev/openforum/vsluhforumID1/96817.html#12 Thu, 09 Feb 2017 09:14:53 GMT &gt;&gt; я правильно понял, что когда вы устанавливаете переменную в 1, то все <br>&gt;&gt; работает так, как вы хотите? или начинает проходить вообще всё?<br>&gt; Когда я устанавливаю 1 то всё работает как надо, но в интернет <br>&gt; пакеты попадают с какой-то задержкой и сайт даёт отлуп по таймауту . Ping на сайт идёт нормальный ( если разрешен для интернета только 1 MAC то потерянных пакетов вообще нет)<br><br>Правда у меня стоит unbound в качестве dns-сервера, может ему что-то не нравится при включенном layer2<br> https://opennet.dev/openforum/vsluhforumID1/96817.html#11 Thu, 09 Feb 2017 09:14:11 GMT &gt; я правильно понял, что когда вы устанавливаете переменную в 1, то все <br>&gt; работает так, как вы хотите? или начинает проходить вообще всё?<br><br>Когда я устанавливаю 1 то всё работает как надо, но в интернет пакеты попадают с какой-то задержкой и сайт даёт отлуп по таймауту<br><br> https://opennet.dev/openforum/vsluhforumID1/96817.html#10 Wed, 08 Feb 2017 13:04:01 GMT я правильно понял, что когда вы устанавливаете переменную в 1, то все работает так, как вы хотите? или начинает проходить вообще всё?<br> https://opennet.dev/openforum/vsluhforumID1/96817.html#9 Wed, 08 Feb 2017 11:34:21 GMT Я этим вопросом занималcя год назад. И никакого положительного результата ни на одном форуме даже на freebsd.org. Поэтому мне кажется это глюк ipfw о котором разработчики знают но упорно умалчивают. Думал что на FreeBSD 11.0-RELEASE-p7 что-то наметится позитивного - но видно а воз и ныне там. Так что приходится держать компьютер на Debian 8.7 чисто из-за iptables для фильтрации mac<br> https://opennet.dev/openforum/vsluhforumID1/96817.html#8 Wed, 08 Feb 2017 11:06:23 GMT &gt;[оверквотинг удален]<br>&gt;&gt; нюансы добавляет net.link.ether.ipfw <br>&gt;&gt;&gt; А если по вашему совету я и определю с помощью tcpdump что <br>&gt;&gt;&gt; lenght слишком длинный или чего ещё, то это и так ясно <br>&gt;&gt;&gt; из ответа сайта : timeout превышен при включенном layer2 <br>&gt;&gt; перечитайте тот ответ, размер пакета и данные которые передаются - это не <br>&gt;&gt; одно и тоже <br>&gt; Чего перечитывать? Если layer2 включен и разрешен например определенный mac то пбсолютно все сайты не открываются а не какой-то конкретный. А пинги <br>&gt; и трассировка туды идут без сбоя (если только один mac разрешен, <br>&gt; а если разрешен десяток маков - то наблюдается до 80 % <br>&gt; потерянных пакетов) <br><br> https://opennet.dev/openforum/vsluhforumID1/96817.html#7 Wed, 08 Feb 2017 11:05:04 GMT <br>Чего перечитывать? Если layer2 включен и разрешен например определенный mac то абсолютно все сайты не открываются а не какой-то конкретный. А пинги и трассировка туды идут без сбоя (если только один mac разрешен, а если разрешен десяток маков - то наблюдается до 80 % <br> потерянных пакетов)<br>