форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Открытые системы на сервере (Firewall, Фильтрация пакетов / FreeBSD)
Изначальное сообщение		[ Отслеживать ]

"помогите с ipfw + freenas"	+/–
Сообщение от Dmitry (??) on 02-Авг-11, 10:31
Гуру ipfw помогите ламеру =) Ситуация такая... --- Поставил FreeNAS, настроил его под свои нужды и решил поднять хоть какой-нибудь простейший файрволл-затычку... Вроде сделал, но: локальный трафик обрабатывается так, как хотелось бы, а вот инет-трафик просто лочится... Почему он лочится и как его разлочить понять не могу изучил уже пару ipfw мануалов, включал established setup keep-state не помогло... Смысл такой... Определенные локальные айпи пропускаются, остальная локалка лочится и другие локалки лочатся а инет-трафик должен проходить... Выкладываю листинг Freenasa: storage:/var# ipfw list 00100 allow ip from any to any via lo0 00200 deny ip from any to 127.0.0.0/8 00300 deny ip from 127.0.0.0/8 to any 00400 allow ip from 192.168.137.210 to any established setup via re1 keep-state 00500 allow ip from any to 192.168.137.210 established setup via re1 keep-state 01000 allow ip from 192.168.137.1 to any via re1 01100 allow ip from any to 192.168.137.1 via re1 01200 allow ip from 192.168.137.70 to any via re1 01300 allow ip from any to 192.168.137.70 via re1 01400 allow ip from 192.168.137.79 to any via re1 01500 allow ip from any to 192.168.137.79 via re1 01600 allow ip from 192.168.137.138 to any via re1 01700 allow ip from any to 192.168.137.138 via re1 01800 allow ip from 192.168.137.146 to any via re1 01900 allow ip from any to 192.168.137.146 via re1 02000 allow ip from 192.168.137.211 to any via re1 02100 allow ip from any to 192.168.137.211 via re1 02200 allow ip from 192.168.137.212 to any via re1 02300 allow ip from any to 192.168.137.212 via re1 02400 allow ip from 192.168.137.213 to any via re1 02500 allow ip from any to 192.168.137.213 via re1 02600 allow ip from 192.168.137.242 to any via re1 02700 allow ip from any to 192.168.137.242 via re1 02800 allow ip from 192.168.137.77 to any via re1 02900 allow ip from any to 192.168.137.77 via re1 03000 allow ip from 192.168.137.252 to any via re1 03100 allow ip from any to 192.168.137.252 via re1 03200 allow ip from 192.168.137.154 to any via re1 03300 allow ip from any to 192.168.137.154 via re1 03400 allow ip from 192.168.137.250 to any via re1 03500 allow ip from any to 192.168.137.250 via re1 03600 reject log logamount 5 ip from 192.168.137.0/24 to any via re1 03700 reject log logamount 5 ip from any to 192.168.137.0/24 via re1 04000 deny ip from 10.0.0.0/8 to any via re1 04100 deny ip from any to 10.0.0.0/8 via re1 04200 deny ip from 172.16.0.0/12 to any via re1 04300 deny ip from any to 172.16.0.0/12 via re1 04400 deny ip from 192.168.0.0/16 to any via re1 04500 deny ip from any to 192.168.0.0/16 via re1 65535 allow ip from any to any при такой конфигурации внешний пинг с фринаса такой: storage:/var# ping www.ru PING www.ru (194.87.0.50): 56 data bytes ping: sendto: Permission denied 36 bytes from 192.168.137.210: Destination Host Unreachable Vr HL TOS  Len   ID Flg  off TTL Pro  cks      Src      Dst 4  5  00 5400 2f32   0 0000  40  01 ad87 192.168.137.210  194.87.0.50 ping: sendto: Permission denied 36 bytes from 192.168.137.210: Destination Host Unreachable Vr HL TOS  Len   ID Flg  off TTL Pro  cks      Src      Dst 4  5  00 5400 2f37   0 0000  40  01 ad61 192.168.137.210  194.87.0.50 ^C --- www.ru ping statistics --- 2 packets transmitted, 0 packets received, 100.0% packet loss Подскажите в чем косяк пжалста, и как применить исправление к фринасу если знаете, так как у него свои причуды он через php список правил файра при перезагрузке обновляет, что бы вы  туда не дописывали... СПАСИБО!
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "помогите с ipfw + freenas"	+/–
Сообщение от Dmitry (??) on 02-Авг-11, 10:43
причем лочится вот на этом правиле я логировал 03600 reject log logamount 5 ip from 192.168.137.0/24 to any via re1 03700 reject log logamount 5 ip from any to 192.168.137.0/24 via re1 одним словом я так понимаю, когда я начинаю локальное соединение с фринаса например с www.ru то образуется пара www.ru <- 192.168.137.210, www.ru -> 192.168.137.210 и по этому правилу один конец соединения лочится и все валится в этом дело? Как тогда правильно разрешить соединение на 192.168.137.210 до вышенаписанный правил на все хосты инета, не прописав any -> 192.168.137.210, 192.168.137.210 -> any ведь тогда вышенаписанные правила не будут обрабатываться и все вообще откроется... Я пробовал established, keep-state что-то не пмомогло, а правила типа на порт 80 итд НЕ АКТУАЛЬНЫ, так как на насе стоит торент и у него дофига портов которые я незнаю и он точно не будет из под файра работать, одним словом правила с портами не хочется использовать, хочется простой файр-затычка по айпи...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "помогите с ipfw + freenas"	+/–
Сообщение от arachnid (ok) on 02-Авг-11, 10:51
для пинга требуется ipfw add allow icmp для удаления дубликатов добавляем в начало правило keep-state, а затем дописываем для исходящих правил check-state кстати, там в конце идет все открывающее правило - кажется согласно написанным правилам там должно стоять ipfw add deny all from any to any - так что если хотелось именно этого, то может перевести файрволл в состояние закрытого по умолчанию?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	3. "помогите с ipfw + freenas"	+/–
	Сообщение от Dmitry (??) on 02-Авг-11, 11:07
	> для пинга требуется ipfw add allow icmp > для удаления дубликатов добавляем в начало правило keep-state, а затем дописываем для > исходящих правил check-state > кстати, там в конце идет все открывающее правило - кажется согласно написанным > правилам там должно стоять ipfw add deny all from any to > any - так что если хотелось именно этого, то может перевести > файрволл в состояние закрытого по умолчанию? 1. работать наружу на коннект должно ВСЕ и пинг и веб и торрент, на вход только по правилам 2. да, впринципе хорошая идея отрубить фринас и руками врубить ipfw 3. напишите пожалста как сделать пункт 2 и напишите правильный листинг СПАСИБО!
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	4. "помогите с ipfw + freenas"	+/–
	Сообщение от arachnid (ok) on 02-Авг-11, 12:57
	> 1. работать наружу на коннект должно ВСЕ и пинг и веб и > торрент, на вход только по правилам > 2. да, впринципе хорошая идея отрубить фринас и руками врубить ipfw > 3. напишите пожалста как сделать пункт 2 и напишите правильный листинг > СПАСИБО! так, с правилами состояния я слегка наврал так что для правильного выпуска всего наружу ipfw add check-state ipfw add allow all from me to any keep-state ну а на вход - пишите те правила, которые Вам нужны последнее разрешающее правило правится через пересборку ядра, так что для Вас проще перед ним поставить всеобщее запрещающее
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	5. "помогите с ipfw + freenas"	+/–
	Сообщение от Dmitry (??) on 02-Авг-11, 14:37
	Не пойскажешь какой в бсд есть стартап файл наподобие boot.local или rc.localв линухе? Я сайчас переписываю файерволл, но вопросы в этом треде еще будут чуть попозже... СПАСИБО!
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	6. "помогите с ipfw + freenas"	+/–
	Сообщение от Dmitry (??) on 02-Авг-11, 14:39
	> Не пойскажешь какой в бсд есть стартап файл наподобие boot.local или rc.localв > линухе? > Я сайчас переписываю файерволл, но вопросы в этом треде еще будут чуть > попозже... > СПАСИБО! Нужен не rc.conf а такой куда можно засунуть баш-скрипт на исполнение при загрузке...
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	8. "помогите с ipfw + freenas"	+/–
	Сообщение от arachnid (ok) on 02-Авг-11, 14:42
	>> Не пойскажешь какой в бсд есть стартап файл наподобие boot.local или rc.localв >> линухе? >> Я сайчас переписываю файерволл, но вопросы в этом треде еще будут чуть >> попозже... >> СПАСИБО! > Нужен не rc.conf а такой куда можно засунуть баш-скрипт на исполнение при > загрузке... для правил файрволла?
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	7. "помогите с ipfw + freenas"	+/–
	Сообщение от arachnid (ok) on 02-Авг-11, 14:41
	> Не пойскажешь какой в бсд есть стартап файл наподобие boot.local или rc.localв > линухе? > Я сайчас переписываю файерволл, но вопросы в этом треде еще будут чуть > попозже... > СПАСИБО! да, есть /etc/rc.conf - там и задаются все параметры, которые отличаются от параметров по умолчанию (полный список параметров по умолчанию /etc/defaults/rc.conf)
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	9. "помогите с ipfw + freenas"	+/–
	Сообщение от Dmitry (??) on 02-Авг-11, 14:51
	Нужен не /etc/rc.conf где только директиры YES\NO для запуска сервисов, а такой куда можно засунуть баш-скрипт на исполнение при загрузке...
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	10. "помогите с ipfw + freenas"	+/–
	Сообщение от Dmitry (??) on 02-Авг-11, 15:25
	> Нужен не /etc/rc.conf где только директиры YES\NO для запуска сервисов, а такой > куда можно засунуть баш-скрипт на исполнение при загрузке... так.. с автораном разобрался... но вот проблема появилась отключил файер во фринасе при ребуте запустил свой скрипт но правило 65535 на запрет мое не отработалось а стоит разрешить........ как исправить?? кто его туда ставит на разрешить? Спасибо!
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	11. "помогите с ipfw + freenas"	+/–
	Сообщение от skvernobot (ok) on 02-Авг-11, 16:49
	>> Нужен не /etc/rc.conf где только директиры YES\NO для запуска сервисов, а такой >> куда можно засунуть баш-скрипт на исполнение при загрузке... > так.. с автораном разобрался... но вот проблема появилась > отключил файер во фринасе при ребуте запустил свой скрипт но правило 65535 > на запрет мое не отработалось а стоит разрешить........ как исправить?? кто > его туда ставит на разрешить? > Спасибо! ipfw add 65500 deny all from any to any
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема