#!/bin/shFwCMD="/sbin/ipfw" # собственно где лежит бинарник ipfw
LanOut="xl1" # внешний интерфейс
LanIn="xl0" # внутренний интерфейс
IpOut="10.110.73.130" # внешний IP адрес машины
IpIn="192.168.1.1" # внутренний IP машины
NetMask="24" # маска сети (если она разная для внешней
# и внутренней сети - придётся вводить ещё
# одну переменную, но самое забавное, что
# можно и забить - оставить 24 - всё будет
# работать, по крайней мере я пробовал -
# работаало на 4-х машинах, в разных сетях,
# с разными масками - настоящими разными! но -
# это неправильно.)
NetIn="192.168.1.0" # Внутренняя сеть
NetOut="10.0.0.0" #Городская сеть
NetOutMask="8" #маска городской сети
# Сбрасываем все правила:
${FwCMD} -f flush
#таблица с разрешенными адресами:
${FwCMD} table 1 add 192.168.1.1
${FwCMD} table 1 add 192.168.1.99
${FwCMD} table 1 add 192.168.1.100
${FwCMD} table 1 add 192.168.1.11
${FwCMD} table 1 add 192.168.1.12
# Проверяем - соответствует ли пакет динамическим правилам:
${FwCMD} add check-state
# Разрешаем весь траффик по внутреннему интерфейсу (петле)
# Вообще я во многих местах читал что без него может ничё не заработать вообще
# и прочие страшилки. Работает - почта, апач, .... А вот squid - не работает :)
# так что без него и правда - никуда.
${FwCMD} add allow ip from any to any via lo0
# пропускаем траффик через трансляцию сетевых адресов (NAT)
${FwCMD} add divert natd ip from ${NetIn}/${NetMask} to any out via ${LanOut}
${FwCMD} add divert natd ip from any to ${IpOut} in via ${LanOut}
# разрешаем все установленные соединения (если они установились -
# значит по каким-то правилам они проходили.)
${FwCMD} add allow tcp from any to any established
# разрешаем весь исходящий траффик (серверу-то в инет можно? :))
${FwCMD} add allow ip from ${IpOut} to any out xmit ${LanOut}
# разрешаем весь tcp траффик внутри локалки (на внутреннем интерфейсе)
${FwCMD} add allow tcp from any to any via ${LanIn}
# разрешаем весь udp траффик внутри локалки (на внутреннем интерфейсе)
${FwCMD} add allow udp from any to any via ${LanIn}
# разрешаем весь icmp траффик внутри локалки (на внутреннем интерфейсе)
${FwCMD} add allow icmp from any to any via ${LanIn}
#Разрешаем кому можно в интернет
${FwCMD} add allow ip from "table(1)" to any
${FwCMD} add allow ip from any to "table(1)"
#разрешаем городскую сеть всем
${FwCMD} add allow ip from ${NetIn}/${NetMask} to ${NetOut}/${NetOutMask}
${FwCMD} add allow ip from ${NetOut}/${NetOutMask} to ${NetIn}/${NetMask}
${FwCMD} add deny ip from any to any
Вариант для распечатки
Информационная безопасность (Public)
(ok) on 05-Май-09, 14:24 
